Verwerkersovereenkomst

Deze verwerkersovereenkomst (de "Verwerkersovereenkomst") regelt de verwerking van Persoonsgegevens bij de levering van de Diensten door de Aanbieder (Ontos B.V., handelend als OntosCompile) aan de Klant, en maakt deel uit van de Overeenkomst tussen Partijen.

Deze Verwerkersovereenkomst regelt de rechten en verplichtingen van de Klant in zijn hoedanigheid van verwerkingsverantwoordelijke of verwerker, alsmede de rechten en verplichtingen van de Aanbieder in zijn hoedanigheid van verwerker of sub-verwerker wanneer de Aanbieder Persoonsgegevens namens de Klant verwerkt onder de Overeenkomst.

Het doel van deze Verwerkersovereenkomst is de verwerking van Persoonsgegevens te regelen overeenkomstig de eisen van de Toepasselijke Gegevensbeschermingswetgeving. Begrippen en uitdrukkingen in deze Verwerkersovereenkomst worden uitgelegd overeenkomstig de Toepasselijke Gegevensbeschermingswetgeving zoals hieronder gedefinieerd.

Bij strijdigheid tussen de overige delen van de Overeenkomst en deze Verwerkersovereenkomst (waaronder de in clausule 1.5 genoemde documenten) prevaleert de tekst van deze Verwerkersovereenkomst.

De volgende documenten maken deel uit van de Verwerkersovereenkomst:

Begrippen met een hoofdletter die in deze Verwerkersovereenkomst worden gebruikt maar niet zijn gedefinieerd, hebben de betekenis die daaraan is gegeven in de Overeenkomst, het toepasselijke Bestelformulier of de Algemene Voorwaarden van OntosCompile ("AV").

De Aanbieder is Ontos B.V., dezelfde rechtspersoon die de overige diensten van de Aanbieder exploiteert. Heeft de Klant reeds een verwerkersovereenkomst met Ontos B.V. gesloten voor een andere dienst, dan blijft die overeenkomst volgens haar eigen voorwaarden van kracht. Deze Verwerkersovereenkomst legt de voorwaarden vast waaronder Persoonsgegevens via de Diensten worden verwerkt, en is op die verwerking van toepassing.

De Aanbieder verbindt zich ertoe Persoonsgegevens te verwerken voor de in deze Verwerkersovereenkomst omschreven doeleinden (waaronder de Specificatie van de gegevensverwerking) en overeenkomstig de gedocumenteerde schriftelijke instructies van de Klant, tenzij de Toepasselijke Gegevensbeschermingswetgeving anders voorschrijft. De instructies van de Klant aan de Aanbieder over het onderwerp en de duur van de verwerking, de aard en het doel van de verwerking, de soorten Persoonsgegevens en de categorieën betrokkenen, alsmede de rechten en verplichtingen van beide Partijen, zijn vastgelegd in deze Verwerkersovereenkomst en in de Specificatie van de gegevensverwerking als bedoeld in clausule 1.5(a).

Als verwerker verbindt de Aanbieder zich ertoe: (a) te voldoen aan alle Toepasselijke Gegevensbeschermingswetgeving die op hem van toepassing is in zijn hoedanigheid van verwerker van de Persoonsgegevens; (b) mee te werken aan audits die de Klant uitvoert overeenkomstig clausule 9; en (c) de Klant onverwijld en in elk geval binnen vijf (5) werkdagen te informeren indien de Aanbieder vaststelt dat een instructie van de Klant in strijd is met de Toepasselijke Gegevensbeschermingswetgeving.

Elke doorgifte van Persoonsgegevens aan de Aanbieder via de Diensten geschiedt met veilige, redelijke en passende mechanismen, waaronder versleuteling tijdens transport.

De Aanbieder informeert de Klant onverwijld over elke communicatie met een Gegevensbeschermingsautoriteit die betrekking heeft op de verwerking van Persoonsgegevens door de Aanbieder onder deze Verwerkersovereenkomst, en verleent de Klant redelijke bijstand indien de Klant een verzoek van een dergelijke autoriteit ontvangt of onderwerp is van een onderzoek. Richten betrokkenen, bevoegde autoriteiten of andere derden zich tot de Aanbieder met verzoeken over de verwerking van Persoonsgegevens die onder deze Verwerkersovereenkomst valt, dan verwijst de Aanbieder die verzoeken door naar de Klant, voor zover het toepasselijke recht dat toelaat.

De Aanbieder verleent de Klant redelijke bijstand, door middel van passende technische en organisatorische maatregelen, bij de nalevingsverplichtingen van de Klant, waaronder het implementeren van redelijke beveiligingsprocedures en -praktijken die passen bij de aard van de Persoonsgegevens.

De bijstand van de Aanbieder aan de Klant onder de clausules 2.4 en 2.5 wordt verleend op redelijke kosten van de Klant, tenzij de aanleiding voor die bijstand het rechtstreekse gevolg is van handelen of nalaten van de Aanbieder of diens Gelieerde ondernemingen.

De Aanbieder verklaart dat hij: (a) Persoonsgegevens niet zal bewaren, gebruiken of verstrekken buiten de context van de relatie tussen de Aanbieder en de Klant, anders dan om de Diensten te leveren overeenkomstig de Overeenkomst en deze Verwerkersovereenkomst of zoals anderszins toegestaan door de Toepasselijke Gegevensbeschermingswetgeving; (b) Persoonsgegevens niet zal verkopen of delen; en (c) Persoonsgegevens die hij bij de uitvoering van de Diensten verkrijgt niet zal combineren met persoonsgegevens uit andere bronnen, behalve voor zover strikt noodzakelijk om de Diensten te leveren of toegestaan door de Toepasselijke Gegevensbeschermingswetgeving.

Onverminderd het algemene karakter van clausule 2.7, en in lijn met clausule 8.3.3 van de AV, zal de Aanbieder Klantgegevens (waaronder de daarin opgenomen Persoonsgegevens) niet gebruiken om enig model voor kunstmatige intelligentie of machine learning te trainen, te hertrainen, te fine-tunen of anderszins te verbeteren, of dat nu een eigen model is of dat van een derde, behoudens voor zover de Klant daarvoor vooraf specifieke schriftelijke toestemming heeft gegeven voor een omschreven doel. De Aanbieder contracteert met zijn AI-sub-verwerker op voorwaarden waaronder prompts en antwoorden niet worden bewaard voor modeltraining.

De Klant waarborgt dat hij beschikt over een geldige grondslag onder de Toepasselijke Gegevensbeschermingswetgeving en over alle benodigde rechten, toestemmingen en machtigingen om de Persoonsgegevens aan de Aanbieder te verstrekken en de Aanbieder te machtigen die Persoonsgegevens te verwerken overeenkomstig deze Verwerkersovereenkomst, de Overeenkomst en andere verwerkingsinstructies die de Klant aan de Aanbieder geeft.

De Klant voldoet aan alle Toepasselijke Gegevensbeschermingswetgeving die op hem van toepassing is in zijn hoedanigheid van verwerkingsverantwoordelijke of, waar relevant, van verwerker jegens zijn eigen cliënten.

De Klant beperkt het verstrekken van Persoonsgegevens aan de Aanbieder tot wat noodzakelijk is voor het doel van de Overeenkomst.

De Aanbieder is, met inachtneming van de clausules 4.2 en 5, gerechtigd onderaannemers als sub-verwerker in te schakelen, mits zij zijn gebonden aan een schriftelijke overeenkomst die hun in wezen dezelfde gegevensbeschermingsverplichtingen oplegt als die waaraan de Aanbieder onder deze Verwerkersovereenkomst is gebonden.

De Aanbieder informeert de Klant over elke nieuwe sub-verwerker door de lijst met sub-verwerkers als bedoeld in clausule 1.5(b) bij te werken, en stelt de Klant in de gelegenheid bezwaar te maken tegen die wijziging. De Aanbieder geeft die kennisgeving door: (i) de bijgewerkte lijst met sub-verwerkers te publiceren op de in clausule 1.5(b) genoemde pagina, met duidelijke vermelding van de wijziging, en diezelfde wijziging te publiceren op de feed waarnaar die pagina verwijst; en (ii) de Klant per e-mail te berichten indien de Klant zich heeft geabonneerd op meldingen of anderszins daarvoor een e-mailadres aan de Aanbieder heeft verstrekt. Een bezwaar van de Klant berust op redelijke gronden die verband houden met het vermogen van de voorgestelde sub-verwerker om te voldoen aan de Toepasselijke Gegevensbeschermingswetgeving en wordt schriftelijk gemaakt binnen dertig (30) dagen na de kennisgeving.

Indien de Aanbieder de sub-verwerker ondanks het bezwaar van de Klant blijft inschakelen, treden Partijen te goeder trouw in overleg over een alternatieve oplossing die voor beide Partijen redelijkerwijs aanvaardbaar is. Wordt zo'n oplossing niet gevonden en zou het bezwaar van de Klant naar het redelijk oordeel van de Aanbieder leiden tot kosten of operationele gevolgen die niet commercieel redelijk zijn, dan kan de Aanbieder de Overeenkomst beëindigen met een redelijke schriftelijke opzegtermijn.

De Klant erkent dat hij Persoonsgegevens kan doorgeven aan, of via toegang op afstand beschikbaar kan stellen aan, de Aanbieder in de EU zodat de Aanbieder de Diensten kan leveren. De Aanbieder verwerkt Persoonsgegevens niet buiten de EU/EER en schakelt geen sub-verwerkers in die Persoonsgegevens buiten de EU/EER verwerken zonder voorafgaande goedkeuring van de Klant, die wordt geacht te zijn gegeven indien de Klant niet binnen de in clausule 4.2 genoemde termijn bezwaar heeft gemaakt tegen een nieuwe sub-verwerker.

Voor zover een doorgifte als bedoeld in clausule 5.1 een Beperkte Doorgifte vormt, verstrekt de Aanbieder op verzoek alle redelijkerwijs relevante informatie over die doorgifte zodat de Klant een geïnformeerd besluit kan nemen, waaronder gegevens over het land of gebied waarnaar de Persoonsgegevens worden doorgegeven.

Worden Modelcontractbepalingen gebruikt als Doorgiftemechanisme onder deze Verwerkersovereenkomst, dan worden zij als volgt toegepast: (a) de Aanbieder zorgt ervoor dat de Beperkte Doorgifte is onderworpen aan passende waarborgen zoals bedoeld in hoofdstuk V van de AVG en kan zich daartoe beroepen op de Modelcontractbepalingen, mits die bepalingen, met inbegrip van aanvullende beveiligingsmaatregelen, een in wezen gelijkwaardig beschermingsniveau waarborgen; en (b) Partijen erkennen en komen overeen dat de Aanbieder of diens sub-verwerker, al naargelang het geval, Module 3 van de Modelcontractbepalingen toepast.

De Aanbieder verklaart en garandeert dat hij geen reden heeft om aan te nemen dat wetgeving of praktijken die op hem of zijn sub-verwerkers van toepassing zijn, waaronder in landen waarnaar Persoonsgegevens door hemzelf of via een sub-verwerker worden doorgegeven, hem beletten zijn verplichtingen na te komen onder de Toepasselijke Gegevensbeschermingswetgeving, deze Verwerkersovereenkomst of de Modelcontractbepalingen. Kan de Aanbieder zijn verplichtingen onder deze clausule 5.4 niet nakomen, dan stelt hij de Klant daarvan onmiddellijk op de hoogte.

Om een passend beveiligingsniveau voor de bescherming van Persoonsgegevens te handhaven, en onverminderd de overige in de Overeenkomst vastgelegde verplichtingen inzake informatiebeveiliging en geheimhouding, verbindt de Aanbieder zich aan de passende technische en organisatorische maatregelen die zijn beschreven in de Beveiligingsmaatregelen.

De Aanbieder beschermt Persoonsgegevens tegen onopzettelijke of onrechtmatige vernietiging, verlies, wijziging, ongeoorloofde verstrekking van of toegang tot doorgegeven, opgeslagen of anderszins verwerkte Persoonsgegevens. De Persoonsgegevens worden tevens beschermd tegen andere vormen van onrechtmatige verwerking.

De Aanbieder zorgt ervoor dat uitsluitend medewerkers en andere vertegenwoordigers die toegang tot Persoonsgegevens nodig hebben om de verplichtingen van de Aanbieder onder de Overeenkomst na te komen, toegang tot die informatie hebben. De Aanbieder zorgt ervoor dat alle personen die gemachtigd zijn Persoonsgegevens te verwerken zich tot geheimhouding hebben verbonden of onder een passende wettelijke geheimhoudingsplicht vallen.

De Aanbieder stelt de Klant onverwijld en uiterlijk binnen 72 uur na kennisname op de hoogte van een inbreuk in verband met Persoonsgegevens die Persoonsgegevens van de Klant raakt.

De Aanbieder verleent de Klant bijstand met alle informatie die redelijkerwijs nodig is om te voldoen aan de meldplicht van de Klant onder de Toepasselijke Gegevensbeschermingswetgeving. De kosten van die bijstand vallen onder de aansprakelijkheidsbeperkingen in de Algemene Voorwaarden.

De Aanbieder verleent de Klant, op redelijke kosten van de Klant en rekening houdend met de aard van de verwerking en de informatie waarover de Aanbieder beschikt, bijstand bij het nakomen van de verplichting van de Klant om, waar van toepassing, gegevensbeschermingseffectbeoordelingen uit te voeren en voorafgaande raadplegingen met de Gegevensbeschermingsautoriteit te houden.

De Klant heeft het recht audits uit te voeren op de verwerking van zijn Persoonsgegevens door de Aanbieder om de naleving van deze Verwerkersovereenkomst en van de Toepasselijke Gegevensbeschermingswetgeving te controleren. Dit auditrecht is beperkt tot eenmaal per periode van 12 maanden, tenzij de Klant duidelijke redenen heeft om aan te nemen dat de Aanbieder zijn verplichtingen onder deze Verwerkersovereenkomst wezenlijk heeft geschonden.

De Aanbieder verbindt zich ertoe de Klant alle informatie en andere bijstand ter beschikking te stellen die redelijkerwijs nodig is om de naleving van de in deze Verwerkersovereenkomst neergelegde verplichtingen aan te tonen en om audits mogelijk te maken en daaraan bij te dragen, uitgevoerd door een bevoegde en onafhankelijke auditor van goede naam die door de Klant is aangewezen, mits de personen die de audit uitvoeren geheimhoudingsovereenkomsten aangaan of gebonden zijn aan wettelijke geheimhoudingsverplichtingen.

In dit verband wordt opgemerkt dat zich onder de klanten van de Aanbieder entiteiten bevinden die onderworpen zijn aan wettelijke of beroepsrechtelijke geheimhoudingsregels ten aanzien van cliëntdossiers, in het bijzonder accountantskantoren. De Klant erkent daarom dat audits onder deze Verwerkersovereenkomst geen toegang omvatten tot informatie die betrekking heeft op of toebehoort aan andere klanten van de Aanbieder.

De Klant draagt alle kosten die met audits samenhangen, behalve wanneer een audit concludeert dat de Aanbieder zijn verplichtingen onder deze Verwerkersovereenkomst of onder de Toepasselijke Gegevensbeschermingswetgeving wezenlijk heeft geschonden; in dat geval vergoedt de Aanbieder de Klant de redelijke en aantoonbare kosten van de audit.

De bepalingen van deze Verwerkersovereenkomst gelden zolang de Aanbieder Persoonsgegevens verwerkt waarvoor de Klant verwerkingsverantwoordelijke is, of totdat deze Verwerkersovereenkomst wordt vervangen door een andere verwerkersovereenkomst.

Vóór het einde van deze Verwerkersovereenkomst verwijdert de Aanbieder, naar keuze en op instructie van de Klant, alle Persoonsgegevens op veilige wijze of geeft hij deze aan de Klant terug, tenzij de Toepasselijke Gegevensbeschermingswetgeving de Aanbieder verplicht de Persoonsgegevens te bewaren; in dat geval gelden de verplichtingen van clausule 11.4(a) tot en met (c).

Is teruggave of vernietiging praktisch onuitvoerbaar of incidenteel verboden door een geldig wettelijk voorschrift, dan treft de Aanbieder maatregelen om de Klant te informeren en die Persoonsgegevens af te schermen van iedere verdere verwerking (behalve voor zover noodzakelijk voor de voortgezette hosting of verwerking die naar Nederlands of Unierecht vereist is), en blijft hij de Persoonsgegevens die hij onder zich houdt passend beschermen. Houdt een gemachtigde sub-verwerker Persoonsgegevens onder zich, dan verlangt de Aanbieder van die sub-verwerker dezelfde maatregelen als van de Aanbieder zelf zouden worden verlangd.

Op verzoek van de Klant verstrekt de Aanbieder een schriftelijke bevestiging van de maatregelen die ten aanzien van de Persoonsgegevens zijn getroffen na afloop van de verwerking als bedoeld in clausule 11.1.

Is de Aanbieder wettelijk verplicht archiefkopieën van specifieke gegevens van de Klant te bewaren voor fiscale of vergelijkbare doeleinden, dan zal de Aanbieder: (a) de Klant daarvan schriftelijk op de hoogte stellen onder vermelding van de wettelijke verplichting en de betrokken gegevens; (b) de gearchiveerde informatie voor geen ander doel gebruiken dan het strikt naleven van die wettelijke verplichting; en (c) gebonden blijven aan zijn verplichtingen onder de Overeenkomst, waaronder deze Verwerkersovereenkomst, met inbegrip van zijn geheimhoudings- en beveiligingsverplichtingen en de verplichting de informatie met passende waarborgen te beschermen en de Klant te informeren over elk beveiligingsincident waarbij die informatie betrokken is.

Wijzigingen van deze Verwerkersovereenkomst zijn slechts geldig indien zij schriftelijk zijn overeengekomen en naar behoren zijn ondertekend door bevoegde vertegenwoordigers van beide Partijen.

Niettegenstaande clausule 12.1 is de Klant gerechtigd zijn schriftelijke instructies over de verwerking, zoals vastgelegd in de Specificatie van de gegevensverwerking, bij te werken. De Aanbieder heeft recht op vergoeding van redelijke en aantoonbare meerkosten die daaruit voortvloeien. Geen vergoeding is verschuldigd voor wijzigingen die rechtstreeks voortvloeien uit of rechtstreeks zijn gebaseerd op eisen van de Toepasselijke Gegevensbeschermingswetgeving.

De aansprakelijkheidsbepalingen en de beperkingen daarvan uit de Algemene Voorwaarden zijn van toepassing op deze Verwerkersovereenkomst.

Behoudens voor zover de Toepasselijke Gegevensbeschermingswetgeving anders voorschrijft, wordt deze Verwerkersovereenkomst beheerst door de rechtskeuze in de Algemene Voorwaarden.

Elk geschil, elke controverse of elke vordering die voortvloeit uit of verband houdt met deze Verwerkersovereenkomst, of met de schending, beëindiging of ongeldigheid daarvan, wordt definitief beslecht overeenkomstig de geschillenregeling in de Algemene Voorwaarden.