Verwerkersovereenkomst

1. Toepassing en definities

Deze Data Processing Addendum maakt deel uit van de overeenkomst tussen de Klant en de provider die in de Wettelijke kennisgeving is geïdentificeerd, wanneer wij persoonsgegevens verwerken namens de Klant in verband met LogisticsAI. AVG-termen zoals verwerkingsverantwoordelijke, verwerker, persoonsgegevens, verwerking en inbreuk in verband met persoonsgegevens hebben de betekenis die zij in de AVG hebben. Customer Personal Data betekent persoonsgegevens in Customer Data die wij als verwerker verwerken.

2. Rollen en gedocumenteerde instructies

De Klant is verwerkingsverantwoordelijke en wij zijn verwerker voor Customer Personal Data. Elke partij blijft verantwoordelijk voor haar eigen activiteiten als verwerkingsverantwoordelijke. Wij verwerken Customer Personal Data alleen op gedocumenteerde instructies in de overeenkomst, productconfiguratie en geautoriseerde supportverzoeken, waaronder doorgiften die nodig zijn om de dienst te leveren, tenzij EU- of lidstaatwetgeving anders vereist. Indien wettelijk toegestaan, zullen wij de Klant vooraf informeren over vereiste verwerking.

Wij zullen de Klant onverwijld informeren indien naar onze mening een instructie in strijd is met toepasselijke gegevensbeschermingswetgeving en kunnen de betrokken verwerking opschorten totdat de instructie is verduidelijkt of rechtmatig is aangepast.

3. Verplichtingen van de Klant

De Klant is verantwoordelijk voor de rechtmatigheid, billijkheid en transparantie van verzameling en instructies; de juistheid en minimalisatie van Customer Personal Data; het reageren op betrokkenen; en het configureren van toegang en bewaring. De Klant zal geen gegevens van bijzondere categorieën of strafrechtelijke gegevens indienen, tenzij dit uitdrukkelijk is overeengekomen met gedocumenteerde waarborgen.

4. Vertrouwelijkheid en personeel

Wij zorgen ervoor dat personen die bevoegd zijn om Customer Personal Data te verwerken, gebonden zijn aan vertrouwelijkheid en alleen toegang krijgen voor zover dit nodig is voor hun taken.

5. Beveiligingsmaatregelen

Rekening houdend met de stand van de techniek, implementatiekosten, verwerkingscontext en risico handhaven wij passende technische en organisatorische maatregelen. Deze omvatten geauthenticeerde toegang, autorisatie en databasebeleid met organisatiescope, privé-opslag, encryptie tijdens transport, beperkte productiecredentials, logging en audittrails, back-ups, processen voor afhankelijkheden en incidenten, en verwijderingscontroles. Maatregelen kunnen evolueren zonder het algehele beschermingsniveau materieel te verlagen.

6. Subverwerkers

De Klant geeft algemene toestemming voor het gebruik van subverwerkers die nodig zijn om de dienst te leveren. Huidige categorieën en providers omvatten Supabase voor database, authenticatie en opslag; Vercel voor hosting en levering; OpenAI voor ingeschakelde AI-document- en gegevensverwerking; Sentry voor diagnostiek; ImprovMX voor transactionele e-mail en domeindoorsturing; en PostHog of Crisp alleen voor ingeschakelde optionele functies waarbij zij Customer Personal Data namens ons verwerken.

Lemon Squeezy of een andere merchant of record handelt doorgaans onder eigen verantwoordelijkheid voor betalingen, facturatie, belastingen en fraudeverwerking en wordt voor die onafhankelijke activiteiten niet behandeld als onze subverwerker. Wij zullen gegevensbeschermingsverplichtingen aan subverwerkers opleggen zoals vereist door artikel 28 AVG en blijven verantwoordelijk voor hun prestaties voor zover wettelijk vereist.

Wij zullen redelijke kennisgeving geven van een nieuwe subverwerker die Customer Personal Data materieel verwerkt. De Klant kan op redelijke gegevensbeschermingsgronden bezwaar maken voordat het gebruik begint. Partijen zullen een praktische oplossing zoeken; als die niet beschikbaar is, kan elke partij de getroffen functie zonder boete beëindigen.

7. Internationale doorgiften

Waar Customer Personal Data buiten de EER wordt doorgegeven zonder adequaatheidsbesluit, zullen wij de Standard Contractual Clauses van de Europese Commissie of een ander rechtmatig mechanisme gebruiken en waar passend aanvullende maatregelen toepassen. De toepasselijke SCC-module en bijlagen voor elke doorgifteketen worden waar vereist geïncorporeerd. De Klant machtigt de doorgiften die in de overeenkomst en subverwerkersinformatie zijn beschreven.

8. Verzoeken van betrokkenen

Rekening houdend met de aard van de verwerking zullen wij via productfunctionaliteit en support redelijke bijstand verlenen zodat de Klant kan reageren op verzoeken op grond van hoofdstuk III AVG. Als wij een verzoek ontvangen met betrekking tot Customer Personal Data, zullen wij dit doorverwijzen naar de Klant en niet inhoudelijk reageren tenzij wij daartoe instructie hebben gekregen of daartoe wettelijk verplicht zijn.

9. Kennisgeving van inbreuken

Wij zullen de Klant zonder onnodige vertraging informeren nadat wij kennis hebben genomen van een inbreuk in verband met persoonsgegevens die Customer Personal Data raakt. Naarmate informatie beschikbaar komt, zal de kennisgeving de aard van de inbreuk, waarschijnlijke gevolgen, getroffen categorieën voor zover bekend, mitigerende maatregelen en een contactpunt beschrijven. Kennisgeving is geen erkenning van schuld. De Klant is als verwerkingsverantwoordelijke verantwoordelijk voor meldingen aan toezichthouders en betrokkenen.

10. Bijstand en compliance-informatie

Rekening houdend met de verwerking en de informatie die ons beschikbaar is, zullen wij redelijke bijstand verlenen bij beveiligingsverplichtingen, beoordelingen van inbreuken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadplegingen. Wij zullen informatie beschikbaar stellen die redelijkerwijs nodig is om naleving van artikel 28 AVG aan te tonen.

11. Audits

De Klant mag niet vaker dan eenmaal per jaar, en daarnaast na een onderbouwd materieel incident, relevante compliance-informatie of een audit door een onafhankelijke gekwalificeerde auditor verzoeken. Audits vereisen redelijke voorafgaande kennisgeving, moeten toegang tot gegevens van andere klanten en onnodige verstoring vermijden, en zijn onderworpen aan vertrouwelijkheid. De Klant draagt de auditkosten, tenzij de audit een materiële tekortkoming van ons identificeert. Certificeringen en recente onafhankelijke rapporten kunnen waar passend aan een auditverzoek voldoen.

12. Retournering en verwijdering

Naar keuze van de Klant zullen wij Customer Personal Data na het einde van de diensten retourneren of verwijderen en resterende kopieën verwijderen, tenzij toepasselijke wetgeving bewaring vereist. Inhoudsvrije verwijderingsrecords, beveiligingslogs en back-ups kunnen gedurende gedocumenteerde beperkte perioden blijven bestaan en zullen van normaal gebruik worden geïsoleerd. De Klant moet vereiste gegevens exporteren vóór sluiting van het account.

13. Verwerkingsdetails

Onderwerp: gehoste diensten voor extractie van logistieke documenten, workflows, bewijs en rapportage. Duur: de looptijd van de overeenkomst plus beperkte verwijderings- en back-upperioden. Aard en doel: uploaden, opslag, organisatie, extractie, transformatie, menselijke beoordeling, export, support, beveiliging en verwijdering volgens instructies van de Klant.

Betrokkenen kunnen zijn: gebruikers van de Klant, werknemers, chauffeurs, onderaannemers, zakelijke contactpersonen en personen die in operationele documenten worden genoemd. Gegevens kunnen identiteits- en contactgegevens, rol op de werkplek, voertuig- of vergunningsinformatie, routes, zendingreferenties, documentinhoud, accountidentificatoren, beoordelingsgeschiedenis en technische metadata omvatten. Gevoelige gegevens zijn niet bedoeld. De verwerkingsfrequentie hangt af van het gebruik door de Klant.

14. Aansprakelijkheid, voorrang en beëindiging

Aansprakelijkheid onder deze Addendum volgt de overeenkomst, zonder rechten of aansprakelijkheden te beperken die volgens dwingend gegevensbeschermingsrecht niet door partijen mogen worden beperkt. Als deze Addendum in strijd is met de Voorwaarden over de verwerking van persoonsgegevens, heeft deze Addendum voorrang. Zij eindigt wanneer wij Customer Personal Data niet langer verwerken, behalve bepalingen die bedoeld zijn om te blijven gelden.