Verwerkersovereenkomst

Artikel 1. Partijen en rangorde

1. Deze verwerkersovereenkomst hoort bij iedere Overeenkomst tussen Steadfeed en Klant en maakt daar deel van uit. Ze geldt zodra Steadfeed voor Klant Persoonsgegevens verwerkt, zonder dat Klant apart hoeft te tekenen.
2. Klant is voor de verwerkingen in bijlage 1 de Verwerkingsverantwoordelijke. Steadfeed is de Verwerker.
3. Voor de contactgegevens van medewerkers van Klant die Steadfeed gebruikt om de Overeenkomst uit te voeren, en voor de accounts in Forme, is Steadfeed zelf verwerkingsverantwoordelijke. Daarvoor geldt de privacyverklaring, niet deze verwerkersovereenkomst.
4. Spreken deze verwerkersovereenkomst en de algemene voorwaarden elkaar tegen over het verwerken van Persoonsgegevens, dan gaat deze verwerkersovereenkomst voor.

Artikel 2. Begrippen

De begrippen met een hoofdletter betekenen hetzelfde als in de algemene voorwaarden. Daarnaast geldt:

1. AVG: de Algemene verordening gegevensbescherming (Verordening (EU) 2016/679).
2. Verwerkingsverantwoordelijke, Verwerker, Betrokkene en Verwerken: zoals bedoeld in artikel 4 AVG.
3. Subverwerker: een derde die Steadfeed inschakelt en die daarbij Persoonsgegevens verwerkt waarvoor Klant Verwerkingsverantwoordelijke is.
4. Datalek: een inbreuk in verband met Persoonsgegevens zoals bedoeld in artikel 4, onderdeel 12, AVG: een inbreuk op de beveiliging waardoor Persoonsgegevens per ongeluk of onrechtmatig vernietigd, verloren, gewijzigd of onbevoegd verstrekt of ingezien worden.
5. Instructie: een opdracht van Klant over het Verwerken van Persoonsgegevens, zoals vastgelegd in artikel 4.

Artikel 3. Onderwerp en duur

1. Steadfeed verwerkt Persoonsgegevens alleen om de Dienst voor Klant uit te voeren. Bijlage 1 beschrijft welke gegevens, van wie, waarvoor en hoe lang.
2. Deze verwerkersovereenkomst loopt zolang de Overeenkomst loopt, en daarna zolang Steadfeed nog Persoonsgegevens van Klant bewaart volgens artikel 13.

Artikel 4. Verwerken op instructie

1. Steadfeed verwerkt Persoonsgegevens alleen op Instructie van Klant. De Overeenkomst, deze verwerkersovereenkomst en wat Klant in Forme doet (zoals materiaal toevoegen, een Post goedkeuren of een koppeling met een kanaal maken) gelden samen als de Instructie. Klant kan Steadfeed daarnaast Schriftelijk een nadere Instructie geven.
2. Steadfeed gebruikt de Persoonsgegevens niet voor eigen doelen, verkoopt ze niet en gebruikt ze niet om AI-systemen te trainen. Het tonen van goedgekeurde Posts als voorbeeld volgens artikel 10 van de algemene voorwaarden gebeurt alleen voor zover Klant dat niet heeft uitgesloten.
3. Verplicht een wettelijke regel Steadfeed om Persoonsgegevens anders te verwerken, dan laat Steadfeed dat Klant vooraf weten, tenzij die regel dat verbiedt.
4. Vindt Steadfeed dat een Instructie in strijd is met de AVG of een andere regel over gegevensbescherming, dan meldt zij dat direct aan Klant. Steadfeed mag de uitvoering van die Instructie opschorten tot Klant haar heeft bevestigd of aangepast.

Artikel 5. Geheimhouding

1. Steadfeed houdt de Persoonsgegevens geheim. Alleen de persoon die de Dienst uitvoert, heeft er toegang toe, en alleen voor zover dat nodig is voor de Dienst.
2. Schakelt Steadfeed een persoon in die haar helpt bij de Dienst, dan krijgt die alleen toegang na een schriftelijke geheimhoudingsplicht en alleen tot wat hij voor zijn taak nodig heeft.

Artikel 6. Beveiliging

1. Steadfeed neemt passende technische en organisatorische maatregelen om de Persoonsgegevens te beveiligen, zoals artikel 32 AVG vraagt. Bijlage 2 noemt de maatregelen.
2. Klant heeft de maatregelen bekeken en vindt ze passend voor de Persoonsgegevens die hij aan Steadfeed geeft. Klant geeft geen bijzondere persoonsgegevens (zoals gegevens over gezondheid) en geen gegevens van strafrechtelijke aard, zoals ook artikel 7 lid 4 van de algemene voorwaarden bepaalt.
3. Steadfeed mag de maatregelen aanpassen, zolang het niveau van beveiliging niet daalt.

Artikel 7. Subverwerkers

1. Klant geeft Steadfeed toestemming om de Subverwerkers in bijlage 3 in te schakelen.
2. Wil Steadfeed een Subverwerker toevoegen of vervangen, dan laat zij Klant dat ten minste 14 dagen vooraf weten, per e-mail of in Forme. Klant kan binnen die termijn Schriftelijk en gemotiveerd bezwaar maken. Vinden Steadfeed en Klant geen oplossing, dan mag Klant de Overeenkomst opzeggen tegen de datum waarop de wijziging ingaat, zonder opzegtermijn. Vooruitbetaalde bedragen voor de periode daarna betaalt Steadfeed terug.
3. Steadfeed legt elke Subverwerker ten minste dezelfde plichten over gegevensbescherming op als in deze verwerkersovereenkomst staan. Bij de grote leveranciers gebeurt dat met hun eigen verwerkersovereenkomst; bijlage 3 noemt welke.
4. Steadfeed blijft tegenover Klant aansprakelijk voor de Subverwerkers als voor zichzelf, binnen de grenzen van artikel 14.

Artikel 8. Gegevens buiten de Europese Economische Ruimte

1. Steadfeed geeft Persoonsgegevens alleen door naar een land buiten de Europese Economische Ruimte (EER) als daarvoor een grondslag is uit hoofdstuk V van de AVG. Dat is een besluit van de Europese Commissie dat het land of de ontvanger passende bescherming biedt (zoals het EU-US Data Privacy Framework voor gecertificeerde Amerikaanse bedrijven), of de standaardcontractbepalingen van de Europese Commissie.
2. Bijlage 3 noemt per Subverwerker waar de gegevens worden verwerkt en welke grondslag geldt. Klant geeft toestemming voor die doorgifte.

Artikel 9. Rechten van Betrokkenen

1. Ontvangt Steadfeed een verzoek van een Betrokkene, bijvoorbeeld om inzage of verwijdering, dan stuurt zij dat binnen drie werkdagen door aan Klant. Steadfeed beantwoordt het verzoek niet zelf, tenzij Klant daarom vraagt.
2. Steadfeed helpt Klant om zo'n verzoek op tijd af te handelen, bijvoorbeeld door een Post of materiaal te verwijderen of een overzicht te geven van de gegevens die zij voor Klant verwerkt.
3. Vraagt de hulp meer dan een paar uur per kalenderjaar, dan mag Steadfeed redelijke kosten in rekening brengen. Zij noemt die kosten vooraf.

Artikel 10. Datalekken

1. Ontdekt Steadfeed een Datalek bij de Persoonsgegevens van Klant, dan meldt zij dat zonder onredelijke vertraging aan Klant, waar mogelijk binnen 24 uur en uiterlijk binnen 48 uur na de ontdekking. Zo kan Klant zelf binnen 72 uur melden bij de Autoriteit Persoonsgegevens als dat nodig is.
2. Steadfeed geeft Klant daarbij, voor zover zij die al heeft:
   • wat er is gebeurd, wanneer, en hoe het is ontdekt;
   • om welke soorten Persoonsgegevens en Betrokkenen het gaat, en om ongeveer hoeveel;
   • wat de waarschijnlijke gevolgen zijn;
   • welke maatregelen Steadfeed heeft genomen of voorstelt om het lek te dichten en de gevolgen te beperken;
   • wie Klant kan bereiken voor meer informatie.
3. Heeft Steadfeed nog niet alle informatie, dan meldt zij toch, en vult zij de melding aan zodra ze meer weet.
4. Klant beslist of het Datalek wordt gemeld bij de Autoriteit Persoonsgegevens en aan de Betrokkenen. Steadfeed meldt niet zelf, tenzij de wet haar daartoe verplicht.
5. Steadfeed houdt een register bij van alle Datalekken bij de Persoonsgegevens van Klant, ook van lekken die niet gemeld hoeven te worden.
6. Steadfeed zorgt dat een Datalek ook gemeld wordt als zij ziek of afwezig is: [VUL IN: hoe, bijvoorbeeld een vaste vervanger met toegang tot het meldadres].

Artikel 11. Hulp bij andere plichten

Steadfeed helpt Klant, gelet op wat zij weet van de verwerking, bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij een voorafgaande raadpleging van de Autoriteit Persoonsgegevens, als Klant die moet doen (artikelen 35 en 36 AVG). Artikel 9 lid 3 geldt voor de kosten.

Artikel 12. Informatie en controle

1. Steadfeed geeft Klant op verzoek de informatie die nodig is om aan te tonen dat zij zich aan deze verwerkersovereenkomst en artikel 28 AVG houdt, zoals een actuele beschrijving van de maatregelen en de verwerkersovereenkomsten met Subverwerkers.
2. Is die informatie redelijkerwijs niet genoeg, dan mag Klant eenmaal per kalenderjaar een controle (audit) laten doen door een onafhankelijke deskundige met een geheimhoudingsplicht. Klant kondigt de controle ten minste 30 dagen vooraf aan. Na een Datalek mag dat ook tussentijds, met een kortere termijn.
3. De kosten van een controle zijn voor Klant, tenzij blijkt dat Steadfeed deze verwerkersovereenkomst op een wezenlijk punt niet nakomt. Dan herstelt Steadfeed dat zo snel mogelijk, op eigen kosten.

Artikel 13. Einde van de verwerking

1. Klant kan tijdens de Overeenkomst goedgekeurde Posts uit Forme downloaden. Het Aangeleverd Materiaal heeft Klant zelf.
2. Na het einde van de Overeenkomst bewaart Steadfeed de Persoonsgegevens niet langer dan artikel 13 lid 6 van de algemene voorwaarden bepaalt, zodat Klant kan herstarten. Daarna verwijdert zij ze. Vraagt Klant om eerdere verwijdering, dan doet Steadfeed dat binnen 30 dagen en bevestigt zij dat.
3. Kopieën in back-ups verdwijnen vanzelf volgens de bewaartermijn van die back-ups: [VUL IN: termijn back-ups van de database]. Tot dan blijven ze beveiligd en gebruikt Steadfeed ze niet.
4. Moet Steadfeed gegevens langer bewaren door een wettelijke plicht, dan verwerkt zij die alleen nog voor die plicht.

Artikel 14. Aansprakelijkheid

1. Voor de aansprakelijkheid van Steadfeed onder deze verwerkersovereenkomst geldt artikel 15 van de algemene voorwaarden, met de beperkingen die daar staan.
2. Een boete of last onder dwangsom van de Autoriteit Persoonsgegevens komt voor rekening van de partij aan wie die is opgelegd.
3. Klant vrijwaart Steadfeed voor aanspraken van Betrokkenen en toezichthouders die het gevolg zijn van een Instructie van Klant of van Persoonsgegevens die Klant zonder geldige grondslag aan Steadfeed heeft gegeven.
4. De rechten van Betrokkenen tegenover Steadfeed en Klant op grond van artikel 82 AVG blijven bestaan; dit artikel regelt alleen wat Steadfeed en Klant onderling dragen.

Artikel 15. Wijziging en toepasselijk recht

1. Steadfeed mag deze verwerkersovereenkomst wijzigen op dezelfde manier als de algemene voorwaarden (artikel 19 daarvan). Voor nieuwe Subverwerkers geldt artikel 7.
2. Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Artikel 20 van de algemene voorwaarden geldt voor geschillen.

Bijlage 1. Welke gegevens we verwerken

Bijlage 2. Beveiligingsmaatregelen

• Toegang: inloggen in Forme met een wachtwoord van ten minste tien tekens; tweestapsverificatie met een app voor wie dat aanzet, en verplicht voor beheerders die een AI-koppeling gebruiken. Na vijf foute codes binnen een kwartier volgt een pauze.
• Scheiding per Klant: een gebruiker ziet in Forme alleen de Werkruimtes waarvoor hij toegang heeft. Steadfeed maakt accounts zelf aan en haalt ze weg als Klant daarom vraagt.
• Database: alleen via de server van Forme bereikbaar; de database-instellingen laten geen rechtstreekse toegang vanuit de browser toe.
• Koppelingen: sleutels van AI-koppelingen worden alleen onleesbaar gemaakt (gehasht) opgeslagen; Steadfeed vraagt geen wachtwoorden van de kanalen van Klant.
• Verbindingen: alle verkeer van en naar Forme loopt versleuteld (https).
• Plaats: database en hosting van Forme staan in de EU (Ierland).
• Logboeken: Forme legt vast wanneer een Post is aangemaakt, gewijzigd, goedgekeurd of afgewezen, en welke verwijderingen en bevestigingen via een AI-koppeling zijn gedaan. Foutmeldingen bevatten geen e-mailadressen of inhoud van Posts.
• AI-systemen: alleen onder zakelijke voorwaarden zonder training op materiaal van Klant (artikel 7 lid 5 van de algemene voorwaarden). [VUL IN: werkafspraak dat de AI geen opdrachten opvolgt die in Aangeleverd Materiaal staan]
• Eigen apparaten en accounts: tweestapsverificatie op de accounts bij leveranciers, een wachtwoordmanager, versleutelde apparaten, automatische updates en back-ups. [VUL IN: bevestigen dat deze maatregelen kloppen; alleen noemen wat je doet]
• Bestanden: [VUL IN: hoe beeld, logo's en geluid in Forme worden afgeschermd]

Bijlage 3. Subverwerkers

Klant geeft toestemming voor deze Subverwerkers (artikel 7). Met elk van hen geldt een verwerkersovereenkomst; bij de grote leveranciers is dat hun eigen standaardovereenkomst.

[VUL IN: overige ontwerptools, zoals Canva, alleen noemen als ze materiaal van Klant verwerken]

De social-mediaplatforms waarop Posts verschijnen (zoals LinkedIn, Instagram en Facebook) zijn geen Subverwerkers van Steadfeed. Klant heeft met hen een eigen overeenkomst.