Verwerkersovereenkomst

1. Addendum gegevensverwerking

AISignal zet zich in voor de privacy, veiligheid en naleving van klantgegevens. Dit Addendum voor gegevensverwerking (“DPA”) schetst de voorwaarden die bepalen hoe wij persoonlijke gegevens verwerken, opslaan en beschermen in overeenstemming met de toepasselijke wetgeving inzake gegevensbescherming. De DPA is een uitbreiding van onze hoofdovereenkomst met Klanten en is van toepassing wanneer AISignal namens de Klant persoonsgegevens verwerkt als gegevensverwerker.

Het stelt duidelijke verantwoordelijkheden voor beide partijen vast met betrekking tot gegevensverwerking, waardoor naleving van de relevante privacywetten wordt gewaarborgd. Door AISignal te gebruiken, erkennen en gaan klanten akkoord met de voorwaarden uiteengezet in deze DPA. Als u een ondertekende tegenhanger nodig heeft voor nalevingsdoeleinden, neem dan contact met ons op via [email protected].

2. Definities

Affiliate verwijst naar elke entiteit die direct of indirect zeggenschap heeft over, wordt gecontroleerd door of onder gemeenschappelijke controle staat met een partij. “Controle” betekent het directe of indirecte eigendom van ten minste 50% van de stemgerechtigde aandelen, aandelenbelangen of soortgelijke rechten in de entiteit. Gelieerde ondernemingen worden geacht gebonden te zijn aan de verplichtingen en verantwoordelijkheden zoals uiteengezet in deze DPA voor zover zij betrokken zijn bij de verwerking van Persoonsgegevens.

Geautoriseerde subverwerker betekent elke externe leverancier, dienstverlener of contractant die door AISignal is ingeschakeld om de Persoonsgegevens van de Klant strikt namens en volgens de instructies van AISignal te verwerken. Alle subverwerkers moeten voldoen aan dezelfde verplichtingen op het gebied van gegevensbescherming, waarbij de veiligheid, vertrouwelijkheid en naleving van de regelgeving worden gehandhaafd.

Accountgegevens verwijzen naar alle bedrijfsgerelateerde informatie die door AISignal wordt verzameld, opgeslagen en verwerkt in verband met zijn contractuele relatie met de Klant. Dit omvat namen, e-mailadressen, telefoonnummers, betalingsgegevens en toegangsgegevens van personen die door de Klant zijn gemachtigd om hun account op het platform te beheren en te exploiteren. Accountgegevens worden uitsluitend gebruikt voor administratieve, facturerings- en ondersteuningsdoeleinden.

Wetten op gegevensbescherming omvatten alle toepasselijke wetten, voorschriften en kaders die de verzameling, verwerking, opslag, overdracht en bescherming van Persoonsgegevens regelen —, inclusief, maar niet beperkt tot, de Algemene Verordening Gegevensbescherming (GDPR) van de Europese Unie, de UK GDPR, de California Consumer Privacy Act (CCPA) en alle andere nationale of internationale privacywetten die relevant zijn voor gegevensverwerking onder deze Overeenkomst.

Persoonsgegevens verwijst naar alle informatie met betrekking tot een geïdentificeerde of identificeerbare natuurlijke persoon (“Betrokkene”). Persoonsgegevens omvatten geen geanonimiseerde of geaggregeerde gegevens die niet kunnen worden gebruikt om een ​​individu te identificeren.

Verwerking betekent elke bewerking of reeks bewerkingen die worden uitgevoerd op Persoonsgegevens, hetzij op geautomatiseerde wijze of handmatig —, inclusief het verzamelen, vastleggen, organiseren, structureren, opslaan, aanpassen, wijzigen, opvragen, raadplegen, gebruiken, openbaar maken, verzenden, beperken, wissen of vernietigen van Persoonsgegevens.

Veiligheidsmaatregelen verwijzen naar de technische en organisatorische veiligheidsmaatregelen die zijn geïmplementeerd om de vertrouwelijkheid, integriteit en beschikbaarheid van Persoonsgegevens te garanderen. Deze omvatten encryptie, toegangscontroles, firewalls, gegevensmaskering, pseudonimisering, regelmatige beveiligingsaudits en meldingsmechanismen voor inbreuken.

Toezichthoudende autoriteit verwijst naar een onafhankelijke overheidsinstantie die verantwoordelijk is voor het toezicht op en de handhaving van de wetgeving inzake gegevensbescherming —, bijvoorbeeld de European Data Protection Board (EDPB), het UK Information Commissioner's Office (ICO) en de California Privacy Protection Agency (CPPA).

Rechten van betrokkenen verwijzen naar de rechten die aan personen worden verleend op grond van de toepasselijke wetgeving inzake gegevensbescherming, waaronder toegang, rectificatie, verwijdering, beperking, overdraagbaarheid, bezwaar en het recht om klachten in te dienen bij een toezichthoudende autoriteit.

3. Verwerking van gegevens

De Klant kan optreden als Gegevensbeheerder of als Gegevensverwerker, afhankelijk van zijn relatie met de Betrokkene en de doeleinden waarvoor Persoonsgegevens worden verwerkt. In alle gevallen treedt AISignal op als Gegevensverwerker en verwerkt Persoonsgegevens namens en onder instructies van de Klant.

De Klant is ervoor verantwoordelijk dat alle gegevensverwerkingsactiviteiten die met behulp van onze diensten worden uitgevoerd, voldoen aan de toepasselijke wetgeving inzake gegevensbescherming. De Klant erkent dat hij over de wettelijke basis beschikt om Persoonsgegevens te verwerken en vrijwaart AISignal voor alle claims, aansprakelijkheden of schade die voortvloeien uit het niet naleven van deze wettelijke vereisten.

AISignal verwerkt Persoonsgegevens alleen in overeenstemming met de schriftelijke instructies van de Klant en uitsluitend zoals vereist om de diensten te verlenen, tenzij anders voorgeschreven door de wet. Wij gebruiken, onthullen of delen persoonlijke gegevens niet voor enig ander doel dan waarvoor de Klant toestemming heeft gegeven of die expliciet in deze Overeenkomst is uiteengezet.

Bij beëindiging van de Overeenkomst of op verzoek van de Klant zal AISignal, naar goeddunken van de Klant, ofwel (a) alle Persoonsgegevens die op grond van deze Overeenkomst zijn verwerkt, veilig verwijderen, zodat er geen kopieën achterblijven, tenzij dit wettelijk vereist is, of (b) de Persoonsgegevens aan de Klant retourneren in een gestructureerd, algemeen gebruikt en machinaal leesbaar formaat voordat deze worden verwijderd.

4. Beveiliging en vertrouwelijkheid

AISignal zet zich in voor de bescherming van de veiligheid en vertrouwelijkheid van Persoonsgegevens die namens de Klant worden verwerkt. We implementeren en onderhouden toonaangevende beveiligingsmaatregelen die zijn ontworpen om ongeoorloofde toegang, openbaarmaking, wijziging of vernietiging van persoonlijke gegevens te voorkomen, waaronder:

• Data-encryptie. Persoonlijke gegevens worden tijdens verzending (TLS 1.2+) en in rust (AES-256) gecodeerd met behulp van industriestandaardprotocollen.
• Toegangscontroles. Een strikt beleid voor toegangsbeheer zorgt ervoor dat alleen geautoriseerd personeel toegang heeft tot persoonlijke gegevens op basis van het principe van de minste privileges.
• Netwerk & Systeembeveiliging. Firewalls, inbraakdetectiesystemen en continue monitoring helpen ongeautoriseerde toegang en cyberdreigingen te voorkomen.
• Anonimisering van gegevens & Pseudonimisering. Waar van toepassing worden persoonlijke gegevens geanonimiseerd of gepseudonimiseerd om de risico's die verband houden met gegevensblootstelling te verminderen.
• Regelmatige beveiligingsaudits. Periodieke beveiligingsbeoordelingen, kwetsbaarheidstests en nalevingscontroles identificeren en beperken risico's.
• Incidentresponsplan. Een gestructureerd protocol zorgt ervoor dat beveiligingsincidenten onmiddellijk worden geïdentificeerd, beperkt en gerapporteerd in overeenstemming met de toepasselijke wetgeving inzake gegevensbescherming.

Elke individuele werknemer, contractant of geautoriseerde dienstverlener — die namens ons Persoonsgegevens verwerkt, is gebonden aan strikte vertrouwelijkheidsverplichtingen, inclusief ondertekende geheimhoudingsovereenkomsten en naleving van het interne beleid inzake gegevensverwerking.

5. Subverwerkers

AISignal schakelt externe subverwerkers in om te helpen bij het leveren en onderhouden van de dienst. Deze subverwerkers voeren specifieke functies uit, zoals infrastructuurhosting, betalingsverwerking, transactionele e-mail en beveiliging. Wij zorgen ervoor dat alle betrokken subverwerkers zich houden aan verplichtingen op het gebied van gegevensbescherming die gelijkwaardig zijn aan de verplichtingen die zijn uiteengezet in deze DPA, ondersteund door ondertekende overeenkomsten.

Een actuele lijst is op aanvraag verkrijgbaar bij [email protected]. Huidige subverwerkers omvatten (maar zijn niet beperkt tot):

• Stripe — betalingsverwerking, facturering en fraudescreening.
• Mailgun — levering van transactie- en notificatie-e-mail.
• Cloudflare — CDN, DDoS-bescherming en de Turnstile-botuitdaging.
• Managed-databaseproviders — gecodeerde opslag in rust voor applicatiegegevens.

Eindpunten van AI-engines

Om te meten hoe generatieve assistenten het bedrijf van een klant beschrijven, stuurt AISignal zorgvuldig opgestelde openbare prompts naar de officiële API's van ChatGPT (OpenAI), Claude (Anthropic), Gemini (Google), Meta AI (Meta), DeepSeek en Grok (xAI). Deze engines zijn onafhankelijke dienstverleners die hun eigen infrastructuur onder hun eigen voorwaarden exploiteren.

• We sturen alleen de prompts die zijn voorbereid voor de optimalisatieworkflow — niet uw accountgegevens, niet uw privébestanden en niet de persoonlijke gegevens van uw klanten.
• Wij dienen nooit persoonlijke gegevens of bedrijfseigen inhoud in als trainingslading. Wanneer de provider een instelling “gebruik mijn gegevens niet om modellen te trainen” beschikbaar stelt, schakelen we deze in op onze serviceaccounts.
• Elke engine verwerkt prompts volgens zijn eigen privacybeleid en bewaarschema. Links naar dit beleid vindt u in de bijlage Cookiebeleid en op verzoek.

Klantrechten & bezwaren. AISignal zal Klanten minimaal 10 dagen van tevoren op de hoogte stellen van eventuele nieuwe Subverwerker-opdrachten. Klanten kunnen binnen deze termijn schriftelijk bezwaar indienen als zij legitieme zorgen hebben over de gegevensbescherming. We zullen te goeder trouw gesprekken voeren om problemen aan te pakken; als er geen wederzijds aanvaardbare oplossing wordt bereikt, heeft de Klant mogelijk het recht om de betreffende services te beëindigen.

6. Overdracht van persoonlijke gegevens

AISignal kan Persoonsgegevens overdragen buiten de Europese Economische Ruimte (EER), het Verenigd Koninkrijk of Zwitserland om de dienstverlening te vergemakkelijken. Wanneer dergelijke overdrachten plaatsvinden, zorgen wij ervoor dat er passende juridische waarborgen zijn getroffen, waaronder:

• Standaardcontractbepalingen (SCCs) goedgekeurd door de Europese Commissie of andere bevoegde autoriteiten.
• Aanvullende maatregelen — aanvullende technische, organisatorische en contractuele waarborgen.
• Bindende bedrijfsregels (BCRs) indien van toepassing op gelieerde entiteiten.
• Andere goedgekeurde overdrachtsmechanismen erkend onder de toepasselijke wetgeving.

7. Rechten van betrokkenen

AISignal erkent en respecteert de rechten van betrokkenen onder de toepasselijke wetgeving inzake gegevensbescherming. Wij zullen de Klant, als Gegevensbeheerder, assisteren bij het reageren op verzoeken van individuen met betrekking tot hun Persoonsgegevens:

• Toegangsrecht — bevestiging of gegevens worden verwerkt en toegang daartoe.
• Recht op rectificatie — correctie van onjuiste of onvolledige gegevens.
• Recht op verwijdering (“Recht om vergeten te worden”) — verwijdering van Persoonsgegevens, onder voorbehoud van wettelijke en contractuele verplichtingen.
• Recht om de verwerking te beperken — het beperken van de verwerking van Persoonsgegevens onder bepaalde voorwaarden.
• Recht op gegevensportabiliteit — het verkrijgen en overdragen van Persoonsgegevens aan een andere verwerkingsverantwoordelijke, indien technisch haalbaar.
• Recht om bezwaar te maken — tegen verwerking op basis van legitieme belangen, direct marketing of geautomatiseerde besluitvorming.
• Recht om toestemming in te trekken — op elk moment als de verwerking gebaseerd is op toestemming.

8. Melding datalekken

AISignal implementeert preventieve maatregelen om Persoonsgegevens te beschermen. In het geval van een bevestigde Inbreuk in verband met Persoonsgegevens zullen wij:

• Beoordeel de impact van de inbreuk en onderneem onmiddellijk maatregelen om de gevolgen te beperken;
• De Klant zonder onnodige vertraging op de hoogte stellen (doorgaans binnen 48 uur na bevestiging);
• Geef details over de aard en omvang van de inbreuk, het type gegevens dat hierdoor wordt getroffen, de mogelijke gevolgen en de genomen maatregelen;
• De Klant assisteren bij het voldoen aan wettelijke kennisgevingsverplichtingen aan autoriteiten en betrokken Betrokkenen;
• Implementeer corrigerende maatregelen om herhaling te voorkomen.

Het is de verantwoordelijkheid van de Klant om te bepalen of hij regelgevende instanties en betrokkenen op de hoogte moet stellen in overeenstemming met de toepasselijke wetgeving inzake gegevensbescherming.

9. Bewaren en verwijderen van gegevens

AISignal bewaart Persoonsgegevens slechts zo lang als nodig is om aan zijn verplichtingen onder deze Overeenkomst te voldoen of zoals vereist door de toepasselijke wetgeving. We volgen de principes van dataminimalisatie: gegevens worden alleen bewaard voor legitieme bedrijfs- en nalevingsbehoeften, en worden verwijderd of geanonimiseerd zodra ze niet langer nodig zijn.

Klanten kunnen op elk moment verzoeken om verwijdering van persoonlijke gegevens. Bij beëindiging van de dienstverlening zal AISignal Persoonsgegevens verwijderen of retourneren in overeenstemming met de instructies van de Klant. Als er geen verwijderingsverzoek wordt ingediend, worden Persoonsgegevens automatisch binnen een redelijke termijn verwijderd, tenzij er wettelijke bewaarvereisten van toepassing zijn (belastinggegevens, onderzoek naar fraudepreventie, enz.).

10. Toepasselijk recht & geschillenbeslechting

Deze DPA wordt beheerst door en geïnterpreteerd in overeenstemming met dezelfde wetten en jurisdicties als gedefinieerd in de hoofdovereenkomst tussen AISignal en de Klant. Geschillen zullen eerst worden opgelost door middel van onderhandelingen te goeder trouw; Als er geen oplossing wordt bereikt, kan het geschil worden voorgelegd aan bemiddeling, arbitrage of de bevoegde rechtbanken van het toepasselijke rechtsgebied. In het geval van een conflict tussen deze DPA en de hoofdovereenkomst, hebben de voorwaarden van deze DPA voorrang wat betreft gegevensbeschermingsaangelegenheden.

11. Slotbepalingen

Deze DPA vormt een integraal onderdeel van de algehele overeenkomst tussen AISignal en de Klant. Door de diensten te blijven gebruiken, erkent en aanvaardt de Klant de voorwaarden van deze DPA. Als een bepaling ongeldig of niet-afdwingbaar wordt bevonden, blijven de overige bepalingen volledig van kracht.

AISignal behoudt zich het recht voor om deze DPA te wijzigen of bij te werken om wijzigingen in de toepasselijke gegevensbeschermingswetten, industriële praktijken of operationele behoeften weer te geven. Klanten worden op de hoogte gebracht van materiële wijzigingen; voortgezet gebruik van de diensten houdt aanvaarding van de bijgewerkte voorwaarden in.

12. Contactpersoon

Neem voor elke vraag, formeel verzoek of voor het verkrijgen van een ondertekend exemplaar van deze DPA contact op met [email protected]. Voor algemene privacygerelateerde vragen kunt u contact opnemen met [email protected].