Verwerkersovereenkomst

1. Partijen en wat deze overeenkomst regelt

1. Deze verwerkersovereenkomst is tussen jou, de klant van AccountCloud (de verwerkingsverantwoordelijke), en Informer Online Nederland B.V., handelend onder de naam AccountCloud, gevestigd in Rijswijk, KvK 63388928 (de verwerker, “wij”).
2. Ze hoort bij de algemene voorwaarden, en geldt vanaf het moment dat je een account aanmaakt. Je hoeft haar niet apart te ondertekenen. Wil je toch een ondertekend exemplaar, mail dan naar [email protected].
3. Begrippen als persoonsgegevens, verwerken, betrokkene, subverwerker en inbreuk in verband met persoonsgegevens betekenen hier wat ze in de Algemene verordening gegevensbescherming (AVG) betekenen.
4. Spreken deze overeenkomst en de algemene voorwaarden elkaar tegen over persoonsgegevens, dan geldt deze overeenkomst.

2. Wat we verwerken

1. We verwerken persoonsgegevens in jouw opdracht, voor zover dat nodig is om AccountCloud te leveren: de documenten die je instuurt, de gegevens die je in calls meestuurt, en wat we daarop teruggeven. Bijlage 1 beschrijft welke gegevens, van wie en waarvoor.
2. Jij bepaalt het doel en de middelen. Jij bent ervoor verantwoordelijk dat je de gegevens mag laten verwerken, en dat je de betrokkenen daarover informeert.
3. De dienst is niet bedoeld voor bijzondere persoonsgegevens, zoals gegevens over gezondheid, of voor strafrechtelijke gegevens. Staan die toch in je documenten, dan ben jij ervoor verantwoordelijk dat je ze mag laten verwerken.

3. Alleen op jouw instructie

1. We verwerken de gegevens alleen op jouw instructie. Je calls, je instellingen in het portaal en deze overeenkomst zijn die instructies.
2. Moeten we volgens Europees of Nederlands recht iets anders doen, dan laten we je dat vooraf weten, tenzij de wet dat verbiedt.
3. Vinden we dat een instructie in strijd is met de AVG, dan laten we je dat direct weten.

4. Geen gebruik voor eigen doeleinden

1. We gebruiken de gegevens niet voor onze eigen doeleinden, met twee uitzonderingen:
   • Een melding met allow_training: true. Meld je een fout in de OCR en deel je het document met allow_training: true, dan mogen we dat ene document gebruiken om onze herkenning te testen en te verbeteren. Voor dat gebruik zijn wij verwerkingsverantwoordelijke, en we bewaren het maximaal 12 maanden. Jij zorgt ervoor dat je dat document mag delen. In het portaal zet je het delen voor je hele account uit; dan delen we niets, ook niet met allow_training: true.
   • Gegevens over het gebruik. Per call bewaren we metadata voor het afrekenen, de beveiliging en het meten van de dienst (zie bijlage 1). Daarin staat geen inhoud van documenten of calls.
2. We verkopen geen gegevens. We gebruiken de gegevens uit je documenten en calls niet om een eigen bestand of register op te bouwen, en we geven ze niet aan andere klanten.

5. Geheimhouding en wie erbij kan

1. Iedereen die bij ons met de gegevens werkt, is tot geheimhouding verplicht.
2. Alleen medewerkers die het voor hun werk nodig hebben, kunnen bij de gegevens. Wat ze in de backoffice doen, wordt vastgelegd.
3. Kies je voor een controle door een medewerker (processing: verified), dan bekijkt een medewerker van ons verwerkteam het document om de uitkomst te controleren.

6. Beveiliging

We nemen passende technische en organisatorische maatregelen om de gegevens te beveiligen, met oog voor de stand van de techniek, de kosten en de risico’s. Bijlage 3 beschrijft ze. We mogen ze aanpassen, zolang de beveiliging niet minder wordt.

7. Subverwerkers

1. Je geeft ons algemene toestemming om de subverwerkers in bijlage 2 in te schakelen.
2. Een nieuwe subverwerker, of een wijziging, kondigen we minstens 30 dagen van tevoren aan, per e-mail en op deze pagina. Heb je een redelijk bezwaar, laat het ons dan binnen die termijn weten. Vinden we samen geen oplossing, dan kun je de overeenkomst opzeggen voordat de wijziging ingaat, en krijg je je ongebruikte tegoed terug.
3. We leggen elke subverwerker minstens dezelfde verplichtingen op als in deze overeenkomst staan. Tegenover jou blijven we verantwoordelijk voor wat zij doen.

8. Gegevens buiten de EER

1. Documenten en hun resultaten verwerken en bewaren we in de EU, in de AWS-regio Frankfurt (eu-central-1). Voor de herkenning met AI gebruiken we Amazon Bedrock alleen via Europese inferentieprofielen, zodat ook die verwerking binnen de EU blijft.
2. Gaan gegevens toch naar een land buiten de Europese Economische Ruimte, bijvoorbeeld via het netwerk van Cloudflare, dan alleen met passende waarborgen: een adequaatheidsbesluit van de Europese Commissie, zoals het EU-VS Data Privacy Framework, of de standaardcontractbepalingen.

9. Hulp bij je verplichtingen

1. Doet een betrokkene een verzoek bij ons, bijvoorbeeld om inzage of verwijdering, dan sturen we het door naar jou en helpen we je het te beantwoorden. We reageren niet zelf, tenzij je ons dat vraagt.
2. We helpen je, voor zover dat redelijk is, met een gegevensbeschermingseffectbeoordeling (DPIA), een voorafgaande raadpleging van de toezichthouder en je andere verplichtingen uit de artikelen 32 tot en met 36 AVG.
3. Vraagt die hulp meer dan een redelijke inspanning, dan mogen we de kosten daarvan in rekening brengen, na overleg met jou.

10. Datalekken

1. Ontdekken we een inbreuk in verband met persoonsgegevens die we voor jou verwerken, dan melden we die zonder onredelijke vertraging, en uiterlijk binnen 48 uur nadat we haar ontdekten, aan het e-mailadres van de eigenaar van je account.
2. We geven je de informatie die je nodig hebt om de inbreuk zelf te melden bij de Autoriteit Persoonsgegevens en, als dat nodig is, aan de betrokkenen: wat er is gebeurd, om welke gegevens en ongeveer hoeveel betrokkenen het gaat, de waarschijnlijke gevolgen, en wat we hebben gedaan of gaan doen om ze te beperken. Wat we nog niet weten, sturen we na.
3. Jij beslist of je de inbreuk meldt bij de toezichthouder en aan de betrokkenen.

11. Bewaren en verwijderen

1. We bewaren de gegevens niet langer dan nodig:
   • documenten, met hun resultaten en de ruwe uitvoer van de herkenning: 7 dagen na de verwerking, of de termijn die je in het portaal instelt (0 tot 30 dagen). Daarna verwijdert een automatische taak ze;
   • documenten van testsleutels: 24 uur;
   • metadata per call, zonder inhoud: 13 maanden.
2. Back-ups van de database bevatten gewiste gegevens nog maximaal 14 dagen.
3. Eindigt de overeenkomst, dan verwijderen we de gegevens volgens dezelfde termijnen, tenzij de wet ons verplicht ze te bewaren. Wil je de resultaten houden, haal ze dan op via de API zolang ze er nog zijn.

12. Controle

1. Op je verzoek geven we je de informatie die je nodig hebt om aan te tonen dat we ons aan deze overeenkomst houden.
2. Je mag eens per jaar een audit laten doen door een onafhankelijke deskundige die tot geheimhouding is verplicht. Kondig die minstens 30 dagen van tevoren aan. De kosten zijn voor jou.
3. We kunnen eerst rapporten en certificeringen laten zien, bijvoorbeeld die van Amazon Web Services (zoals ISO 27001 en SOC 2), als die volstaan.

13. Aansprakelijkheid

Voor aansprakelijkheid geldt artikel 15 van de algemene voorwaarden, met inachtneming van artikel 82 AVG.

14. Looptijd

1. Deze overeenkomst loopt zolang we persoonsgegevens voor je verwerken.
2. Wat naar zijn aard daarna moet blijven gelden, zoals de geheimhouding en het verwijderen, blijft gelden.

15. Recht en geschillen

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen beslist de bevoegde rechter van de rechtbank Den Haag. Verschillen de Nederlandse en de Engelse tekst, dan geldt de Nederlandse.

Bijlage 1: de verwerking

Bijlage 2: subverwerkers

E-mail (Twilio SendGrid) en betalingen (Mollie) krijgen geen gegevens uit je documenten of calls. Die staan in de privacyverklaring.

Bronnen. Controleer je een btw-nummer, dan sturen we dat nummer naar VIES van de Europese Commissie, die het navraagt bij de belastingdienst van het land. Vraag je een Nederlands bedrijfsprofiel live op, dan sturen we het KvK-nummer naar de KvK. Dat doen we op jouw instructie; deze bronnen zijn geen subverwerkers. Belgische bedrijfsgegevens en adresformulieren komen uit onze eigen kopie; daarvoor gaat er niets naar buiten.

Bijlage 3: beveiligingsmaatregelen

• Hosting: in AWS Frankfurt. De database staat in een afgeschermd netwerk, en is niet vanaf internet bereikbaar.
• Versleuteling: al het verkeer via TLS, ook tussen Cloudflare en onze server. De database en de opslag van documenten zijn versleuteld.
• Back-ups: de database heeft een point-in-time restore van 14 dagen.
• API-sleutels: 32 willekeurige bytes, waarvan we alleen een hash bewaren. Per sleutel in te perken op operaties, IP-adressen, een einddatum en een maximum per maand, en te roteren met een overlap.
• Test en live gescheiden: testsleutels raken geen bron, en testdocumenten zijn alleen zichtbaar onder testsleutels.
• Toegang: tweestapsverificatie in het portaal. In de backoffice is die verplicht, met rollen per gebied en een auditlog.
• Logs: alleen metadata, geen inhoud van requests of responses. IP-adressen staan alleen als hash in het requestlog en het auditlog.
• Geheimen: in AWS Secrets Manager. De server werkt met een IAM-rol, zonder vaste toegangssleutels.
• Verwijderen: een automatische taak verwijdert documenten na de bewaartermijn.
• Misbruik: limieten per sleutel en per account, beveiliging tegen aanvallen via Cloudflare, en een controle op bots bij het aanmelden.
• Onderhoud: een vast proces voor beveiligingsupdates.