Verwerkersovereenkomst

1.1 Definities. In deze Verwerkersovereenkomst wordt verstaan onder:

(a) “Persoonsgegevens van de Klant” (Customer Personal Data): de persoonsgegevens binnen de Klantgegevens (Customer Data) die Veliu bij het leveren van de Diensten (Services) namens de Klant verwerkt.

(b) “Gegevensbeschermingswetgeving” (Data Protection Law): Verordening (EU) 2016/679 (de “AVG” (GDPR)), de Ierse Data Protection Act 2018 en de overige wetgeving van de EU en van de lidstaten inzake persoonsgegevens die op de verwerking van toepassing is, alsmede, voor zover van toepassing, de UK GDPR en de Zwitserse federale wet inzake gegevensbescherming.

(c) “Inbreuk in verband met Persoonsgegevens” (Personal Data Breach): een inbreuk in verband met persoonsgegevens als omschreven in artikel 4, punt 12, AVG die betrekking heeft op Persoonsgegevens van de Klant.

(d) “Standaardcontractbepalingen” (Standard Contractual Clauses): de bepalingen die zijn opgenomen in de bijlage bij Uitvoeringsbesluit (EU) 2021/914 van de Commissie.

(e) “Subverwerker” (Subprocessor): een verwerker die Veliu inschakelt om Persoonsgegevens van de Klant te verwerken.

1.2 Rollen. De Klant is de verwerkingsverantwoordelijke voor de Persoonsgegevens van de Klant en Veliu is zijn verwerker.

1.3 Veliu als verwerkingsverantwoordelijke. Veliu is verwerkingsverantwoordelijke voor (a) de geanonimiseerde Telemetrie (Telemetry) die zij op grond van artikel 11 afleidt en (b) de persoonsgegevens van Gebruikers (Users) die zij verwerkt om hun accounts te beheren, de Klant te factureren, met Gebruikers te communiceren en te begrijpen hoe de Diensten worden gebruikt, zoals beschreven in de Privacyverklaring (Privacy Policy) van Veliu.

1.4 Verantwoordelijkheden van de Klant. De Klant zorgt ervoor dat zijn instructies in overeenstemming zijn met de Gegevensbeschermingswetgeving, dat hij over een rechtsgrond voor de verwerking beschikt en dat hij zijn bezoekers en klanten de informatie verstrekt, en de toestemmingen van hen verkrijgt, die de wet vereist, ook voor de Veliu code op zijn website.

2.1 Onderwerp en doel. Veliu verwerkt Persoonsgegevens van de Klant om de Diensten te leveren op grond van de Overeenkomst en elke Order: om de Brand Agent te laten draaien op de website van de Klant en op de andere in de Order vermelde kanalen, om de wijzigingen die de Klant goedkeurt voor te bereiden en in de systemen van de Klant weg te schrijven, om de software te lezen die de Klant koppelt, en om analyses, aanbevelingen, ondersteuning en beveiliging te bieden.

2.2 Aard. Verzamelen, vastleggen, ordenen, opslaan, opvragen, raadplegen, analyseren, gebruiken in gesprekken en bij modelinferentie, verstrekken aan Subverwerkers, en wissen.

2.3 Duur. De duur van de Overeenkomst en, daarna, de termijnen van artikel 10.

2.4 Categorieën van persoonsgegevens.

(a) Catalogus- en productgegevens. Alle persoonsgegevens in de catalogus- en productgegevens van de Klant.

(b) Gegevens van bezoekers en klanten. De inhoud van gesprekken tussen de Brand Agent en de websitebezoekers en klanten van de Klant, online-identificatoren, apparaat-, browser- en gebruiksgegevens, IP-adres en geschatte locatie, en bestelgegevens zoals bestelreferenties, producten en bedragen.

(c) Gegevens uit gekoppelde software. Analysegegevens en gegevens uit de search console, voor zover deze persoonsgegevens bevatten, en het e-mailadres van elk gekoppeld account.

(d) Accountgegevens van personeel. Namen, zakelijke e-mailadressen en rollen van de Gebruikers van de Klant, zoals gebruikt binnen de Diensten namens de Klant.

2.5 Categorieën van betrokkenen. Bezoekers van de website en de andere kanalen van de Klant, met inbegrip van personen namens wie een AI-agent met de Brand Agent spreekt; klanten van de Klant; personeel en Gebruikers van de Klant; en iedere andere natuurlijke persoon wiens persoonsgegevens de Klant in de Klantgegevens opneemt.

3.1 Gedocumenteerde instructies. Veliu verwerkt Persoonsgegevens van de Klant uitsluitend op basis van gedocumenteerde instructies van de Klant, onder meer met betrekking tot doorgiften aan een derde land, tenzij het Unierecht of het lidstatelijke recht anders vereist; Veliu stelt de Klant in dat geval vóór de verwerking in kennis van dat wettelijk voorschrift, tenzij dat recht deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.

3.2 Inhoud. De gedocumenteerde instructies van de Klant zijn deze Verwerkersovereenkomst, de Overeenkomst en elke Order, de instellingen die de Klant in de Diensten kiest, de goedkeuringen die hij in de back office geeft, en elke verdere schriftelijke instructie die daarmee in overeenstemming is. De Klant geeft Veliu de instructie om op grond van artikel 11 Telemetrie af te leiden.

3.3 Onrechtmatige instructies. Veliu stelt de Klant onmiddellijk in kennis indien een instructie naar haar oordeel inbreuk maakt op de Gegevensbeschermingswetgeving, en kan de uitvoering van die instructie opschorten totdat Partijen overeenstemming bereiken over de verdere aanpak.

4.1 Gemachtigde personen. Iedere werknemer en opdrachtnemer die Veliu machtigt om Persoonsgegevens van de Klant te verwerken, is op grond van een overeenkomst of van de wet gebonden aan een geheimhoudingsplicht en heeft alleen toegang tot die gegevens voor zover dat nodig is om de Diensten te leveren of om aan de wet te voldoen.

5.1 Maatregelen. Veliu treft en handhaaft de technische en organisatorische maatregelen van Bijlage 2, die een op het risico afgestemd beveiligingsniveau waarborgen in de zin van artikel 32 AVG.

5.2 Aanpassingen. Veliu kan die maatregelen aanpassen, mits het algehele beschermingsniveau behouden blijft of wordt verbeterd.

6.1 Toestemming. De Klant verleent Veliu een algemene schriftelijke toestemming om de Subverwerkers van Bijlage 3 en, op grond van dit artikel 6, verdere Subverwerkers in te schakelen.

6.2 Voorwaarden en aansprakelijkheid. Veliu schakelt iedere Subverwerker in op grond van een schriftelijke overeenkomst waarvan de verplichtingen inzake gegevensbescherming de Persoonsgegevens van de Klant ten minste even goed beschermen als deze Verwerkersovereenkomst, en blijft jegens de Klant aansprakelijk voor de nakoming door iedere Subverwerker.

6.3 Kennisgeving. Veliu stelt de Klant ten minste dertig (30) dagen van tevoren, per e-mail of in het account van de Klant, in kennis van iedere toegevoegde of vervangen Subverwerker, met vermelding van de Subverwerker, het doel en de locatie ervan.

6.4 Bezwaar en beëindiging. Binnen de kennisgevingstermijn kan de Klant op redelijke gronden die verband houden met gegevensbescherming per e-mail aan admin@veliu.com bezwaar maken, en Partijen bespreken het bezwaar te goeder trouw. Kan Veliu het bezwaar niet wegnemen voordat de wijziging ingaat, dan kan de Klant de betrokken Order met ingang van de datum van de wijziging opzeggen door middel van een kennisgeving aan admin@veliu.com, waarbij hij uitsluitend de vergoedingen tot die datum betaalt; bij jaarlijkse facturering betaalt Veliu de vooruitbetaalde vergoedingen voor de periode daarna terug op verzoek van de Klant op grond van artikel 8.9 van de Overeenkomst. Zonder bezwaar binnen de kennisgevingstermijn geldt de wijziging als toegestaan.

7.1 Hosting in de EU. Veliu slaat Persoonsgegevens van de Klant op in de Europese Unie en verwerkt ze daar, zoals bepaald in artikel 4.7 van de Overeenkomst. Modelinferentie vindt plaats in EU-regio’s voor zover de aanbieder die beschikbaar stelt, en anders overeenkomstig artikel 7.2.

7.2 Waarborgen. Veliu geeft Persoonsgegevens van de Klant alleen door naar buiten de Europese Economische Ruimte, of staat een Subverwerker toe dat te doen, indien (a) de bestemming valt onder een adequaatheidsbesluit van de Europese Commissie, met inbegrip van het EU-US Data Privacy Framework voor een gecertificeerde ontvanger, of (b) Veliu en de ontvanger gebonden zijn door de Standaardcontractbepalingen (Module 3, van verwerker aan verwerker), met de aanvullende maatregelen die de doorgifte vereist. Wanneer het recht van het Verenigd Koninkrijk of van Zwitserland van toepassing is, gelden de Standaardcontractbepalingen met het UK Addendum of met de Zwitserse aanpassingen. Bijlage 3 vermeldt de waarborgen.

8.1 Verzoeken van betrokkenen. Rekening houdend met de aard van de verwerking verleent Veliu de Klant door middel van passende technische en organisatorische maatregelen bijstand bij het beantwoorden van verzoeken van betrokkenen om hun rechten uit te oefenen. Veliu stuurt ieder dergelijk verzoek dat zij ontvangt zonder onredelijke vertraging door aan de Klant, en beantwoordt de betrokkene uitsluitend op instructie van de Klant of voor zover de wet dat vereist.

8.2 Effectbeoordelingen. Veliu verstrekt de Klant de informatie waarover zij beschikt en die de Klant redelijkerwijs nodig heeft voor gegevensbeschermingseffectbeoordelingen en voorafgaande raadplegingen op grond van de artikelen 35 en 36 AVG.

8.3 Inbreuken in verband met Persoonsgegevens. Veliu stelt de Klant zonder onredelijke vertraging, en uiterlijk tweeënzeventig (72) uur nadat zij er kennis van heeft gekregen, in kennis van een Inbreuk in verband met Persoonsgegevens, per e-mail aan de Gebruiker die het account van de Klant beheert. De kennisgeving beschrijft, voor zover op dat moment bekend, de aard van de inbreuk, de betrokkenen en de persoonsgegevensregisters in kwestie, de waarschijnlijke gevolgen ervan, de genomen of voorgestelde maatregelen en een contactpunt. Veliu vult de kennisgeving aan naarmate de feiten bekend worden en neemt redelijke maatregelen om de inbreuk in te dammen en de gevolgen ervan te beperken.

9.1 Certificeringen en rapporten. Op verzoek stelt Veliu de informatie ter beschikking die nodig is om de naleving van deze Verwerkersovereenkomst en van artikel 28 AVG aan te tonen, met inbegrip van de certificeringen en auditrapporten van haar Subverwerkers voor zover de aanbieders de openbaarmaking daarvan toestaan, en schriftelijke antwoorden op redelijke beveiligingsvragenlijsten. De Klant baseert zich in eerste instantie op deze informatie.

9.2 Inspecties. Wanneer die informatie de naleving niet aantoont, kan de Klant, zelf of via een onafhankelijke en tot geheimhouding verplichte auditor, bij Veliu een audit uitvoeren, ook ter plaatse, eenmaal per periode van twaalf (12) maanden, of vaker wanneer een toezichthoudende autoriteit dat vereist, met een aankondiging van ten minste dertig (30) dagen per e-mail aan admin@veliu.com. Audits vinden plaats tijdens Kantooruren (Business Hours), met zo weinig mogelijk verstoring van de bedrijfsvoering van Veliu, en geven geen toegang tot gegevens van andere klanten of tot faciliteiten van Subverwerkers. Veliu verhelpt iedere tekortkoming in de naleving die bij de audit wordt vastgesteld.

10.1 Teruggave. Gedurende dertig (30) dagen na het einde van een Order kan de Klant de Klantgegevens, met inbegrip van de Persoonsgegevens van de Klant, exporteren in de formaten die de Diensten op grond van artikel 4.8 van de Overeenkomst aanbieden, of Veliu per e-mail verzoeken deze terug te geven in een gangbaar, machineleesbaar formaat.

10.2 Verwijdering. Binnen zestig (60) dagen na het einde van de Order verwijdert Veliu de Persoonsgegevens van de Klant die op grond daarvan zijn verwerkt, ook wanneer Subverwerkers deze onder zich hebben, met uitzondering van wat Veliu op grond van het Unierecht of het lidstatelijke recht moet bewaren, zolang dat recht dit vereist. Persoonsgegevens van de Klant in back-ups worden verwijderd naarmate de back-ups worden geroteerd, binnen negentig (90) dagen na het einde van de Order. Tot de verwijdering blijven die gegevens beschermd door deze Verwerkersovereenkomst.

10.3 Eerdere verwijdering. De Klant kan per e-mail aan admin@veliu.com om eerdere verwijdering verzoeken, en Veliu bevestigt de verwijdering op verzoek schriftelijk.

11.1 Uitsluitend op instructie van de Klant. Veliu gebruikt Klantgegevens uitsluitend om de Diensten aan de Klant te leveren en om Telemetrie af te leiden, op instructie van de Klant op grond van artikel 3. Veliu gebruikt Klantgegevens, met inbegrip van Persoonsgegevens van de Klant, niet om enig model, agent of systeem van artificiële intelligentie te trainen, te finetunen, te evalueren of anderszins te verbeteren dat beschikbaar wordt gesteld aan, of wordt geëxploiteerd voor, iemand anders dan de Klant.

11.2 Wat Veliu van de Klant leert, blijft bij de Klant. Modellen, prompts, configuraties, kennis en geheugen die Veliu uit Klantgegevens afleidt, dienen uitsluitend de eigen Brand Agent en Diensten van de Klant, en Veliu draagt ze niet over aan een andere klant en gebruikt ze niet voor een andere klant.

11.3 Modelaanbieders. De modelaanbieders van Bijlage 3 verwerken Persoonsgegevens van de Klant onder zakelijke voorwaarden die hun niet toestaan die gegevens te gebruiken om hun modellen te trainen.

11.4 Telemetrie. Veliu verbetert haar modellen, agents en Diensten uitsluitend met Telemetrie (artikel 4.4 van de Overeenkomst). Telemetrie die is afgeleid uit Persoonsgegevens van de Klant voldoet aan drie voorwaarden: (a) niemand kan daaruit, met de middelen waarvan redelijkerwijs valt te verwachten dat zij worden gebruikt, alleen of in combinatie met andere gegevens, een natuurlijke persoon, de Klant of zijn merk heridentificeren; (b) zij is geaggregeerd over meerdere merken; (c) zij noemt geen merk en geen persoon, en onthult geen niet-gepubliceerde gegevens van de Klant. Veliu doet geen poging om Telemetrie te heridentificeren en staat niemand anders toe dat te doen.

11.5 Openbare informatie. Artikel 4.6(e) van de Overeenkomst regelt de informatie die de Klant op zijn eigen website of in zijn eigen feeds publiceert en die de beoordelingstools van Veliu van buitenaf lezen, zoals elke AI-shoppingagent dat doet.

11.6 Voortbestaan. Dit artikel 11 blijft van kracht zolang Veliu Klantgegevens onder zich heeft.

12.1 Beperkingen. De aansprakelijkheid van elke Partij op grond van deze Verwerkersovereenkomst is onderworpen aan artikel 12 van de Overeenkomst en telt mee voor de daarin vermelde limieten. Niets in deze Verwerkersovereenkomst beperkt de rechten van betrokkenen op grond van de Gegevensbeschermingswetgeving.

13.1 Looptijd. Deze Verwerkersovereenkomst treedt in werking met de eerste Order van de Klant en is van toepassing zolang Veliu Persoonsgegevens van de Klant verwerkt, ook tijdens de termijnen van artikel 10.

13.2 Rangorde. Artikel 18.11 van de Overeenkomst bepaalt de rangorde, en deze Verwerkersovereenkomst gaat in aangelegenheden die de verwerking van persoonsgegevens betreffen voor op de Overeenkomst en op elke Order. De Standaardcontractbepalingen hebben, waar zij van toepassing zijn, voorrang boven iedere andere bepaling.

13.3 Taal. Artikel 18.13 van de Overeenkomst is van toepassing op deze Verwerkersovereenkomst.

(a) Verwerkingsverantwoordelijke. De Klant, zoals vermeld in de Order.

(b) Verwerker. Veliu Limited, admin@veliu.com.

(c) Betrokkenen en persoonsgegevens. De artikelen 2.5 en 2.4.

(d) Bijzondere categorieën. De Diensten vereisen er geen; een bezoeker kan ze uit eigen beweging in een gesprek verstrekken, bijvoorbeeld een gezondheidsbehoefte achter een vraag over een product.

(e) Aard, doel, duur en bewaring. De artikelen 2.1 tot en met 2.3 en artikel 10.

(f) Frequentie. Doorlopend, gedurende de duur van de Overeenkomst.

(g) Subverwerkers. Bijlage 3.

(h) Leidende toezichthoudende autoriteit van Veliu. Data Protection Commission, Ierland.

(a) Hosting in de EU. Klantgegevens worden opgeslagen en verwerkt op infrastructuur in de Europese Unie die wordt beheerd door cloudaanbieders die beschikken over SOC 2 Type II-rapporten, en over een ISO/IEC 27001-certificering voor zover de aanbieder daarover beschikt: Amazon Web Services, Google Cloud, Vercel en Supabase, in EU-regio’s.

(b) Versleuteling. Tijdens transport met TLS 1.2 of hoger; bij opslag met AES-256.

(c) Back-ups en veerkracht. Dagelijkse back-ups en redundantie over meerdere beschikbaarheidszones; beschikbaarheid bewaakt vanaf ten minste twee locaties in de Europese Unie.

(d) Toegangsbeheer. Toegang volgens het beginsel van minimale toegangsrechten, met multifactorauthenticatie en vastgelegd in logs; inloggegevens voor de software die de Klant koppelt, versleuteld opgeslagen.

(e) Kwetsbaarheden en incidenten. Kwetsbaarhedenbeheer, en incidentrespons met kennisgeving aan de Klant op grond van artikel 8.3.

(f) Modelinferentie. In EU-regio’s voor zover de aanbieder die beschikbaar stelt, en anders onder de Standaardcontractbepalingen (artikelen 7 en 11).

Subverwerkers die buiten de Europese Economische Ruimte zijn gevestigd, of die van daarbuiten toegang hebben, steunen op de Standaardcontractbepalingen of op een adequaatheidsbesluit, met inbegrip van het EU-US Data Privacy Framework voor zover zij gecertificeerd zijn.