Verwerkersovereenkomst

Artikel 01

Partijen en begrippen

1. 1.1Deze overeenkomst is gesloten tussen de Klant, de verwerkingsverantwoordelijke ("de Verantwoordelijke"), en DeInstallatie B.V., handelend onder de naam Vonti, gevestigd in Geleen, KvK 98647598, de verwerker ("de Verwerker").
2. 1.2Begrippen als persoonsgegevens, verwerken, betrokkene, inbreuk in verband met persoonsgegevens en subverwerker hebben de betekenis die de Algemene verordening gegevensbescherming (AVG) eraan geeft.
3. 1.3De algemene voorwaarden van Vonti gelden ook voor deze overeenkomst. Gaat het om persoonsgegevens en spreken ze elkaar tegen, dan gaat deze overeenkomst voor.

Artikel 02

Onderwerp en duur

1. 2.1De Verwerker verwerkt persoonsgegevens in opdracht van de Verantwoordelijke, uitsluitend om de Dienst te leveren. Wat, waarom en van wie staat in bijlage 1.
2. 2.2Deze overeenkomst loopt zolang de Klant de Dienst gebruikt, en daarna tot alle persoonsgegevens volgens artikel 12 zijn verwijderd of teruggegeven.

Artikel 03

Alleen op instructie

1. 3.1De Verwerker verwerkt de persoonsgegevens alleen op instructie van de Verantwoordelijke. Die instructies bestaan uit de overeenkomst, de instellingen die de Verantwoordelijke kiest en de opdrachten die hij of zijn medewerkers aan de assistent geven.
2. 3.2Verplicht de wet de Verwerker tot een andere verwerking, dan meldt hij dat vooraf, tenzij de wet dat verbiedt.
3. 3.3Vindt de Verwerker een instructie in strijd met de AVG, dan laat hij dat meteen weten.
4. 3.4De Verwerker gebruikt de persoonsgegevens niet voor eigen doeleinden, verkoopt ze niet en gebruikt ze niet om AI-modellen te trainen.

Artikel 04

Geheimhouding

1. 4.1Iedereen die namens de Verwerker toegang heeft tot de persoonsgegevens, is tot geheimhouding verplicht.
2. 4.2De Verwerker kijkt alleen in de omgeving van een klant als dat nodig is voor support waar de klant om vraagt, voor het verhelpen van een storing, of voor het onderzoeken van misbruik.

Artikel 05

Beveiliging

1. 5.1De Verwerker neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beschermen tegen verlies en onrechtmatige verwerking, rekening houdend met de stand van de techniek, de kosten en de risico's. De belangrijkste maatregelen staan in bijlage 2.
2. 5.2De Verwerker mag de maatregelen aanpassen, zolang het beveiligingsniveau niet lager wordt.

Artikel 06

Subverwerkers

1. 6.1De Verantwoordelijke geeft algemene toestemming voor de subverwerkers in bijlage 3.
2. 6.2Wil de Verwerker een subverwerker toevoegen of vervangen, dan meldt hij dat minstens 30 dagen van tevoren per e-mail of in Mijn Vonti. Heeft de Verantwoordelijke daar gegronde bezwaren tegen en komen partijen er samen niet uit, dan kan de Verantwoordelijke de overeenkomst opzeggen tegen de dag van de wijziging.
3. 6.3De Verwerker legt elke subverwerker in een overeenkomst ten minste dezelfde verplichtingen op als in deze overeenkomst, en blijft tegenover de Verantwoordelijke verantwoordelijk voor de subverwerker.

Artikel 07

Doorgifte buiten de Europese Economische Ruimte

1. Sommige subverwerkers verwerken persoonsgegevens buiten de Europese Economische Ruimte, met name in de Verenigde Staten. Dat gebeurt alleen met passende waarborgen zoals de AVG die eist, zoals een adequaatheidsbesluit (waaronder het EU-VS-gegevensprivacykader) of de standaardcontractbepalingen van de Europese Commissie.

Artikel 08

Rechten van betrokkenen

1. 8.1De Verwerker helpt de Verantwoordelijke, voor zover redelijk, bij het beantwoorden van verzoeken van betrokkenen, zoals een verzoek om inzage, correctie of verwijdering. Veel daarvan kan de Verantwoordelijke zelf, in de apps en in Mijn Vonti.
2. 8.2Krijgt de Verwerker zo'n verzoek rechtstreeks, dan stuurt hij het door naar de Verantwoordelijke en handelt hij het niet zelf af.

Artikel 09

Datalekken

1. 9.1Ontdekt de Verwerker een inbreuk in verband met persoonsgegevens, dan meldt hij die zonder onredelijke vertraging aan de Verantwoordelijke, en uiterlijk binnen 48 uur nadat hij hem ontdekte.
2. 9.2De melding bevat, voor zover bekend: wat er gebeurde, welke gegevens en hoeveel betrokkenen het raakt, de waarschijnlijke gevolgen en de maatregelen die de Verwerker nam of voorstelt. Wat nog niet bekend is, volgt zo snel mogelijk.
3. 9.3De Verantwoordelijke beslist of hij de inbreuk meldt aan de Autoriteit Persoonsgegevens en aan de betrokkenen. De Verwerker helpt daarbij.

Artikel 10

Bijstand bij een DPIA

1. 10.1Moet de Verantwoordelijke een gegevensbeschermingseffectbeoordeling (DPIA) doen of de Autoriteit Persoonsgegevens vooraf raadplegen, dan geeft de Verwerker de informatie die daarvoor redelijkerwijs nodig is.
2. 10.2Voor bijstand die meer dan een paar uur vraagt, mag de Verwerker redelijke kosten rekenen, na overleg vooraf.

Artikel 11

Controle en audit

1. 11.1De Verwerker geeft de Verantwoordelijke de informatie die nodig is om aan te tonen dat hij zich aan deze overeenkomst houdt.
2. 11.2De Verantwoordelijke mag hooguit één keer per jaar een audit laten doen door een onafhankelijke deskundige die tot geheimhouding verplicht is, met een aankondiging van minstens 30 dagen. De audit mag de Dienst en de gegevens van andere klanten niet raken. De kosten zijn voor de Verantwoordelijke.

Artikel 12

Na het einde

1. 12.1Na het einde van de overeenkomst kan de Verantwoordelijke binnen 30 dagen een export van zijn gegevens vragen via support@vonti.nl.
2. 12.2Daarna verwijdert de Verwerker de persoonsgegevens binnen 30 dagen, ook bij de subverwerkers. Back-ups worden binnen 90 dagen overschreven. Dit geldt niet voor gegevens die de Verwerker volgens de wet moet bewaren, zoals de eigen administratie en facturen.

Artikel 13

Bijzondere en gevoelige gegevens

1. Vonti is geen medisch dossier en geen systeem voor strafrechtelijke gegevens. Werkt de Verantwoordelijke met bijzondere persoonsgegevens, zoals gegevens over gezondheid, of met het burgerservicenummer, dan beoordeelt hij vooraf zelf of verwerking in Vonti mag en welke extra maatregelen nodig zijn.

Artikel 14

Aansprakelijkheid

1. Voor de aansprakelijkheid van de Verwerker gelden de artikelen 13 en 14 van de algemene voorwaarden. Elke partij blijft zelf verantwoordelijk voor het naleven van de verplichtingen die de AVG haar oplegt.

Artikel 15

Slotbepalingen

1. 15.1Op deze overeenkomst is Nederlands recht van toepassing. Geschillen gaan naar de bevoegde rechter van de Rechtbank Limburg.
2. 15.2Wijzigt de Verwerker deze overeenkomst, dan geldt artikel 17 van de algemene voorwaarden.

Bijlage 1

Bijlage 1. Doel, gegevens en betrokkenen

1. Doel: de Klant een AI-assistent geven die namens hem werkt, met de bijbehorende apps: afspraken en planning, facturen en offertes, contracten, klantkaarten en notities, mail en berichten, spraak, bestanden en, als de Klant dat kiest, een website.
2. Soorten persoonsgegevens: naam, adres, telefoonnummer en e-mailadres; afspraken en planning; factuur-, offerte- en betaalgegevens; de inhoud van berichten, notities en documenten; gesproken opdrachten (alleen om ze om te zetten in tekst); en wat de Klant verder zelf invoert.
3. Betrokkenen: de Klant zelf, zijn medewerkers, en zijn klanten, leads, leveranciers en andere contacten.

Bijlage 2

Bijlage 2. Beveiligingsmaatregelen

• Elke klant heeft een eigen, afgeschermde omgeving met een eigen netwerk. Klanten kunnen niet bij elkaars gegevens.
• Verbindingen met Vonti zijn versleuteld (https).
• Elke klant heeft een eigen sleutel voor de AI-leverancier. Die staat versleuteld opgeslagen, nooit in de omgeving van de klant zelf, en kan per klant worden ingetrokken zonder dat andere klanten daar iets van merken.
• Grenzen per klant aan AI-gebruik, rekenkracht, geheugen en het aantal processen, zodat één klant de anderen niet kan hinderen.
• Bestanden van klanten staan in afgeschermde opslag en zijn alleen bereikbaar via persoonlijke, ondertekende links die verlopen.
• Bij het tellen van gebruik slaan wij alleen aantallen op, niet de inhoud van gesprekken.
• Beheer van de systemen alleen door bevoegde personen, via beveiligde verbindingen.
• Geregeld back-ups.

Bijlage 3

Bijlage 3. Subverwerkers

• Anthropic: de taalmodellen waarmee de assistent denkt en schrijft. Verwerkt de opdrachten en de gegevens die voor een vraag nodig zijn. Verenigde Staten.
• Groq: spraakherkenning, als spraak via Groq aanstaat. Verwerkt gesproken opdrachten om ze in tekst om te zetten. Verenigde Staten.
• Google Cloud (Firebase): database en inloggen van de meegeleverde apps, zoals Facto, Agendi, Bindra en Vento.
• internedata.nl: opslag van bestanden van klanten en het versturen van e-mail. Nederland.
• Vercel: de website vonti.nl en Mijn Vonti.
• Cloudflare: de beveiligde verbinding tussen internet en de assistent.
• Tailscale: beveiligde verbindingen voor beheer en voor het eigen adres van een assistent.
• Make: automatische verwerking van aanmeldingen en meldingen. Verwerkt contactgegevens.
• Stripe: betalingen. Voor de eigen betaalgegevens is Stripe zelf verantwoordelijk.