Partijen

Deze verwerkersovereenkomst is gesloten tussen:

1. LOIQ, handelend onder de naam klant.review, gevestigd te Scottweg 29 A, 4462 GS Goes, ingeschreven bij de Kamer van Koophandel onder nummer 98362127, hierna te noemen "Verwerker";
2. De partij die zich heeft geregistreerd voor de diensten van klant.review, hierna te noemen "Verwerkingsverantwoordelijke".

Gezamenlijk te noemen "Partijen".

Artikel 1 — Definities

1. AVG: Verordening (EU) 2016/679 (Algemene Verordening Gegevensbescherming).
2. Persoonsgegevens: alle gegevens die betrekking hebben op een geidentificeerde of identificeerbare natuurlijke persoon.
3. Verwerking: elke bewerking van persoonsgegevens, waaronder verzamelen, opslaan, wijzigen, raadplegen, verstrekken, wissen of vernietigen.
4. Betrokkene: de natuurlijke persoon op wie de persoonsgegevens betrekking hebben.
5. Sub-verwerker: een derde partij die door Verwerker wordt ingeschakeld voor de verwerking van persoonsgegevens.
6. Datalek: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van persoonsgegevens.

Artikel 2 — Doel en reikwijdte

1. Deze overeenkomst regelt de verplichtingen van Partijen ten aanzien van de verwerking van persoonsgegevens in het kader van de diensten van klant.review.
2. Verwerker verwerkt persoonsgegevens uitsluitend in opdracht en ten behoeve van de Verwerkingsverantwoordelijke, conform de instructies in deze overeenkomst.
3. Verwerker verwerkt de persoonsgegevens niet voor eigen doeleinden.

Artikel 3 — Categorieën persoonsgegevens

De volgende categorieën persoonsgegevens worden verwerkt:

Artikel 4 — Verplichtingen van de Verwerker

1. Verwerker verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Verwerkingsverantwoordelijke, tenzij een wettelijke verplichting anders vereist.
2. Verwerker waarborgt dat personen die toegang hebben tot de persoonsgegevens gebonden zijn aan geheimhouding.
3. Verwerker treft passende technische en organisatorische maatregelen ter beveiliging van de persoonsgegevens (zie Artikel 6).
4. Verwerker schakelt geen sub-verwerkers in zonder voorafgaande schriftelijke toestemming van de Verwerkingsverantwoordelijke (zie Artikel 5).
5. Verwerker verleent medewerking aan verzoeken van betrokkenen (inzage, rectificatie, verwijdering, overdraagbaarheid) binnen de wettelijke termijnen.
6. Verwerker stelt de Verwerkingsverantwoordelijke onverwijld op de hoogte van een datalek (zie Artikel 7).
7. Na beeindiging van de overeenkomst verwijdert Verwerker alle persoonsgegevens, tenzij bewaring wettelijk verplicht is.

Artikel 5 — Sub-verwerkers

1. Verwerkingsverantwoordelijke verleent hierbij algemene toestemming voor het inschakelen van sub-verwerkers, onder de voorwaarde dat Verwerker de Verwerkingsverantwoordelijke vooraf informeert over wijzigingen.
2. Verwerker sluit met iedere sub-verwerker een overeenkomst die minimaal dezelfde verplichtingen bevat als deze overeenkomst.
3. Verwerker blijft volledig verantwoordelijk voor de handelingen van sub-verwerkers.

Huidige sub-verwerkers:

Artikel 6 — Beveiligingsmaatregelen

Verwerker treft ten minste de volgende maatregelen:

1. Encryptie in transit: alle verbindingen zijn beveiligd met TLS 1.3.
2. Encryptie at rest: databasegegevens worden versleuteld opgeslagen (AES-256).
3. Toegangscontrole: Row Level Security (RLS) op databaseniveau zorgt ervoor dat iedere klant uitsluitend eigen gegevens kan raadplegen.
4. Authenticatie: HttpOnly en Secure cookies, optionele tweefactorauthenticatie.
5. AI data minimalisatie: persoonsgegevens (namen, e-mailadressen, telefoonnummers) worden verwijderd voordat reviewteksten aan AI-diensten worden aangeboden. AI-diensten slaan geen gegevens op en gebruiken deze niet voor training.
6. Monitoring: technische fouten worden geregistreerd zonder persoonsgegevens.
7. Rate limiting: bescherming tegen misbruik op alle API-endpoints.
8. Regelmatige audits: periodieke beveiligingsaudits en code reviews.

Artikel 7 — Datalekken

1. Verwerker informeert de Verwerkingsverantwoordelijke zonder onredelijke vertraging, en in ieder geval binnen 48 uur na ontdekking van een datalek.
2. De melding bevat ten minste: de aard van het datalek, de categorieën en het geschatte aantal betrokkenen, de waarschijnlijke gevolgen, en de maatregelen die zijn genomen.
3. Verwerker verleent alle medewerking die nodig is voor de melding aan de Autoriteit Persoonsgegevens (binnen 72 uur) en aan betrokkenen.
4. Verwerker documenteert alle datalekken, inclusief de feiten, gevolgen en genomen maatregelen.

Artikel 8 — Bewaartermijnen

Na beeindiging van de overeenkomst verwijdert Verwerker alle persoonsgegevens binnen 30 dagen, tenzij bewaring wettelijk verplicht is (factuurgegevens: 7 jaar).

Artikel 9 — Rechten van betrokkenen

1. Verwerker verleent medewerking aan verzoeken van betrokkenen op grond van artikelen 15 t/m 22 AVG (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid, bezwaar).
2. Verwerker biedt self-service functionaliteit voor inzage en verwijdering via het account dashboard.
3. Verwerker biedt een data export functie (JSON-formaat) voor het recht op overdraagbaarheid (artikel 20 AVG).
4. Verwerker reageert binnen 5 werkdagen op verzoeken die niet via self-service kunnen worden afgehandeld.

Artikel 10 — Audit

1. Verwerkingsverantwoordelijke heeft het recht om audits uit te voeren of te laten uitvoeren om naleving van deze overeenkomst te controleren.
2. Verwerker verleent alle redelijke medewerking aan audits en stelt relevante informatie beschikbaar.
3. Kosten van een audit zijn voor rekening van de Verwerkingsverantwoordelijke, tenzij de audit tekortkomingen aan het licht brengt.

Artikel 11 — Internationale doorgifte

1. Persoonsgegevens worden primair verwerkt binnen de Europese Unie.
2. Voor sub-verwerkers buiten de EU (OpenAI, Anthropic, Resend, Google) zijn EU Standard Contractual Clauses (SCCs) van toepassing conform artikel 46 lid 2 sub c AVG.
3. AI-verwerking (OpenAI, Anthropic) geschiedt uitsluitend op geanonimiseerde reviewteksten. Persoonsgegevens worden verwijderd voordat data de EU verlaat.

Artikel 12 — Aansprakelijkheid

1. De aansprakelijkheid van Verwerker is beperkt tot directe schade als gevolg van aantoonbare tekortkomingen in de nakoming van deze overeenkomst.
2. De totale aansprakelijkheid is beperkt tot het bedrag dat Verwerkingsverantwoordelijke in de 12 maanden voorafgaand aan het schadeveroorzakende feit aan Verwerker heeft betaald.
3. Verwerker is niet aansprakelijk voor schade die het gevolg is van instructies van de Verwerkingsverantwoordelijke.

Artikel 13 — Looptijd en beeindiging

1. Deze overeenkomst treedt in werking op het moment dat Verwerkingsverantwoordelijke een account aanmaakt bij klant.review en blijft van kracht zolang de dienst wordt afgenomen.
2. Bij beeindiging van de dienst worden alle persoonsgegevens verwijderd conform Artikel 8, na een bedenktijd van 30 dagen.
3. Bepalingen die naar hun aard bestemd zijn om na beeindiging voort te duren (geheimhouding, aansprakelijkheid) blijven van kracht.

Artikel 14 — Toepasselijk recht

1. Op deze overeenkomst is Nederlands recht van toepassing.
2. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Zeeland-West-Brabant.