Verwerkersovereenkomst

A1. Definities

"Verwerker": AI Agent B.V. (KvK 99763842), Beethovenstraat 669, 1083 HK Amsterdam. "Verwerkingsverantwoordelijke": de Klant die gebruikmaakt van de Diensten. "Persoonsgegevens": alle gegevens die de Verwerkingsverantwoordelijke via de Diensten verwerkt en die betrekking hebben op een geidentificeerde of identificeerbare natuurlijke persoon. "Sub-verwerker": een derde partij die door de Verwerker wordt ingeschakeld voor de verwerking van Persoonsgegevens.

A2. Onderwerp en duur

De Verwerker verwerkt uitsluitend Persoonsgegevens in opdracht van de Verwerkingsverantwoordelijke in het kader van het implementeren en ondersteunen van de AI-agent deployment van de Klant. De verwerking duurt zolang de overeenkomst tussen partijen loopt. Na beeindiging worden alle Persoonsgegevens op systemen van de Verwerker binnen 30 dagen automatisch verwijderd (tenzij wettelijke bewaarplicht langer bewaren vereist). Gedurende de looptijd kan de Verwerkingsverantwoordelijke op elk moment verzoeken om verwijdering of retournering; dit gebeurt binnen 14 dagen na het verzoek (zie A5).

A3. Aard en doel

De verwerking door AI Agent omvat primair projectcommunicatie, contact- en facturatiegegevens van de Verwerkingsverantwoordelijke, en leads/formulier-data afkomstig van onze eigen website (zie A4.1). Incidenteel en uitsluitend functioneel kan AI Agent tijdelijk toegang hebben tot persoonsgegevens van eindgebruikers op de infrastructuur van de Verwerkingsverantwoordelijke (zie A4.2), enkel voorzover noodzakelijk voor het leveren van de overeengekomen Diensten (implementatie, configuratie en ondersteuning).

A4. Soorten persoonsgegevens

Deze Verwerkersovereenkomst ziet op twee categorieen persoonsgegevens:

A4.1 Gegevens die AI Agent rechtstreeks verwerkt in eigen systemen (zie A6 voor sub-verwerkers):

• Naam, functie en contactgegevens van vertegenwoordigers en contactpersonen van de Verwerkingsverantwoordelijke
• Factuur- en facturatiegegevens (bedrijfsnaam, adres, KvK- en BTW-nummer)
• Leads, contactberichten en resultaten van self-assessments of online tools op onze eigen website
• Communicatie en projectdocumentatie gedurende implementatie en doorlopende ondersteuning

A4.2 Gegevens van eindgebruikers van de AI-agent van de Verwerkingsverantwoordelijke:

Eindgebruiker-persoonsgegevens (chatberichten, gespreksgeschiedenis, telefoonnummers, e-mailadressen via kanalen zoals WhatsApp, Telegram, Slack) draaien op de infrastructuur van de Verwerkingsverantwoordelijke en worden niet structureel door AI Agent verwerkt. AI Agent heeft hooguit tijdelijk en functioneel toegang tot deze gegevens tijdens actieve implementatie of specifieke ondersteuning, uitsluitend voorzover noodzakelijk voor het leveren van de overeengekomen Diensten.

A5. Verplichtingen van de Verwerker

• Persoonsgegevens uitsluitend verwerken op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke
• Ervoor zorgen dat bevoegde personen gebonden zijn aan geheimhouding
• Passende technische en organisatorische maatregelen nemen om de gegevens te beveiligen (encryptie in rust en transit, toegangscontroles, automatische TLS, SSH-sleutelauthenticatie)
• De Verwerkingsverantwoordelijke bijstaan bij verzoeken van betrokkenen (inzage, correctie, verwijdering)
• Op specifiek verzoek van de Verwerkingsverantwoordelijke tijdens de looptijd van de overeenkomst Persoonsgegevens verwijderen of retourneren binnen 14 dagen; bij beeindiging van de overeenkomst geldt de automatische verwijderingstermijn van 30 dagen (zie A2)
• De Verwerkingsverantwoordelijke zonder onredelijke vertraging na ontdekking informeren bij een datalek, en in ieder geval tijdig genoeg om de Verwerkingsverantwoordelijke in staat te stellen te voldoen aan haar eigen 72-uurs meldplicht onder AVG Art. 33

A6. Sub-verwerkers

De Verwerker maakt gebruik van de volgende sub-verwerkers:

• Hetzner Online GmbH (Falkenstein, Duitsland) - Server-hosting voor interne CRM en bedrijfsadministratie (contactgegevens, project- en facturatiegegevens)
• Supabase Inc. (Frankfurt, Duitsland) - Database voor leads, contactverzoeken en (indien van toepassing) resultaten van self-assessments of online tools op onze eigen website
• Resend (VS, AVG-conform via Standard Contractual Clauses) - Verzenden van transactionele e-mail (bijvoorbeeld contactformulier, certificaten)
• Vercel (VS, AVG-conform via Standard Contractual Clauses) - Website-hosting en anonieme analytics
• Calendly (VS, AVG-conform via Standard Contractual Clauses) - Afspraakplanning op pagina's met Calendly-widget

De Verwerker informeert de Verwerkingsverantwoordelijke vooraf over wijzigingen in sub-verwerkers. De Verwerkingsverantwoordelijke heeft het recht binnen 14 dagen bezwaar te maken.

A7. Datalocatie

Data van eindgebruikers van de AI-agent (zie A4.2) staat op de infrastructuur van de Verwerkingsverantwoordelijke; deze bepaalt en beveiligt de locatie van deze data zelf. Persoonsgegevens die AI Agent in eigen systemen verwerkt (zie A4.1) worden opgeslagen binnen de Europese Unie: interne CRM en bedrijfsadministratie bij Hetzner (Falkenstein, Duitsland), leads en website-formulieren bij Supabase (Frankfurt, Duitsland). Voor sub-verwerkers buiten de EU (Resend, Vercel) gelden Standard Contractual Clauses als AVG-conform doorgifte-mechanisme.

A8. Audit

De Verwerkingsverantwoordelijke heeft het recht om naleving van deze Verwerkersovereenkomst te laten controleren, op eigen kosten en met redelijke vooraankondiging. De Verwerker werkt hieraan mee en verstrekt alle benodigde informatie.