Verwerkersovereenkomst (DPA)
Data Processing Agreement voor CivAI AI-diensten
1. Partijen
Deze Verwerkersovereenkomst ("DPA") is aangegaan tussen de klantorganisatie ("Verwerkingsverantwoordelijke") en CivAI B.V., gevestigd aan Hoge Zand 39, 2512 EL Den Haag, ingeschreven bij de Kamer van Koophandel onder nummer 98956221 ("Verwerker").
2. Onderwerp en Duur
De Verwerker verwerkt persoonsgegevens namens de Verwerkingsverantwoordelijke in het kader van het leveren van AI-diensten (GovGPT, EduGPT, OrgGPT en/of Veilige AI Hosting). Deze DPA geldt voor de duur van de dienstverleningsovereenkomst tussen partijen.
3. Aard en Doel van de Verwerking
Persoonsgegevens worden verwerkt met als doel het leveren van AI-ondersteunde diensten, waaronder maar niet beperkt tot: tekstgeneratie, documentanalyse, beantwoording van vragen en informatieophaling. Verwerking geschiedt uitsluitend op basis van de gedocumenteerde instructies van de Verwerkingsverantwoordelijke.
4. Categorieën van Betrokkenen en Persoonsgegevens
Betrokkenen
Categorieën persoonsgegevens
5. Verplichtingen van de Verwerker
6. Sub-verwerkers
De Verwerker schakelt geen andere verwerker (sub-verwerker) in zonder voorafgaande specifieke of algemene schriftelijke toestemming van de Verwerkingsverantwoordelijke. Een actuele lijst van sub-verwerkers is beschikbaar op civai.eu/sub-verwerkers.
De Verwerkingsverantwoordelijke wordt geïnformeerd over eventuele voorgenomen wijzigingen betreffende toevoeging of vervanging van sub-verwerkers, met de mogelijkheid om bezwaar te maken.
7. Internationale Doorgifte
Alle persoonsgegevens worden opgeslagen binnen de Europese Economische Ruimte (EER); verwerking vindt plaats binnen de EER, of bij de optionele Azure-route binnen de EU Data Zone (EU-lidstaten, Noorwegen en Zwitserland). CivAI draagt geen persoonsgegevens over naar landen buiten de EER, tenzij passende waarborgen zijn getroffen als vereist door Hoofdstuk V van de AVG, en uitsluitend na voorafgaande kennisgeving aan de Verwerkingsverantwoordelijke.
8. Datalekken en Beveiligingsincidenten
De Verwerker meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en uiterlijk binnen 24 uur na ontdekking aan de Verwerkingsverantwoordelijke, tenzij aantoonbaar onmogelijk, en verstrekt vervolgens aanvullende informatie zodra deze beschikbaar komt. Zo houdt de Verwerkingsverantwoordelijke voldoende tijd om binnen de wettelijke termijn van 72 uur te melden bij de Autoriteit Persoonsgegevens.
Elke melding bevat, voor zover bekend, de informatie zoals gevraagd in het meldformulier datalekken van de Autoriteit Persoonsgegevens: de aard van het incident, de (mogelijke) gevolgen, de betrokken categorieën persoonsgegevens en betrokkenen, de genomen en voorgenomen maatregelen en een contactpunt voor follow-up. De Verwerker houdt een register bij van alle datalekken en ondersteunt de Verwerkingsverantwoordelijke bij het voldoen aan diens meldplichten richting toezichthouder en betrokkenen. De Verwerker meldt datalekken niet zelfstandig aan de Autoriteit Persoonsgegevens of aan betrokkenen, tenzij wettelijk verplicht of schriftelijk gevraagd door de Verwerkingsverantwoordelijke.
Contactpunt bij datalekken: privacy@civai.eu, tel. +31 6 21991666.
9. Bewaring en Verwijdering
Na beëindiging van de diensten zal de Verwerker, naar keuze van de Verwerkingsverantwoordelijke, persoonsgegevens retourneren en vervolgens verwijderen, of direct verwijderen, binnen maximaal 60 dagen, tenzij een wettelijke bewaarplicht geldt. De Verwerker faciliteert export van data in gangbare formaten.
De onderstaande bewaartermijnen prevaleren voor deze specifieke gegevenscategorieën; voor alle overige persoonsgegevens geldt de algemene verwijdertermijn hierboven (maximaal 60 dagen na beëindiging).
Klantdata wordt gedurende de looptijd nooit gebruikt voor modeltraining en wordt uitsluitend binnen de Europese Economische Ruimte opgeslagen.
10. Beveiligingsmaatregelen
11. Audits
De Verwerkingsverantwoordelijke heeft het recht audits uit te voeren, inclusief inspecties, om naleving van deze DPA te verifiëren. De Verwerker werkt mee aan dergelijke audits. De kosten van door de Verwerkingsverantwoordelijke geïnitieerde audits komen voor rekening van de Verwerkingsverantwoordelijke, tenzij de audit niet-naleving door de Verwerker aan het licht brengt.
12. Aansprakelijkheid
De aansprakelijkheid van de Verwerker onder deze DPA is onderworpen aan de beperkingen zoals vastgelegd in de onderliggende dienstverleningsovereenkomst tussen partijen.
Een getekende DPA aanvragen
Om een op uw organisatie afgestemde getekende Verwerkersovereenkomst te ontvangen, neem contact met ons op via info@civai.eu.