Gegevensverwerkingsovereenkomst

Partijen

Deze gegevensverwerkingsovereenkomst (“Overeenkomst”) wordt aangegaan tussen:

• De Verantwoordelijke: de natuurlijke persoon of rechtspersoon die een overeenkomst aangaat met What’s Next AI B.V. voor de inkoop van diensten en kwalificeert als een verwerkingsverantwoordelijke in de zin van de Algemene Verordening Gegevensbescherming (AVG);
• What’s Next B.V., met statutaire zetel aan de Hanzeweg 1C, 7418 AW Deventer, geregistreerd bij de Nederlandse Kamer van Koophandel onder nummer 97668222, hierna aangeduid als de “Verwerker”.

Hierna gezamenlijk aangeduid als de “Partijen”.

Overwegende dat

• De Verantwoordelijke gebruikmaakt van de diensten van de Verwerker, waaronder maar niet beperkt tot AI-implementatie, automatisering en systeemontwikkeling;
• De uitvoering van deze diensten het verwerken van persoonsgegevens in de zin van de AVG met zich mee kan brengen;
• De Partijen hun onderlinge rechten en verplichtingen met betrekking tot de verwerking van persoonsgegevens schriftelijk wensen vast te leggen in overeenstemming met de AVG.

Artikel 1: Definities

Voor de toepassing van deze Overeenkomst hebben de volgende termen de hierna vermelde betekenis:

• “Persoonsgegevens”: alle informatie met betrekking tot een geïdentificeerde of identificeerbare natuurlijke persoon;
• “Verwerking”: elke bewerking of een geheel van bewerkingen uitgevoerd op Persoonsgegevens, al dan niet geautomatiseerd;
• “Betrokkene”: de natuurlijke persoon op wie de Persoonsgegevens betrekking hebben;
• “Sub-verwerker”: een derde die door de Verwerker is ingeschakeld voor de verwerking van Persoonsgegevens;
• “Datalek”: een inbreuk op de beveiliging die leidt tot de vernietiging, het verlies, de wijziging, de ongeoorloofde bekendmaking van of de ongeoorloofde toegang tot Persoonsgegevens;
• “AI-Systemen”: de technische systemen, modellen en automatiseringsoplossingen die de Verwerker ontwikkelt voor de Verantwoordelijke.

Artikel 2: Opdracht en Reikwijdte

1. De Verantwoordelijke geeft hierbij opdracht aan de Verwerker om Persoonsgegevens te verwerken in het kader van de uitvoering van de tussen de Partijen gesloten hoofdovereenkomst(en).

2. De Verwerker zal de Persoonsgegevens uitsluitend verwerken ten behoeve van en volgens de schriftelijke instructies van de Verantwoordelijke en in overeenstemming met de doeleinden uiteengezet in deze Overeenkomst.

3. De Verwerker heeft geen zelfstandige bevoegdheid over het doel en de middelen van de verwerking en zal geen beslissingen nemen ten aanzien van het gebruik van de Persoonsgegevens, verstrekking aan derden, bewaartermijnen of andere aspecten buiten de reikwijdte van deze Overeenkomst.

4. De Verwerker accepteert de opdracht tot verwerking van Persoonsgegevens onder de voorwaarden vermeld in deze Overeenkomst.

Artikel 3: Doeleinden van de Verwerking

De Verwerker zal de Persoonsgegevens uitsluitend verwerken voor de uitvoering van de met de Verantwoordelijke gesloten overeenkomst, waaronder maar niet beperkt tot AI-diensten, technische ondersteuning, automatisering en optimalisatie van processen, en naleving van wettelijke verplichtingen.

Artikel 4: Categorieën van Persoonsgegevens

Bij de uitvoering van de overeenkomst kan de Verwerker de volgende categorieën van Persoonsgegevens verwerken:

• Contactgegevens, waaronder naam, adres, e-mailadres en telefoonnummer;
• Technische gegevens, waaronder IP-adressen en browserinformatie;
• Inloggegevens, waaronder gebruikersnamen en wachtwoorden;
• AI-logboeken, voor zover van toepassing.

Artikel 5: Gebruik van Sub-verwerkers en Gegevensoverdrachten

1. De Verwerker is gerechtigd Sub-verwerkers in te schakelen voor de verwerking van Persoonsgegevens, mits zij zich binnen de Europese Economische Ruimte (EER) bevinden.

2. Overdracht van Persoonsgegevens buiten de EER vindt alleen plaats indien:

• a) De Verantwoordelijke schriftelijk toestemming heeft gegeven; en
• b) Het betreffende land een passend beschermingsniveau biedt overeenkomstig de AVG, bijvoorbeeld op basis van een adequaatheidsbesluit van de Europese Commissie of door het bieden van passende waarborgen zoals standaardbepalingen gegevensbescherming.

3. Op verzoek van de Verantwoordelijke zal de Verwerker een overzicht verstrekken van de bij de verwerking betrokken Sub-verwerkers.

Artikel 6: Beveiligingsmaatregelen

1. De Verwerker zal passende technische en organisatorische beveiligingsmaatregelen nemen om Persoonsgegevens te beschermen tegen verlies of enige vorm van onrechtmatige verwerking.

2. Deze maatregelen zullen in overeenstemming zijn met de stand van de techniek, de gevoeligheid van de gegevens en de kosten van implementatie, en kunnen onder andere versleuteling, toegangscontroles en pseudonimisering omvatten.

3. De Verwerker zal periodiek de genomen maatregelen evalueren en waar nodig bijwerken.

Artikel 7: Melding van Datalekken

1. Indien zich bij de Verwerker een Datalek voordoet, zal de Verwerker de Verantwoordelijke zonder onnodige vertraging informeren, maar uiterlijk binnen 24 uur na ontdekking.

2. De Verwerker zal alle relevante informatie verschaffen, waaronder de aard van het Datalek, de getroffen gegevens, de getroffen personen, de waarschijnlijke gevolgen en eventuele genomen of voorgestelde maatregelen.

3. De Verwerker zal een register bijhouden van alle Datalekken en dit register op verzoek beschikbaar stellen aan de Verantwoordelijke.

Artikel 8: Rechten van Betrokkenen

De Verwerker zal verzoeken van Betrokkenen met betrekking tot hun rechten onder de AVG, waaronder rechten op toegang, rectificatie, verwijdering en gegevensoverdraagbaarheid, onverwijld doorzenden aan de Verantwoordelijke. De Verwerker zal de redelijke instructies van de Verantwoordelijke opvolgen en de noodzakelijke medewerking verlenen.

Artikel 9: Inspectie en Audits

1. De Verantwoordelijke is gerechtigd om eenmaal per kalenderjaar een audit uit te voeren om de naleving van deze Overeenkomst door de Verwerker te verifiëren.

2. De audit zal vooraf worden aangekondigd, mag de bedrijfsvoering van de Verwerker niet onredelijk verstoren, en zal worden uitgevoerd door een onafhankelijke, competente derde die aan geheimhouding is gebonden.

3. De kosten van de audit komen voor rekening van de Verantwoordelijke.

Artikel 10: Aansprakelijkheid

1. De totale aansprakelijkheid van de Verwerker voor directe schade als gevolg van toerekenbare tekortkomingen in de uitvoering van deze Overeenkomst is beperkt tot het bedrag dat de Verantwoordelijke in de twaalf (12) maanden voorafgaand aan het schadeveroorzakende voorval aan de Verwerker heeft betaald.

2. De Verwerker is niet aansprakelijk voor indirecte schade, gevolgschade, gederfde winst, verlies van gegevens, opgelegde boetes door toezichthoudende autoriteiten of imagoschade.

3. De Verwerker is niet aansprakelijk voor schade voortvloeiend uit AI-output of gebruik van de systemen buiten de overeengekomen doeleinden.

Artikel 11: Eigendom en Overdracht van AI-Systemen

1. De AI-Systemen ontwikkeld door de Verwerker onder de overeenkomst worden eigendom van de Verantwoordelijke na volledige betaling van alle overeengekomen vergoedingen en openstaande facturen.

2. Tot volledige betaling blijft het eigendom van de AI-Systemen bij de Verwerker en ontvangt de Verantwoordelijke alleen een tijdelijk, niet-overdraagbaar gebruiksrecht.

3. De Verwerker behoudt het recht om generieke componenten, kennis, methoden en niet-klant-specifieke bouwstenen ontwikkeld tijdens het werk in andere contexten te gebruiken, mits er geen vertrouwelijke informatie van de Verantwoordelijke wordt gebruikt.

4. Overdracht van broncode, technische documentatie en configuraties zal uiterlijk dertig (30) dagen na voltooiing van het project en volledige betaling plaatsvinden.

Artikel 12: Vertrouwelijkheid

1. De Partijen zullen strikte vertrouwelijkheid handhaven met betrekking tot alle vertrouwelijke informatie die in het kader van deze Overeenkomst wordt gedeeld.

2. Deze verplichting geldt niet indien openbaarmaking wettelijk vereist is of met voorafgaande schriftelijke toestemming van de andere Partij.

3. De vertrouwelijkheidsverplichting blijft van kracht gedurende de looptijd van de Overeenkomst en gedurende drie (3) jaar na beëindiging.

Artikel 13: Duur en Beëindiging

1. Deze Overeenkomst treedt in werking op de startdatum van de opdracht en blijft van kracht zolang de Verwerker diensten verleent aan de Verantwoordelijke.

2. Na beëindiging van de overeenkomst zal de Verwerker de Persoonsgegevens verwijderen of retourneren, tenzij er een wettelijke verplichting tot bewaring is.

Artikel 14: Toepasselijk Recht en Geschillen

1. Deze Overeenkomst wordt uitsluitend beheerst door het Nederlandse recht.

2. Geschillen die voortvloeien uit of verband houden met deze Overeenkomst worden uitsluitend voorgelegd aan de bevoegde rechtbank in Amsterdam.

Contact

Voor vragen over deze Gegevensverwerkingsovereenkomst, e-mail ons op hello@whatsnext-ai.com. What’s Next AI is onderdeel van Eager en gevestigd in Nederland.