Verwerkersovereenkomst

In deze Verwerkersovereenkomst hebben begrippen die in de AVG zijn gedefinieerd, dezelfde betekenis. De definitie van ‘Verwerker’ in de AVG komt overeen met de aanduiding ‘Match-AI’ in deze overeenkomst. De definitie van ‘Verwerkingsverantwoordelijke’ in de AVG komt overeen met de aanduiding ‘Verantwoordelijke’ in deze overeenkomst.

2.1 Verantwoordelijke verleent door ondertekening van deze overeenkomst aan Match-AI toestemming tot het verwerken van de Persoonsgegevens, welke mogelijkheid Match-AI hierdoor aanvaardt.

2.2 De Persoonsgegevens zullen door Match-AI worden verwerkt met het volgende doel: het inzetten van een AI-assistentplatform waarin gebruikers via één centrale interface vragen kunnen stellen, informatie op kunnen vragen, documenten kunnen laten analyseren, samenvattingen en content kunnen genereren en acties kunnen laten uitvoeren binnen gekoppelde systemen.

2.3 Match-AI heeft niet het doel om Persoonsgegevens te verwerken. Het AI-assistentplatform is niet ontworpen voor de structurele verwerking van Persoonsgegevens. Afhankelijk van de input van Verantwoordelijke kan het echter voorkomen dat Persoonsgegevens worden verwerkt, zoals, maar niet beperkt tot, namen, contactgegevens en klantnummers, alsmede overige gegevens die Verantwoordelijke invoert in het AI-assistentplatform.

Het verwerken van burgerservicenummers (BSN), bankrekeningnummers, bijzondere persoonsgegevens als bedoeld in artikel 9 AVG en strafrechtelijke persoonsgegevens als bedoeld in artikel 10 AVG via het AI-assistentplatform is uitdrukkelijk niet toegestaan zonder voorafgaande schriftelijke toestemming van Match-AI. Verantwoordelijke is volledig verantwoordelijk en aansprakelijk indien hij in strijd met dit verbod dergelijke gegevens invoert.

2.4 De Persoonsgegevens zullen uitsluitend worden verwerkt op basis van de input van de Verantwoordelijke in het AI-assistentplatform en binnen de technische inrichting van de gekozen dienstvariant. Bij de reguliere AI-agentvariant kan verwerking of doorgifte plaatsvinden buiten de Europese Economische Ruimte, waaronder naar de Verenigde Staten. Bij de Europese AI-agentvariant wordt beoogd verwerking binnen de EER te laten plaatsvinden, tenzij Partijen schriftelijk anders overeenkomen of dit technisch noodzakelijk is voor een specifiek onderdeel van de dienstverlening.

2.5 Partijen bevestigen dat Verantwoordelijke verantwoordelijk is voor de mogelijke verwerking van de Persoonsgegevens. Match-AI verwerkt de Persoonsgegevens uitsluitend indien Verantwoordelijke Persoonsgegevens invoert in het AI-assistentplatform.

2.6 De verwerking vindt plaats binnen de door Verantwoordelijke gekozen dienstvariant: (a) reguliere AI-agentvariant: verwerking via onder meer Telegram, OpenAI/ChatGPT en Hetzner. Mattermost kan daarnaast als tweede communicatiekanaal worden ingezet en wordt door Match-AI zelf gehost op Hetzner-infrastructuur in Duitsland; of (b) Europese AI-agentvariant: verwerking via onder meer Cortecs AI en Hetzner, waarbij Match-AI beoogt AI-verwerking zoveel mogelijk binnen de EER of via Europese dienstverleners te laten plaatsvinden.

2.7 De gekozen variant wordt vastgelegd in de offerte, opdrachtbevestiging, hoofdovereenkomst of schriftelijke bevestiging tussen Partijen. Indien geen variant is vastgelegd, geldt de reguliere AI-agentvariant met Telegram, OpenAI/ChatGPT en Hetzner als uitgangspunt.

3.1 De overeenkomst geldt voor de duur van de onderliggende overeenkomst tussen Partijen en in ieder geval zolang Match-AI Persoonsgegevens verwerkt in opdracht van Verantwoordelijke. De overeenkomst eindigt van rechtswege zodra de onderliggende overeenkomst is geëindigd en Match-AI geen Persoonsgegevens meer verwerkt in opdracht van Verantwoordelijke, zonder dat daarvoor nadere opzegging door Match-AI is vereist.

3.2 Partijen zijn gerechtigd de overeenkomst tussentijds te beëindigen met inachtneming van een opzegtermijn van 4 weken. Opzegging dient schriftelijk te geschieden met opgave van redenen.

3.3 Iedere partij is gerechtigd deze overeenkomst met onmiddellijke ingang en zonder rechterlijke tussenkomst te ontbinden, zonder dat enige aanmaning of ingebrekestelling is vereist en zonder gehoudenheid tot betaling van enige schadevergoeding, indien:

de andere partij surseance van betaling aanvraagt of haar surseance van betaling wordt verleend;

de andere partij in staat van faillissement wordt verklaard of de andere partij of een derde het faillissement van die partij aanvraagt;

de onderneming van de andere partij wordt geliquideerd;

de bedrijfsuitvoering van de andere partij wordt gestaakt.

3.4 Ontbinding door een partij laat onverlet het recht van die partij op eventuele schadevergoeding.

3.5 Beëindiging, ontbinding of opzegging van de overeenkomst, op welke wijze dan ook, laat verbintenissen van partijen die naar hun aard bedoeld zijn voort te duren na die beëindiging in tact.

3.6 Terstond na beëindiging, ontbinding of opzegging van de overeenkomst zal Match-AI, naar gelang de keuze van de Verantwoordelijke, de onder haar feitelijke controle staande Persoonsgegevens vernietigen of aan Verantwoordelijke retourneren, tenzij opslag van (een deel van) de Persoonsgegevens wettelijk verplicht is of redelijkerwijs noodzakelijk is in het kader van back-up-, beveiligings- of logdoeleinden bij Match-AI of door haar ingeschakelde Sub-Verwerkers. In dat geval zal Match-AI de betreffende Persoonsgegevens niet verder verwerken, anders dan voor zover noodzakelijk om aan die verplichting of technische noodzaak te voldoen.

Voor zover Persoonsgegevens zijn verwerkt via door Match-AI ingeschakelde Sub-Verwerkers, waaronder begrepen aanbieders van externe AI-diensten, cloud- of infrastructuurdiensten, gelden mede de verwijderings- en bewaartermijnen van die Sub-Verwerkers. Match-AI zal zich in redelijkheid inspannen om verwijdering of beëindiging van verdere verwerking overeenkomstig de op die Sub-Verwerkers van toepassing zijnde afspraken te bewerkstelligen, maar kan niet garanderen dat alle Persoonsgegevens bij die Sub-Verwerkers onmiddellijk of volledig worden verwijderd, voor zover Match-AI daarop geen feitelijke of juridische controle heeft.

Indien Match-AI van mening is dat een wettelijke verplichting of technische noodzaak gehele of gedeeltelijke retournering of vernietiging van Persoonsgegevens verhindert of beperkt, zal zij Verantwoordelijke daarvan op verzoek in kennis stellen.

4.1 Verantwoordelijke is in de zin van de AVG verantwoordelijk voor de in het kader van de Overeenkomst te verwerken Persoonsgegevens.

4.2 Verantwoordelijke is verantwoordelijk voor het bijhouden van een register van verwerkingsactiviteiten als bedoeld in artikel 30 AVG, voor zover dit op hem van toepassing is, alsmede voor het nakomen van alle overige op hem rustende verplichtingen uit de AVG.

4.3 Verantwoordelijke staat er jegens Match-AI voor in dat de inhoud, het gebruik en/of de verwerking van Persoonsgegevens niet onrechtmatig zijn en geen inbreuk maken op enig recht van een derde.

5.1 Match-AI is in het kader van de Overeenkomst niet verantwoordelijk voor de verwerking van de Persoonsgegevens die door Verantwoordelijke in het AI-assistentplatform worden ingevoerd. Voor de overige verwerkingen van Persoonsgegevens, waaronder in ieder geval begrepen maar niet beperkt tot de verzameling van de Persoonsgegevens door de Verantwoordelijke en/of derden, is Match-AI tevens uitdrukkelijk niet verantwoordelijk.

5.2 Match-AI stelt Verantwoordelijke, mits tijdig daar om verzocht, te allen tijde in staat om binnen de wettelijke termijnen te voldoen aan de verplichtingen op grond van de AVG, welke samenhangen met de verwerking door Match-AI, zoals, maar niet beperkt, een verzoek om inzage, verbetering, aanvulling, verwijdering of afscherming van de in de Overeenkomst bedoelde Persoonsgegevens en het uitvoeren van een gehonoreerd aangetekend verzet.

5.3 Match-AI zal Verantwoordelijke onmiddellijk, doch uiterlijk binnen 48 uur, op de hoogte stellen in het geval er een (vermoeden van een) inbreuk op de beveiliging of een datalek heeft plaatsgevonden of wordt vermoed (conform de meest recente richtsnoeren/beleidsregels AP meldplicht datalekken en/of een daarvoor in de plaats komende regeling). Op deze manier kan Verantwoordelijke voldoen aan de wettelijke meldtermijn van 72 uur bij de Autoriteit Persoonsgegevens. Dit geldt ook voor een datalek of inbreuk op de beveiliging van eventuele Sub-Verwerker(s). Ongeacht de inhoud van de richtsnoeren/beleidsregels zal deze meldplicht in ieder geval behelzen:

de (vermeende) oorzaak van het lek;

het vooralsnog bekende en/of te verwachten gevolg c.q. de gevolgen;

de (voorgestelde) oplossing;

de rechten van de betrokkenen;

de contactgegevens voor de opvolging van de melding;

een opgave van degenen die geïnformeerd zijn;

de reeds ondernomen maatregelen.

5.4 Match-AI verwerkt de Persoonsgegevens slechts indien Verantwoordelijke deze invoert in het AI-assistentplatform, behoudens afwijkende wettelijke verplichtingen.

5.5 Match-AI maakt gebruik van sub-verwerkers zoals opgenomen in Bijlage 1 bij deze Verwerkersovereenkomst. De toepasselijke sub-verwerkers zijn afhankelijk van de door Verantwoordelijke gekozen dienstvariant. Match-AI zal sub-verwerkers uitsluitend inschakelen voor zover dit noodzakelijk is voor de uitvoering van de dienstverlening en zal, voor zover Match-AI daartoe contractueel in staat is, passende afspraken maken over beveiliging, vertrouwelijkheid en verwerking van Persoonsgegevens.

5.6 Verantwoordelijke verleent algemene toestemming voor de inzet van de in Bijlage 1 genoemde sub-verwerkers. Indien Match-AI een nieuwe sub-verwerker wil inschakelen die wezenlijk invloed heeft op de verwerking van Persoonsgegevens, zal Match-AI Verantwoordelijke hierover informeren. Verantwoordelijke kan binnen een redelijke termijn gemotiveerd bezwaar maken tegen de inzet van deze nieuwe sub-verwerker.

5.7 Match-AI draagt op onderstaande manieren zorg voor de beveiliging van de door haar verwerkte Persoonsgegevens:

Match-AI waarborgt een adequaat niveau van beveiliging tegen misbruik en ongeautoriseerd gebruik door niet-geautoriseerde personen van de door haar verwerkte Persoonsgegevens.

Match-AI zal technische en organisatorische maatregelen nemen met betrekking tot de te verrichten verwerkingen van Persoonsgegevens om verlies of onrechtmatige verwerking (zoals onbevoegde kennisname, aantasting, wijziging of verstrekking van de gegevens) te voorkomen. Deze maatregelen zijn de volgende:

Match-AI zal voorzieningen treffen voor een adequate toegangsbeveiliging tot de onder de Overeenkomst verkregen Persoonsgegevens, zodat alleen geautoriseerd personeel toegang heeft. Match-AI houdt een lijst bij van door haar geautoriseerd personeel.

Match-AI beveiligt de dienst door gebruik van een SSL-toegangscertificaat, welke Verantwoordelijke verplicht is te gebruiken.

Match-AI zorgt dat de database niet publiek toegankelijk is of wordt.

Match-AI heeft een adequaat en up-to-date mechanisme in werking om kwaadaardige software, waaronder computervirussen, te detecteren en adequaat af te handelen.

Match-AI verwerkt de Persoonsgegevens momenteel in Anthropic Claude, OpenAI ChatGPT en Google Gemini.

Match-AI zal Verantwoordelijke onverwijld van beveiligingsincidenten op de hoogte stellen.

Match-AI zal zich houden aan de geldende AP-richtsnoeren/beleidsregels.

Match-AI zal zich houden aan artikel 32 AVG.

5.8 Indien een Betrokkene zich direct tot de Match-AI wendt om informatie, zal Match-AI een zodanig verzoek onmiddellijk melden aan Verantwoordelijke en zich overigens onthouden van verschaffen van informatie aan Betrokkene.

5.9 Match-AI zal passende technische en organisatorische maatregelen nemen, voor zover mogelijk, om Verantwoordelijke bijstand te kunnen verlenen bij het inwilligen van verzoeken van Betrokkenen om hun rechten op grond van hoofdstuk III van de AVG uit te oefenen.

5.10 De verwerking van gegevens zal nimmer met zich meebrengen dat de databases van Match-AI worden verrijkt met de gegevens afkomstig uit de datasets van Verantwoordelijke. Het combineren van gegevens afkomstig van Verantwoordelijke is niet toegestaan.

5.11 Verwerking in en doorgifte van Persoonsgegevens naar landen buiten de Europese Unie is slechts toegestaan na voorafgaande schriftelijke, al dan niet geclausuleerde, toestemming van Verantwoordelijke. Verantwoordelijke geeft hierbij toestemming voor de verwerking van Persoonsgegevens in de Verenigde Staten van Amerika wanneer hij Persoonsgegevens invoert in het AIassistentplatform.

5.12 Match-AI stelt de Verantwoordelijke alle informatie ter beschikking die nodig is om de nakoming van de AVG en deze Verwerkersovereenkomst aan te tonen. Match-AI zal audits, waaronder inspecties door de Verantwoordelijke of een door de Verantwoordelijke gemachtigde controleur, mogelijk maken en daaraan op alle mogelijke manieren bijdragen.

6.1 Match-AI verplicht zich de verplichtingen die uit artikel 5 van deze overeenkomst en artikel 28 lid 4 AVG voortvloeien tevens op te leggen aan de Sub-Verwerker in een nieuwe overeenkomst tussen Match-AI en Sub-Verwerker (‘Sub-Verwerkersovereenkomst’).

6.2 Match-AI verplicht zich in de Sub-Verwerkersovereenkomst tevens dit kettingbeding op te nemen, als gevolg waarvan ook de Sub-Verwerker verplicht is eventuele derde(n) die hij inschakelt te houden aan de verplichtingen voortvloeiend uit artikel 6 van de huidige overeenkomst.

6.3 Indien een Sub-Verwerker zijn verplichtingen inzake gegevensbescherming niet nakomt, is Match-AI jegens de Verantwoordelijke uitsluitend aansprakelijk voor zover de tekortkoming van de Sub-Verwerker het gevolg is van een onzorgvuldige selectie door Match-AI of het niet nakomen van de op Match-AI rustende verplichting om met de Sub-Verwerker adequate schriftelijke afspraken te maken conform deze Verwerkersovereenkomst en artikel 28 lid 4 AVG. Match-AI is niet aansprakelijk voor tekortkomingen van de Sub-Verwerker die ondanks zorgvuldige selectie en adequate contractuele afspraken zijn ontstaan.

7.1 Match-AI is niet aansprakelijk voor enige schade als gevolg van doorgifte van persoonsgegevens naar de Verenigde Staten voor zover de organisatie aan wie de gegevens worden doorgegeven meedoet aan het Data Privacy Framework.

7.2 In geval de betreffende organisatie aan wie persoonsgegevens worden doorgegeven niet meedoet aan het Data Privacy Framework zal Match-AI, indien nodig, aanvullende maatregelen nemen om de persoonsgegevens te beschermen.

7.3 Verantwoordelijke vrijwaart Match-AI reeds nu voor alsdan tegen alle aanspraken van derden die ontstaan als gevolg van schending van de toepasselijke wet- en regelgeving ter zake van de bescherming van Persoonsgegevens.

8.1 Op alle Persoonsgegevens, ter beschikking gesteld in het kader van deze Verwerkersovereenkomst, rust een geheimhoudingsplicht jegens derden. Match-AI zal deze informatie niet voor een ander doel gebruiken dan waarvoor deze is verkregen, zelfs niet wanneer deze in een zodanige vorm is gebracht dat deze niet tot Betrokkene herleidbaar is. Match-AI zal deze geheimhoudingsplicht ook opleggen aan al haar werknemers en door haar eventueel ingeschakelde derden al dan niet Sub-Verwerkers.

8.2 Partijen verplichten zich over en weer geen als vertrouwelijk aangemerkte gegevens, of gegevens die redelijkerwijs als zodanig aangemerkt zouden moeten worden, die de andere partij betreffen, aan derden te openbaren, tenzij het informatie betreft die al van algemene bekendheid is.

8.3 Partijen zullen aan derden slechts mededeling doen over (de inhoud van) deze overeenkomst indien de andere partij daartoe schriftelijke toestemming heeft gegeven.

8.4 Partijen verplichten zich om personen die door hen worden ingezet bij de uitvoering van deze overeenkomst, eenzelfde geheimhoudingsverplichting op te leggen.

8.5 Bij overtreding van dit artikel verbeurt de overtredende partij, ten faveure van de andere partij, een direct opeisbare, niet voor matiging vatbare boete van € 2500, zonder dat daarvoor enige aanmaning of ingebrekestelling noodzakelijk is, onverminderd het recht van de partij aan wie de boete toekomt een volledige schadevergoeding te vorderen.

9.1 Het is partijen niet toegestaan om rechten of verplichtingen uit deze overeenkomst aan derden over te dragen zonder schriftelijke toestemming van de andere partij.

9.2 Wijzigingen op deze overeenkomst dienen schriftelijk te worden overeengekomen.

9.3 Indien om wat voor reden dan ook een bepaling van deze overeenkomst nietig of vernietigbaar is of wordt, heeft dat slechts gevolgen voor die bepaling. De rest van de overeenkomst blijft volledig van kracht, waarbij partijen zullen trachten om in onderling overleg de nietige/vernietigbare bepaling te vervangen door een die het meest aansluit bij de geest van voormelde bepaling.

9.4 Indien veranderende wetgeving een wijziging van de overeenkomst noodzakelijk maakt, zullen partijen in open en reëel overleg treden om de overeenkomst op de kortst mogelijke termijn aan deze nieuwe wettelijke eisen te laten voldoen. Wanneer dit overleg niet tot resultaat leidt en Match-AI op onredelijke gronden haar medewerking weigert, is Verantwoordelijke gerechtigd de overeenkomst eenzijdig te wijzigen, opdat deze weer voldoet aan de daaraan door de wet gestelde eisen.

10.1 Alle industriële of intellectuele eigendomsrechten met betrekking tot de onder deze Verwerkersovereenkomst te verwerken of verwerkte Persoonsgegevens berusten te allen tijde bij de Verantwoordelijke.

10.2 Alle Persoonsgegevens verstrekt door Verantwoordelijke, ongeacht de wijze van overdracht of het medium waarop deze zijn vastgelegd, worden geacht volle eigendom van Verantwoordelijke te zijn. Match-AI zal nimmer enig recht claimen ten aanzien van de betrokken Persoonsgegevens noch gerechtigd zijn tot enige vorm van exploitatie anders dan voorzien in deze Verwerkersovereenkomst.

11.1 Eventuele aanvullende afspraken en/of toezeggingen die worden gemaakt na het sluiten van deze overeenkomst, zijn slechts bindend indien en voor zover zij door Partijen schriftelijk zijn vastgelegd.

11.2 Indien deze overeenkomst nietige bepalingen bevat, leidt dit niet tot nietigheid van de overige bepalingen in deze overeenkomst. De nietige bepaling zal worden vervangen door een rechtsgeldige bepaling die zo veel mogelijk overeenkomt met de bedoelingen van Partijen bij de nietige bepaling.

11.3 Op deze overeenkomst is Nederlands recht van toepassing.

11.4 Alle geschillen die ontstaan naar aanleiding van onderhavige overeenkomst, dan wel nadere overeenkomsten die daarvan het gevolg mochten zijn, zullen worden voorgelegd aan de rechtbank Midden-Nederland.

Aldus opgemaakt en ondertekend te __________________ op _____________________

[Verantwoordelijke]

[Match-AI]

Namens deze:

Namens deze:

[Naam]

[Naam]

[Functie]

[Functie]

© Match-AI B.V. · match-ai.nl