Verwerkersovereenkomst

Deze overeenkomst ("Verwerkersovereenkomst") vult de Algemene voorwaarden aan en wordt gesloten op grond van art. 28 van Verordening (EU) 2016/679 ("AVG") tussen:

• de Klant, als verwerkingsverantwoordelijke (de "Verantwoordelijke");
• Druido Eventi S.r.l., btw-nummer 04137511202, statutaire zetel Via Rizzoli 4, 40125 Bologna (BO), Italië, als verwerker (de "Verwerker").

1. Voorwerp en duur

De Verwerker verwerkt persoonsgegevens namens de Verantwoordelijke uitsluitend om de in de Voorwaarden beschreven dienst TARGA te leveren. De Verwerkersovereenkomst heeft dezelfde looptijd als de overeenkomst en geldt na afloop daarvan tot de teruggave of verwijdering van de gegevens volgens paragraaf 11.

2. Aard en doel van de verwerking

Verzameling, vastlegging, opslag, raadpleging, publicatie op de pagina's van de serienummers, verzending van servicemededelingen, export en verwijdering van gegevens, om de documentatie van de machines van de Verantwoordelijke, de aanvragen voor papieren exemplaren van de gebruiksaanwijzingen en de bijbehorende verplichtingen te beheren.

3. Categorieën van betrokkenen en gegevens

De Dienst is niet bestemd voor de verwerking van bijzondere categorieën van gegevens (art. 9 AVG) of van gegevens over strafrechtelijke veroordelingen en strafbare feiten. De Verantwoordelijke verbindt zich ertoe die niet in te voeren.

4. Verplichtingen van de Verantwoordelijke

De Verantwoordelijke garandeert dat hij beschikt over een geldige rechtsgrond voor de toevertrouwde verwerkingen, dat hij de betrokkenen de door de art. 13 en 14 AVG vereiste informatie verstrekt (ook voor het aanvraagformulier voor een papieren exemplaar) en dat hij instructies geeft die in overeenstemming zijn met de wet.

5. Verplichtingen van de Verwerker

• de gegevens alleen verwerken op gedocumenteerde instructie van de Verantwoordelijke, die de Voorwaarden, deze Verwerkersovereenkomst en de door de Verantwoordelijke gebruikte functies van de Dienst omvat;
• de Verantwoordelijke informeren als hij van mening is dat een instructie inbreuk maakt op de regelgeving inzake gegevensbescherming;
• ervoor zorgen dat de personen die gemachtigd zijn de gegevens te verwerken tot geheimhouding zijn verplicht;
• de beveiligingsmaatregelen van paragraaf 6 nemen (art. 32 AVG);
• de Verantwoordelijke bijstaan bij het beantwoorden van verzoeken van betrokkenen, voor zover mogelijk met passende technische en organisatorische maatregelen;
• de Verantwoordelijke bijstaan bij beveiliging, melding van inbreuken, gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging (art. 32-36 AVG);
• de informatie ter beschikking stellen die nodig is om de naleving van deze Verwerkersovereenkomst aan te tonen en de audits van paragraaf 9 mogelijk maken.

6. Beveiligingsmaatregelen

• versleuteling van de communicatie (HTTPS/TLS) en opslag van wachtwoorden als hash;
• logische scheiding van de gegevens van elke klant en toegangscontrole op basis van rollen;
• auditlogboek waaraan alleen kan worden toegevoegd, geketend met cryptografische vingerafdrukken;
• onveranderlijke gepubliceerde versies met SHA-256-vingerafdruk;
• dagelijkse versleutelde back-ups van de database en de documenten, 30 dagen bewaard in een afzonderlijk datacenter in de Europese Unie, met periodieke hersteltests;
• beperkingen op inlogpogingen en op verzoeken aan openbare formulieren;
• servers in de Europese Unie, bij aanbieders met erkende beveiligingscertificeringen;
• regelmatige bijwerking van softwarecomponenten en beheer van kwetsbaarheden.

Toegang door de ondersteuning. De Aanbieder heeft geen toegang tot de door de Klant geüploade inhoud (handleidingen, tekstblokken, modellen, serienummers en bijbehorende documenten), behalve zoals hieronder beschreven. Het ondersteuningspersoneel van de Aanbieder heeft alleen toegang tot de inhoud van de Klant met uitdrukkelijke toestemming van de Klant, verleend door een gebruiker met de rol eigenaar of beheerder via Instellingen > Ondersteuning, of door goedkeuring van een specifiek en gemotiveerd verzoek van de Aanbieder. De toestemming is beperkt in de tijd (4, 24 of 72 uur), kan op elk moment met onmiddellijke ingang worden ingetrokken en staat alleen inzage toe, zonder de mogelijkheid gegevens te wijzigen, te publiceren of te verwijderen.

Elke toegang door de ondersteuning (verlening, begin van de sessie, elke bekeken pagina, afsluiting en intrekking) wordt met datum, tijd en naam van de medewerker vastgelegd in het activiteitenlogboek van de Klant, dat de Klant kan raadplegen en dat niet kan worden gewijzigd, en in een eveneens niet-wijzigbaar intern logboek van de Aanbieder. De beheeraccounts van de Aanbieder zijn beveiligd met verplichte tweestapsverificatie en elk van hun handelingen wordt vastgelegd in een logboek dat met cryptografische vingerafdrukken is geketend en dat wordt bewaard voor de duur van de overeenkomst en de daaropvolgende 10 jaar.

7. Subverwerkers

De Verantwoordelijke verleent een algemene toestemming voor het inschakelen van de hieronder vermelde subverwerkers. De Verwerker legt elke subverwerker verplichtingen inzake gegevensbescherming op die gelijkwaardig zijn aan die van deze Verwerkersovereenkomst en blijft verantwoordelijk voor hun handelingen.

Service-e-mails (uitnodigingen, meldingen, berichten, ontvangstbevestigingen van papieren aanvragen) worden verzonden vanaf een mailserver die de Aanbieder zelf beheert, zonder externe aanbieders. Ook de bezoekstatistieken (Umami) draaien op de servers van de Aanbieder.

Voor het beheer van de contractuele relatie verwerkt de Aanbieder, als verwerkingsverantwoordelijke, geaggregeerde gegevens en factuurgegevens (bedrijfsgegevens, abonnement, status van het abonnement, gebruikstellers) en de strikt noodzakelijke gegevens van de gebruikers van de Klant (naam, e-mail, rol, datum van laatste toegang). Betalingen worden afgehandeld door Stripe Payments Europe, Ltd., die optreedt als zelfstandige verwerkingsverantwoordelijke, ook voor haar eigen wettelijke verplichtingen inzake de bestrijding van witwassen en fraudepreventie, en niet als subverwerker. Anthropic ontvangt de te vertalen teksten van de handleidingen, die normaal geen persoonsgegevens bevatten.

De Verwerker informeert de Verantwoordelijke ten minste 30 dagen vooraf per e-mail over de toevoeging of vervanging van een subverwerker. De bijgewerkte lijst wordt altijd op deze pagina gepubliceerd. De Verantwoordelijke kan op redelijke gronden die verband houden met gegevensbescherming bezwaar maken; als geen oplossing wordt gevonden, kan de Verantwoordelijke zich zonder boete terugtrekken uit de overeenkomst voor het betrokken deel van de Dienst.

8. Doorgiften buiten de Europese Unie

De gegevens worden opgeslagen in de Europese Unie. Doorgiften naar derde landen vinden alleen plaats met de waarborgen van hoofdstuk V AVG. Voor de dienst voor automatische vertaling van Anthropic, PBC (Verenigde Staten) is de doorgifte gebaseerd op de standaardcontractbepalingen die de Europese Commissie heeft vastgesteld bij Uitvoeringsbesluit (EU) 2021/914, zo nodig aangevuld met aanvullende maatregelen. Volgens de commerciële voorwaarden van de aanbieder worden via de API verzonden gegevens niet gebruikt om de modellen te trainen en slechts voor een beperkte periode bewaard, normaal niet langer dan 30 dagen.

9. Audits

De Verantwoordelijke kan de naleving van deze Verwerkersovereenkomst controleren door documentatie op te vragen en, met een schriftelijke aankondiging van ten minste 30 dagen en niet vaker dan eenmaal per jaar behalve bij inbreuken, via een tot geheimhouding verplichte auditor. De kosten van de audit komen voor rekening van de Verantwoordelijke.

10. Inbreuken in verband met persoonsgegevens

De Verwerker informeert de Verantwoordelijke zonder onredelijke vertraging, en in ieder geval binnen 48 uur nadat hij er kennis van heeft genomen, over elke inbreuk in verband met persoonsgegevens die de gegevens van de Verantwoordelijke betreft, en verstrekt de beschikbare informatie zodat de Verantwoordelijke de inbreuk kan melden aan de toezichthoudende autoriteit en, indien nodig, kan meedelen aan de betrokkenen.

11. Teruggave en verwijdering

Bij het einde van de overeenkomst kan de Verantwoordelijke zijn gegevens exporteren gedurende de in de Voorwaarden vastgestelde respijtperiode. Na die periode verwijdert de Verwerker de persoonsgegevens, inclusief de gegevens in de back-ups binnen hun normale rotatiecyclus van 30 dagen, behoudens wettelijke bewaarplichten.

12. Aansprakelijkheid en slotbepalingen

Op de aansprakelijkheid tussen de partijen zijn de beperkingen van de Voorwaarden van toepassing, voor zover toegestaan door art. 82 AVG. Bij strijdigheid tussen deze Verwerkersovereenkomst en de Voorwaarden over gegevensbescherming heeft deze Verwerkersovereenkomst voorrang. Contact voor gegevensbescherming: info@mattiazucchini.com.