Verwerkersovereenkomst
Gesloten op grond van Art. 28 lid 3 AVG. Zij vormt een integraal onderdeel van de Algemene Voorwaarden en is automatisch van toepassing op elke klant van WorkAist Cloud.
Van kracht vanaf: 2026-07-10
Dit document wordt in meerdere talen gepubliceerd. Bij afwijkingen is de Engelse versie bindend.
1. Partijen en rollen
Deze verwerkersovereenkomst („DPA”) wordt gesloten tussen de in het WorkAist-account geïdentificeerde klant (de „Verwerkingsverantwoordelijke”) en ILIN & SADOVENKO, LDA, Rua de Xabregas, nº 2, Escritório 3.21, 1900-440 Lisboa, Portugal, NIF 517251876 (de „Verwerker”).
Met betrekking tot Klantgegevens die in WorkAist Cloud worden verwerkt, bepaalt de Verwerkingsverantwoordelijke de doeleinden en middelen van de verwerking en verwerkt de Verwerker namens de Verwerkingsverantwoordelijke. Is de Verwerkingsverantwoordelijke zelf verwerker voor een derde, dan garandeert de Verwerkingsverantwoordelijke dat hij bevoegd is deze DPA te sluiten en dat de door hem gegeven instructies overeenkomen met de instructies van die derde.
Deze DPA is niet van toepassing op WorkAist Self-Hosted, waarbij Klantgegevens de systemen van de Verwerker niet bereiken, noch op gegevens waarvoor de Verwerker zelf de verwerkingsverantwoordelijke is; deze worden geregeld door het Privacybeleid.
2. Rangorde
Wanneer deze DPA strijdig is met de Algemene Voorwaarden, prevaleert deze DPA op het gebied van gegevensbescherming. Wanneer zij strijdig is met een individueel onderhandeld orderformulier of een ondertekende verwerkersovereenkomst, prevaleert dat document.
3. Onderwerp, duur, aard en doel
Het onderwerp is de levering van WorkAist Cloud. De aard en het doel van de verwerking zijn het hosten, opslaan, verzenden en geautomatiseerd verwerken van Klantgegevens, zodat de door de Verwerkingsverantwoordelijke geconfigureerde agents, connectors en processen kunnen draaien, samen met de support-, beveiligings-, meet- en factureringsactiviteiten die nodig zijn om de Dienst te leveren.
De verwerking duurt zolang de overeenkomst van de Verwerkingsverantwoordelijke voor WorkAist Cloud van kracht is, vermeerderd met de verwijderingstermijnen in artikel 11.
4. Categorieën van betrokkenen en persoonsgegevens
De Verwerkingsverantwoordelijke bepaalt wat hij uploadt. De verwerking betreft doorgaans:
| Categorieën betrokkenen | Categorieën persoonsgegevens |
|---|---|
| Werknemers en geautoriseerde gebruikers van de Verwerkingsverantwoordelijke | Naam, zakelijk e-mailadres, functie, authenticatiegegevens, auditlogvermeldingen |
| Klanten, leads en contactpersonen van de Verwerkingsverantwoordelijke | Naam, e-mail, telefoonnummer, bedrijf, correspondentie, CRM-gegevens, elke identifier die de Verwerkingsverantwoordelijke ervoor kiest te synchroniseren |
| Leveranciers en partners van de Verwerkingsverantwoordelijke | Contactgegevens, contract- en factuurgegevens |
| Elke betrokkene die voorkomt in documenten of berichten die de Verwerkingsverantwoordelijke verwerkt | Alle persoonsgegevens in bestanden, e-mails, transcripties, afbeeldingen of berichten die de Verwerkingsverantwoordelijke naar de Dienst indient |
Bijzondere categorieën persoonsgegevens op grond van Art. 9 AVG en persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten op grond van Art. 10 AVG mogen niet in de Dienst worden verwerkt, tenzij partijen vooraf schriftelijk aanvullende waarborgen zijn overeengekomen.
Herkomst van de gegevens
Klantgegevens komen in de Dienst terecht doordat de Verwerkingsverantwoordelijke externe systemen koppelt, bestanden uploadt, of zijn agents opdracht geeft ze op te halen. Uitsluitend de Verwerkingsverantwoordelijke selecteert die bronnen en bepaalt wat wordt geïmporteerd.
De Verwerkingsverantwoordelijke garandeert dat hij beschikt over een rechtmatige grondslag op grond van Art. 6 AVG — en, indien van toepassing, Art. 9 AVG — voor het verzamelen van die persoonsgegevens en voor de doorgifte ervan aan de Verwerker, en dat elke in het bronsysteem vereiste informatiekennisgeving of toestemming aanwezig is. De Verwerker heeft geen toegang tot de bronsystemen van de Verwerkingsverantwoordelijke, selecteert deze niet, en controleert niet en kan niet controleren of zij voldoen aan de gegevensbeschermingswetgeving. Dit vaststellen is de verplichting van de Verwerkingsverantwoordelijke als verwerkingsverantwoordelijke.
5. Verwerking op basis van gedocumenteerde instructies
De Verwerker verwerkt Klantgegevens uitsluitend op basis van de gedocumenteerde instructies van de Verwerkingsverantwoordelijke, met inbegrip van doorgiften aan derde landen, tenzij hij daartoe verplicht is op grond van het Unierecht of het recht van een lidstaat waaraan de Verwerker onderworpen is. In dat geval stelt de Verwerker de Verwerkingsverantwoordelijke vóór de verwerking in kennis van die wettelijke verplichting, tenzij het betrokken recht deze kennisgeving verbiedt om gewichtige redenen van algemeen belang.
De Algemene Voorwaarden, deze DPA, en de configuratie en het gebruik van de Dienst door de Verwerkingsverantwoordelijke vormen diens volledige gedocumenteerde instructies. Elke aanvullende instructie moet schriftelijk worden gegeven en kan, indien zij inspanningen vergt die verder gaan dan de standaardfunctionaliteit van de Dienst, onderworpen zijn aan een vooraf overeengekomen redelijke vergoeding.
De Verwerker informeert de Verwerkingsverantwoordelijke zonder onnodige vertraging indien hij van mening is dat een instructie in strijd is met de AVG of andere gegevensbeschermingswetgeving van de Unie of de lidstaten.
6. Vertrouwelijkheid
De Verwerker zorgt ervoor dat personen die bevoegd zijn Klantgegevens te verwerken zich hebben verbonden tot vertrouwelijkheid of onderworpen zijn aan een passende wettelijke geheimhoudingsplicht, en dat de toegang beperkt is tot degenen die deze nodig hebben voor de uitvoering van de overeenkomst.
7. Beveiliging van de verwerking
Rekening houdend met de stand van de techniek, de uitvoeringskosten, alsook met de aard, omvang, context en de doeleinden van de verwerking, en de risico's voor de rechten en vrijheden van natuurlijke personen, treft de Verwerker de volgende technische en organisatorische maatregelen op grond van Art. 32 AVG.
Bijlage II — Technische en organisatorische maatregelen
| Maatregel | Uitvoering |
|---|---|
| Versleuteling tijdens verzending | Al het verkeer van en naar de Dienst verloopt via TLS met automatisch vernieuwde certificaten. Intern verkeer tussen diensten verlaat het hostnetwerk niet. |
| Versleuteling van geheimen | Inloggegevens van klanten en connector-geheimen worden in rust versleuteld met AES-256-GCM onder een sleutel die buiten de applicatiedatabase wordt bewaard. |
| Pseudonimisering | Telemetrie- en meetgegevens verwijzen naar tenants en agents aan de hand van een identifier in plaats van een naam of e-mailadres, wanneer de identifier toereikend is. |
| Vertrouwelijkheid — toegangscontrole | Rolgebaseerde toegangscontrole per werkruimte. Elke agent is beperkt tot zijn eigen opslagprefix en zijn eigen databaseschema; toegang over tenants heen wordt al op gegevensniveau geweigerd, niet alleen in de gebruikersinterface. |
| Vertrouwelijkheid — personeel | Administratieve toegang volgens het minimale-noodzaak-beginsel, individueel toegekend en herzien bij functiewijziging. Alle administratieve handelingen worden vastgelegd in een alleen-toevoegen-auditlog. |
| Integriteit | Invoervalidatie en geparametriseerde query's overal. Elke mutatie via de operations-API legt een auditlogregel vast die de handelende partij identificeert. |
| Beschikbaarheid en veerkracht | Beheerde hosting in een datacenter van Tier III-klasse in Duitsland. Geautomatiseerde dagelijkse back-ups van de database, versleuteld en gescheiden van productie bewaard. |
| Herstel | Gedocumenteerde herstelprocedure vanaf de meest recente back-up; herstel wordt geoefend als onderdeel van infrastructuurwijzigingen. |
| Testen en evaluatie | Scannen op kwetsbaarheden in afhankelijkheden binnen continuous integration, codebeoordeling vóór het samenvoegen, en periodieke beoordeling van deze maatregelen ten minste jaarlijks en bij wezenlijke wijzigingen van de Dienst. |
| Gegevensminimalisatie door ontwerp | Connectors synchroniseren uitsluitend de velden die de Verwerkingsverantwoordelijke inschakelt. De Verwerkingsverantwoordelijke kan elke gesynchroniseerde tabel op elk moment verwijderen. |
De Verwerker kan deze maatregelen bijwerken naarmate de techniek zich ontwikkelt, mits het beschermingsniveau niet wordt verlaagd. De huidige versie is altijd de versie die op deze pagina wordt gepubliceerd.
8. Subverwerkers
De Verwerkingsverantwoordelijke verleent de Verwerker een algemene schriftelijke toestemming om subverwerkers in te schakelen. De Verwerker legt elke subverwerker bij overeenkomst gegevensbeschermingsverplichtingen op die niet minder beschermend zijn dan die in deze DPA, en blijft volledig aansprakelijk jegens de Verwerkingsverantwoordelijke voor de prestaties van de subverwerker.
Bijlage III — Geautoriseerde subverwerkers
De volgende subverwerkers worden voor elke klant van WorkAist Cloud ingeschakeld, omdat zij deel uitmaken van de infrastructuur waarop de Dienst draait.
| Subverwerker | Doel | Locatie | Doorgiftewaarborg |
|---|---|---|---|
| Hetzner Online GmbH | Hosting van applicatieservers, database en back-ups | Duitsland (EU) | Niet van toepassing |
| Cloudflare, Inc. | DNS, reverse proxy, TLS-terminatie, DDoS-bescherming | Wereldwijd edge-netwerk, met inbegrip van de EU | SCC's; EU-VS Data Privacy Framework |
| Stripe Payments Europe, Ltd. | Betalings- en abonnementsverwerking | Ierland (EU) | SCC's voor verdere doorgiften binnen de groep; EU-VS Data Privacy Framework |
| Resend, Inc. | Bezorging van transactionele e-mail | Verenigde Staten | SCC's |
Modelaanbieders
Aanbieders van grote taalmodellen worden anders behandeld, omdat de Verwerkingsverantwoordelijke hen zelf kiest.
- Verstrekt de Verwerkingsverantwoordelijke zijn eigen aanbieder-inloggegevens, dan wordt die aanbieder ingeschakeld door de Verwerkingsverantwoordelijke, op diens instructies en op grond van diens eigen overeenkomst met de aanbieder. Hij is geen subverwerker van de Verwerker. De Verwerker verzendt het verzoek uitsluitend met gebruikmaking van de verstrekte inloggegevens en geeft geen garantie omtrent de beveiliging, de plaats van verwerking, de trainingspraktijken of de naleving door die aanbieder.
- Gebruikt de Verwerkingsverantwoordelijke de beheerde tokenfacturering van de Verwerker, dan selecteert de Verwerker de aanbieder en is deze een subverwerker van de Verwerker. De aanbieder die momenteel in die hoedanigheid wordt ingeschakeld is Anthropic PBC (Verenigde Staten), voor large-language-model-inferentie, op grond van standaardcontractbepalingen en contractueel verboden te trainen op de gegevens die hem worden toegezonden.
De Verwerkingsverantwoordelijke kan te allen tijde binnen de Dienst inzien welke modelaanbieder elk van zijn agents gebruikt, en deze wijzigen.
Wijzigingen van subverwerkers
De Verwerker informeert de Verwerkingsverantwoordelijke ten minste 30 dagen van tevoren per e-mail voordat een subverwerker wordt toegevoegd of vervangen. De Verwerkingsverantwoordelijke kan binnen die 30 dagen bezwaar maken op redelijke, met gegevensbescherming verband houdende gronden. Kunnen partijen het bezwaar niet oplossen, dan kan de Verwerkingsverantwoordelijke het betrokken deel van de Dienst zonder boete beëindigen en een pro-rata terugbetaling ontvangen van vooruitbetaalde kosten.
9. Bijstand bij de rechten van betrokkenen
Rekening houdend met de aard van de verwerking, verleent de Verwerker de Verwerkingsverantwoordelijke bijstand door middel van passende technische en organisatorische maatregelen, voor zover mogelijk, bij het nakomen van diens verplichting om te reageren op verzoeken tot uitoefening van de rechten van de betrokkene op grond van Hoofdstuk III AVG.
De Dienst geeft de Verwerkingsverantwoordelijke rechtstreekse toegang tot Klantgegevens, zodat hij persoonsgegevens zelf kan lokaliseren, exporteren, corrigeren en verwijderen. Vereist een verzoek desalniettemin de betrokkenheid van de Verwerker, dan reageert deze zonder onnodige vertraging en in elk geval binnen 10 werkdagen. Neemt een betrokkene rechtstreeks contact op met de Verwerker over Klantgegevens, dan reageert de Verwerker niet inhoudelijk; hij stuurt het verzoek zonder onnodige vertraging door naar de Verwerkingsverantwoordelijke.
10. Bijstand bij Art. 32 tot en met 36
De Verwerker verleent de Verwerkingsverantwoordelijke bijstand bij het waarborgen van de naleving van de verplichtingen in Art. 32 tot en met 36 AVG, rekening houdend met de aard van de verwerking en de informatie waarover de Verwerker beschikt — met name met betrekking tot de beveiliging van de verwerking, de melding van inbreuken in verband met persoonsgegevens, de communicatie aan betrokkenen, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging.
Inbreuk in verband met persoonsgegevens
De Verwerker stelt de Verwerkingsverantwoordelijke zonder onnodige vertraging, en in elk geval binnen 48 uur, in kennis nadat hij kennis heeft gekregen van een inbreuk in verband met persoonsgegevens die Klantgegevens betreft. De kennisgeving beschrijft de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen, en een contactpunt. Zijn niet alle gegevens tegelijk beschikbaar, dan worden zij gefaseerd verstrekt zonder verdere onnodige vertraging. De Verwerker stelt geen toezichthoudende autoriteit of betrokkenen namens de Verwerkingsverantwoordelijke in kennis, tenzij hem dat wordt opgedragen.
11. Verwijdering en teruggave van Klantgegevens
Naar keuze van de Verwerkingsverantwoordelijke verwijdert of retourneert de Verwerker alle Klantgegevens na afloop van de dienstverlening met betrekking tot de verwerking, en verwijdert hij bestaande kopieën, tenzij het Unierecht of het recht van een lidstaat opslag van de persoonsgegevens voorschrijft.
- Gedurende 30 dagen na het einde van de overeenkomst kan de Verwerkingsverantwoordelijke Klantgegevens uit de Dienst exporteren, of teruggave ervan verzoeken in een gestructureerd, gangbaar en machineleesbaar formaat.
- De Verwerker verwijdert Klantgegevens binnen 30 dagen na sluiting van dat exportvenster uit productiesystemen.
- Versleutelde back-ups met Klantgegevens worden overschreven volgens hun normale rotatie en in elk geval binnen 90 dagen na verwijdering uit productiesystemen.
- Op schriftelijk verzoek bevestigt de Verwerker de verwijdering schriftelijk.
12. Audits en informatie
De Verwerker stelt de Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om aan te tonen dat aan artikel 28 AVG wordt voldaan, en maakt audits, met inbegrip van inspecties, uitgevoerd door de Verwerkingsverantwoordelijke of een andere door de Verwerkingsverantwoordelijke gemachtigde auditor, mogelijk en draagt daaraan bij.
In de praktijk verstrekt de Verwerker eerst zijn actuele documentatie van technische en organisatorische maatregelen, zijn lijst van subverwerkers, en schriftelijke antwoorden op een beveiligingsvragenlijst. Is dit onvoldoende om naleving aan te tonen, dan kan de Verwerkingsverantwoordelijke met 30 dagen schriftelijke kennisgeving een audit ter plaatse of op afstand uitvoeren, niet vaker dan eenmaal per kalenderjaar, tenzij zich een inbreuk in verband met persoonsgegevens heeft voorgedaan of een toezichthoudende autoriteit dit vereist. Audits vinden plaats tijdens kantooruren, mogen de bedrijfsvoering van de Verwerker niet onredelijk verstoren, en zijn onderworpen aan geheimhouding. De Verwerkingsverantwoordelijke draagt zijn eigen auditkosten; de Verwerker draagt de zijne, tenzij het audit een wezenlijke schending van deze DPA aan het licht brengt.
13. Internationale doorgiften
De Verwerker slaat Klantgegevens in rust op in Duitsland. Doorgiften aan subverwerkers buiten de Europese Economische Ruimte, zoals vermeld in Bijlage III, vinden plaats op grond van de standaardcontractbepalingen van de Europese Commissie (Uitvoeringsbesluit (EU) 2021/914), Module Drie, waarbij de Verwerker optreedt als verwerker die een subverwerker inschakelt, waar passend aangevuld met bijkomende waarborgen, en — wanneer de ontvanger gecertificeerd is — op grond van het adequaatheidsbesluit voor het EU-VS Data Privacy Framework.
Door het sluiten van deze DPA machtigt de Verwerkingsverantwoordelijke de Verwerker om deze standaardcontractbepalingen namens en ten behoeve van de Verwerkingsverantwoordelijke met elke subverwerker aan te gaan.
14. Aansprakelijkheid
De aansprakelijkheid onder deze DPA wordt beheerst door de aansprakelijkheidsbeperking in de Algemene Voorwaarden, met dien verstande dat niets de aansprakelijkheid van een van beide partijen jegens een betrokkene op grond van Art. 82 AVG of jegens een toezichthoudende autoriteit beperkt.
15. Looptijd, toepasselijk recht en contact
Deze DPA wordt van kracht zodra de overeenkomst van de Verwerkingsverantwoordelijke voor WorkAist Cloud aanvangt en blijft van kracht zolang de Verwerker Klantgegevens verwerkt. Zij wordt beheerst door het recht van Portugal, en de rechtbanken van Lissabon hebben exclusieve bevoegdheid, onverminderd Art. 79 AVG.
Contact voor alle aangelegenheden onder deze DPA: [email protected].