Verwerkersovereenkomst

1. Addendum gegevensverwerking

AIMention zet zich in voor de privacy, beveiliging en rechtmatige verwerking van klantgegevens. Dit Addendum gegevensverwerking (“DPA”) beschrijft de voorwaarden waaronder wij persoonsgegevens verwerken, opslaan en beschermen volgens de toepasselijke gegevensbeschermingswetgeving. De DPA vormt een aanvulling op onze hoofdovereenkomst met Klanten en geldt wanneer AIMention als verwerker persoonsgegevens namens de Klant verwerkt.

Deze DPA legt voor beide partijen duidelijke verantwoordelijkheden vast voor de verwerking van gegevens en de naleving van relevante privacywetten. Door AIMention te gebruiken, erkennen en aanvaarden Klanten deze voorwaarden. Neem contact op via [email protected] als u een ondertekend exemplaar nodig heeft om aan uw verplichtingen te voldoen.

2. Definities

Gelieerde onderneming is elke entiteit die direct of indirect zeggenschap heeft over een partij, onder zeggenschap van die partij staat of daarmee onder gemeenschappelijke zeggenschap staat. “Zeggenschap” betekent de directe of indirecte eigendom van ten minste 50% van de stemgerechtigde aandelen, kapitaalbelangen of vergelijkbare rechten in de entiteit. Gelieerde ondernemingen zijn gebonden aan de verplichtingen en verantwoordelijkheden van deze DPA voor zover zij persoonsgegevens verwerken.

Geautoriseerde subverwerker betekent elke externe leverancier, dienstverlener of contractant die door AIMention is ingeschakeld om de Persoonsgegevens van de Klant strikt namens en volgens de instructies van AIMention te verwerken. Alle subverwerkers moeten voldoen aan dezelfde verplichtingen op het gebied van gegevensbescherming, waarbij de veiligheid, vertrouwelijkheid en naleving van de regelgeving worden gehandhaafd.

Accountgegevens zijn alle bedrijfsgerelateerde gegevens die AIMention verzamelt, opslaat en verwerkt in het kader van de contractuele relatie met de Klant. Dit omvat namen, e-mailadressen, telefoonnummers, betaalgegevens en inloggegevens van personen die de Klant heeft gemachtigd om het account op het platform te beheren en te gebruiken. Accountgegevens worden uitsluitend gebruikt voor administratie, facturering en ondersteuning.

Gegevensbeschermingswetgeving omvat alle toepasselijke wetten, voorschriften en kaders voor het verzamelen, verwerken, opslaan, doorgeven en beschermen van Persoonsgegevens — waaronder de Algemene verordening gegevensbescherming (AVG) van de Europese Unie, de UK GDPR, de California Consumer Privacy Act (CCPA) en alle overige nationale of internationale privacywetten die relevant zijn voor de gegevensverwerking onder deze Overeenkomst.

Persoonsgegevens zijn alle gegevens die betrekking hebben op een geïdentificeerde of identificeerbare natuurlijke persoon (“Betrokkene”). Geanonimiseerde of geaggregeerde gegevens waarmee niemand kan worden geïdentificeerd, vallen hier niet onder.

Verwerking is elke bewerking of reeks bewerkingen op Persoonsgegevens, automatisch of handmatig — waaronder verzamelen, vastleggen, ordenen, structureren, opslaan, aanpassen, wijzigen, opvragen, raadplegen, gebruiken, openbaar maken, verzenden, beperken, wissen of vernietigen.

Beveiligingsmaatregelen zijn de technische en organisatorische waarborgen voor de vertrouwelijkheid, integriteit en beschikbaarheid van Persoonsgegevens. Hieronder vallen versleuteling, toegangscontroles, firewalls, gegevensmaskering, pseudonimisering, regelmatige beveiligingsaudits en procedures voor het melden van datalekken.

Toezichthoudende autoriteit is een onafhankelijke overheidsinstantie die toeziet op de naleving en handhaving van de gegevensbeschermingswetgeving — bijvoorbeeld het Europees Comité voor gegevensbescherming (EDPB), het Information Commissioner’s Office in het Verenigd Koninkrijk (ICO) en de California Privacy Protection Agency (CPPA).

Rechten van betrokkenen verwijzen naar de rechten die aan personen worden verleend op grond van de toepasselijke wetgeving inzake gegevensbescherming, waaronder toegang, rectificatie, verwijdering, beperking, overdraagbaarheid, bezwaar en het recht om klachten in te dienen bij een toezichthoudende autoriteit.

3. Verwerking van gegevens

De Klant kan als Verwerkingsverantwoordelijke of als Verwerker optreden, afhankelijk van de relatie met de Betrokkene en de doeleinden waarvoor de Persoonsgegevens worden verwerkt. AIMention treedt in alle gevallen op als Verwerker en verwerkt Persoonsgegevens namens en volgens de instructies van de Klant.

De Klant is ervoor verantwoordelijk dat alle gegevensverwerkingsactiviteiten die met behulp van onze diensten worden uitgevoerd, voldoen aan de toepasselijke wetgeving inzake gegevensbescherming. De Klant erkent dat hij over de wettelijke basis beschikt om Persoonsgegevens te verwerken en vrijwaart AIMention voor alle claims, aansprakelijkheden of schade die voortvloeien uit het niet naleven van deze wettelijke vereisten.

AIMention verwerkt Persoonsgegevens uitsluitend volgens de schriftelijke instructies van de Klant en voor zover dat nodig is om de diensten te leveren, tenzij de wet anders voorschrijft. Wij gebruiken, verstrekken of delen Persoonsgegevens niet voor andere doeleinden dan die welke de Klant heeft toegestaan of die uitdrukkelijk in deze Overeenkomst staan.

Bij beëindiging van de Overeenkomst of op verzoek van de Klant zal AIMention, naar keuze van de Klant, (a) alle onder deze Overeenkomst verwerkte Persoonsgegevens veilig verwijderen zonder kopieën te bewaren, tenzij de wet dit vereist, of (b) de Persoonsgegevens vóór verwijdering aan de Klant teruggeven in een gestructureerd, gangbaar en machineleesbaar formaat.

4. Beveiliging en vertrouwelijkheid

AIMention zet zich in voor de bescherming van de veiligheid en vertrouwelijkheid van Persoonsgegevens die namens de Klant worden verwerkt. We implementeren en onderhouden toonaangevende beveiligingsmaatregelen die zijn ontworpen om ongeoorloofde toegang, openbaarmaking, wijziging of vernietiging van persoonlijke gegevens te voorkomen, waaronder:

• Gegevensversleuteling. Persoonsgegevens worden tijdens verzending (TLS 1.2+) en opslag (AES-256) versleuteld met protocollen die gangbaar zijn in de sector.
• Toegangscontroles. Een strikt beleid voor toegangsbeheer zorgt ervoor dat alleen geautoriseerd personeel toegang heeft tot persoonlijke gegevens op basis van het principe van de minste privileges.
• Netwerk- & systeembeveiliging. Firewalls, inbraakdetectiesystemen en continue monitoring helpen onbevoegde toegang en cyberdreigingen te voorkomen.
• Anonimisering & pseudonimisering van gegevens. Waar van toepassing worden persoonsgegevens geanonimiseerd of gepseudonimiseerd om de risico’s bij blootstelling van gegevens te beperken.
• Regelmatige beveiligingsaudits. Periodieke beveiligingsbeoordelingen, kwetsbaarheidstests en nalevingscontroles identificeren en beperken risico's.
• Incidentresponsplan. Een gestructureerd protocol zorgt ervoor dat beveiligingsincidenten onmiddellijk worden geïdentificeerd, beperkt en gerapporteerd in overeenstemming met de toepasselijke wetgeving inzake gegevensbescherming.

Iedereen — werknemer, opdrachtnemer of bevoegde dienstverlener — die namens ons Persoonsgegevens verwerkt, is gebonden aan strikte geheimhoudingsverplichtingen, waaronder ondertekende geheimhoudingsovereenkomsten en naleving van het interne gegevensverwerkingsbeleid.

5. Subverwerkers

AIMention schakelt externe subverwerkers in om te helpen bij het leveren en onderhouden van de dienst. Deze subverwerkers voeren specifieke functies uit, zoals infrastructuurhosting, betalingsverwerking, transactionele e-mail en beveiliging. Wij zorgen ervoor dat alle betrokken subverwerkers zich houden aan verplichtingen op het gebied van gegevensbescherming die gelijkwaardig zijn aan de verplichtingen die zijn uiteengezet in deze DPA, ondersteund door ondertekende overeenkomsten.

Een actuele lijst is op aanvraag verkrijgbaar bij [email protected]. Huidige subverwerkers omvatten (maar zijn niet beperkt tot):

• Stripe — betalingsverwerking, facturering en fraudescreening.
• Mailgun — levering van transactie- en notificatie-e-mail.
• Cloudflare — CDN, DDoS-bescherming en de Turnstile-botuitdaging.
• Aanbieders van beheerde databases — versleutelde opslag van applicatiegegevens.

API-eindpunten van AI-systemen

Om te meten hoe generatieve assistenten het bedrijf van een klant beschrijven, stuurt AIMention zorgvuldig opgestelde openbare prompts naar de officiële API's van ChatGPT (OpenAI), Claude (Anthropic), Gemini (Google), DeepSeek en Grok (xAI). Deze engines zijn onafhankelijke dienstverleners die hun eigen infrastructuur onder hun eigen voorwaarden exploiteren.

• We sturen alleen de vragen die voor het optimalisatieproces zijn voorbereid — geen accountgegevens, privébestanden of persoonsgegevens van uw klanten.
• Wij versturen nooit persoonsgegevens of bedrijfseigen inhoud als trainingsgegevens. Als een aanbieder de optie “gebruik mijn gegevens niet om modellen te trainen” biedt, schakelen we die in voor onze serviceaccounts.
• Elk AI-systeem verwerkt vragen volgens het eigen privacybeleid en de eigen bewaartermijnen. Links naar dat beleid staan in de bijlage bij het Cookiebeleid en zijn op verzoek beschikbaar.

Rechten & bezwaren van de Klant. AIMention informeert Klanten ten minste 10 dagen voordat een nieuwe Subverwerker wordt ingeschakeld. Klanten kunnen binnen die termijn schriftelijk bezwaar maken als zij gegronde zorgen over de gegevensbescherming hebben. We zoeken te goeder trouw naar een oplossing; als geen voor beide partijen aanvaardbare oplossing wordt bereikt, kan de Klant het recht hebben de betrokken diensten te beëindigen.

6. Doorgifte van persoonsgegevens

AIMention kan Persoonsgegevens overdragen buiten de Europese Economische Ruimte (EER), het Verenigd Koninkrijk of Zwitserland om de dienstverlening te vergemakkelijken. Wanneer dergelijke overdrachten plaatsvinden, zorgen wij ervoor dat er passende juridische waarborgen zijn getroffen, waaronder:

• Standaardcontractbepalingen (SCCs) goedgekeurd door de Europese Commissie of andere bevoegde autoriteiten.
• Aanvullende maatregelen — aanvullende technische, organisatorische en contractuele waarborgen.
• Bindende bedrijfsregels (BCRs) indien van toepassing op gelieerde entiteiten.
• Andere goedgekeurde overdrachtsmechanismen erkend onder de toepasselijke wetgeving.

7. Rechten van betrokkenen

AIMention erkent en respecteert de rechten van betrokkenen onder de toepasselijke gegevensbeschermingswetgeving. Wij helpen de Klant, als Verwerkingsverantwoordelijke, te reageren op verzoeken van betrokkenen over hun Persoonsgegevens:

• Recht op inzage — bevestiging of gegevens worden verwerkt en inzage in die gegevens.
• Recht op rectificatie — correctie van onjuiste of onvolledige gegevens.
• Recht op verwijdering (“Recht om vergeten te worden”) — verwijdering van Persoonsgegevens, onder voorbehoud van wettelijke en contractuele verplichtingen.
• Recht om de verwerking te beperken — het beperken van de verwerking van Persoonsgegevens onder bepaalde voorwaarden.
• Recht op gegevensportabiliteit — het verkrijgen en overdragen van Persoonsgegevens aan een andere verwerkingsverantwoordelijke, indien technisch haalbaar.
• Recht om bezwaar te maken — tegen verwerking op basis van legitieme belangen, direct marketing of geautomatiseerde besluitvorming.
• Recht om toestemming in te trekken — op elk moment als de verwerking gebaseerd is op toestemming.

8. Melding datalekken

AIMention implementeert preventieve maatregelen om Persoonsgegevens te beschermen. In het geval van een bevestigde Inbreuk in verband met Persoonsgegevens zullen wij:

• De gevolgen van de inbreuk beoordelen en onmiddellijk maatregelen nemen om die te beperken;
• De Klant zonder onnodige vertraging op de hoogte stellen (doorgaans binnen 48 uur na bevestiging);
• Informatie verstrekken over de aard en omvang van de inbreuk, de getroffen gegevens, de mogelijke gevolgen en de genomen maatregelen;
• De Klant helpen te voldoen aan wettelijke meldplichten tegenover autoriteiten en getroffen betrokkenen;
• Corrigerende maatregelen nemen om herhaling te voorkomen.

Het is de verantwoordelijkheid van de Klant om te bepalen of hij regelgevende instanties en betrokkenen op de hoogte moet stellen in overeenstemming met de toepasselijke wetgeving inzake gegevensbescherming.

9. Bewaren en verwijderen van gegevens

AIMention bewaart Persoonsgegevens slechts zo lang als nodig is om aan zijn verplichtingen onder deze Overeenkomst te voldoen of zoals vereist door de toepasselijke wetgeving. We volgen de principes van dataminimalisatie: gegevens worden alleen bewaard voor legitieme bedrijfs- en nalevingsbehoeften, en worden verwijderd of geanonimiseerd zodra ze niet langer nodig zijn.

Klanten kunnen op elk moment verzoeken om verwijdering van persoonlijke gegevens. Bij beëindiging van de dienstverlening zal AIMention Persoonsgegevens verwijderen of retourneren in overeenstemming met de instructies van de Klant. Als er geen verwijderingsverzoek wordt ingediend, worden Persoonsgegevens automatisch binnen een redelijke termijn verwijderd, tenzij er wettelijke bewaarvereisten van toepassing zijn (belastinggegevens, onderzoek naar fraudepreventie, enz.).

10. Toepasselijk recht & geschillenbeslechting

Op deze DPA zijn hetzelfde recht en dezelfde jurisdictie van toepassing als op de hoofdovereenkomst tussen AIMention en de Klant. Partijen proberen geschillen eerst op te lossen door te goeder trouw te onderhandelen. Lukt dat niet, dan kan het geschil worden voorgelegd aan bemiddeling, arbitrage of de bevoegde rechtbanken in de toepasselijke jurisdictie. Bij strijdigheid tussen deze DPA en de hoofdovereenkomst gaat deze DPA voor waar het de bescherming van persoonsgegevens betreft.

11. Slotbepalingen

Deze DPA vormt een integraal onderdeel van de algehele overeenkomst tussen AIMention en de Klant. Door de diensten te blijven gebruiken, erkent en aanvaardt de Klant de voorwaarden van deze DPA. Als een bepaling ongeldig of niet-afdwingbaar wordt bevonden, blijven de overige bepalingen volledig van kracht.

AIMention behoudt zich het recht voor om deze DPA te wijzigen of bij te werken om wijzigingen in de toepasselijke gegevensbeschermingswetten, industriële praktijken of operationele behoeften weer te geven. Klanten worden op de hoogte gebracht van materiële wijzigingen; voortgezet gebruik van de diensten houdt aanvaarding van de bijgewerkte voorwaarden in.

12. Contact

Neem voor elke vraag, formeel verzoek of voor het verkrijgen van een ondertekend exemplaar van deze DPA contact op met [email protected]. Voor algemene privacygerelateerde vragen kunt u contact opnemen met [email protected].