Verwerkersovereenkomst

1. Reikwijdte en rollen

Deze Verwerkersovereenkomst maakt deel uit van de Algemene voorwaarden tussen NoSix en de Klant. Zij geldt voor persoonsgegevens die NoSix in opdracht van de Klant verwerkt bij het leveren van de dienst.

Voor die gegevens is de Klant de verwerkingsverantwoordelijke en NoSix de verwerker. Begrippen die in de AVG zijn gedefinieerd, hebben hier dezelfde betekenis.

Waar NoSix zelf de doelen bepaalt, bijvoorbeeld voor accountbeheer, facturatie en beveiliging, is NoSix verwerkingsverantwoordelijke en geldt het Privacybeleid.

2. Kenmerken van de verwerking

• Onderwerp en doel: het leveren van het NoSix-platform aan de Klant zoals beschreven in de Voorwaarden.
• Aard: gegevens hosten, opslaan, structureren, analyseren (ook met AI-functies), tonen en verwijderen.
• Duur: de looptijd van de overeenkomst, plus de periode tot verwijdering volgens deze Verwerkersovereenkomst.
• Betrokkenen: de gebruikers van de Klant en andere personen die voorkomen in de gegevens of documenten die de Klant toevoegt, zoals medewerkers, leveranciers en contactpersonen.
• Soorten persoonsgegevens: namen, zakelijke contactgegevens, rollen, account- en gebruiksgegevens, en persoonsgegevens in geüploade documenten zoals energierekeningen en facturen.
• Bijzondere categorieën van persoonsgegevens: niet bedoeld. De Klant voegt ze niet toe.

3. Instructies van de Klant

• NoSix verwerkt de persoonsgegevens alleen op gedocumenteerde instructies van de Klant. De Voorwaarden, deze Verwerkersovereenkomst en het gebruik van de functies van de dienst door de Klant zijn die instructies.
• NoSix laat het de Klant weten als een instructie volgens NoSix in strijd is met de privacywetgeving, en mag die instructie opschorten tot zij is verduidelijkt.
• Als de wet NoSix verplicht de gegevens op een andere manier te verwerken, laat NoSix dat de Klant vooraf weten, tenzij de wet dat verbiedt.
• De Klant is verantwoordelijk voor een rechtsgrond voor de gegevens die hij toevoegt en voor het informeren van de betrokkenen.

4. Vertrouwelijkheid

NoSix zorgt ervoor dat iedereen die het machtigt om de persoonsgegevens te verwerken, tot geheimhouding verplicht is en alleen toegang heeft voor zover het werk dat vereist.

5. Beveiliging

NoSix neemt passende technische en organisatorische maatregelen volgens artikel 32 van de AVG. Daaronder vallen:

• versleuteling van gegevens tijdens transport en in opslag;
• toegangsbeheer op basis van rollen in de app en beperkte toegang tot productiesystemen;
• logging van wijzigingen in gegevens;
• regelmatige updates en kwetsbaarheidscontroles van softwareafhankelijkheden.

NoSix mag deze maatregelen aanpassen zolang het beschermingsniveau niet daalt.

6. Subverwerkers

• De Klant geeft NoSix algemene toestemming om subverwerkers in te schakelen. De huidige subverwerkers staan in Bijlage 1.
• NoSix legt elke subverwerker verplichtingen voor gegevensbescherming op die niet minder bescherming bieden dan die in deze Verwerkersovereenkomst, en blijft verantwoordelijk voor hun werk.
• NoSix kondigt een nieuwe of vervangende subverwerker minstens 30 dagen vooraf aan, per e-mail of op deze pagina. De Klant kan binnen die termijn op redelijke gronden van gegevensbescherming bezwaar maken. Vinden de partijen geen oplossing, dan mag de Klant de betrokken dienst beëindigen en krijgt hij vooruitbetaalde bedragen voor de resterende periode terug.

7. Internationale doorgifte

NoSix slaat Klantgegevens op in de Europese Unie.

Als een subverwerker persoonsgegevens buiten de Europese Economische Ruimte verwerkt, zorgt NoSix voor een geldig doorgiftemechanisme: een adequaatheidsbesluit of de modelcontractbepalingen van de Europese Commissie.

8. Verzoeken van betrokkenen

NoSix helpt de Klant, met passende technische en organisatorische maatregelen, bij het beantwoorden van verzoeken van personen die hun rechten onder de AVG uitoefenen. Ontvangt NoSix zo’n verzoek rechtstreeks, dan stuurt het dit zonder onredelijke vertraging door naar de Klant en beantwoordt het dit niet zelf, tenzij de wet dat vereist.

9. Datalekken

NoSix meldt een inbreuk in verband met persoonsgegevens die de gegevens van de Klant raakt zonder onredelijke vertraging aan de Klant, en waar mogelijk binnen 48 uur nadat het ervan op de hoogte is geraakt.

De melding beschrijft wat bekend is: de aard van de inbreuk, de betrokken gegevens en personen, de waarschijnlijke gevolgen en de genomen maatregelen. NoSix vult de informatie aan zodra die beschikbaar komt en helpt de Klant bij zijn eigen meldplichten.

10. Hulp bij naleving

NoSix biedt de Klant redelijke hulp bij gegevensbeschermingseffectbeoordelingen en bij overleg met de toezichthouder, rekening houdend met de aard van de verwerking en de informatie waarover NoSix beschikt.

11. Teruggave en verwijdering

Tijdens de overeenkomst en tot 30 dagen na het einde ervan kan de Klant zijn gegevens exporteren of NoSix om een export vragen.

Daarna verwijdert NoSix de persoonsgegevens binnen 90 dagen, tenzij de wet bewaring vereist. Back-ups worden volgens hun normale cyclus overschreven en worden in de tussentijd nergens anders voor gebruikt.

12. Audits

Op verzoek geeft NoSix de Klant de informatie die nodig is om aan te tonen dat het aan artikel 28 van de AVG voldoet.

Als die informatie niet volstaat, mag de Klant een audit uitvoeren, zelf of via een onafhankelijke auditor die tot geheimhouding verplicht is. Een audit vindt hoogstens één keer per jaar plaats, wordt minstens 30 dagen vooraf aangekondigd, verloopt tijdens werktijden en verstoort de dienst niet. De Klant draagt zijn eigen kosten. NoSix mag redelijke kosten rekenen voor een audit die langer dan één werkdag duurt.

13. Aansprakelijkheid en rangorde

De aansprakelijkheidsbeperkingen in de Voorwaarden gelden ook voor deze Verwerkersovereenkomst.

Als deze Verwerkersovereenkomst en de Voorwaarden op het punt van de bescherming van persoonsgegevens met elkaar in strijd zijn, gaat deze Verwerkersovereenkomst voor. Als modelcontractbepalingen van toepassing zijn en in strijd zijn met deze Verwerkersovereenkomst, gaan die bepalingen voor.

Bijlage 1: Subverwerkers

• Supabase: database, authenticatie en bestandsopslag.
• Vercel: hosting van de applicatie.
• Anthropic: AI-modellen die documenten lezen en de AI-assistent aandrijven.
• Resend: service-e-mails zoals uitnodigingen en meldingen.
• Sentry: foutmonitoring.