GEGEVENSVERWERKERSOVEREENKOMST

Deze Gegevensverwerkersovereenkomst (“GVO”) maakt deel uit van de Hoofddienstenovereenkomst of een andere schriftelijke of elektronische overeenkomst tussen GewoonAI en de Klant voor de afname van online diensten (inclusief bijbehorende offline- of mobiele componenten van GewoonAI) van GewoonAI (aangeduid als “Diensten” of anderszins in de toepasselijke overeenkomst, en hierna gedefinieerd als “Diensten”) (de “Overeenkomst”), en legt de afspraken vast tussen Partijen met betrekking tot de Verwerking van Persoonsgegevens.

Bij het leveren van de Diensten aan de Klant krachtens de Overeenkomst kan GewoonAI Persoonsgegevens verwerken namens de Klant en komen Partijen overeen zich te houden aan de volgende bepalingen met betrekking tot Persoonsgegevens, waarbij zij redelijk en te goeder trouw handelen.

HOE DEZE GVO UIT TE VOEREN

Om deze GVO te voltooien moet de Klant een voorgedrukte (pre-signed) versie opvragen bij GewoonAI door een e-mail te sturen naar info@gewoonai.nl, onder vermelding van (indien van toepassing) het klantnummer (zoals vermeld op het GewoonAI-bestelformulier of de factuur).

Behalve indien uitdrukkelijk anders bepaald in de Overeenkomst, wordt deze GVO juridisch bindend zodra GewoonAI de volledig ingevulde GVO geldig per e-mail heeft ontvangen.

TOEPASSELIJKHEID VAN DEZE GVO

Indien de Klant die deze GVO ondertekent partij is bij de Overeenkomst, maakt deze GVO integraal deel uit van de Overeenkomst. De betreffende GewoonAI-entiteit is in dat geval ook partij bij deze GVO.
Indien de Klant die deze GVO ondertekent een Bestelformulier heeft ondertekend met GewoonAI of een gelieerde onderneming, maar geen partij is bij de Overeenkomst, vormt deze GVO een addendum op dat Bestelformulier en eventuele verlengingen.
Indien de Klant geen partij is bij een Bestelformulier of de Overeenkomst, is deze GVO niet geldig en niet bindend. In dat geval dient de contractuele Klant deze GVO te ondertekenen.
Indien de Klant via een geautoriseerde reseller diensten van GewoonAI afneemt, is deze GVO niet geldig en niet bindend. De Klant dient in dat geval contact op te nemen met de reseller om een eventuele aanpassing te bespreken.

VOORWAARDEN VOOR GEGEVENSVERWERKING

1. DEFINITIES

Gelieerde onderneming (Affiliate): Een entiteit die direct of indirect zeggenschap uitoefent over, onder zeggenschap staat van of onder gezamenlijke zeggenschap staat met een partij.
Geautoriseerde Gelieerde Onderneming: Een gelieerde onderneming van de Klant die (a) onderworpen is aan Europese of gelijkwaardige privacywetgeving, en (b) gebruik mag maken van de Diensten krachtens de Overeenkomst met de Klant, maar geen eigen Bestelformulier met GewoonAI heeft ondertekend.
CCPA: De California Consumer Privacy Act, zoals gewijzigd door de California Privacy Rights Act.
Verwerkingsverantwoordelijke (Controller): De entiteit die het doel en de middelen voor de verwerking van Persoonsgegevens bepaalt.
Klant: De partij die de Overeenkomst met GewoonAI heeft gesloten, inclusief zijn geautoriseerde gelieerde ondernemingen.
Klantgegevens: Elektronische data en informatie aangeleverd door of namens de Klant aan de Diensten.
Wetgeving Gegevensbescherming: Alle toepasselijke wetten inzake de verwerking van Persoonsgegevens in de EU, EER, Zwitserland, het VK en de VS.
Betrokkene (Data Subject): De geïdentificeerde of identificeerbare persoon op wie de Persoonsgegevens betrekking hebben.
Europa: EU, EER, Zwitserland en het VK.
GewoonAI: GewoonAI B.V., statutair gevestigd te Utrecht, Nederland.
GewoonAI Groep: GewoonAI en haar gelieerde ondernemingen die Persoonsgegevens verwerken.
BCR: De bindende bedrijfsvoorschriften van GewoonAI voor verwerkers.
AVG (GDPR): Algemene Verordening Gegevensbescherming (EU) 2016/679 en de UK GDPR.
Persoonsgegevens: Alle informatie over een geïdentificeerde of identificeerbare natuurlijke of rechtspersoon, voor zover dit Klantgegevens zijn.
Verwerken / Verwerking: Iedere bewerking van Persoonsgegevens, geautomatiseerd of niet, zoals verzamelen, opslaan, gebruiken, doorgeven of verwijderen.
Verwerker (Processor): De partij die Persoonsgegevens verwerkt namens de Verwerkingsverantwoordelijke.
Publieke Autoriteit: Overheidsinstantie of rechterlijke autoriteit.
Beveiligings- en Privacydocumentatie: Documentatie van GewoonAI over beveiliging, privacy en architectuur van de Diensten.
Standaardcontractbepalingen (SCC’s): Door de Europese Commissie goedgekeurde modelcontracten voor doorgifte van persoonsgegevens.
Subverwerker: Iedere derde partij die door GewoonAI of een groepsmaatschappij wordt ingeschakeld om Persoonsgegevens te verwerken.

2. VERWERKING VAN PERSOONSGEGEVENS

2.1 Verwerking door de Klant

De Klant zal Persoonsgegevens uitsluitend rechtmatig verwerken conform de toepasselijke wetgeving.
De Klant is verantwoordelijk voor de juistheid, kwaliteit en rechtmatige verkrijging van de Persoonsgegevens.

2.2 Verwerking door GewoonAI

GewoonAI behandelt Persoonsgegevens als Vertrouwelijke Informatie.
Verwerking vindt uitsluitend plaats volgens de schriftelijke instructies van de Klant:
1. volgens de Overeenkomst en Bestelformulieren,
2. zoals geïnitieerd door gebruikers van de Diensten,
3. of zoals anderszins gedocumenteerd en toegestaan.

2.3 Details

Het onderwerp van de verwerking is het leveren van de Diensten krachtens de Overeenkomst.

2.4 Instructies van de Klant

GewoonAI zal de Klant direct informeren indien een instructie:

in strijd is met de AVG, of
niet kan worden uitgevoerd.

3. RECHTEN VAN BETROKKENEN

GewoonAI meldt verzoeken van betrokkenen (inzage, rectificatie, verwijdering, bezwaar, dataportabiliteit).
GewoonAI verwijst deze verzoeken door naar de Klant en reageert niet zelfstandig.
GewoonAI biedt redelijke ondersteuning, waarbij kosten voor rekening van de Klant kunnen zijn.

4. PERSONEEL EN FUNCTIONARIS GEGEVENSBESCHERMING

Medewerkers van GewoonAI die toegang hebben tot Persoonsgegevens zijn gebonden aan geheimhouding en hebben passende training gevolgd.
GewoonAI beperkt toegang tot enkel personeel dat nodig is voor de uitvoering van de Diensten.
De functionaris voor gegevensbescherming van GewoonAI is bereikbaar via info@gewoonai.nl.

5. BEVEILIGING EN AUDIT

GewoonAI hanteert passende technische en organisatorische maatregelen ter bescherming van Persoonsgegevens.
GewoonAI onderhoudt een auditprogramma en stelt informatie ter beschikking om naleving aan te tonen.
Op verzoek ondersteunt GewoonAI de Klant bij het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA).

6. INCIDENTMANAGEMENT

GewoonAI zal de Klant zonder onredelijke vertraging informeren bij een beveiligingsincident dat Persoonsgegevens raakt.
GewoonAI onderzoekt, beperkt en herstelt het incident waar dit binnen haar macht ligt.

7. VERZOEKEN VAN OVERHEDEN

GewoonAI zal de Klant informeren bij bindende verzoeken van overheden, tenzij dit wettelijk verboden is.
GewoonAI zal ongeoorloofde verzoeken juridisch aanvechten.
GewoonAI zal nooit vrijwillig achterdeuren of soortgelijke toegangsmogelijkheden creëren.

8. TERUGGAVE EN VERWIJDERING VAN KLANTGEGEVENS

Na beëindiging van de Diensten geeft GewoonAI de Klantgegevens terug of verwijdert deze, conform haar beveiligingsdocumentatie.

9. GEAUTORISEERDE GELIEERDE ONDERNEMINGEN

Door ondertekening van de Overeenkomst geldt deze GVO ook voor de geautoriseerde gelieerde ondernemingen van de Klant.
De Klant blijft het centrale aanspreekpunt richting GewoonAI.
Rechten worden uitgeoefend door de Klant namens alle gelieerde ondernemingen, tenzij wetgeving directe uitoefening vereist.

10. AANSPRAKELIJKHEID

De aansprakelijkheidsbeperkingen uit de Overeenkomst zijn ook van toepassing op deze GVO.
De aansprakelijkheid van GewoonAI en haar gelieerde ondernemingen geldt in totaliteit en niet afzonderlijk per partij.

11. EUROPESE BEPALINGEN

Europese Persoonsgegevens: gegevens die onder Europese privacywetgeving vallen.
GewoonAI verwerkt deze gegevens conform de AVG.
GewoonAI beoordeelt lokale wetgeving in derde landen en meldt de Klant indien deze de naleving in de weg staat.
Indien naleving onmogelijk blijkt, kan de Klant de overeenkomst voor de betreffende diensten beëindigen met recht op terugbetaling van vooruitbetaalde vergoedingen.

12. RECHTSGELDIGHEID

Deze GVO wordt uitsluitend bindend indien de stappen beschreven in HOE DEZE GVO UIT TE VOEREN volledig zijn afgerond.