Verwerkersovereenkomst

Deze verwerkersovereenkomst maakt deel uit van de overeenkomst tussen de klant (het autobedrijf, hierna: "Verwerkingsverantwoordelijke") en [BEDRIJFSNAAM], [ADRES], KvK [KVK] (hierna: "Verwerker"), en wordt gesloten ter uitvoering van artikel 28 van de Algemene Verordening Gegevensbescherming (AVG).

Artikel 1: Onderwerp en rollen

1. De Verwerkingsverantwoordelijke is verantwoordelijk voor de persoonsgegevens van zijn klanten die hij via screenshots, documenten en invoervelden in de Dienst plaatst. De Verwerker verwerkt die gegevens uitsluitend in opdracht van de Verwerkingsverantwoordelijke.
2. De Verwerkingsverantwoordelijke staat ervoor in dat hij een rechtmatige grondslag heeft voor de verwerking en dat de aangeleverde gegevens niet onrechtmatig zijn.

Artikel 2: Aard, doel en gegevens

• Doel: het uitlezen en analyseren van klachten over verkochte voertuigen en het genereren van indicatieve adviezen en concept-berichten.
• Categorieën betrokkenen: klanten en contactpersonen van de Verwerkingsverantwoordelijke; medewerkers van de Verwerkingsverantwoordelijke.
• Categorieën gegevens: naam, contactgegevens, berichtinhoud, foto's, kenteken en voertuiggegevens, koop- en klachtgegevens. Bijzondere persoonsgegevens worden niet bewust verwerkt; de Verwerkingsverantwoordelijke uploadt deze niet.
• Duur: gelijk aan de looptijd van de overeenkomst.

Artikel 3: Verplichtingen van de Verwerker

1. De Verwerker verwerkt de gegevens uitsluitend op basis van schriftelijke instructies van de Verwerkingsverantwoordelijke, waaronder het gebruik van de Dienst zelf, tenzij een wettelijke verplichting anders vereist.
2. De Verwerker zorgt dat personen die toegang hebben tot de gegevens tot geheimhouding verplicht zijn.
3. De Verwerker gebruikt de gegevens niet voor eigen doeleinden en niet voor het trainen van AI-modellen.
4. De Verwerker verleent redelijke medewerking bij verzoeken van betrokkenen, gegevensbeschermingseffectbeoordelingen en vragen van de toezichthouder. Redelijke kosten hiervan mogen in rekening worden gebracht.

Artikel 4: Beveiliging

De Verwerker treft passende technische en organisatorische maatregelen, waaronder: versleuteling tijdens transport en opslag, logische scheiding per organisatie met afdwinging op databaseniveau, afgeschermde bestandsopslag met tijdelijk geldige downloadlinks, rolgebaseerd toegangsbeheer, audit-logging en regelmatige evaluatie van de maatregelen.

Artikel 5: Subverwerkers

1. De Verwerkingsverantwoordelijke geeft algemene toestemming voor het inschakelen van subverwerkers, waaronder de hostings-/database-provider en de AI-modelprovider (via een AI-gateway).
2. De Verwerker informeert de Verwerkingsverantwoordelijke vooraf over nieuwe subverwerkers. De Verwerkingsverantwoordelijke kan binnen 14 dagen gemotiveerd bezwaar maken; bij aanhoudend bezwaar kan hij de overeenkomst opzeggen.
3. De Verwerker legt subverwerkers ten minste gelijkwaardige verplichtingen op.

Artikel 6: Doorgifte

Doorgifte buiten de EER vindt alleen plaats met passende waarborgen als bedoeld in hoofdstuk V AVG.

Artikel 7: Datalekken

1. De Verwerker informeert de Verwerkingsverantwoordelijke zonder onredelijke vertraging, en waar mogelijk binnen 48 uur na ontdekking, over een inbreuk in verband met persoonsgegevens.
2. De melding bevat, voor zover bekend: de aard van de inbreuk, de betrokken categorieën en geschatte aantallen, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen.
3. De Verwerkingsverantwoordelijke beslist over melding aan de Autoriteit Persoonsgegevens en betrokkenen.

Artikel 8: Audit

De Verwerkingsverantwoordelijke kan maximaal eenmaal per jaar, op eigen kosten en na aankondiging van ten minste 30 dagen, laten controleren of de Verwerker deze overeenkomst naleeft. De Verwerker mag in plaats daarvan een recent onafhankelijk rapport of certificaat verstrekken.

Artikel 9: Bewaren en verwijderen

1. De Verwerkingsverantwoordelijke stelt in de Dienst een bewaartermijn voor screenshots in en kan claims op elk moment definitief verwijderen.
2. Na het einde van de overeenkomst verwijdert de Verwerker alle persoonsgegevens binnen 30 dagen, tenzij een wettelijke bewaarplicht anders vereist. Back-ups worden binnen de reguliere back-upcyclus overschreven. Op verzoek kan de Verwerkingsverantwoordelijke vóór het einde een export maken.

Artikel 10: Aansprakelijkheid

Op de aansprakelijkheid van de Verwerker is de aansprakelijkheidsregeling uit de algemene voorwaarden van toepassing, voor zover wettelijk toegestaan.

Artikel 11: Slotbepalingen

Bij strijdigheid gaat deze verwerkersovereenkomst voor op de algemene voorwaarden voor zover het de verwerking van persoonsgegevens betreft. Op deze overeenkomst is Nederlands recht van toepassing.