Verwerkersovereenkomst (DPA)

De klant is verwerkingsverantwoordelijke: u bepaalt welke projectdata in In Zicht worden vastgelegd en waarvoor. Het infraloket (SaaS) B.V., in dit document verkort aangeduid als Het infraloket, is voor die verwerking in opdracht verwerker: wij verwerken die gegevens uitsluitend in opdracht van u en volgens uw instructies. Waar deze verwerkersovereenkomst “wij” of “ons” noemt, wordt deze vennootschap bedoeld.

Wij verwerken persoonsgegevens uitsluitend op uw schriftelijke, gedocumenteerde instructie, tenzij een wettelijke verplichting ons tot verwerking verplicht. In dat geval stellen wij u daarvan voorafgaand aan de verwerking op de hoogte, tenzij die wetgeving deze kennisgeving verbiedt om gewichtige redenen van algemeen belang.

Is een instructie naar ons oordeel in strijd met de Algemene verordening gegevensbescherming of met andere Unierechtelijke of Nederlandse bepalingen inzake gegevensbescherming, dan melden wij u dat onverwijld en schriftelijk, met vermelding van de reden. Wij mogen de uitvoering van die instructie opschorten totdat u de instructie schriftelijk aanpast of intrekt, dan wel voldoende onderbouwt dat de instructie rechtmatig is. Zolang de instructie naar ons oordeel in strijd blijft met toepasselijke gegevensbeschermingswetgeving, voeren wij deze niet uit. Deze bepaling geeft uitvoering aan artikel 28 lid 3, tweede alinea, AVG.

• Categorieën betrokkenen — medewerkers van de klant, medewerkers van onderaannemers, contactpersonen bij opdrachtgevers en netbeheerders, en bewoners of grondeigenaren voor zover die in projectdossiers voorkomen.
• Categorieën gegevens — naam, functie, zakelijke contactgegevens, projecttoewijzing, handelingen in het platform, geüploade documenten en ondertekende stukken.
• Geen bijzondere persoonsgegevens — In Zicht is niet bedoeld voor gezondheids-, biometrische of strafrechtelijke gegevens. Legt u die toch vast, dan is dat uw verantwoordelijkheid.

Wij verwerken de gegevens uitsluitend om In Zicht te leveren, te beheren, te beveiligen en te ondersteunen. Wij gebruiken uw projectdata niet voor eigen doeleinden, verkopen die niet en delen die niet met derden buiten de subverwerkers hieronder.

Neemt u de optionele AI-module af, dan worden de gegevens die u aan een AI-functie aanbiedt — bijvoorbeeld de tekst van een document dat u laat samenvatten — verwerkt door de AI-leverancier die als subverwerker hieronder staat vermeld. Doel van die verwerking is uitsluitend het genereren van de door u gevraagde output.

• Locatie — de verwerking vindt plaats binnen de Europese Economische Ruimte.
• Geen modeltraining — invoer en output worden niet gebruikt voor het trainen of verbeteren van modellen.
• Geen langdurige opslag — de AI-leverancier bewaart de invoer niet langer dan nodig voor het genereren van de output; het resultaat wordt opgeslagen in uw eigen projectomgeving.
• Geen bijzondere persoonsgegevens — bied via AI-functies geen bijzondere of strafrechtelijke persoonsgegevens aan.
• Gecertificeerde leveranciers — wij zetten uitsluitend AI-leveranciers in die ISO 27001-gecertificeerd zijn of een gelijkwaardige norm aantoonbaar naleven. Certificaat en certificaatnummer: aan te leverenCertificering AI-leverancier— bv. ISO 27001, certificaatnummer

Neemt u de AI-module niet af, dan vindt geen enkele AI-verwerking van uw gegevens plaats.

De productieomgeving van In Zicht draait bij Scaleway op een server in Amsterdam, Nederland. Locatie(s) van back-ups en overige opslag: aan te leverenBack-up- en opslaglocaties— te verifiëren. Locaties van overige datastromen (support, e-mail, AI-verwerking): aan te leverenLocaties overige verwerkingen— te verifiëren. De actuele datacenter- en back-uplocaties staan beschreven op de pagina beveiliging, die onderdeel uitmaakt van deze overeenkomst.

Wij schakelen de onderstaande partijen in. Met elk van hen hebben wij een verwerkersovereenkomst gesloten met minimaal hetzelfde beschermingsniveau. Wijzigingen kondigen wij minimaal 30 dagen vooraf aan, zodat u bezwaar kunt maken.

Wij treffen passende technische en organisatorische maatregelen conform artikel 32 AVG. De volledige beschrijving staat op de pagina beveiliging en maakt onderdeel uit van deze overeenkomst.

Constateren wij een inbreuk in verband met persoonsgegevens, dan melden wij dat zonder onredelijke vertraging en uiterlijk binnen aan te leverenMeldtermijn— bv. 24 uur na ontdekking bij uw contactpersoon. Wij leveren daarbij de informatie die u nodig heeft om zelf aan uw meldplicht bij de Autoriteit Persoonsgegevens te voldoen.

Ontvangen wij rechtstreeks een verzoek van een betrokkene, dan verwijzen wij die door naar u. Wij verlenen u redelijke medewerking bij het afhandelen van verzoeken om inzage, correctie of verwijdering.

U mag maximaal eenmaal per jaar de naleving van deze overeenkomst laten toetsen, na redelijke aankondiging en op uw kosten. Wij stellen waar beschikbaar bestaande rapportages en verklaringen ter beschikking zodat een volledige audit vaak niet nodig is.

In afwijking van die hoofdregel is een aanvullende audit mogelijk wanneer dat redelijkerwijs noodzakelijk is, in elk geval bij: (a) een datalek of ernstig beveiligingsincident; (b) concrete, redelijke aanwijzingen voor niet-naleving van deze overeenkomst; (c) een verzoek of eis van een bevoegde toezichthouder; of (d) een andere situatie waarin een extra audit redelijkerwijs noodzakelijk is om naleving van de toepasselijke gegevensbeschermingsverplichtingen aan te tonen. Ook een aanvullende audit vindt waar mogelijk plaats na redelijke aankondiging, verstoort onze bedrijfsvoering niet onnodig en laat de vertrouwelijkheid en bescherming van gegevens van andere klanten onverlet. De kosten volgen de hoofdregel, tenzij dwingend recht of de toezichthouder anders vereist.

Bij beëindiging van de overeenkomst stellen wij uw data gedurende aan te leverenExporttermijn— bv. 30 dagen beschikbaar in een gangbaar bestandsformaat. Daarna verwijderen wij alle persoonsgegevens uit onze systemen en die van subverwerkers, tenzij een wettelijke bewaarplicht anders bepaalt.

Deze verwerkersovereenkomst wordt aanvaard via het overeenkomstblad bij de modelovereenkomst In Zicht. Door het bijbehorende vakje aan te kruisen verklaart u dit document te hebben ontvangen en ermee akkoord te gaan.

Een aparte handtekening onder deze verwerkersovereenkomst is niet nodig: de modelovereenkomst In Zicht is het centrale onderteken- en aanvaardingsdocument, en één handtekening daarop dekt de overeenkomst en alle daarop aangekruiste documenten uit de documentenset. Een door beide partijen ondertekend exemplaar van de modelovereenkomst opvragen kan via info@hetinfraloket.nl.