Gegevensverwerkingsovereenkomst

1. Inleiding

Deze Gegevensverwerkingsovereenkomst ("DPA") maakt deel uit van de overeenkomst tussen de klant ("Verwerkingsverantwoordelijke") en Bonalogic, dat Nolorem exploiteert ("Verwerker"), voor de levering van de diensten van het Nolorem-platform.

Deze DPA is van toepassing op alle persoonsgegevens die door subverwerkers van Nolorem namens de Verwerkingsverantwoordelijke worden verwerkt in verband met het gebruik van de Dienst.

2. Definities

• Verwerkingsverantwoordelijke: De klant die de doeleinden van en de middelen voor de verwerking van persoonsgegevens via de Dienst bepaalt.
• Verwerker: Bonalogic (Nolorem), dat persoonsgegevens namens de Verwerkingsverantwoordelijke verwerkt.
• Subverwerker: Een dienst van een derde partij die door de Verwerker wordt ingeschakeld om te helpen bij de verwerking van persoonsgegevens.
• Persoonsgegevens: Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon.
• Verwerking: Elke bewerking die op persoonsgegevens wordt uitgevoerd, waaronder het verzamelen, opslaan, gebruiken, doorgeven en verwijderen ervan.

3. Verwerkingsdetails

De Verwerker verwerkt namens de Verwerkingsverantwoordelijke de volgende categorieën persoonsgegevens:

• Accountgegevens: Naam, e-mailadres, organisatienaam en authenticatiegegevens voor het beheer van gebruikersaccounts.
• Contentgegevens: Blogberichten, socialmediacontent, onderzoeksvragen, onderwerpstructuren en gegenereerde tekst en afbeeldingen.
• Reacties op gepubliceerde socialmediaposts: Wanneer iemand reageert op een post die de Verwerkingsverantwoordelijke via de Dienst publiceerde, haalt de Verwerker die reactie op bij het platform (via bundle.social) en bewaart ze. Het gaat om het platform-id van de auteur, de weergavenaam voor zover het platform die geeft, de link naar het profiel, de link naar de profielfoto (een link die verloopt; de afbeelding zelf wordt niet bewaard), de tekst van de reactie, het tijdstip, het aantal likes en antwoorden en de plaats in de gespreksdraad. Doel: de Verwerkingsverantwoordelijke de reacties laten lezen en beantwoorden. Deze personen zijn geen klant van de Verwerker; hun gegevens komen van het platform.
• Facturatiegegevens: Abonnementsniveau, referenties naar betaalmethoden en factuurgegevens die via Stripe worden verwerkt.
• Gebruiksgegevens: Functiegebruik, paginaweergaven en interactielogs voor de verbetering van de dienst.
• Tekst voor en na bewerking: De tekst zoals de Verwerker hem genereerde en zoals de Verwerkingsverantwoordelijke hem verstuurde of inplande, met het kanaal, het stemprofiel, de taal, de soort inhoud en het gebruikers-id van wie de laatste stap startte. Doel: de eigen generaties van de Verwerkingsverantwoordelijke te kunnen verbeteren. De Verwerker gebruikt deze gegevens niet voor andere klanten en niet om een model te trainen. Analyse gebeurt alleen op cijfers zonder klantnaam. Het gebruikers-id blijft bewaard tot de bewaartermijn om is en verwijst na het wissen van dat account naar niemand meer.

Gegevens worden verwerkt zolang de Verwerkingsverantwoordelijke de Dienst gebruikt en worden binnen 30 dagen na beëindiging van het account verwijderd.

De tekst voor en na bewerking wordt 12 maanden bewaard, of eerder gewist samen met het bericht of artikel en bij het wissen van de organisatie van de Verwerkingsverantwoordelijke. Een bericht of artikel in de prullenbak telt mee tot het definitief gewist is of tot de 12 maanden om zijn.

Reacties van derden worden bewaard zolang de post waarop ze staan in de Dienst bestaat. De Verwerker haalt reacties op tot ongeveer 30 dagen na publicatie van de post. Een reactie die vóór die tijd op het platform wordt verwijderd, verdwijnt bij de eerstvolgende ophaalronde ook uit de Dienst. Een reactie die daarna op het platform wordt verwijderd, blijft in de Dienst staan tot de Verwerkingsverantwoordelijke de post definitief verwijdert (ook uit de prullenbak); dan verdwijnen de reacties mee. Antwoorden die vanuit de Dienst zijn verstuurd, worden bewaard als onderdeel van de post.

4. Subverwerkers

De volgende subverwerkers worden ingeschakeld om de Dienst te leveren. Elke subverwerker is gebonden aan gegevensverwerkingsovereenkomsten die in overeenstemming zijn met de vereisten van de GDPR.

De Verwerkingsverantwoordelijke wordt op de hoogte gebracht van eventuele wijzigingen in de subverwerkers. Bezwaren tegen nieuwe subverwerkers kunnen binnen 30 dagen na kennisgeving worden ingediend.

bundle.social haalt daarnaast de reacties op de posts van de Verwerkingsverantwoordelijke op bij het platform en verstuurt de antwoorden die de Verwerkingsverantwoordelijke vanuit de Dienst geeft. Anthropic (en als terugval OpenAI) ontvangt de tekst van een reactie en de naam van de auteur uitsluitend wanneer de Verwerkingsverantwoordelijke op de knop "Stel een antwoord voor" drukt, om een voorstel te schrijven. Zonder die handeling gaat er geen reactie naar een AI-aanbieder. Het voorstel wordt nooit verstuurd zonder dat een mens op verzenden drukt.

5. Gegevensbeveiliging

De Verwerker treft passende technische en organisatorische maatregelen om persoonsgegevens te beschermen, waaronder:

• Versleuteling tijdens overdracht: Alle gegevens die tussen het platform en gebruikers worden verzonden, worden versleuteld met TLS 1.2 of hoger.
• Versleuteling in rust: Persoonsgegevens die in de database zijn opgeslagen, worden in rust versleuteld met AES-256.
• Toegangscontroles: Op rollen gebaseerde toegangscontroles en tot de organisatie beperkte Row Level Security (RLS)-beleidsregels zorgen voor gegevensisolatie tussen klanten.
• Regelmatige beoordelingen: Beveiligingspraktijken en overeenkomsten met subverwerkers worden regelmatig beoordeeld.

6. Rechten van betrokkenen

De Verwerker helpt de Verwerkingsverantwoordelijke bij het inwilligen van verzoeken over de rechten van betrokkenen op grond van de GDPR, waaronder:

• Toegang tot persoonsgegevens
• Rectificatie van onjuiste gegevens
• Wissing van persoonsgegevens
• Overdraagbaarheid van gegevens in een machineleesbaar formaat
• Beperking van de verwerking
• Bezwaar tegen de verwerking

De Verwerker reageert binnen 15 werkdagen op verzoeken van de Verwerkingsverantwoordelijke.

Voor reacties van derden geldt: op verzoek van de Verwerkingsverantwoordelijke wist een beheerder van de Verwerker alle reacties van één persoon in de werkruimte van die Verwerkingsverantwoordelijke. Daarbij worden ook de antwoorden gewist die de Verwerkingsverantwoordelijke in de Dienst aan die persoon gaf, omdat ze de naam van die persoon kunnen dragen. Het antwoord op het platform zelf blijft staan; de Verwerkingsverantwoordelijke beheert dat daar. Daarna noteert de Verwerker uitsluitend het platform-id van die persoon en de datum op een uitsluitlijst voor die werkruimte, zodat de volgende ophaalronde de persoon niet terugbrengt. Die lijst geldt per organisatie en bevat niets anders. Rechtsgrond: het gerechtvaardigd belang om een wissing blijvend te maken.

7. Melding van datalekken

In geval van een inbreuk in verband met persoonsgegevens stelt de Verwerker de Verwerkingsverantwoordelijke zonder onnodige vertraging en niet later dan 72 uur nadat hij van de inbreuk kennis heeft genomen op de hoogte. De melding omvat:

• De aard van de inbreuk
• Categorieën en het geschatte aantal getroffen betrokkenen
• Waarschijnlijke gevolgen van de inbreuk
• Genomen of voorgestelde maatregelen om de inbreuk aan te pakken

8. Auditrechten

De Verwerkingsverantwoordelijke kan de informatie opvragen die nodig is om de naleving van de GDPR-verplichtingen aan te tonen. De Verwerker stelt alle noodzakelijke informatie ter beschikking en maakt audits mogelijk, waaronder inspecties, uitgevoerd door de Verwerkingsverantwoordelijke of een door de Verwerkingsverantwoordelijke gemachtigde auditor, met inachtneming van een redelijke kennisgevingstermijn en vertrouwelijkheidsverplichtingen.

9. Beëindiging

Bij beëindiging van de DPA of de onderliggende dienstverleningsovereenkomst zal de Verwerker, naar keuze van de Verwerkingsverantwoordelijke:

• Alle persoonsgegevens in een gestructureerd, gangbaar formaat aan de Verwerkingsverantwoordelijke retourneren, of
• Alle persoonsgegevens binnen 30 dagen verwijderen, tenzij bewaring vereist is op grond van toepasselijk recht.

De Verwerker verstrekt op verzoek een schriftelijke bevestiging van de verwijdering van de gegevens.

10. Contact

Voor vragen over deze Gegevensverwerkingsovereenkomst, om een audit aan te vragen of om een zorg over gegevens te melden, kunt u contact met ons opnemen via:

• E-mail: info@nolorem.io
• Bedrijf: Bonalogic