Deze overeenkomst hoort bij onze voorwaarden. Je hoeft hem niet apart te tekenen: ga je akkoord met de voorwaarden, dan geldt deze ook. Hij regelt wat wij met de persoonsgegevens van jouw klanten mogen doen.
1. Partijen en geldigheid
Deze verwerkersovereenkomst is onderdeel van de algemene voorwaarden en geldt zodra je een account aanmaakt, zolang je dat account hebt. Spreken de voorwaarden en deze overeenkomst elkaar tegen over persoonsgegevens, dan gaat deze overeenkomst voor. De beperking van aansprakelijkheid in artikel 8 van de voorwaarden geldt ook voor deze overeenkomst, voor zover de AVG dat toestaat.
Jij, het bedrijf met een Tobachat-account, bent verwerkingsverantwoordelijke. Ciro Byte Solutions (KVK 81089058), handelend onder de naam Tobachat, is verwerker. Je gaat deze overeenkomst elektronisch aan; dat telt als de schriftelijke vorm die de AVG vraagt.
2. Onderwerp, aard, doel en duur
- Onderwerp: de persoonsgegevens die jij in Tobachat zet en die via WhatsApp bij je binnenkomen.
- Aard: opslaan, ordenen, raadplegen, doorsturen, automatisch verwerken en verwijderen.
- Doel: het leveren van Tobachat: berichten ontvangen en versturen, contacten en labels bijhouden, campagnes uitvoeren, automatiseringen laten lopen, met AI berichten verwerken en antwoorden voorstellen of versturen, en jou laten zien wat er gebeurt.
- Duur: zolang je een account hebt. Wat er daarna gebeurt, staat in punt 11.
3. Gegevens en betrokkenen
Het gaat om deze soorten persoonsgegevens:
- contactgegevens: telefoonnummer, naam, e-mailadres, labels en eigen velden, voor zover jij ze vastlegt
- de inhoud van berichten in beide richtingen, inclusief foto's, documenten en spraakberichten
- gegevens over het berichtenverkeer: tijdstippen, afleverstatus, wie er namens jou antwoordde en of iemand zich heeft afgemeld
- gegevens uit een koppeling die jij zelf aanzet, zoals een boeking of een bestelnummer
- gegevens van je eigen medewerkers: naam, e-mailadres, rol en wat zij in het dashboard doen
Betrokkenen zijn jouw klanten en andere personen met wie jij via Tobachat contact hebt, en je eigen medewerkers. Jij bepaalt wat je in de dienst zet. De dienst is niet ingericht op bijzondere persoonsgegevens, zoals gegevens over gezondheid. Verwerk je die toch, laat het ons dan weten, zodat we kunnen bekijken of er extra maatregelen nodig zijn.
4. Wat jij regelt
Als verwerkingsverantwoordelijke bepaal jij het doel en de middelen. Dat betekent:
- Je zorgt dat je de gegevens mag verwerken en dat je een grondslag hebt, inclusief de opt-in die WhatsApp vereist.
- Je informeert je eigen klanten over wat er met hun gegevens gebeurt. Een tekst die je daarvoor kunt gebruiken staat op de subverwerkerspagina.
- Je geeft ons instructies via de instellingen in het product, en waar dat niet kan schriftelijk. Wat je in het product instelt, geldt als instructie.
- Je bepaalt hoe lang gegevens blijven staan, voor zover het product je die keuze geeft, en je verwijdert wat je niet meer nodig hebt.
- Je handelt verzoeken van je eigen klanten af. Wij helpen je daarbij, zie punt 8.
- Je zorgt dat je eigen medewerkers alleen toegang hebben zolang ze die nodig hebben.
5. Wat wij doen, en niet doen
Als verwerker doen we alleen wat jij ons opdraagt. Concreet:
- We verwerken de gegevens alleen in jouw opdracht en voor de doelen in punt 2, niet voor onszelf.
- Wat de AI voor een organisatie leest of leert, blijft binnen die organisatie. We gebruiken haar gesprekken nooit om iets voor een andere te verbeteren, en we trainen er geen modellen mee.
- Iedereen bij ons met toegang heeft geheimhoudingsplicht en krijgt alleen toegang als zijn werk dat vraagt.
- We nemen passende technische en organisatorische maatregelen: versleuteling tijdens verzending en opslag, scheiding tussen organisaties die de database zelf afdwingt, vastlegging van wijzigingen en versleutelde back-ups.
- Vinden we dat een instructie van jou in strijd is met de wet, dan zeggen we dat en voeren we hem niet uit.
6. Andere partijen die wij inschakelen
We schakelen andere bedrijven in om de dienst te leveren. Met elk van hen hebben we een overeenkomst die hen aan dezelfde plichten bindt als die hier voor ons gelden. Voor wat zij doen blijven wij tegenover jou aansprakelijk.
Met deze overeenkomst geef je ons vooraf toestemming voor de partijen op de lijst met subverwerkers. Die lijst is de actuele versie. Deze overeenkomst somt hem niet apart op, zodat er nooit twee lijsten naast elkaar kunnen bestaan.
Voegen we een partij toe of vervangen we er een, dan laten we dat minstens 30 dagen van tevoren weten per mail aan de beheerders van je organisatie. Maak je binnen die 30 dagen bezwaar en komen we er samen niet uit, dan mag je opzeggen tegen de datum waarop de wijziging ingaat, zonder kosten voor de resterende periode.
7. Verwerking buiten de EU
Waar een partij buiten de Europese Economische Ruimte verwerkt, gebeurt dat op een grondslag die de AVG toestaat: een adequaatheidsbesluit van de Europese Commissie, of haar standaardcontractbepalingen. Welke partijen dat zijn, staat op de lijst met subverwerkers. Valt een adequaatheidsbesluit weg, dan gelden de standaardcontractbepalingen vanaf dat moment vanzelf, zonder dat er iets opnieuw afgesproken hoeft te worden.
8. Verzoeken van jouw klanten
Vraagt een klant van jou om inzage, correctie, verwijdering, beperking of overdracht van zijn gegevens, dan handel jij dat af. Wij helpen je met de functies in het product en, als die niet volstaan, met de hand. Komt zo'n verzoek per ongeluk bij ons binnen, dan sturen we het naar jou door en beantwoorden we het niet zelf.
9. Beveiligingsincidenten
Ontdekken we een inbreuk op de beveiliging die jouw gegevens raakt, dan melden we dat zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat we ervan weten. We vertellen wat er is gebeurd, welke gegevens het betreft, wat de gevolgen kunnen zijn en wat we eraan doen, en we blijven je op de hoogte houden zolang het onderzoek loopt. Melden bij de Autoriteit Persoonsgegevens en bij je eigen klanten doe jij: dat is jouw plicht als verwerkingsverantwoordelijke. Moet je een gegevensbeschermingseffectbeoordeling doen, of de toezichthouder vooraf raadplegen, dan leveren wij de informatie die we hebben.
10. Controle
Je mag controleren of we ons hieraan houden. Vraag je erom, dan geven we binnen 30 dagen de informatie die daarvoor nodig is. Wil je een audit door een onafhankelijke deskundige met geheimhoudingsplicht, dan werken we daaraan mee, hoogstens een keer per jaar, of vaker als een toezichthouder daarom vraagt. De kosten zijn voor jou, behalve als er iets uit komt dat we moeten herstellen.
11. Einde van de overeenkomst
Zolang je account bestaat kun je je gegevens exporteren. Stopt het account, dan geef je aan of je de gegevens terug wilt of dat we ze verwijderen. Hebben we ze teruggegeven, of laat je niets weten, dan verwijderen we ze zonder onredelijke vertraging uit de actieve systemen. Uit de back-ups verdwijnen ze doordat die in de normale back-upcyclus worden overschreven. Moeten we iets langer bewaren omdat de wet dat eist, zoals factuurgegevens, dan bewaren we alleen dat en alleen zolang het moet.
12. Wijzigingen en toepasselijk recht
We kunnen deze overeenkomst aanpassen als de wet of de dienst daarom vraagt. Inhoudelijke wijzigingen kondigen we minstens 30 dagen van tevoren aan, op dezelfde manier als een wijziging in de lijst met subverwerkers. Ben je het er niet mee eens, dan kun je opzeggen tegen de datum waarop de wijziging ingaat.
Op deze overeenkomst is Nederlands recht van toepassing. Geschillen leggen we voor aan de bevoegde Nederlandse rechter.