Verwerkersovereenkomst

Deze verwerkersovereenkomst geldt tussen SouthLake, handelend onder de naam HelloLake, gevestigd aan Zuidermeerweg 2, 1652 CR Zuidermeer, KvK 68277202 (de “Verwerker”), en de klant die een abonnement of afzonderlijk exemplaar van deze overeenkomst accepteert (de “Verwerkingsverantwoordelijke”).

Deze overeenkomst is onderdeel van de overeenkomst voor de HelloLake-dienst. Bij strijd over de verwerking van persoonsgegevens gaat deze verwerkersovereenkomst voor.

Verwerker verwerkt persoonsgegevens uitsluitend om de HelloLake-dienst te leveren en op gedocumenteerde instructies van Verwerkingsverantwoordelijke. De instellingen, schriftelijke verzoeken en overeengekomen inrichting van de dienst gelden als instructies.

De verwerking duurt zolang de dienstverlening loopt en gedurende de afgesproken verwijdertermijn. Verwerker meldt het wanneer een instructie naar zijn oordeel in strijd is met privacywetgeving, tenzij een wettelijk verbod dat verhindert.

Verwerkingsverantwoordelijke bepaalt de doelen en middelen van de verwerking, beschikt over een geldige grondslag en informeert bellers, medewerkers en andere betrokkenen duidelijk over de inzet van de dienst, kunstmatige intelligentie, transcriptie en eventuele opname.

Verwerkingsverantwoordelijke voert geen bijzondere persoonsgegevens in tenzij dit noodzakelijk en vooraf schriftelijk overeengekomen is. De klant beheert toegangsrechten zorgvuldig en zorgt dat instructies en bedrijfsinformatie juist zijn.

Verwerker beperkt toegang tot personen die deze nodig hebben voor hun taak. Zij zijn contractueel of wettelijk tot geheimhouding verplicht. Toegang wordt per bedrijf en rol afgeschermd. Verwerker verwerkt gegevens niet voor eigen advertentiedoeleinden en verkoopt ze niet.

Verwerker treft passende technische en organisatorische maatregelen, rekening houdend met risico, stand van de techniek en uitvoeringskosten. Deze omvatten in ieder geval beveiligde verbindingen, rollen en toegangsbeperking, afscherming van gevoelige instellingen, herstelmogelijkheden, software-onderhoud en procedures voor incidenten.

Verwerker beoordeelt de maatregelen periodiek en mag ze verbeteren zolang het beschermingsniveau niet wezenlijk afneemt.

Verwerker meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging nadat deze bekend is geworden. De melding bevat, voor zover beschikbaar, de aard en omvang, waarschijnlijke gevolgen, getroffen of voorgestelde maatregelen en een contactpunt. Verwerker ondersteunt de klant met informatie die nodig is voor een eventuele melding aan toezichthouder of betrokkenen. De klant beslist over die externe meldingen.

Verwerker helpt de klant, voor zover mogelijk en passend, bij verzoeken om inzage, correctie, verwijdering, beperking, overdracht of bezwaar. Een verzoek dat rechtstreeks bij Verwerker binnenkomt en duidelijk betrekking heeft op de klant wordt zonder inhoudelijke afhandeling doorgestuurd, tenzij anders wettelijk verplicht.

Verwerker verstrekt redelijke informatie voor gegevensbeschermingseffectbeoordelingen, voorafgaande raadplegingen en het aantonen van naleving van artikel 28 AVG. Extra werkzaamheden die niet onder de gewone dienstverlening vallen mogen tegen een vooraf gemeld redelijk tarief worden uitgevoerd, tenzij ze nodig zijn door een tekortkoming van Verwerker.

De klant geeft algemene toestemming voor de subverwerkers in bijlage 2. Verwerker legt hun ten minste gelijkwaardige privacyverplichtingen op en blijft verantwoordelijk voor hun werkzaamheden volgens de AVG.

Verwerker maakt een voorgenomen wezenlijke wijziging vooraf bekend. De klant kan binnen 14 dagen gemotiveerd bezwaar maken op privacygronden. Partijen zoeken dan een werkbare oplossing; als die ontbreekt, kan het geraakte deel van de dienst worden beëindigd.

Verwerker laat persoonsgegevens buiten de Europese Economische Ruimte alleen verwerken met een geldig doorgiftemechanisme, zoals een adequaatheidsbesluit, bindende bedrijfsvoorschriften of standaardcontractbepalingen van de Europese Commissie, en treft aanvullende maatregelen waar dat noodzakelijk is.

Bestellingen en gespreksteksten worden maximaal 12 maanden bewaard. Gespreksaudio blijft ongeveer 30 dagen beschikbaar bij de betreffende leverancier. Na beëindiging van het abonnement verwijdert of anonimiseert Verwerker klant- en accountgegevens uiterlijk binnen 90 dagen, tenzij de klant eerder om teruggave of verwijdering vraagt.

Back-ups en gegevens die wettelijk moeten worden bewaard kunnen volgens de reguliere cyclus of wettelijke termijn later verdwijnen en blijven tot die tijd afgeschermd. Verwerker bevestigt verwijdering op redelijk verzoek.

Verwerker stelt relevante informatie over de beveiliging en naleving beschikbaar. Als dit onvoldoende is, mag de klant maximaal eenmaal per jaar een audit laten uitvoeren door een onafhankelijke deskundige die geheimhouding waarborgt. De audit wordt tijdig afgestemd, beperkt verstoring en beschermt gegevens van andere klanten. Bij een concreet incident of aanwijzing van niet-naleving geldt de jaarlijkse beperking niet.

De aansprakelijkheidsafspraken uit de hoofdovereenkomst zijn ook op deze overeenkomst van toepassing, voor zover de AVG niet dwingend anders bepaalt. Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde Nederlandse rechter zoals bepaald in de hoofdovereenkomst.

Wijzigingen worden schriftelijk of via de overeengekomen digitale acceptatiemethode vastgelegd. Ongeldigheid van één bepaling tast de overige bepalingen niet aan.

Onderwerp en doel: het beantwoorden en verwerken van zakelijke telefoongesprekken, doorgeven van bestellingen, optionele sms-bevestigingen, beschikbaar stellen van gespreksinformatie en beheer van gebruikersaccounts.

Betrokkenen: bellers en klanten van Verwerkingsverantwoordelijke, medewerkers en gebruikers van de klant.

Gegevens: namen, telefoonnummers, stem en gesprekstekst, bestelinhoud, notities, ophaaltijd, gespreksmetadata, sms-status, gebruikersidentiteit en toegangsrol.

Frequentie: doorlopend wanneer de dienst wordt gebruikt. Plaats: de beveiligde omgeving van Verwerker en de in bijlage 2 genoemde leveranciers.

• Lovable Cloud — hosting, database, authenticatie en technische infrastructuur;
• ElevenLabs — spraakagent, spraakverwerking, transcriptie en tijdelijke audio;
• Twilio — telefonie en sms;
• Resend — verzending van contactberichten; dit betreft in beginsel de eigen verwerking van SouthLake en alleen klantgegevens wanneer de klant SouthLake opdraagt die route te gebruiken;
• Google — authenticatie, uitsluitend wanneer een gebruiker kiest voor inloggen met Google.

De leveranciers kunnen eigen subverwerkers gebruiken zoals gepubliceerd in hun actuele subverwerkerslijsten.