Verwerkersovereenkomst

Behorend bij de dienstverleningsovereenkomst tussen Mansotti (het AI-label van TheSEO, KvK 77834453, "Verwerker") en [KLANTNAAM] (KvK [NUMMER], "Verwerkingsverantwoordelijke"), samen "Partijen".

1. Onderwerp en duur

Verwerker verwerkt persoonsgegevens uitsluitend in opdracht van Verwerkingsverantwoordelijke voor het inrichten en uitvoeren van AI medewerker-diensten zoals beschreven in de werkafspraken (bijlage 1). Deze overeenkomst geldt zolang de dienstverleningsovereenkomst loopt.

2. Aard en doel van de verwerking

Het voorbereiden van terugkerend kenniswerk: [invullen per klant, bijv. "het sorteren van binnenkomende aanvragen en het voorbereiden van concept-offertes"]. De categorieën betrokkenen en persoonsgegevens staan in bijlage 1 (bronnenlijst).

3. Verplichtingen van Verwerker

• Verwerkt uitsluitend op schriftelijke instructie van Verwerkingsverantwoordelijke (de werkafspraken gelden als instructie).
• Gebruikt de gegevens nooit voor eigen doeleinden, andere klanten, of het trainen van AI-modellen door Verwerker.
• Waarborgt dat personen die toegang hebben tot de gegevens aan geheimhouding gebonden zijn.
• Treft passende technische en organisatorische maatregelen (bijlage 2: gescheiden klantomgeving op dedicated hardware, toegang per rol, versleuteling van opslag en verkeer, logging per run).
• Assisteert bij verzoeken van betrokkenen (inzage, correctie, verwijdering) binnen 5 werkdagen na doorzending.
• Assisteert bij DPIA's en meldplichten voor zover redelijk.

4. Subverwerkers

De actuele subverwerkerslijst (bijlage 3) is bij ondertekening verstrekt. Nieuwe of gewijzigde subverwerkers worden minimaal 14 dagen vooraf schriftelijk voorgelegd; Verwerkingsverantwoordelijke kan op redelijke gronden bezwaar maken. Verwerker legt aan subverwerkers gelijkwaardige verplichtingen op.

5. Datalekken en incidenten

Het incident-meldproces (bijlage 4) maakt onlosmakelijk deel uit van deze overeenkomst. Kern: Verwerker meldt een (vermoedelijk) datalek dat de gegevens van Verwerkingsverantwoordelijke raakt zonder onredelijke vertraging en uiterlijk binnen 24 uur na ontdekking, met alle informatie die Verwerkingsverantwoordelijke nodig heeft voor de eigen melding aan de Autoriteit Persoonsgegevens (72-uurstermijn) en betrokkenen.

6. Audit en verificatie

Verwerkingsverantwoordelijke mag maximaal eenmaal per jaar (en na een incident altijd) de naleving verifiëren: inzage in het bewijsdossier informatiebeveiliging, de logs van de eigen klantomgeving over een afgesproken periode, en een schermdeling van het toegangsbeheer. Kosten van uitgebreidere audits zijn voor Verwerkingsverantwoordelijke; Verwerker werkt redelijkerwijs mee.

7. Teruggave en verwijdering

Bij einde van de dienstverlening ontvangt Verwerkingsverantwoordelijke het klantbrein en alle data in een gangbaar formaat. Verwerker verwijdert eigen kopieën binnen 30 dagen en bevestigt dit schriftelijk, behoudens wettelijke bewaarplichten (die worden benoemd).

8. Aansprakelijkheid en rangorde

De aansprakelijkheidsregeling uit de algemene voorwaarden van Mansotti geldt ook voor deze overeenkomst. Bij strijdigheid over gegevensbescherming gaat deze verwerkersovereenkomst voor.

Bijlage 1: werkafspraken en bronnenlijst (zie werkafspraken template) Bijlage 2: beveiligingsmaatregelen (zie bewijsdossier informatiebeveiliging) Bijlage 3: subverwerkerslijst (zie subverwerkers) Bijlage 4: incident-meldproces (zie incident meldproces)

Ondertekening: