Verwerkersovereenkomst (DPA)

1. Definities

1. AVG: de Algemene Verordening Gegevensbescherming (EU) 2016/679.
2. Persoonsgegevens, Verwerken, Datalek, Betrokkene: hebben de betekenis zoals in de AVG.
3. Werkruimte: de afzonderlijke, uitsluitend voor Verwerkingsverantwoordelijke ingerichte omgeving (eigen instantie, eigen database, eigen toegangssleutel; "single-tenant") die Verwerker host bij Microsoft Azure in de regio West-Europa (Nederland), en die alleen via de Connector van Verwerkingsverantwoordelijke bereikbaar is.
4. Werkruimtedata: alle gegevens die de Agents van Verwerkingsverantwoordelijke in de Werkruimte vastleggen, waaronder logboek, bedrijfscontext, dashboardgegevens, bronkoppelingen en — voor zover Verwerkingsverantwoordelijke daarvoor kiest — werkdata.
5. Dienst: het hosten van de Werkruimte, alsmede Deployment, Adoptie en support, voor zover Verwerker daarbij op instructie van Verwerkingsverantwoordelijke toegang heeft tot (delen van) diens omgeving of gegevens.

2. Onderwerp, duur, aard en doel van de verwerking

1. Onderwerp: het hosten van de Werkruimte (opslag van Werkruimtedata ten behoeve van de Agents van Verwerkingsverantwoordelijke), het uitvoeren van Deployment en Adoptie (inrichting van en begeleiding bij het Agentic Team) en het bieden van support, voor zover Verwerker daarbij persoonsgegevens verwerkt namens Verwerkingsverantwoordelijke.
2. Duur: voor de Werkruimte gedurende de looptijd van de Licentie, vermeerderd met de verwijdertermijn van artikel 6.5 en het back-upvenster van zeven (7) dagen (samen uiterlijk 37 dagen na het einde van de Licentie); voor Deployment, Adoptie en support gedurende de betreffende werkzaamheden en, waar noodzakelijk, daarna voor afwikkeling/verantwoording conform de overeenkomst.
3. Aard: voor de Werkruimte het opslaan, structureren, beschikbaar stellen aan de Agents van Verwerkingsverantwoordelijke, back-uppen, exporteren en verwijderen. Verwerker neemt geen inhoudelijke kennis van Werkruimtedata, behalve op instructie van Verwerkingsverantwoordelijke (support), voor zover noodzakelijk voor beveiliging, beheer en het verhelpen van storingen, of waar de wet dat vereist; geautomatiseerde verwerking (back-up, migratie, updates) geldt niet als inhoudelijke kennisname. Voor Deployment, Adoptie en support: raadplegen en, uitsluitend voor zover noodzakelijk, opslaan, structureren, wijzigen en verwijderen.
4. Doel: de uitvoering van de in lid 1 genoemde werkzaamheden.

3. Categorieën betrokkenen en soorten persoonsgegevens

4. Rollen en instructies

1. Verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking.
2. Verwerker verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van Verwerkingsverantwoordelijke, zoals vastgelegd in de overeenkomst, deze DPA en eventuele aanvullende schriftelijke instructies.
3. Verwerker zal Verwerkingsverantwoordelijke informeren indien een instructie naar haar redelijke mening in strijd is met de AVG.

5. Beveiliging

1. Verwerker treft passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies of onrechtmatige verwerking.
2. Deze maatregelen omvatten minimaal:
   • versleutelde verbindingen bij alle gegevensuitwisseling;
   • toegang op basis van need-to-know;
   • beperking van toegang en autorisaties tot wat voor de Dienst noodzakelijk is;
   • zorgvuldig toegangs- en sleutelbeheer;
   • redelijke maatregelen voor incidentdetectie en -afhandeling.
3. Voor de Werkruimte gelden daarnaast:
   • single-tenant isolatie: elke Verwerkingsverantwoordelijke heeft een eigen instantie met eigen database; gegevens van verschillende klanten worden nooit in één omgeving gecombineerd;
   • een eigen toegangssleutel per Werkruimte, die bij Verwerker uitsluitend gehasht wordt opgeslagen en op verzoek kosteloos wordt vervangen;
   • Werkruimtedata loopt niet via de website- of Connector-hosting van Verwerker (Vercel); de Werkruimte wisselt met de servers van Verwerker alleen werkinstructies, licentiecontrole, updates en geanonimiseerde lessen uit;
   • dagelijkse back-up met een venster van zeven (7) dagen; herstel uit back-up is beproefd en duurt circa tien (10) minuten;
   • verwijdering van de volledige instantie met een verwijderbewijs (artikel 6.5).

6. Verplichtingen van Verwerker

1. Vertrouwelijkheid: Verwerker waarborgt dat personen die onder haar gezag handelen persoonsgegevens vertrouwelijk behandelen.
2. Subverwerkers:
   1. Verwerkingsverantwoordelijke geeft toestemming voor het inschakelen van de volgende (categorieën) subverwerkers voor de Dienst:
      • Stripe (VS) — betalingsverwerking; doorgifte op grond van het EU-US Data Privacy Framework;
      • Microsoft Azure (Microsoft Ireland Operations Ltd. / Microsoft Corporation (VS)) — hosting van de Werkruimte (container en database) in de regio West-Europa (Nederland); Werkruimtedata wordt binnen de EU opgeslagen en verwerkt. Voor zover de provider in het kader van support of beheer toegang heeft vanuit een land buiten de EER, gebeurt dat op grond van de Europese standaardcontractbepalingen (SCC's) in de verwerkersovereenkomst van Microsoft en, waar van toepassing, het EU-US Data Privacy Framework;
      • Vercel (VS) — hosting van de website en van de server-side Playbook-dienst (Connector); verwerkt géén Werkruimtedata; doorgifte op grond van het EU-US Data Privacy Framework;
      • Upstash (EU-regio) — tijdelijke cache en rate limiting; verwerking binnen de EU;
      • overige toeleveranciers die noodzakelijk zijn voor hosting/communicatie/security, voor zover Verwerker Verwerkingsverantwoordelijke hierover informeert.
   2. Verwerker blijft verantwoordelijk voor de naleving door subverwerkers van de op hen van toepassing zijnde verplichtingen.
   3. Verwerker informeert Verwerkingsverantwoordelijke ten minste dertig (30) dagen vooraf over een voorgenomen toevoeging of vervanging van een subverwerker voor de Werkruimte (via het privacybeleid en per e-mail aan het bij de Licentie opgegeven adres). Verwerkingsverantwoordelijke kan binnen die termijn gemotiveerd bezwaar maken; komen Partijen niet tot een oplossing, dan kan Verwerkingsverantwoordelijke de Licentie opzeggen tegen de datum van de wijziging, met export conform artikel 6.5.
3. Datalekken: Verwerker meldt een (vermoeden van een) datalek zonder onredelijke vertraging nadat zij daarvan kennis heeft genomen en verstrekt redelijkerwijs beschikbare informatie.
4. Assistentie: Verwerker verleent redelijke assistentie bij:
   • verzoeken van Betrokkenen (inzage, verwijdering, etc.), voor zover betrekking hebbend op door Verwerker verwerkte gegevens;
   • beveiligingsincidenten en DPIA's, voor zover relevant.
5. Verwijderen/teruggeven: Verwerkingsverantwoordelijke kan de volledige Werkruimtedata op elk moment zelf exporteren in een gangbaar, machineleesbaar formaat (JSON of markdown) via de exportfunctie van de Werkruimte (artikel 28 lid 3 sub g AVG); Verwerker levert deze export op verzoek. Na het einde van de Licentie blijft de export gedurende dertig (30) dagen beschikbaar; daarna, of eerder op verzoek, verwijdert Verwerker de volledige Werkruimte-instantie inclusief database en de door Verwerker beheerde back-ups, en verstrekt op verzoek een verwijderbewijs (tijdstip, verwijderde instantie en database, en de bevestiging dat Verwerker geen kopie meer onder zich heeft; resterende kopieën bij de hostingprovider worden binnen diens gepubliceerde bewaartermijnen gewist). Voor de overige onderdelen van de Dienst verwijdert of retourneert Verwerker persoonsgegevens na afronding voor zover redelijkerwijs mogelijk, tenzij bewaring wettelijk verplicht is of noodzakelijk is voor geschilafhandeling.
6. Minimalisatie/filters: Indien Verwerker constateert dat zij in het kader van de Dienst toegang heeft tot (bijzondere) persoonsgegevens die niet noodzakelijk zijn, mag Verwerker (i) de betreffende werkzaamheden opschorten, (ii) Verwerkingsverantwoordelijke verzoeken deze te verwijderen of af te schermen, en (iii) redelijke maatregelen treffen om verdere verwerking te voorkomen.

7. Generieke lessen (productverbetering)

1. Als onderdeel van de Licentie kunnen de Agents van Verwerkingsverantwoordelijke geanonimiseerde generieke lessen indienen bij Verwerker ter verbetering van het product, zoals beschreven in artikel 4.5 van de Productvoorwaarden Agentic Team en in het privacybeleid van Verwerker.
2. Voor deze generieke lessen treedt Verwerker ná anonimisering op als zelfstandig verwerkingsverantwoordelijke, op grond van gerechtvaardigd belang (productverbetering). Deze verwerking valt buiten de reikwijdte van deze DPA.
3. Daarbij gelden de drie beschermingslagen uit de Productvoorwaarden: anonimisering vóór verzending, automatische redactie van herleidbare gegevens aan de zijde van Verwerker (met logging), en handmatige review vóór enig hergebruik. Afgekeurde lessen worden binnen dertig (30) dagen verwijderd; de functie is op verzoek van Verwerkingsverantwoordelijke uitschakelbaar.

8. Audit en informatie

1. Verwerker stelt op verzoek redelijke informatie beschikbaar om naleving van deze DPA aannemelijk te maken.
2. Auditverzoeken worden in redelijkheid afgestemd en mogen de bedrijfsvoering niet onnodig verstoren.

9. Aansprakelijkheid

Op aansprakelijkheid zijn de bepalingen uit de overeenkomst en de Algemene Voorwaarden van toepassing.

10. Slotbepalingen

1. Bij strijdigheid tussen deze DPA en andere contractdocumenten, prevaleert deze DPA voor zover het de verwerking van persoonsgegevens betreft.
2. Deze DPA kan elektronisch worden overeengekomen (bijv. via click-acceptatie).

Bijlage 1 — Verwerkingsdetails