Verwerkersovereenkomst

Verwerkersovereenkomst Anna AI B.V.

Deze verwerkersovereenkomst ("Verwerkersovereenkomst") is van toepassing op de verwerking van persoonsgegevens door Anna AI B.V., gevestigd te [adres], ingeschreven bij de Kamer van Koophandel onder nummer [KvK-nummer] ("Verwerker" of "Anna AI"), namens een klant ("Verwerkingsverantwoordelijke") in het kader van de levering van haar AI-diensten, zoals gedefinieerd in de toepasselijke overeenkomst tussen partijen.

Artikel 1 – Onderwerp van de verwerking

1.1 Verwerker verwerkt persoonsgegevens namens Verwerkingsverantwoordelijke in het kader van het gebruik van de AI-telefoniediensten en aanverwante producten, waaronder automatische gespreksafhandeling, transcriptie, rapportage, messaging (SMS, WhatsApp) en toegang tot het dashboard.

1.2 De verwerking betreft met name:

• Naam, telefoonnummer, e-mailadres
• Gespreksdata (datum/tijd, duur)
• Gespreksinhoud, waaronder live verwerkte audio, transcripties en samenvattingen. Audio wordt uitsluitend tijdens het gesprek verwerkt en wordt door Anna AI niet als gespreksopname opgeslagen. Indien de Verwerkingsverantwoordelijke de betreffende functionaliteit activeert, omvat de verwerking tevens het verzenden van samenvattingen, actiepunten en door bellers verstrekte contactgegevens per e-mail naar door de Verwerkingsverantwoordelijke aangewezen ontvangers.
• Eventuele klantnotities of metagegevens

Categorieën van betrokkenen zijn bellers, contactpersonen van Verwerkingsverantwoordelijke en gebruikers van het dashboard. Bellers kunnen spontaan bijzondere categorieën persoonsgegevens noemen tijdens een gesprek.

1.3 De verwerking vindt uitsluitend plaats binnen het kader van de dienstverlening en instructies van Verwerkingsverantwoordelijke.

Artikel 2 – Doeleinden en duur

2.1 De verwerking heeft uitsluitend tot doel het ondersteunen van de communicatieprocessen van Verwerkingsverantwoordelijke.

2.2 De verwerking duurt zolang de overeenkomst tussen partijen voortduurt. Na beëindiging verwijdert of retourneert Verwerker alle persoonsgegevens conform artikel 9 van deze overeenkomst.

Artikel 3 – Verplichtingen van Verwerker

Verwerker verplicht zich tot:

• a. Het uitsluitend verwerken van persoonsgegevens op basis van schriftelijke instructies van Verwerkingsverantwoordelijke, tenzij een wettelijke verplichting anders vereist;
• b. Geheimhouding te betrachten ten aanzien van de persoonsgegevens;
• c. Toegang tot persoonsgegevens te beperken tot personeel dat deze toegang nodig heeft;
• d. Passende technische en organisatorische maatregelen te treffen ter beveiliging van de persoonsgegevens tegen verlies, onbevoegde toegang of onrechtmatige verwerking;
• e. Het assisteren van Verwerkingsverantwoordelijke bij het nakomen van verplichtingen met betrekking tot verzoeken van betrokkenen, datalekken, en DPIA's indien van toepassing;
• f. Het verstrekken van alle informatie die nodig is om naleving van de verplichtingen uit deze overeenkomst en de AVG aan te tonen.

Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk in kennis indien een instructie naar het oordeel van Verwerker in strijd is met de AVG of andere toepasselijke Unierechtelijke of Nederlandse bepalingen inzake gegevensbescherming.

Artikel 4 – Subverwerkers

4.1 Verwerkingsverantwoordelijke verleent Verwerker algemene schriftelijke toestemming voor het inschakelen van de subverwerkers die zijn vermeld op anna-ai.nl/subverwerkers.

4.2 Verwerker informeert Verwerkingsverantwoordelijke vooraf over een voorgenomen toevoeging of vervanging van een subverwerker en geeft Verwerkingsverantwoordelijke een redelijke termijn om daartegen op gemotiveerde gronden van gegevensbescherming bezwaar te maken.

4.3 Verwerker legt aan iedere subverwerker ten minste dezelfde gegevensbeschermingsverplichtingen op als die uit deze Verwerkersovereenkomst voortvloeien, voor zover deze op de door de subverwerker uitgevoerde verwerking van toepassing zijn.

4.4 Verwerker blijft jegens Verwerkingsverantwoordelijke verantwoordelijk voor de nakoming van deze verplichtingen door haar subverwerkers overeenkomstig artikel 28 AVG.

Artikel 5 – Doorgifte buiten de EER

5.1 Persoonsgegevens kunnen worden verwerkt binnen de EER en in de derde landen die voor de betreffende subverwerker zijn vermeld op de actuele subverwerkerslijst.

5.2 Voor iedere doorgifte buiten de EER zorgt Verwerker ervoor dat een geldig doorgiftemechanisme uit hoofdstuk V AVG van toepassing is, waaronder een adequaatheidsbesluit op grond van artikel 45 AVG of passende waarborgen op grond van artikel 46 AVG, zoals de toepasselijke modelcontractbepalingen van de Europese Commissie.

5.3 Voor een doorgifte naar een Amerikaanse organisatie op basis van het EU-US Data Privacy Framework controleert Verwerker dat de betreffende juridische entiteit voor de relevante verwerking onder het Framework is gecertificeerd. Indien modelcontractbepalingen worden gebruikt, beoordeelt Verwerker waar nodig of aanvullende waarborgen noodzakelijk zijn.

Artikel 6 – Beveiligingsmaatregelen

6.1 Verwerker neemt passende technische en organisatorische maatregelen, waaronder:

• versleuteling van data in transit en opslag,
• toegangsbeheer op basis van rollen,
• logging en monitoring van toegang,
• firewalls en antivirusbeveiliging,
• periodieke back-ups.

6.2 Verwerkingsverantwoordelijke is verantwoordelijk voor beveiligingsmaatregelen aan haar zijde (bijv. veilige wachtwoorden, toegangscontrole tot het dashboard).

Artikel 7 – Rechten van betrokkenen en gevoelige gegevens

7.1 Verwerker verleent medewerking aan het afhandelen van verzoeken van betrokkenen (inzage, correctie, verwijdering, dataportabiliteit), indien de Verwerkingsverantwoordelijke hierom verzoekt en voor zover technisch mogelijk.

7.2 Bellers kunnen uit zichzelf gevoelige gegevens noemen, zoals betaal- of bankgegevens, een burgerservicenummer of medische gegevens (artikel 1.2). Verwerkingsverantwoordelijke beoordeelt zelf de opgeslagen gesprekken en verwijdert zelf de gesprekken waarin zulke gevoelige gegevens staan. Dat kan per gesprek of in bulk in het dashboard.

7.3 Verwerker maskeert zelf, voordat een gesprek wordt opgeslagen en in de e-mail na het gesprek terechtkomt, IBAN-rekeningnummers en betaalkaartnummers die door een controlegetal als zodanig herkenbaar zijn, en een burgerservicenummer dat de beller noemt met een sleutelwoord zoals “BSN” of “burgerservicenummer”. Verwerker garandeert niet dat alle gevoelige gegevens worden herkend, gemaskeerd of automatisch verwijderd; het beoordelen en verwijderen volgens lid 2 blijft de verantwoordelijkheid van Verwerkingsverantwoordelijke.

Artikel 8 – Datalekken

8.1 Verwerker meldt een inbreuk op de beveiliging van persoonsgegevens (datalek) zonder onredelijke vertraging aan Verwerkingsverantwoordelijke, met vermelding van:

• aard van de inbreuk,
• getroffen gegevens,
• genomen of voorgenomen maatregelen.

8.2 Verwerkingsverantwoordelijke is verantwoordelijk voor melding aan de toezichthouder en/of betrokkene, tenzij schriftelijk anders overeengekomen.

Artikel 9 – Einde verwerking

9.1 Na beëindiging van de dienstverlening retourneert of verwijdert Verwerker, naar keuze van Verwerkingsverantwoordelijke, de persoonsgegevens die Verwerker namens Verwerkingsverantwoordelijke verwerkt, en verwijdert Verwerker bestaande kopieën, tenzij Unierecht of Nederlands recht verdere opslag verplicht.

9.2 Verwerkingsverantwoordelijke kan de gegevens gedurende een periode van dertig (30) dagen na beëindiging exporteren of om retournering verzoeken, waarna Verwerker de resterende gegevens verwijdert.

9.3 Indien Verwerkingsverantwoordelijke zelf via de functie “Account sluiten” uitdrukkelijk opdracht geeft tot onmiddellijke verwijdering, geldt die handeling als de keuze voor verwijdering in de zin van lid 1. Voorafgaand aan de definitieve sluiting wordt Verwerkingsverantwoordelijke duidelijk gewezen op de gevolgen en de mogelijkheid gegevens eerst te exporteren.

9.4 Gegevens die Anna AI voor eigen wettelijke verplichtingen of als zelfstandig verwerkingsverantwoordelijke moet bewaren, vallen niet onder de verwijderingsinstructie en worden uitsluitend voor die afzonderlijke doeleinden bewaard.

Artikel 10 – Audit en controle

10.1 Verwerkingsverantwoordelijke heeft het recht om maximaal één keer per jaar, op eigen kosten en met redelijke aankondiging, een audit uit te (laten) voeren om naleving van deze overeenkomst te toetsen.

10.2 Vertrouwelijke of concurrentiegevoelige informatie wordt uitsluitend gedeeld voor zover dit redelijkerwijs noodzakelijk is voor de audit en blijft onderworpen aan passende geheimhoudingsverplichtingen. Dit beperkt niet het recht van Verwerkingsverantwoordelijke op de informatie en medewerking die artikel 28 AVG vereist.

Artikel 11 – Aansprakelijkheid

11.1 Aansprakelijkheid van Verwerker is beperkt conform de bepalingen in de algemene voorwaarden van Anna AI. Niets in deze overeenkomst beperkt aansprakelijkheid bij opzet of grove nalatigheid.

Artikel 12 – Toepasselijk recht en forum

12.1 Op deze verwerkersovereenkomst is Nederlands recht van toepassing.

12.2 Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement waar Verwerker statutair gevestigd is.

Artikel 13 – Internationale doorgifte van persoonsgegevens

13.1 Voor doorgifte van persoonsgegevens buiten de EER gelden uitsluitend de bepalingen van artikel 5 van deze overeenkomst.