Verwerkersovereenkomst Prisma

Onderwerp: Deze Overeenkomst heeft betrekking op de verwerking van persoonsgegevens door de Verwerker in het kader van de levering van de Dienst aan de Verwerkingsverantwoordelijke.

Duur: Deze Overeenkomst treedt in werking op de datum van ondertekening en loopt zolang de Verwerker persoonsgegevens verwerkt ten behoeve van de Verwerkingsverantwoordelijke. De duur is onlosmakelijk gekoppeld aan de looptijd van de onderliggende Dienstverleningsovereenkomst.

De Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van de volgende doeleinden:

1. Gesprekverwerking: Het ontvangen, verwerken en beantwoorden van inkomende telefoongesprekken via de AI telefoonassistent.
2. Spraakherkenning en -synthese: Het omzetten van spraak naar tekst (transcriptie) en het genereren van gesproken antwoorden.
3. Agendabeheer: Het inplannen, wijzigen en annuleren van afspraken in de agenda van de Verwerkingsverantwoordelijke.
4. Informatieverstrekking: Het verstrekken van informatie over diensten, prijzen en beschikbaarheid aan bellers.
5. Notificaties: Het verzenden van SMS-berichten in verband met afspraken.

• Klanten en potentiële klanten van de Verwerkingsverantwoordelijke (bellers)
• Medewerkers van de Verwerkingsverantwoordelijke (voor zover hun namen in het systeem zijn opgenomen)

Er worden geen bijzondere categorieën persoonsgegevens verwerkt in de zin van AVG art. 9. Mocht een beller onverhoopt bijzondere persoonsgegevens delen tijdens een gesprek, dan worden deze niet doelbewust opgeslagen of verwerkt. De Verwerkingsverantwoordelijke draagt er zorg voor dat zijn bellers geen bijzondere categorieën gegevens aan de Assistent verstrekken.

6.1 Instructiegebondenheid — De Verwerker verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Verwerkingsverantwoordelijke. Indien de Verwerker op grond van EU- of nationaal recht verplicht is tot verwerking, stelt hij de Verwerkingsverantwoordelijke vooraf in kennis, tenzij die wetgeving dit verbiedt.

6.2 Vertrouwelijkheid — De Verwerker waarborgt dat personen die persoonsgegevens verwerken, gebonden zijn aan een passende geheimhoudingsverplichting.

6.3 Beveiliging — De Verwerker treft passende technische en organisatorische maatregelen conform AVG art. 32 (zie art. 9 van deze Overeenkomst).

6.4 Sub-verwerkers — De Verwerker schakelt geen nieuwe sub-verwerker in zonder voorafgaande schriftelijke toestemming van de Verwerkingsverantwoordelijke. Bij algemene toestemming (art. 8) informeert de Verwerker dertig (30) dagen vooraf bij wijzigingen, met bezwaarmogelijkheid voor de Verwerkingsverantwoordelijke.

6.5 Rechten betrokkenen — De Verwerker verleent bijstand bij het beantwoorden van verzoeken van betrokkenen (AVG hoofdstuk III) en informeert de Verwerkingsverantwoordelijke binnen twee (2) werkdagen bij directe verzoeken.

6.6 Bijstand verplichtingen — De Verwerker verleent bijstand bij AVG art. 32–36 (beveiliging, DPIA, meldplicht datalekken, voorafgaande raadpleging).

6.7 Meldplicht datalekken — De Verwerker meldt een datalek binnen 24 uur na ontdekking aan de Verwerkingsverantwoordelijke, met minimaal: (a) aard van het lek, (b) contactpersoon, (c) waarschijnlijke gevolgen, (d) genomen maatregelen.

6.8 Audit-recht — De Verwerker stelt alle benodigde informatie ter beschikking en faciliteert audits door de Verwerkingsverantwoordelijke of diens gemachtigde, mits ten minste dertig (30) dagen van tevoren aangekondigd. Kosten zijn voor rekening van de Verwerkingsverantwoordelijke, tenzij de audit tekortkomingen van de Verwerker aantoont.

6.9 Teruggave en verwijdering bij beëindiging — Na beëindiging wist of retourneert de Verwerker naar keuze van de Verwerkingsverantwoordelijke alle persoonsgegevens binnen dertig (30) dagen. De Verwerker verstrekt op verzoek een schriftelijke bevestiging van verwijdering.

1. De Verwerkingsverantwoordelijke garandeert dat de inhoud, het gebruik en de opdracht tot verwerking van persoonsgegevens niet onrechtmatig zijn en geen inbreuk maken op enig recht van derden.
2. De Verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van de AVG, in het bijzonder voor het vaststellen van de rechtmatigheid van de verwerking en het informeren van betrokkenen overeenkomstig de artikelen 13 en 14 AVG.
3. De Verwerkingsverantwoordelijke zorgt ervoor dat bellers worden geïnformeerd dat zij met een AI-systeem spreken, in overeenstemming met de EU AI Act (Verordening (EU) 2024/1689). Prisma ondersteunt dit door bij aanvang van elk gesprek een automatische mededeling af te spelen.

De Verwerkingsverantwoordelijke verleent hierbij algemene schriftelijke toestemming voor het inschakelen van de hieronder genoemde sub-verwerkers. De Verwerker informeert de Verwerkingsverantwoordelijke ten minste dertig (30) dagen vooraf bij wijzigingen in deze lijst, met bezwaarmogelijkheid.

Waar mogelijk worden persoonsgegevens verwerkt binnen de EER. Voor sub-verwerkers buiten de EER gelden de waarborgen van artikel 10.

• Versleuteling: Alle gegevens worden versleuteld tijdens transport (TLS 1.2+) en in rust (AES-256). API-communicatie uitsluitend via versleutelde verbindingen.
• Toegangsbeheer: Toegang tot persoonsgegevens beperkt tot geautoriseerd personeel op need-to-know basis. Multi-factor authenticatie (MFA) verplicht voor alle systemen met persoonsgegevens. Toegangsrechten worden periodiek geëvalueerd.
• Pseudonimisering: Waar technisch haalbaar worden persoonsgegevens gepseudonimiseerd verwerkt. Interne verwijzingen gebruiken anonieme identifiers.
• Beschikbaarheid en veerkracht: De Dienst draait op cloud-infrastructuur met redundantie en automatische failover. Regelmatige back-ups ter voorkoming van gegevensverlies.
• Monitoring en logging: Toegang tot persoonsgegevens wordt gelogd voor audit-doeleinden. Beveiligingsincidenten worden gemonitord en geëscaleerd conform het incidentresponsplan.
• Automatische verwijdering: Gespreksopnames worden automatisch verwijderd na 30 dagen. Transcripties na 90 dagen. Afspraakgegevens na de overeenkomstduur plus 1 jaar.
• Beveiligingstests: Periodieke beveiligingsbeoordelingen op eigen systemen en processen.

1. Doorgifte van persoonsgegevens naar landen buiten de EER vindt uitsluitend plaats indien passende waarborgen zijn getroffen conform AVG hoofdstuk V.
2. Voor doorgiften naar de Verenigde Staten worden Standard Contractual Clauses (SCCs) gehanteerd (Uitvoeringsbesluit (EU) 2021/914), aangevuld met een Transfer Impact Assessment (TIA) en waar nodig aanvullende technische maatregelen zoals versleuteling en pseudonimisering.
3. De Verwerker informeert de Verwerkingsverantwoordelijke onverwijld indien een waarborg voor doorgifte niet langer geldig is of een autoriteit doorgifte verbiedt.

1. De aansprakelijkheid van de Verwerker jegens de Verwerkingsverantwoordelijke voor schade voortvloeiend uit een toerekenbare tekortkoming in de nakoming van deze Overeenkomst is beperkt tot het totaalbedrag dat de Verwerkingsverantwoordelijke in de twaalf (12) maanden voorafgaand aan de schadeveroorzakende gebeurtenis aan de Verwerker heeft betaald voor de Dienst.
2. De in lid 1 genoemde beperking geldt niet voor schade veroorzaakt door opzet of bewuste roekeloosheid van de Verwerker, noch voor boetes opgelegd door een toezichthouder als direct gevolg van een aantoonbare tekortkoming van de Verwerker.
3. De Verwerker vrijwaart de Verwerkingsverantwoordelijke tegen aanspraken van derden die voortvloeien uit het niet-nakomen van de verplichtingen van de Verwerker uit deze Overeenkomst.

1. Deze Overeenkomst is onlosmakelijk verbonden met de onderliggende Dienstverleningsovereenkomst en eindigt van rechtswege bij beëindiging daarvan.
2. Bij beëindiging van deze Overeenkomst zijn de bepalingen van artikel 6.9 (teruggave en verwijdering) van toepassing.
3. Artikelen die naar hun aard bestemd zijn om na beëindiging voort te duren — waaronder vertrouwelijkheid, aansprakelijkheid en meldplicht — blijven na beëindiging van kracht.

13.1 Wijzigingen — Wijzigingen in deze Overeenkomst zijn slechts geldig indien schriftelijk overeengekomen door beide Partijen.

13.2 Toepasselijk recht — Op deze Overeenkomst is uitsluitend Nederlands recht van toepassing.

13.3 Geschillen — Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Amsterdam.

13.4 Rangorde — In geval van tegenstrijdigheid tussen deze Verwerkersovereenkomst en de Algemene Voorwaarden of andere overeenkomsten, prevaleert deze Verwerkersovereenkomst voor wat betreft de verwerking van persoonsgegevens.

Aldus overeengekomen en in tweevoud ondertekend op _______________ te _______________

Deze verwerkersovereenkomst is opgesteld conform de vereisten van AVG art. 28 en treedt in werking op de datum van ondertekening door beide Partijen. De overeenkomst maakt integraal deel uit van de Dienstverleningsovereenkomst Prisma.