Verwerkersovereenkomst

Partijen

1. De klant: de ondernemer die de dienst afneemt, hierna "verantwoordelijke".
2. WeAreImpact B.V., Kerkstraat 56, 2153 BK Nieuw-Vennep, KvK 70285888, hierna "verwerker".

Artikel 1. Onderwerp

1. De verwerker verwerkt persoonsgegevens voor de verantwoordelijke om de dienst te leveren: telefoon- en WhatsApp-gesprekken aannemen met een AI-assistent, klanten, adressen, afspraken en klussen beheren, offertes en facturen maken en versturen, herinneringen sturen en koppelen met systemen die de verantwoordelijke kiest.
2. Welke gegevens, van wie en waarvoor staat in bijlage 1.
3. Deze overeenkomst loopt zolang de verwerker persoonsgegevens voor de verantwoordelijke verwerkt.

Artikel 2. Instructies

1. De verwerker verwerkt persoonsgegevens alleen op schriftelijke instructie van de verantwoordelijke. De overeenkomst, deze verwerkersovereenkomst en de instellingen die de verantwoordelijke in de dienst kiest, gelden als die instructie.
2. De verwerker gebruikt de gegevens niet voor eigen doeleinden. In het bijzonder gebruikt de verwerker de gegevens niet, en laat hij ze niet gebruiken, om AI-modellen te trainen of te verbeteren.
3. De verwerker mag gegevens anonimiseren en geaggregeerde, niet tot personen herleidbare statistieken gebruiken om de dienst te verbeteren.
4. Vindt de verwerker een instructie in strijd met de wet, dan meldt hij dat direct.

Artikel 3. Geheimhouding

Iedereen die namens de verwerker toegang heeft tot persoonsgegevens, is tot geheimhouding verplicht. Medewerkers van de verwerker bekijken klantgegevens alleen voor support op verzoek van de verantwoordelijke, of om een storing of beveiligingsincident op te lossen.

Artikel 4. Beveiliging

1. De verwerker neemt passende technische en organisatorische maatregelen. De minimale maatregelen staan in bijlage 2.
2. Gezondheidsgegevens (bij KapperAssistent) worden in een apart dossier bewaard, versleuteld opgeslagen, alleen getoond aan gebruikers met dat recht, met een logboek van inzage. Het AI-model krijgt de inhoud niet te zien, alleen een signaal dat er een aandachtspunt is.
3. De verantwoordelijke is zelf verantwoordelijk voor het veilig gebruiken van zijn accounts, zoals sterke wachtwoorden, tweestapsverificatie en het tijdig intrekken van toegang van oud-medewerkers.

Artikel 5. Subverwerkers

1. De verantwoordelijke geeft algemene toestemming voor de subverwerkers in bijlage 3.
2. De verwerker kondigt een nieuwe of vervangende subverwerker minstens 30 dagen vooraf aan per e-mail. De verantwoordelijke kan binnen die termijn met redenen bezwaar maken. Komen partijen er niet uit, dan kan de verantwoordelijke de overeenkomst kosteloos opzeggen per de datum van de wijziging.
3. De verwerker legt subverwerkers minstens dezelfde verplichtingen op als in deze overeenkomst en blijft aansprakelijk voor hen.

Artikel 6. Doorgifte buiten de EER

1. De verwerker bewaart gegevens zoveel mogelijk in de EER.
2. Doorgifte naar een land buiten de EER gebeurt alleen met een adequaatheidsbesluit (zoals het EU-VS Data Privacy Framework voor gecertificeerde bedrijven) of standaardcontractbepalingen met aanvullende maatregelen waar nodig.
3. De verwerker geeft geen persoonsgegevens door aan een land of dienst zonder passende waarborgen.

Artikel 7. Rechten van betrokkenen

1. De dienst bevat functies om gegevens van een eindklant in te zien, te exporteren en te verwijderen, en de verantwoordelijke kan gegevens verbeteren.
2. Krijgt de verwerker een verzoek rechtstreeks, dan stuurt hij dat binnen 5 werkdagen door naar de verantwoordelijke en helpt hij bij de afhandeling.

Artikel 8. Hulp bij DPIA en toezichthouder

De verwerker helpt de verantwoordelijke bij een gegevensbeschermingseffectbeoordeling en bij contact met de Autoriteit Persoonsgegevens. Hij stelt per vertical een model-DPIA beschikbaar.

Artikel 9. Datalekken

1. De verwerker meldt een inbreuk op de beveiliging die persoonsgegevens van de verantwoordelijke raakt zonder onredelijke vertraging, en uiterlijk binnen 24 uur na ontdekking.
2. De melding bevat wat bekend is: wat er gebeurde, welke gegevens en hoeveel personen, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen en een contactpersoon. Wat later bekend wordt, volgt zo snel mogelijk.
3. De verantwoordelijke beslist of hij meldt aan de AP en aan betrokkenen. De verwerker meldt niet zelf namens de verantwoordelijke, tenzij die daarom vraagt.

Artikel 10. Controle

1. De verwerker geeft de verantwoordelijke op verzoek de informatie die nodig is om naleving aan te tonen, zoals een actueel beveiligingsoverzicht en, zodra beschikbaar, de uitkomst van de laatste externe penetratietest.
2. Een audit door een onafhankelijke deskundige is mogelijk bij een concreet vermoeden van niet-naleving, na 30 dagen aankondiging, maximaal eens per jaar, tijdens kantooruren, met geheimhouding. De kosten zijn voor de verantwoordelijke, tenzij de audit een wezenlijke tekortkoming aantoont.

Artikel 11. Bewaren en einde

1. De verwerker bewaart gegevens volgens de standaardtermijnen in bijlage 1, tenzij de verantwoordelijke andere termijnen instelt.
2. Na het einde van de overeenkomst kan de verantwoordelijke 30 dagen lang al zijn gegevens exporteren. Daarna verwijdert de verwerker ze binnen 60 dagen, ook uit back-ups zodra die volgens schema verlopen, tenzij de wet bewaren verplicht.

Artikel 12. Aansprakelijkheid

Voor aansprakelijkheid geldt de regeling in de algemene voorwaarden. Dat laat onverlet dat elke partij verantwoordelijk is voor boetes die de toezichthouder haar zelf oplegt.

Artikel 13. Voorrang

Bij tegenstrijdigheid gaat deze verwerkersovereenkomst voor op de algemene voorwaarden, voor zover het om de verwerking van persoonsgegevens gaat.

Bijlage 1. Verwerkingen

Categorieën betrokkenen: eindklanten en potentiële klanten van de verantwoordelijke, bellers, contactpersonen op locatie (huurders, beheerders) en medewerkers van de verantwoordelijke.

Categorieën gegevens: naam, telefoonnummer, e-mail, adres, toegangsinformatie, bedrijfsgegevens, transcripties, berichten, foto's, afspraken, klussen, installatie- of tuingegevens, contracten, offertes, facturen, betaalstatus, no-shows, loyaliteit en marketingvoorkeur. Er wordt geen gespreksaudio bewaard. Bij KapperAssistent ook behandelkaarten en, alleen met uitdrukkelijke toestemming van de eindklant, gezondheidsgegevens zoals allergieën.

Standaard bewaartermijnen (de verantwoordelijke kan ze inkorten):

Bijlage 2. Beveiligingsmaatregelen

• Gescheiden gegevens per klant, afgedwongen in de databasevragen van de dienst
• Verbindingen versleuteld (TLS); opslag versleuteld door de databaseleverancier; gezondheidsvelden extra versleuteld op veldniveau
• Wachtwoorden versleuteld opgeslagen (scrypt); tweestapsverificatie (TOTP) beschikbaar en verplicht voor alle gebruikers vanaf 1 november 2026
• Rollen en rechten; gezondheidsdossier alleen met apart recht en met een logboek van inzage
• Controle van handtekening of gedeeld geheim op webhooks; geheimen niet in logs
• Onraadbare links voor offertes en facturen
• Foutmeldingen worden voor verzending ontdaan van persoonsgegevens, cookies en berichtinhoud; geen sessie-opnames
• Back-ups via de databaseleverancier; herstel wordt periodiek getest
• De AI-assistent deelt geen gegevens op basis van alleen een telefoonnummer en krijgt alleen gegevens die bij het huidige gesprek horen
• Toegang door medewerkers van de verwerker alleen voor support of incidenten
• Automatische verwijdering volgens de bewaartermijnen; incident- en datalekprocedure

Bijlage 3. Subverwerkers

De actuele lijst, met doel, land en doorgiftegrond, staat ook op /subverwerkers. Een wijziging kondigen wij 30 dagen vooraf aan.

Koppelingen met Moneybird, e-Boekhouden, Exact Online, Google Agenda, Salonized, Treatwell zijn geen subverwerkers van de verwerker: de verantwoordelijke kiest ze zelf en heeft er een eigen overeenkomst mee.