Verwerkersovereenkomst

Deze Verwerkersovereenkomst ("Verwerkersovereenkomst") wordt gesloten tussen de klant die in het Vocito.ai-account is vermeld ("Verwerkingsverantwoordelijke", "Klant", "je") en Vocito.ai B.V. ("Verwerker", "Vocito", "wij"), en vormt een integraal onderdeel van de Algemene Voorwaarden en de overeenkomst tussen partijen voor het leveren van de Vocito-dienst.

Deze Verwerkersovereenkomst legt de afspraken tussen partijen vast over de verwerking van persoonsgegevens door de Verwerker namens de Verwerkingsverantwoordelijke, in overeenstemming met de vereisten van artikel 28 van de Algemene Verordening Gegevensbescherming (EU) 2016/679 ("AVG").

1. Definities

Tenzij hierin anders gedefinieerd, hebben begrippen met een hoofdletter de betekenis die daaraan in de AVG of de Algemene Voorwaarden is gegeven. De volgende aanvullende definities zijn van toepassing:

• "Persoonsgegevens" betekent alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon die door de Verwerker namens de Verwerkingsverantwoordelijke via de Dienst wordt verwerkt.
• "Verwerking" betekent een bewerking of een geheel van bewerkingen met betrekking tot Persoonsgegevens, zoals gedefinieerd in artikel 4, lid 2, AVG.
• "Verwerkingsverantwoordelijke" betekent de Klant, die het doel van en de middelen voor de verwerking van Persoonsgegevens via de Dienst vaststelt.
• "Verwerker" betekent Vocito.ai B.V., die Persoonsgegevens namens de Verwerkingsverantwoordelijke verwerkt.
• "Subverwerker" betekent een derde die door de Verwerker is ingeschakeld om namens de Verwerker Persoonsgegevens te verwerken.
• "Betrokkene" betekent de geïdentificeerde of identificeerbare natuurlijke persoon op wie de Persoonsgegevens betrekking hebben.
• "Inbreuk in verband met Persoonsgegevens" betekent een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot Persoonsgegevens.
• "SCC's" betekent de standaardcontractbepalingen die door de Europese Commissie zijn goedgekeurd bij Uitvoeringsbesluit (EU) 2021/914 van de Commissie.
• "Dienst" betekent het AI-platform voor telefonische receptie van Vocito.ai en alle bijbehorende functies en diensten.
• "Klantgegevens" betekent alle gegevens, inclusief Persoonsgegevens, die worden verwerkt door het gebruik van de Dienst door de Klant.

2. Reikwijdte en rollen

2.1 Rollen van partijen

De Klant is de Verwerkingsverantwoordelijke en Vocito is de Verwerker met betrekking tot Persoonsgegevens die via de Dienst worden verwerkt. De Verwerker verwerkt Persoonsgegevens uitsluitend namens en in overeenstemming met de gedocumenteerde instructies van de Verwerkingsverantwoordelijke.

2.2 Reikwijdte van de verwerking

Deze Verwerkersovereenkomst is van toepassing op alle Persoonsgegevens die de Verwerker namens de Verwerkingsverantwoordelijke verwerkt in verband met het leveren van de Dienst, zoals nader beschreven in Bijlage A.

2.3 Verhouding tot de Algemene Voorwaarden

Deze Verwerkersovereenkomst is een aanvulling op en maakt deel uit van de Algemene Voorwaarden. Bij tegenstrijdigheid tussen deze Verwerkersovereenkomst en de Algemene Voorwaarden over gegevensbescherming heeft deze Verwerkersovereenkomst voorrang.

3. Details van de verwerking

De details van de verwerkingsactiviteiten zijn vastgelegd in Bijlage A en omvatten:

• Onderwerp: Het leveren van het Vocito AI-platform voor telefonische receptie.
• Duur: Voor de looptijd van de overeenkomst tussen de Verwerkingsverantwoordelijke en de Verwerker, plus de toepasselijke bewaartermijn.
• Aard en doel: Ontvangen en afhandelen van inkomende telefoongesprekken via AI, opnemen en transcriberen van gesprekken, versturen van sms-opvolging, beheren van leads en boekingen, e-mailintegratie, beheer van CRM-gegevens en leveren van analyses.
• Soorten Persoonsgegevens: Namen, telefoonnummers, e-mailadressen, spraakopnames, gesprekstranscripties, sms-inhoud, e-mailinhoud, lead- en boekingsinformatie, zakelijke contactgegevens.
• Categorieën van Betrokkenen: Eindgebruikers (bellers), klanten en prospects van de Verwerkingsverantwoordelijke, medewerkers en vertegenwoordigers van de Verwerkingsverantwoordelijke.

4. Verplichtingen van de Verwerker

4.1 Verwerkingsinstructies

De Verwerker zal:

• Persoonsgegevens uitsluitend verwerken op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke, ook met betrekking tot doorgifte van Persoonsgegevens aan een derde land of een internationale organisatie, tenzij het Unierecht of het lidstatelijke recht waaraan de Verwerker is onderworpen dit vereist. In dat geval stelt de Verwerker de Verwerkingsverantwoordelijke vóór de verwerking in kennis van dat wettelijke voorschrift, tenzij die wetgeving deze kennisgeving verbiedt.
• De Verwerkingsverantwoordelijke onmiddellijk informeren als een instructie naar het oordeel van de Verwerker in strijd is met de AVG of andere Unierechtelijke of lidstatelijke bepalingen inzake gegevensbescherming.

4.2 Vertrouwelijkheid

De Verwerker waarborgt dat alle personen die gemachtigd zijn Persoonsgegevens te verwerken zich tot vertrouwelijkheid hebben verbonden of onder een passende wettelijke geheimhoudingsplicht vallen.

4.3 Beveiliging

De Verwerker treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, zoals beschreven in Bijlage B en in overeenstemming met artikel 32 AVG.

4.4 Subverwerking

De Verwerker houdt zich aan de voorwaarden in artikel 6 voor het inschakelen van subverwerkers.

4.5 Rechten van Betrokkenen

De Verwerker ondersteunt de Verwerkingsverantwoordelijke bij het nakomen van zijn verplichting om verzoeken van betrokkenen te beantwoorden, zoals vastgelegd in artikel 9.

4.6 Ondersteuning bij naleving

Rekening houdend met de aard van de verwerking en de informatie waarover de Verwerker beschikt, ondersteunt de Verwerker de Verwerkingsverantwoordelijke bij het nakomen van de artikelen 32 tot en met 36 AVG, waaronder de verplichtingen rond beveiliging van de verwerking, melding van inbreuken in verband met persoonsgegevens, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van toezichthoudende autoriteiten.

4.7 Verwijdering of teruggave

De Verwerker zal, naar keuze van de Verwerkingsverantwoordelijke, alle Persoonsgegevens na afloop van de dienstverlening verwijderen of teruggeven, zoals vastgelegd in artikel 13.

4.8 Audit en informatie

De Verwerker stelt de Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om naleving van artikel 28 AVG aan te tonen, en maakt audits mogelijk en draagt eraan bij, zoals vastgelegd in artikel 12.

5. Verplichtingen van de Verwerkingsverantwoordelijke

De Verwerkingsverantwoordelijke zal:

• Zorgen voor een rechtmatige grondslag voor de verwerking van Persoonsgegevens, inclusief het verkrijgen van de vereiste toestemmingen van Betrokkenen (bijvoorbeeld voor gespreksopname).
• Gedocumenteerde verwerkingsinstructies aan de Verwerker verstrekken.
• Zijn verplichtingen onder de AVG en toepasselijke privacywetgeving nakomen.
• Ervoor zorgen dat Betrokkenen worden geïnformeerd over de verwerking van hun Persoonsgegevens in overeenstemming met de artikelen 13 en 14 AVG, inclusief het gebruik van AI-systemen in overeenstemming met de EU AI Act.
• Verzoeken van betrokkenen beantwoorden, met ondersteuning van de Verwerker.
• De Verwerker informeren over wijzigingen in zijn verwerkingsinstructies.
• Ervoor zorgen dat de aan de Verwerker verstrekte Klantgegevens geen inbreuk maken op de rechten van derden.

6. Subverwerkers

6.1 Algemene toestemming

De Verwerkingsverantwoordelijke verleent een algemene schriftelijke toestemming aan de Verwerker om subverwerkers in te schakelen ter ondersteuning van de Dienst, onder de voorwaarden in dit artikel. De actuele lijst van goedgekeurde subverwerkers staat in Bijlage C.

6.2 Verplichtingen ten aanzien van subverwerkers

Wanneer de Verwerker een subverwerker inschakelt:

• Legt de Verwerker de subverwerker bij overeenkomst dezelfde verplichtingen inzake gegevensbescherming op als in deze Verwerkersovereenkomst, met name het bieden van afdoende garanties voor het treffen van passende technische en organisatorische maatregelen.
• Blijft de Verwerker jegens de Verwerkingsverantwoordelijke volledig aansprakelijk voor het nakomen van de verplichtingen van de subverwerker.
• Bevat de overeenkomst met de subverwerker bepalingen die gelijkwaardig zijn aan die in deze Verwerkersovereenkomst, onder meer over vertrouwelijkheid, beveiliging en auditrechten.

6.3 Kennisgeving van wijzigingen

De Verwerker informeert de Verwerkingsverantwoordelijke minimaal 30 dagen vooraf over beoogde wijzigingen inzake de toevoeging of vervanging van subverwerkers, zodat de Verwerkingsverantwoordelijke de gelegenheid heeft bezwaar te maken tegen die wijzigingen.

6.4 Recht van bezwaar

Heeft de Verwerkingsverantwoordelijke redelijke gronden om bezwaar te maken tegen het inschakelen van een nieuwe subverwerker, dan informeert hij de Verwerker binnen 14 dagen na ontvangst van de kennisgeving. Partijen bespreken de bezwaren van de Verwerkingsverantwoordelijke te goeder trouw. Komen partijen niet tot een oplossing, dan kan de Verwerkingsverantwoordelijke de betreffende diensten zonder boete beëindigen door middel van een schriftelijke kennisgeving.

7. Beveiligingsmaatregelen

De Verwerker implementeert en onderhoudt de technische en organisatorische beveiligingsmaatregelen beschreven in Bijlage B, die minimaal het volgende omvatten:

7.1 Versleuteling

• Versleuteling van Persoonsgegevens tijdens overdracht met TLS 1.2 of hoger.
• Versleuteling van Persoonsgegevens in rust met AES-256 of gelijkwaardig.
• Versleuteling van gespreksopnames in rust.

7.2 Toegangscontrole

• Rolgebaseerde toegangscontrole (RBAC) volgens het principe van minimale rechten.
• Multifactorauthenticatie (MFA) voor toegang tot beheer- en productiesystemen.
• Unieke gebruikersaccounts voor al het personeel; geen gedeelde inloggegevens.
• Regelmatige controle van toegangsrechten (minimaal elk kwartaal).
• Geautomatiseerd intrekken van toegang bij vertrek van personeel.

7.3 Infrastructuurbeveiliging

• Hosting op infrastructuur met een in de EU gehoste, AVG-conforme inrichting.
• Netwerksegmentatie en firewallbeveiliging.
• Regelmatige kwetsbaarheidsscans en penetratietests.
• Tijdig toepassen van beveiligingspatches.
• DDoS-bescherming.

7.4 Monitoring en logging

• Centrale logging van toegang tot Persoonsgegevens.
• Realtime monitoring en waarschuwingen bij beveiligingsincidenten.
• Bewaring van logs gedurende minimaal 12 maanden.

7.5 Personeel

• Geheimhoudingsovereenkomsten met al het personeel dat toegang heeft tot Persoonsgegevens.
• Training in beveiligingsbewustzijn voor al het personeel.
• Antecedentenonderzoek voor personeel met toegang tot productiesystemen (waar wettelijk toegestaan).

7.6 Bedrijfscontinuïteit

• Regelmatige back-ups van Klantgegevens met geteste herstelprocedures.
• Disaster-recoveryprocedures met vastgelegde hersteltijddoelstellingen.
• Redundante infrastructuur voor kritieke componenten.

7.7 Doorlopende evaluatie

De Verwerker evalueert en actualiseert de beveiligingsmaatregelen regelmatig om te waarborgen dat ze passend blijven bij de risico's van de verwerking. De Verwerker zal het algehele beveiligingsniveau tijdens de looptijd van deze Verwerkersovereenkomst niet wezenlijk verlagen.

8. Melding van datalekken

8.1 Melding aan de Verwerkingsverantwoordelijke

De Verwerker meldt een Inbreuk in verband met Persoonsgegevens aan de Verwerkingsverantwoordelijke zonder onredelijke vertraging en in ieder geval binnen 72 uur nadat hij er kennis van heeft genomen. De melding wordt verzonden naar het e-mailadres dat aan het account van de Verwerkingsverantwoordelijke is gekoppeld en bevat, voor zover beschikbaar:

• Een beschrijving van de aard van de Inbreuk in verband met Persoonsgegevens, inclusief de categorieën en het geschatte aantal betrokken Betrokkenen en registraties.
• De naam en contactgegevens van een contactpunt bij de Verwerker.
• Een beschrijving van de waarschijnlijke gevolgen van de inbreuk.
• Een beschrijving van de genomen of voorgestelde maatregelen om de inbreuk aan te pakken, inclusief maatregelen om de nadelige gevolgen te beperken.

8.2 Verplichtingen van de Verwerker

Zodra de Verwerker kennis neemt van een Inbreuk in verband met Persoonsgegevens, zal hij:

• Onmiddellijk maatregelen nemen om de inbreuk in te dammen en de impact te beperken.
• De inbreuk onderzoeken en de Verwerkingsverantwoordelijke voorzien van actuele informatie zodra die beschikbaar komt.
• Samenwerken met de Verwerkingsverantwoordelijke en redelijke ondersteuning bieden bij het nakomen van diens meldplicht onder de artikelen 33 en 34 AVG.
• De inbreuk documenteren, inclusief de feiten, de gevolgen en de genomen herstelmaatregelen.

8.3 Melding door de Verwerkingsverantwoordelijke aan de toezichthoudende autoriteit

De Verwerkingsverantwoordelijke is verantwoordelijk voor het bepalen of de Inbreuk in verband met Persoonsgegevens moet worden gemeld aan een toezichthoudende autoriteit en/of aan Betrokkenen onder de artikelen 33 en 34 AVG. De Verwerker verleent de Verwerkingsverantwoordelijke alle redelijke medewerking en ondersteuning bij het nemen van die beslissingen en het nakomen van die verplichtingen.

9. Verzoeken van betrokkenen

9.1 Ondersteuning

De Verwerker ondersteunt de Verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking en voor zover mogelijk, door middel van passende technische en organisatorische maatregelen bij het nakomen van diens verplichting om verzoeken van Betrokkenen te beantwoorden die hun rechten onder hoofdstuk III van de AVG uitoefenen, waaronder:

• Recht op inzage (artikel 15)
• Recht op rectificatie (artikel 16)
• Recht op gegevenswissing (artikel 17)
• Recht op beperking van de verwerking (artikel 18)
• Kennisgevingsplicht (artikel 19)
• Recht op overdraagbaarheid van gegevens (artikel 20)
• Recht van bezwaar (artikel 21)

9.2 Kennisgeving

Ontvangt de Verwerker rechtstreeks een verzoek van een Betrokkene, dan verwijst de Verwerker de Betrokkene onverwijld (en in ieder geval binnen 5 werkdagen) door naar de Verwerkingsverantwoordelijke en stelt hij de Verwerkingsverantwoordelijke van het verzoek in kennis. De Verwerker beantwoordt een dergelijk verzoek niet rechtstreeks, tenzij de Verwerkingsverantwoordelijke daartoe toestemming geeft of de wet dit vereist.

9.3 Gegevensexport

De Verwerker biedt via het dashboard van de Dienst functionaliteit waarmee de Verwerkingsverantwoordelijke Klantgegevens kan exporteren in gangbare machineleesbare formaten (JSON, CSV). De Verwerkingsverantwoordelijke kan deze hulpmiddelen gebruiken om verzoeken tot overdraagbaarheid van gegevens af te handelen.

10. Gegevensbeschermingseffectbeoordeling

De Verwerker biedt de Verwerkingsverantwoordelijke redelijke ondersteuning bij het uitvoeren van gegevensbeschermingseffectbeoordelingen ("DPIA's") en voorafgaande raadplegingen van toezichthoudende autoriteiten onder de artikelen 35 en 36 AVG, waar dat vereist is in verband met de verwerking van Persoonsgegevens via de Dienst. Deze ondersteuning omvat het verstrekken van informatie over de verwerkingsactiviteiten van de Verwerker, de technische en organisatorische maatregelen en de afspraken met subverwerkers.

11. Internationale doorgifte

11.1 Primaire opslag

De Verwerker slaat Klantgegevens, inclusief Persoonsgegevens, primair op binnen de Europese Economische Ruimte (EER), specifiek op Supabase-infrastructuur in de regio Ierland (eu-west-1).

11.2 Doorgifte naar derde landen

Bepaalde door de Verwerker ingeschakelde subverwerkers zijn gevestigd in de Verenigde Staten. Wanneer Persoonsgegevens worden doorgegeven aan een land buiten de EER waarvoor de Europese Commissie geen adequaatheidsbesluit heeft genomen, gelden de volgende waarborgen:

• Standaardcontractbepalingen (SCC's): De Verwerker heeft met elke subverwerker buiten de EER SCC's afgesloten (Uitvoeringsbesluit (EU) 2021/914 van de Commissie), met gebruik van de bepalingen van Module 3 (verwerker naar subverwerker).
• EU-U.S. Data Privacy Framework: Waar van toepassing baseert de Verwerker zich als aanvullende waarborg op de certificering van de subverwerker onder het EU-U.S. Data Privacy Framework.
• Aanvullende maatregelen: In overeenstemming met de Aanbevelingen 01/2020 van het EDPB treft de Verwerker aanvullende technische, organisatorische en contractuele maatregelen, waaronder:
  • Versleuteling van Persoonsgegevens tijdens overdracht en in rust.
  • Minimalisatie van doorgegeven gegevens (bijvoorbeeld realtime streaming in plaats van bulkoverdracht waar mogelijk).
  • Contractuele toezeggingen van subverwerkers om onevenredige verzoeken van overheden om toegang aan te vechten.
  • Regelmatige doorgifte-effectbeoordelingen.

11.3 Doorgifte-effectbeoordelingen

De Verwerker voert voor elke internationale doorgifte een doorgifte-effectbeoordeling uit en houdt deze bij, waarbij het rechtskader van het ontvangende land en de doeltreffendheid van de getroffen waarborgen worden beoordeeld. Deze beoordelingen worden op verzoek aan de Verwerkingsverantwoordelijke ter beschikking gesteld.

12. Auditrechten

12.1 Informatie

De Verwerker stelt de Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om naleving van de verplichtingen uit artikel 28 AVG en deze Verwerkersovereenkomst aan te tonen.

12.2 Audit

De Verwerker maakt audits, inclusief inspecties, mogelijk en draagt eraan bij, uitgevoerd door de Verwerkingsverantwoordelijke of een door de Verwerkingsverantwoordelijke gemachtigde auditor, onder de volgende voorwaarden:

• De Verwerkingsverantwoordelijke kondigt een audit minimaal 30 dagen vooraf schriftelijk aan, met vermelding van de reikwijdte en de duur.
• Audits worden tijdens normale kantooruren uitgevoerd en mogen de bedrijfsvoering van de Verwerker niet onredelijk verstoren.
• De Verwerkingsverantwoordelijke en zijn auditors houden zich aan de redelijke beveiligings- en vertrouwelijkheidseisen van de Verwerker.
• De auditor sluit vóór aanvang van de audit een geheimhoudingsovereenkomst met de Verwerker.
• De Verwerkingsverantwoordelijke draagt de kosten van een audit, behalve wanneer de audit een wezenlijke schending van deze Verwerkersovereenkomst door de Verwerker aan het licht brengt.
• Audits zijn beperkt tot één per kalenderjaar, tenzij een toezichthoudende autoriteit dit vereist of na een Inbreuk in verband met Persoonsgegevens.

12.3 Certificeringen en rapporten

Waar beschikbaar kan de Verwerker relevante certificeringen, auditrapporten (bijvoorbeeld SOC 2 Type II-rapporten) of samenvattingen van onafhankelijke externe audits verstrekken om aan de auditvereisten van de Verwerkingsverantwoordelijke te voldoen. De Verwerkingsverantwoordelijke stemt ermee in dergelijke documentatie in plaats van een fysieke audit in overweging te nemen wanneer deze redelijkerwijs aan zijn zorgen tegemoetkomt.

13. Verwijdering en teruggave van gegevens

13.1 Bij beëindiging

Bij beëindiging of afloop van de overeenkomst tussen de Verwerkingsverantwoordelijke en de Verwerker:

• Kan de Verwerkingsverantwoordelijke binnen 30 dagen na beëindiging teruggave van de Klantgegevens (inclusief Persoonsgegevens) in een gangbaar, machineleesbaar formaat verzoeken.
• Verwijdert de Verwerker na de periode van 30 dagen (of onmiddellijk op schriftelijke instructie van de Verwerkingsverantwoordelijke) alle Klantgegevens en bestaande kopieën, tenzij het Unierecht of het lidstatelijke recht opslag van de Persoonsgegevens vereist.
• Verstrekt de Verwerker op verzoek een schriftelijke bevestiging van de verwijdering.

13.2 Uitzonderingen op bewaring

De Verwerker mag Persoonsgegevens na beëindiging uitsluitend bewaren wanneer:

• Toepasselijk recht dit vereist (bijvoorbeeld de Nederlandse fiscale bewaarplicht voor facturatiegegevens · 7 jaar).
• De gegevens zich in back-upsystemen bevinden en worden verwijderd volgens het reguliere back-uprotatieschema van de Verwerker (maximaal 90 dagen).

In elk geval blijft de Verwerker de bewaarde gegevens beschermen in overeenstemming met deze Verwerkersovereenkomst en beperkt hij de verwerking tot de wettelijk vereiste doeleinden.

13.3 Tijdens de looptijd

Tijdens de looptijd van de overeenkomst kan de Verwerkingsverantwoordelijke via het dashboard van de Dienst of door een schriftelijk verzoek aan de Verwerker om verwijdering van specifieke Klantgegevens vragen. De Verwerker voldoet binnen 30 dagen aan dergelijke verzoeken, voor zover technisch haalbaar en met inachtneming van wettelijke bewaarplichten.

14. Aansprakelijkheid

14.1 Verdeling van aansprakelijkheid

Elke partij is aansprakelijk voor schade veroorzaakt door verwerking die in strijd is met de AVG, in overeenstemming met artikel 82 AVG:

• De Verwerkingsverantwoordelijke is aansprakelijk voor schade veroorzaakt door verwerking die niet voldoet aan de AVG of door onrechtmatige instructies.
• De Verwerker is aansprakelijk voor schade veroorzaakt door verwerking wanneer hij niet heeft voldaan aan de specifiek tot verwerkers gerichte verplichtingen van de AVG, of wanneer hij buiten of in strijd met de rechtmatige instructies van de Verwerkingsverantwoordelijke heeft gehandeld.

14.2 Beperking van aansprakelijkheid

De totale gezamenlijke aansprakelijkheid van elk van beide partijen onder deze Verwerkersovereenkomst is onderworpen aan de aansprakelijkheidsbeperkingen in de Algemene Voorwaarden, met dien verstande dat deze beperkingen niet gelden voor:

• Aansprakelijkheid jegens Betrokkenen onder artikel 82 AVG.
• Boetes en sancties opgelegd door toezichthoudende autoriteiten.
• Aansprakelijkheid voortvloeiend uit grove nalatigheid of opzet van een partij ten aanzien van haar verplichtingen inzake gegevensbescherming.

14.3 Vrijwaring

Elke partij vrijwaart de andere partij tegen kosten, vorderingen, schade of uitgaven die het gevolg zijn van een schending van deze Verwerkersovereenkomst of van de verplichtingen onder de AVG door de vrijwarende partij, mits de partij die vrijwaring vraagt de andere partij onverwijld informeert en redelijke medewerking verleent.

15. Looptijd en beëindiging

15.1 Looptijd

Deze Verwerkersovereenkomst gaat in op de datum waarop de Verwerkingsverantwoordelijke de Dienst voor het eerst gebruikt en blijft van kracht zolang de Verwerker Persoonsgegevens namens de Verwerkingsverantwoordelijke verwerkt.

15.2 Voortbestaan van bepalingen

De verplichtingen van de Verwerker onder deze Verwerkersovereenkomst blijven na beëindiging van de overeenkomst van kracht voor zover nodig om zijn verplichtingen inzake teruggave of verwijdering van Persoonsgegevens en doorlopende geheimhoudingsverplichtingen na te komen.

16. Algemene bepalingen

16.1 Toepasselijk recht

Op deze Verwerkersovereenkomst is het recht van Nederlandvan toepassing, met uitsluiting van de regels van het internationaal privaatrecht. Geschillen die uit deze Verwerkersovereenkomst voortvloeien worden voorgelegd aan de exclusief bevoegde rechter te Amsterdam, Nederland.

16.2 Deelbaarheid

Als een bepaling van deze Verwerkersovereenkomst ongeldig of niet-afdwingbaar blijkt, blijven de overige bepalingen volledig van kracht. De ongeldige bepaling wordt vervangen door een geldige bepaling die de oorspronkelijke bedoeling zo dicht mogelijk benadert.

16.3 Wijzigingen

De Verwerker kan deze Verwerkersovereenkomst wijzigen om veranderingen in toepasselijk recht of in de gegevensverwerkingspraktijk van de Verwerker te weerspiegelen. Wezenlijke wijzigingen worden minimaal 30 dagen vooraf aan de Verwerkingsverantwoordelijke gemeld. Voortgezet gebruik van de Dienst na een dergelijke kennisgeving geldt als aanvaarding van de gewijzigde Verwerkersovereenkomst.

16.4 Volledige overeenkomst

Deze Verwerkersovereenkomst vormt samen met de Algemene Voorwaarden, het Privacybeleid en eventuele toepasselijke orderformulieren de volledige overeenkomst tussen partijen met betrekking tot het onderwerp ervan.

16.5 Contact

Vragen over deze Verwerkersovereenkomst kun je richten aan: privacy@vocito.ai

Bijlage A: Details van de verwerking

Bijlage B: Technische en organisatorische maatregelen

Bijlage C: Lijst van subverwerkers