Verwerkersovereenkomst

Deze verwerkersovereenkomst (de "Verwerkersovereenkomst") is gesloten tussen de klant die in het Orderformulier staat (de "Verwerkingsverantwoordelijke") en Traece B.V., gevestigd aan Vrije Heerlijkheid 39, 1566 MH Assendelft, Nederland, ingeschreven in het Handelsregister onder nummer 98464604, handelend onder de naam Grasp (de "Verwerker"). Zij maakt deel uit van de overeenkomst tussen partijen (de "Overeenkomst"). Voor de verwerking van persoonsgegevens gaat deze Verwerkersovereenkomst voor op de rest van de Overeenkomst.

1. Definities

Begrippen die in de AVG zijn gedefinieerd, hebben die betekenis.

• "AVG": Verordening (EU) 2016/679 en, waar die van toepassing is, de UK GDPR.
• "Diensten": de Audit, Herbouwprojecten en het platform Grasp Work, zoals gedefinieerd in de algemene voorwaarden.
• "Persoonsgegevens van de Klant": persoonsgegevens die de Verwerker voor de Verwerkingsverantwoordelijke verwerkt, beschreven in Bijlage I.
• "Subverwerker": een derde die de Verwerker inschakelt om Persoonsgegevens van de Klant te verwerken.
• "SCC's": de standaardcontractbepalingen uit Uitvoeringsbesluit (EU) 2021/914 van de Commissie.

2. Rollen en reikwijdte

2.1 De Verwerkingsverantwoordelijke is verwerkingsverantwoordelijke voor de Persoonsgegevens van de Klant; de Verwerker is zijn verwerker. Bijlage I beschrijft de verwerking.

2.2 De Verwerker is alleen zelf verwerkingsverantwoordelijke voor de gegevens die hij voor de eigen administratie nodig heeft (contactgegevens van vertegenwoordigers van de Verwerkingsverantwoordelijke, facturatie, beveiligingslogs van de eigen systemen), beschreven in zijn privacyverklaring.

3. Instructies

3.1 De Verwerker verwerkt Persoonsgegevens van de Klant alleen op gedocumenteerde instructies van de Verwerkingsverantwoordelijke, tenzij het recht van de EU of een lidstaat iets anders eist; dan informeert hij de Verwerkingsverantwoordelijke vooraf, tenzij dat recht dit verbiedt.

3.2 De Overeenkomst, deze Verwerkersovereenkomst en de manier waarop de Verwerkingsverantwoordelijke de Diensten inricht (welke applicaties hij koppelt, welke rechten hij geeft, welke stappen van een Workflow AI mag uitvoeren, welke personen moeten goedkeuren) zijn de instructies van de Verwerkingsverantwoordelijke.

3.3 De Verwerker meldt het de Verwerkingsverantwoordelijke als hij vindt dat een instructie in strijd is met het gegevensbeschermingsrecht.

4. Geheimhouding

Iedereen die van de Verwerker Persoonsgegevens van de Klant mag verwerken, is aan geheimhouding gebonden en heeft een training in gegevensbescherming gevolgd.

5. Beveiliging

5.1 De Verwerker houdt de maatregelen uit Bijlage II in stand.

5.2 De Verwerker mag Bijlage II aanpassen, zolang het beveiligingsniveau niet daalt.

5.3 Toegang door medewerkers van de Verwerker. Medewerkers van de Verwerker hebben alleen toegang tot Persoonsgegevens van de Klant waar dat nodig is om de Diensten te leveren (waaronder het lezen van een steekproef van interviews om de kwaliteit te controleren) of om support te geven. Die toegang wordt vastgelegd.

6. Interviews

6.1 Bij de Diensten horen interviews met medewerkers van de Verwerkingsverantwoordelijke door de AI-interviewer van de Verwerker ("Stephen"), gesproken of via chat.

6.2 Audio. Spraak gaat naar de Subverwerker voor spraak om er tekst van te maken. De Verwerker bewaart de audio niet; hij bewaart de tekst die eruit komt.

6.3 Wat mensen zeggen. Het interview gaat over werk en processen. Stephen heeft de instructie om klachten over een persoon niet vast te leggen en om, als iemand stress, een conflict of een ander gevoelig onderwerp noemt, aan te bieden dat deel over te slaan en er niets over op te schrijven. Een deelnemer kan zijn eigen interview verwijderen. Gevoelige informatie die toch is vastgelegd, verwijdert de Verwerker als de persoon zelf of de Verwerkingsverantwoordelijke daarom vraagt.

6.4 Transparantie. In de uitnodiging voor een interview staat dat Stephen een AI is, wat het doel is en wat er met de antwoorden gebeurt. De Verwerkingsverantwoordelijke blijft verantwoordelijk voor het informeren van zijn medewerkers en voor het betrekken van zijn ondernemingsraad waar dat verplicht is.

6.5 Processen, geen mensen. De Verwerkingsverantwoordelijke ziet het gecombineerde beeld en cijfers per team; hij ziet niet wat een individu heeft gezegd of wie niet heeft meegedaan. Medewerkers van de Verwerker lezen een steekproef van interviews om de kwaliteit te controleren. De Diensten zijn niet bedoeld om de prestaties van individuen te beoordelen.

7. Subverwerkers

7.1 De Verwerkingsverantwoordelijke geeft algemene toestemming voor de Subverwerkers in Bijlage III.

7.2 De Verwerker kondigt een nieuwe of vervangende Subverwerker minstens dertig (30) dagen vooraf schriftelijk aan.

7.3 De Verwerkingsverantwoordelijke mag binnen dertig (30) dagen bezwaar maken op redelijke gronden van gegevensbescherming. Vinden partijen binnen nog eens dertig (30) dagen geen oplossing, dan mag de Verwerkingsverantwoordelijke de betreffende Diensten beëindigen en krijgt hij de vooruitbetaalde vergoedingen voor de resterende looptijd terug.

7.4 De Verwerker bindt elke Subverwerker met een schriftelijk contract aan verplichtingen die gelijkwaardig zijn aan deze Verwerkersovereenkomst, en blijft aansprakelijk voor wat de Subverwerker doet.

7.5 Diensten onder beheer van de klant. Applicaties die de Verwerkingsverantwoordelijke koppelt, en aanbieders van AI-modellen die hij met een eigen account of sleutel gebruikt, zijn geen Subverwerkers (Bijlage III, deel 2).

8. Rechten van betrokkenen

8.1 De Verwerker helpt de Verwerkingsverantwoordelijke verzoeken van betrokkenen te beantwoorden, met de export- en verwijderfuncties van de Diensten en, waar die niet volstaan, handmatig binnen een redelijke termijn.

8.2 Een verzoek dat de Verwerker rechtstreeks ontvangt, stuurt hij zonder vertraging door naar de Verwerkingsverantwoordelijke. Hij beantwoordt het niet zelf, tenzij de wet dat eist.

9. Inbreuken in verband met persoonsgegevens

9.1 De Verwerker meldt een inbreuk op Persoonsgegevens van de Klant zonder onredelijke vertraging aan de Verwerkingsverantwoordelijke, en binnen achtenveertig (48) uur nadat hij ervan weet.

9.2 In de melding staat, voor zover bekend: de aard van de inbreuk, de categorieën en het geschatte aantal personen en records, de waarschijnlijke gevolgen, de genomen maatregelen en een contactpunt. Wat nog ontbreekt, volgt zodra het bekend is.

9.3 De Verwerker neemt redelijke stappen om de inbreuk in te dammen en helpt de Verwerkingsverantwoordelijke zijn eigen meldplichten na te komen.

10. Effectbeoordelingen

De Verwerker geeft de Verwerkingsverantwoordelijke de informatie die hij nodig heeft voor een gegevensbeschermingseffectbeoordeling en voor een voorafgaande raadpleging van een toezichthouder, waaronder een beschrijving van de verwerking in interviews en van de gebruikte AI-modellen.

11. Internationale doorgifte

11.1 Persoonsgegevens van de Klant worden voornamelijk in de Europese Unie opgeslagen, bij de Subverwerker voor hosting uit Bijlage III.

11.2 De volgende Subverwerkers verwerken gegevens buiten de EU: zie Bijlage III voor elke aanbieder, de gegevens die hij ontvangt en de locatie.

11.3 Voor doorgifte naar een land zonder adequaatheidsbesluit steunen partijen op het EU-VS-kader voor gegevensbescherming (Data Privacy Framework) als de Subverwerker gecertificeerd is, en anders op de SCC's, Module Drie (verwerker naar verwerker) tussen de Verwerker en de Subverwerker. Is de Verwerkingsverantwoordelijke zelf buiten de EER gevestigd, dan geldt Module Vier tussen partijen.

11.4 De Verwerker heeft elke doorgifte beoordeeld en past aanvullende maatregelen toe (versleuteling tijdens verzending en in opslag, toegangscontrole, en geen bewaring door de aanbieder waar die dat aanbiedt).

11.5 Voor doorgifte vanuit het Verenigd Koninkrijk geldt het UK International Data Transfer Addendum.

12. Audit

12.1 Op verzoek verstrekt de Verwerker zijn beveiligingsdocumentatie, beantwoordt hij één keer per jaar een redelijke beveiligingsvragenlijst en deelt hij de auditrapporten en certificaten die hij heeft.

12.2 Volstaat dat niet voor een specifieke zorg, dan mag de Verwerkingsverantwoordelijke zelf of via een onafhankelijke auditor die aan geheimhouding is gebonden een audit laten uitvoeren: met minstens dertig (30) dagen aankondiging, tijdens kantooruren, één keer per jaar en op eigen kosten.

12.3 De beperkingen uit 12.2 gelden niet als een toezichthouder een audit eist, of na een inbreuk die de gegevens van de Verwerkingsverantwoordelijke wezenlijk raakt.

13. Teruggave en verwijdering

13.1 De Verwerkingsverantwoordelijke kan Persoonsgegevens van de Klant exporteren tijdens de looptijd en tot dertig (30) dagen na het einde van de Overeenkomst.

13.2 Na die periode verwijdert de Verwerker de Persoonsgegevens van de Klant binnen dertig (30) dagen, en bevestigt hij dat op verzoek schriftelijk.

13.3 Uitzonderingen:

• back-ups, die binnen negentig (90) dagen worden overschreven;
• het overzicht van handelingen, modelaanroepen en toegang (het auditlog), dat zeven (7) jaar na het einde van de Overeenkomst wordt bewaard om geschillen te kunnen beantwoorden en aan wettelijke plichten te voldoen, en daarna wordt verwijderd;
• facturen en betaalgegevens, die zeven (7) jaar worden bewaard op grond van de Nederlandse belastingwet;
• gegevens die de Verwerker wettelijk moet bewaren.

14. Afspraken over AI

14.1 De Verwerker gebruikt Persoonsgegevens van de Klant niet om een AI-model te trainen, te finetunen of te evalueren.

14.2 De Verwerker schakelt Subverwerkers voor AI in onder voorwaarden die het gebruik van invoer en uitvoer voor training uitsluiten.

14.3 Menselijk toezicht. Workflows voeren handelingen uit in de applicaties van de Verwerkingsverantwoordelijke, binnen de rechten die hij heeft gegeven. De Verwerkingsverantwoordelijke bepaalt welke stappen de goedkeuring van een persoon nodig hebben. De Diensten nemen zonder een persoon geen besluiten die rechtsgevolgen voor personen hebben of hen op vergelijkbare wijze aanmerkelijk treffen.

14.4 Vastlegging. De Diensten leggen elke modelaanroep en elke handeling van een Workflow vast, zodat de Verwerkingsverantwoordelijke ze kan nalopen.

14.5 De Verwerker voldoet aan de verplichtingen uit de AI-verordening (Verordening (EU) 2024/1689) die voor hem gelden, waaronder duidelijk maken dat mensen met een AI-systeem te maken hebben.

15. Aansprakelijkheid

De aansprakelijkheidsbepalingen uit de Overeenkomst gelden voor deze Verwerkersovereenkomst. Niets beperkt de aansprakelijkheid van een partij tegenover betrokkenen op grond van artikel 82 AVG.

16. Overige bepalingen

16.1 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing; de rechter in Amsterdam is bij uitsluiting bevoegd, behalve waar de SCC's iets anders bepalen.

16.2 Rangorde: eerst de SCC's, dan deze Verwerkersovereenkomst, dan de Overeenkomst.

16.3 De Verwerker mag deze Verwerkersovereenkomst aanpassen aan wijzigingen in de wet of in richtlijnen van toezichthouders, zolang de bescherming van de Verwerkingsverantwoordelijke niet daalt.

Bijlage I: Beschrijving van de verwerking

Partijen. Verwerkingsverantwoordelijke: de klant uit het Orderformulier. Verwerker: Traece B.V., Vrije Heerlijkheid 39, 1566 MH Assendelft, Nederland, KvK 98464604, info@joingrasp.com.

Bevoegde toezichthouder. Autoriteit Persoonsgegevens, Postbus 93374, 2509 AJ Den Haag, Nederland.

Bijlage II: Technische en organisatorische maatregelen

1. Versleuteling. Tijdens verzending met TLS 1.2 of hoger; in opslag door de versleuteling van de hostingaanbieder; inloggegevens voor gekoppelde applicaties apart versleuteld.
2. Scheiding. De gegevens van elke klant staan in een eigen opslag en zijn niet toegankelijk voor andere klanten.
3. Toegang. Toegang op basis van rollen binnen de Diensten. Medewerkers van de Verwerker loggen in met meerfactorauthenticatie, krijgen de minste toegang die hun werk vraagt, en hun toegang tot productie wordt vastgelegd en gecontroleerd.
4. AI-gateway. Elke modelaanroep loopt via één gecontroleerde route, waar de regels van de Verwerkingsverantwoordelijke voor modellen en gegevens gelden en de aanroep wordt vastgelegd.
5. Logging en incidenten. Beveiligingsgebeurtenissen worden gelogd; er is een vastgelegde incidentprocedure met benoemde rollen.
6. Ontwikkeling. Codereview op wijzigingen, controle van afhankelijkheden, gescheiden ontwikkel- en productieomgevingen, geen klantgegevens in ontwikkeling.
7. Continuïteit. Back-ups door de hostingaanbieder; vastgelegde herstelstappen.
8. Mensen. Geheimhouding in contracten, beveiligingstraining, een procedure voor vertrek.
9. Leveranciers. Een beoordeling van elke Subverwerker voor gebruik, en afspraken over gegevensbescherming in elk contract.
10. Certificering. ISO/IEC 27001: in voorbereiding.

Bijlage III: Subverwerkers en diensten onder beheer van de klant

1. Subverwerkers

2. Diensten onder beheer van de klant (geen Subverwerkers)

• Gekoppelde applicaties. De applicaties die de Verwerkingsverantwoordelijke koppelt (bijvoorbeeld Microsoft 365, Google Workspace, zijn CRM of boekhoudsysteem). De Verwerkingsverantwoordelijke heeft met elke leverancier een eigen overeenkomst.
• Eigen AI-aanbieders van de Verwerkingsverantwoordelijke. Gebruikt de Verwerkingsverantwoordelijke een modelaanbieder met een eigen account of sleutel (bijvoorbeeld OpenAI, Google, Mistral of OpenRouter), dan verwerkt die aanbieder de gegevens op grond van de overeenkomst van de Verwerkingsverantwoordelijke met hem.