Verwerkersovereenkomst

De Klant: de rechtspersoon of onderneming die de Dienst gebruikt op grond van de Algemene Voorwaarden, hierna “de Klant”. Bij een akkoord in de Dienst is de Klant de rechtspersoon of onderneming die het abonnement voor de organisatie in de Dienst afneemt. Bij een ondertekend exemplaar is de Klant de partij die daarin is vermeld. Gebruikt de Klant de Dienst ook voor haar Groepsmaatschappijen, zoals gedefinieerd in de Algemene Voorwaarden, dan sluit de Klant deze Verwerkersovereenkomst mede namens die Groepsmaatschappijen. De Klant staat ervoor in dat zij daartoe bevoegd is. De Klant oefent de rechten uit deze Verwerkersovereenkomst namens hen uit en is voor DeciDesk het aanspreekpunt.

DeciDesk: Dennis Heemskerk, handelend onder de naam DeciDesk, gevestigd aan de Voorhouterweg 25, 2231 NB Rijnsburg, ingeschreven bij de Kamer van Koophandel onder nummer 42123032, hierna “DeciDesk”.

A. De Klant gebruikt de Dienst van DeciDesk, een online dienst voor vergaderingen, besluiten, acties en projecten.

B. Bij het leveren van de Dienst verwerkt DeciDesk Persoonsgegevens in opdracht van de Klant. De Klant is daarbij verwerkingsverantwoordelijke en DeciDesk is verwerker, in de zin van artikel 4 van de AVG.

C. Partijen leggen in deze Verwerkersovereenkomst de afspraken vast die artikel 28 lid 3 van de AVG voorschrijft.

0.1 Deze Verwerkersovereenkomst maakt deel uit van de Algemene Voorwaarden van DeciDesk. De Bijlagen maken deel uit van deze Verwerkersovereenkomst.

0.2 De Klant aanvaardt deze Verwerkersovereenkomst elektronisch doordat een Eigenaar in de Dienst akkoord geeft, bij het aanmaken van de organisatie of op een later moment. Vóór het akkoord kan de Eigenaar deze versie van de Verwerkersovereenkomst inzien en opslaan. DeciDesk legt vast wie akkoord heeft gegeven, namens welke organisatie, op welk moment en met welke versie. DeciDesk stelt die gegevens op verzoek aan de Klant ter beschikking.

0.3 Artikel 28 lid 9 van de AVG staat toe dat deze Verwerkersovereenkomst in elektronische vorm is vastgelegd. Partijen komen overeen dat een akkoord in de Dienst, vastgelegd volgens artikel 0.2, als schriftelijke aanvaarding geldt. Een handtekening is daarvoor niet nodig.

0.4 Op verzoek van de Klant ondertekenen partijen deze Verwerkersovereenkomst ook. Het ondertekende exemplaar vermeldt het versienummer en is inhoudelijk gelijk aan die versie. DeciDesk voegt de Algemene Voorwaarden die op de datum van ondertekening gelden bij het ondertekende exemplaar. Met de ondertekening aanvaardt de Klant ook die Algemene Voorwaarden. Een nieuwe versie van deze Verwerkersovereenkomst of van de bijgevoegde Algemene Voorwaarden geldt voor het ondertekende exemplaar alleen als beide partijen daarmee instemmen. Ook dan kondigt DeciDesk een nieuwe versie aan volgens artikel 13.3, en verlopen wijzigingen van Subverwerkers volgens artikel 6.

0.5 Wie namens de Klant akkoord geeft of ondertekent, verklaart bevoegd te zijn de Klant daarbij te vertegenwoordigen.

1.1 Begrippen met een hoofdletter hebben in deze Verwerkersovereenkomst de volgende betekenis:

Algemene Voorwaarden: de algemene voorwaarden van DeciDesk, gepubliceerd op decidesk.ai/terms, in de versie die voor de Klant geldt.

AVG: Verordening (EU) 2016/679, de Algemene verordening gegevensbescherming.

Bijlage: een bijlage bij deze Verwerkersovereenkomst.

Datalek: een inbreuk in verband met persoonsgegevens, zoals bedoeld in artikel 4 onder 12 van de AVG, die Persoonsgegevens betreft.

Dienst: de webapplicatie, de desktop- en mobiele apps, de opnamebot en de bijbehorende diensten van DeciDesk.

EER: de Europese Economische Ruimte.

Eigenaar: een Gebruiker die in de Dienst de rol eigenaar van de organisatie van de Klant heeft. Een account van DeciDesk geldt nooit als Eigenaar, ook niet als het, bijvoorbeeld tijdens het inrichten, in de organisatie van de Klant de rol eigenaar heeft (artikel 4.2).

Gebruiker: een medewerker, opdrachtnemer of andere persoon aan wie de Klant toegang geeft tot de Dienst.

Klantgegevens: alle inhoud en gegevens die Gebruikers in de Dienst invoeren, uploaden of opnemen, en wat de Dienst daaruit maakt, zoals transcripties, samenvattingen en actievoorstellen.

Overeenkomst: de overeenkomst tussen de Klant en DeciDesk over het gebruik van de Dienst, waarop de Algemene Voorwaarden van toepassing zijn.

Persoonsgegevens: alle persoonsgegevens die DeciDesk bij het leveren van de Dienst in opdracht van de Klant verwerkt. Bijlage 1 beschrijft deze gegevens.

Privacyverklaring: de privacyverklaring van DeciDesk, gepubliceerd op decidesk.ai/privacy.

Subverwerker: een derde die door DeciDesk wordt ingeschakeld en daarbij Persoonsgegevens verwerkt.

Verwerkersovereenkomst: deze overeenkomst, met inbegrip van de Bijlagen.

1.2 Begrippen die in artikel 1.1 niet zijn gedefinieerd, zoals verwerking, betrokkene, verwerkingsverantwoordelijke en verwerker, hebben de betekenis die de AVG eraan geeft. Overige begrippen hebben de betekenis uit de Algemene Voorwaarden. Bij verschil gaat de definitie uit artikel 1.1 voor.

1.3 Waar deze Verwerkersovereenkomst een melding aan de Eigenaar voorschrijft, stuurt DeciDesk die melding aan elke Eigenaar. Een e-mail geldt in deze Verwerkersovereenkomst als schriftelijk.

2.1 DeciDesk verwerkt de Persoonsgegevens in opdracht van de Klant om de Dienst te leveren, te beveiligen en te ondersteunen. Bijlage 1 beschrijft de verwerkingen, de soorten persoonsgegevens, de categorieën betrokkenen en de bewaartermijnen.

2.2 De verwerking bestaat uit het opslaan, ordenen en tonen van Klantgegevens, het opnemen en uitschrijven van vergaderingen, het samenvatten en doorzoeken met AI, het versturen van meldingen en het verwijderen van gegevens.

2.3 DeciDesk verwerkt de Persoonsgegevens uitsluitend voor de doeleinden uit artikel 2.1 en Bijlage 1. DeciDesk gebruikt de Persoonsgegevens niet voor eigen doeleinden, behalve zoals artikel 2.4 beschrijft. DeciDesk verkoopt de Persoonsgegevens niet, gebruikt ze niet voor advertenties en traint er geen AI-modellen mee. Microsoft, de Subverwerker voor AI, gebruikt de Persoonsgegevens niet om AI-modellen te trainen. Bij ElevenLabs, de Subverwerker voor het omzetten van spraak naar tekst, is het gebruik van de Persoonsgegevens voor het verbeteren van de diensten van ElevenLabs uitgeschakeld.

2.4 DeciDesk is zelf verwerkingsverantwoordelijke voor de volgende verwerkingen:

het beheer van de klantrelatie en de facturatie;

het beantwoorden van supportvragen en functievoorstellen die Gebruikers aan DeciDesk richten;

het vastleggen van de aanvaarding van de Algemene Voorwaarden en deze Verwerkersovereenkomst, zoals artikel 0.2 beschrijft;

het bijhouden van het logboek van beheerhandelingen uit Bijlage 2;

het bijhouden van technische gegevens om de werking, de beschikbaarheid, de snelheid en de beveiliging van de Dienst te bewaken en misbruik te beperken.

DeciDesk gebruikt daarvoor alleen accountgegevens, factuurgegevens, technische gegevens en gegevens over het gebruik van functies, zoals het aantal en de duur van opnames. DeciDesk gebruikt daarvoor niet de inhoud van vergaderingen, acties of andere Klantgegevens, behalve wat een Gebruiker zelf in een supportvraag of functievoorstel opneemt. DeciDesk gebruikt de Persoonsgegevens nooit voor profilering of marketing. Op deze verwerkingen is de Privacyverklaring van toepassing en niet deze Verwerkersovereenkomst. De Klant gaat akkoord met dit gebruik van gegevens die DeciDesk in opdracht van de Klant verwerkt.

2.5 Deze Verwerkersovereenkomst geldt zolang DeciDesk Persoonsgegevens in opdracht van de Klant verwerkt. Zij eindigt pas wanneer die Persoonsgegevens volgens artikel 11 zijn verwijderd.

3.1 DeciDesk verwerkt de Persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Klant, ook wat betreft doorgifte naar een land buiten de EER. Deze verplichting geldt niet als een bepaling van Unierecht of Nederlands recht DeciDesk tot verwerking verplicht. DeciDesk meldt die wettelijke verplichting dan vooraf aan de Klant, tenzij die wetgeving de melding om gewichtige redenen van algemeen belang verbiedt.

3.2 De instructies van de Klant bestaan uit deze Verwerkersovereenkomst, de Algemene Voorwaarden en de keuzes die de Klant en haar Gebruikers in de Dienst maken. Voorbeelden zijn het aanmaken van een vergadering, het starten van een opname, het toekennen van rollen en het verwijderen van gegevens.

3.3 Aanvullende instructies geeft de Klant schriftelijk via legal@decidesk.ai. Vraagt een aanvullende instructie werk dat buiten de normale werking van de Dienst valt, dan spreken partijen vooraf af wat dat werk kost. Kan DeciDesk een aanvullende instructie redelijkerwijs niet uitvoeren, dan meldt DeciDesk de Klant zo snel mogelijk waarom de instructie niet uitvoerbaar is. De Klant kan de Overeenkomst dan met onmiddellijke ingang schriftelijk opzeggen. DeciDesk betaalt het vooruitbetaalde bedrag voor de periode na de opzegging naar rato terug.

3.4 Is DeciDesk van oordeel dat een instructie in strijd is met de AVG of met andere regels over gegevensbescherming, dan meldt DeciDesk dat oordeel direct aan de Klant. DeciDesk mag de uitvoering van die instructie opschorten totdat de Klant de instructie heeft aangepast. DeciDesk is niet verplicht een instructie uit te voeren die naar het redelijke oordeel van DeciDesk in strijd is met de AVG of met andere regels over gegevensbescherming.

3.5 De Klant is verantwoordelijk voor de rechtmatigheid van de verwerking. Die verantwoordelijkheid houdt in elk geval in dat de Klant:

een grondslag heeft voor de verwerking en de betrokkenen informeert, zoals de AVG voorschrijft;

de deelnemers aan een vergadering vooraf laat weten dat de vergadering wordt opgenomen en uitgeschreven, ook als de opnamebot een online vergadering opneemt; de opnamebot neemt deel onder de naam DeciDesk en meldt zelf niet dat er wordt opgenomen;

bepaalt welke Gebruikers toegang krijgen, met welke rol, en die toegang actueel houdt;

zelf beoordeelt of een gegevensbeschermingseffectbeoordeling (DPIA) nodig is; DeciDesk helpt daarbij volgens artikel 8.4;

zelf beoordeelt of de ondernemingsraad, de medezeggenschapsraad of een andere personeelsvertegenwoordiging met het gebruik van de Dienst moet instemmen, bijvoorbeeld omdat de Dienst per persoon laat zien welke acties openstaan en welke te laat zijn; de beschrijving uit artikel 8.4 kan de Klant ook daarvoor gebruiken.

3.6 De Dienst is niet bedoeld voor de verwerking van bijzondere categorieën van persoonsgegevens, persoonsgegevens van strafrechtelijke aard of een wettelijk identificatienummer zoals het burgerservicenummer. Verwerkt de Klant zulke gegevens toch in de Dienst, dan beoordeelt de Klant vooraf of de maatregelen in Bijlage 2 daarvoor passend zijn. DeciDesk raadt aan zulke onderwerpen, zoals de gezondheid van een medewerker, niet op te nemen en niet vast te leggen in een actie of notitie.

4.1 DeciDesk houdt de Persoonsgegevens geheim. Iedereen die onder het gezag van DeciDesk toegang heeft tot de Persoonsgegevens, is via een overeenkomst of de wet aan een geheimhoudingsplicht gebonden.

4.2 Op de datum van deze versie heeft alleen Dennis Heemskerk toegang tot de Persoonsgegevens. Hij gebruikt die toegang alleen voor het afhandelen van een incident, het onderzoeken van een probleem dat de Klant meldt, het onderhoud van de Dienst en het uitvoeren van een verzoek van de Klant, zoals het inrichten van de omgeving van de Klant. Zijn account in de Dienst is alleen lid van de organisatie van de Klant zolang DeciDesk de omgeving van de Klant inricht, of als de Klant daarom vraagt. Op verzoek van de Klant beëindigt DeciDesk dat lidmaatschap. Krijgt een andere persoon toegang, dan meldt DeciDesk die wijziging vooraf aan de Klant, of in een noodgeval zo snel mogelijk.

4.3 DeciDesk verstrekt de Persoonsgegevens niet aan derden, behalve aan Subverwerkers volgens artikel 6 of wanneer de wet daartoe verplicht.

4.4 Ontvangt DeciDesk een verzoek van een overheidsinstantie om Persoonsgegevens te verstrekken, dan toetst DeciDesk of het verzoek rechtsgeldig is. DeciDesk verstrekt niet meer dan wettelijk verplicht is en meldt het verzoek aan de Klant, tenzij de wet die melding verbiedt.

4.5 De geheimhoudingsplicht blijft gelden na het einde van deze Verwerkersovereenkomst.

5.1 DeciDesk treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, zoals artikel 32 van de AVG voorschrijft. De maatregelen zijn erop gericht de Persoonsgegevens te beschermen tegen verlies en tegen onrechtmatige verwerking. DeciDesk houdt daarbij rekening met de stand van de techniek en de uitvoeringskosten. DeciDesk houdt ook rekening met de aard, de omvang, de context en de doeleinden van de verwerking en met de risico’s voor betrokkenen.

5.2 Bijlage 2 beschrijft de maatregelen. DeciDesk evalueert ze regelmatig en mag ze aanpassen, mits het beveiligingsniveau daardoor niet lager wordt.

5.3 De Klant zorgt voor de beveiliging aan haar kant. Zij houdt inloggegevens geheim en vraagt Gebruikers waar passend tweestapsverificatie te gebruiken. DeciDesk raadt aan dat in elk geval Eigenaren en beheerders tweestapsverificatie gebruiken. De Klant kan tweestapsverificatie in de Dienst niet verplicht stellen (Bijlage 2). De Klant trekt de toegang van vertrokken Gebruikers tijdig in en beveiligt de apparaten waarmee Gebruikers de Dienst gebruiken.

5.4 Bijlage 2 beschrijft de maatregelen, zodat de Klant kan beoordelen of ze passend zijn voor de verwerking die in Bijlage 1 is beschreven. De Klant kan DeciDesk daarover vragen stellen (artikel 10.1).

6.1 De Klant geeft DeciDesk algemene schriftelijke toestemming om Subverwerkers in te schakelen. Bijlage 3 noemt de Subverwerkers die DeciDesk inzet op het moment dat de Klant deze Verwerkersovereenkomst aanvaardt.

6.2 DeciDesk meldt een nieuwe of vervangende Subverwerker ten minste 30 dagen voordat die Subverwerker wordt ingezet. Op dezelfde wijze meldt DeciDesk het als een bestaande Subverwerker de verwerking verplaatst naar een land buiten de EER. DeciDesk stuurt de melding per e-mail aan elke Eigenaar en aan de privacycontactpersoon uit artikel 9.1, als de Klant die heeft opgegeven. De melding noemt de Subverwerker, de dienst, de locatie van de verwerking en de grondslag voor een eventuele doorgifte. De actuele lijst van Subverwerkers is Bijlage 3 in de laatst gepubliceerde versie van deze Verwerkersovereenkomst.

6.3 De Klant kan binnen 30 dagen na de melding uit artikel 6.2 op redelijke gronden bezwaar maken via legal@decidesk.ai. Tijdens die bezwaartermijn verwerkt een nieuwe of vervangende Subverwerker geen Persoonsgegevens van de Klant, behalve bij een vervanging met spoed volgens artikel 6.4. Maakt de Klant bezwaar, dan overleggen partijen over een oplossing. Komen partijen niet tot een oplossing, dan kan de Klant de Overeenkomst schriftelijk opzeggen. De opzegging gaat in op de dag waarop de gemelde wijziging ingaat, of op een latere dag die de Klant kiest. DeciDesk betaalt het vooruitbetaalde bedrag voor de periode na die dag naar rato terug.

6.4 Soms moet een Subverwerker met spoed worden vervangen om de beveiliging of de continuïteit van de Dienst te waarborgen. DeciDesk mag de termijn uit artikel 6.2 dan verkorten. DeciDesk meldt de vervanging zo snel mogelijk, met de reden voor de spoed. De Klant kan binnen 30 dagen na die melding bezwaar maken. Komen partijen niet tot een oplossing, dan kan de Klant de Overeenkomst met onmiddellijke ingang opzeggen, met terugbetaling volgens artikel 6.3.

6.5 DeciDesk sluit met elke Subverwerker een schriftelijke overeenkomst die voldoet aan artikel 28 lid 4 van de AVG. Bij grote aanbieders is die overeenkomst hun standaardverwerkersovereenkomst. Die overeenkomst legt de Subverwerker in wezen dezelfde verplichtingen inzake gegevensbescherming op als deze Verwerkersovereenkomst. DeciDesk beoordeelt vooraf of de Subverwerker voldoende garanties biedt voor passende technische en organisatorische maatregelen. De bewaartermijnen van een Subverwerker kunnen afwijken van de termijnen in deze Verwerkersovereenkomst. Bijlage 1 vermeldt die afwijkende termijnen, onder Bewaren bij Subverwerkers. Voor kopieën bij een Subverwerker gelden die termijnen (artikel 11.3).

6.6 DeciDesk blijft tegenover de Klant volledig aansprakelijk voor de nakoming van de verplichtingen van de Subverwerkers die DeciDesk inschakelt.

7.1 De database, de opslag van bestanden en de AI-modellen van de Dienst staan in de Europese Unie. Het omzetten van spraak naar tekst vindt plaats in de Verenigde Staten. Pushmeldingen worden bezorgd via de wereldwijde diensten van Apple, Google en Microsoft. Subverwerkers met een vestiging of moederbedrijf in de Verenigde Staten kunnen vanuit de Verenigde Staten toegang hebben tot Persoonsgegevens, bijvoorbeeld voor beheer en ondersteuning.

7.2 Sommige Subverwerkers zijn gevestigd buiten de EER of kunnen van daaruit toegang hebben tot Persoonsgegevens. Bijlage 3 vermeldt per Subverwerker waar de verwerking plaatsvindt en op welke grondslag een doorgifte berust.

7.3 DeciDesk geeft Persoonsgegevens alleen door naar een land buiten de EER als die doorgifte voldoet aan hoofdstuk V van de AVG. DeciDesk baseert een doorgifte in de eerste plaats op een adequaatheidsbesluit van de Europese Commissie, zoals het EU-VS Data Privacy Framework voor gecertificeerde ontvangers. Ontbreekt een adequaatheidsbesluit, dan gebruikt DeciDesk de modelcontractbepalingen uit Uitvoeringsbesluit (EU) 2021/914. DeciDesk beoordeelt in dat geval vooraf het recht en de praktijk in het land van ontvangst, legt die beoordeling vast en treft waar nodig aanvullende maatregelen. Op verzoek ontvangt de Klant de toepasselijke modelcontractbepalingen en een samenvatting van die beoordeling.

7.4 Vervalt de grondslag voor een doorgifte, dan zorgt DeciDesk zo snel mogelijk voor een andere geldige grondslag of stopt DeciDesk de doorgifte. DeciDesk informeert de Klant daarover.

8.1 DeciDesk helpt de Klant, voor zover redelijkerwijs mogelijk, bij het afhandelen van verzoeken van betrokkenen om inzage, rectificatie, wissing, beperking, overdraagbaarheid of bezwaar.

8.2 Veel van die verzoeken handelt de Klant zelf af in de Dienst. De Klant kan gegevens aanpassen of verwijderen, opnames verwijderen en Gebruikers verwijderen. Na het verwijderen van een Gebruiker blijft diens naam zichtbaar bij eerdere vergaderingen en acties. Wil de Klant ook die naam laten verwijderen of vervangen, dan voert DeciDesk dat op verzoek uit. Voor inzage en overdraagbaarheid levert DeciDesk de Klant op verzoek binnen 10 werkdagen een export van de Persoonsgegevens van een betrokkene.

8.3 Ontvangt DeciDesk een verzoek rechtstreeks van een betrokkene, dan stuurt DeciDesk het binnen 5 werkdagen door aan de Klant. DeciDesk beantwoordt het verzoek niet zelf inhoudelijk, tenzij de Klant daartoe opdracht geeft.

8.4 DeciDesk helpt de Klant ook bij het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 van de AVG. Het gaat om de beveiliging van de verwerking, het melden van Datalekken, een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging van de Autoriteit Persoonsgegevens. DeciDesk houdt daarbij rekening met de aard van de verwerking en de informatie waarover DeciDesk beschikt. Voor een DPIA stelt DeciDesk op verzoek een schriftelijke beschrijving beschikbaar van de Dienst, de gegevensstromen, de Subverwerkers en de maatregelen.

8.5 De bijstand uit artikel 8.2 en de beschrijving voor een DPIA uit artikel 8.4 zijn kosteloos, net als andere bijstand die binnen de normale werking van de Dienst valt. Voor overige bijstand mag DeciDesk redelijke kosten in rekening brengen, na een vooraf gegeven opgave. Bijstand bij een Datalek dat aan DeciDesk te wijten is, is altijd kosteloos.

9.1 DeciDesk meldt een Datalek zonder onredelijke vertraging aan de Klant, en uiterlijk 48 uur nadat DeciDesk kennis heeft genomen van het Datalek. Deze meldplicht geldt ook voor een Datalek bij een Subverwerker, vanaf het moment dat DeciDesk daarvan kennis heeft genomen. DeciDesk stuurt de melding per e-mail aan elke Eigenaar. De Klant kan een privacycontactpersoon opgeven per e-mail aan legal@decidesk.ai of bij de ondertekening. Heeft de Klant dat gedaan, dan gaat de melding ook naar die persoon.

9.2 De melding bevat, voor zover bekend:

de aard van het Datalek;

de categorieën en het geschatte aantal betrokkenen en gegevens;

de waarschijnlijke gevolgen;

de maatregelen die DeciDesk heeft genomen of voorstelt;

een contactpersoon bij DeciDesk.

Is nog niet alle informatie bekend, dan meldt DeciDesk eerst de informatie die bekend is en vult DeciDesk de melding zo snel mogelijk aan.

9.3 DeciDesk neemt direct maatregelen om het Datalek te beperken en herhaling te voorkomen. DeciDesk houdt de Klant op de hoogte van de voortgang.

9.4 De Klant beslist of een Datalek wordt gemeld aan de Autoriteit Persoonsgegevens en aan betrokkenen. DeciDesk doet zelf geen melding aan de toezichthouder of aan betrokkenen, tenzij de wet DeciDesk daartoe verplicht of de Klant erom vraagt.

9.5 DeciDesk legt elk Datalek vast, met de feiten, de gevolgen en de genomen maatregelen. De Klant kan het verslag inzien voor zover het haar Persoonsgegevens betreft.

9.6 Ontdekt de Klant een mogelijk beveiligingsprobleem in de Dienst, dan meldt zij dat direct via legal@decidesk.ai.

10.1 DeciDesk geeft de Klant op verzoek alle informatie die nodig is om aan te tonen dat DeciDesk deze Verwerkersovereenkomst nakomt. DeciDesk verstrekt die informatie in de eerste plaats schriftelijk, bijvoorbeeld met een toelichting op de maatregelen of met antwoorden op een redelijke vragenlijst.

10.2 Volstaat die informatie redelijkerwijs niet, dan mag de Klant ten hoogste eenmaal per jaar een audit laten uitvoeren. De audit wordt uitgevoerd door de functionaris voor gegevensbescherming of de interne auditor van de Klant, of door een onafhankelijke deskundige. Iedere auditor is tot geheimhouding verplicht. De Klant kondigt de audit ten minste 30 dagen vooraf aan, met een beschrijving van de reikwijdte.

10.3 Buiten die jaarlijkse audit mag de Klant ook een audit laten uitvoeren na een Datalek dat haar Persoonsgegevens betreft, of als een toezichthouder daarom vraagt.

10.4 Een audit vindt plaats op werkdagen en verstoort de bedrijfsvoering van DeciDesk niet onnodig. Een audit vindt in de eerste plaats op afstand plaats, op basis van documenten, een gedeeld scherm en gesprekken. Een bezoek ter plaatse vindt alleen plaats als een audit op afstand redelijkerwijs niet volstaat, op een locatie die DeciDesk aanwijst. De auditor krijgt geen toegang tot gegevens van andere klanten. Voor Subverwerkers baseert de audit zich op hun eigen certificeringen en auditrapporten.

10.5 De Klant draagt de kosten van de audit, waaronder de redelijke tijd van DeciDesk tegen een vooraf opgegeven tarief. Blijkt uit de audit dat DeciDesk deze Verwerkersovereenkomst wezenlijk niet nakomt, dan draagt DeciDesk de kosten van de audit.

10.6 DeciDesk herstelt tekortkomingen die uit een audit blijken binnen een redelijke termijn. Partijen behandelen het auditrapport als vertrouwelijk.

10.7 DeciDesk beschikt niet over een certificering voor informatiebeveiliging, zoals ISO 27001, NEN 7510 of SOC 2. DeciDesk verwijst de Klant op verzoek naar de certificeringen en auditrapporten die de Subverwerkers openbaar maken.

11.1 Tijdens de looptijd bepaalt de Klant hoe lang Klantgegevens worden bewaard, door ze in de Dienst te bewaren of te verwijderen. Daarnaast gelden de vaste bewaartermijnen uit Bijlage 1, zoals het automatisch verwijderen van audio van vergaderingen 90 dagen na de opname.

11.2 Na het einde van het Abonnement bewaart DeciDesk de Klantgegevens nog 90 dagen, zodat de Klant de Dienst opnieuw kan activeren. Tijdens de looptijd en in die periode kan de Klant via legal@decidesk.ai een export aanvragen. DeciDesk levert de export binnen 10 werkdagen als JSON-bestand, een gangbaar formaat dat andere software kan inlezen. Op verzoek levert DeciDesk ook de bijlagen en de audio die dan nog aanwezig zijn. DeciDesk meldt de verwijdering ten minste 14 dagen vooraf per e-mail aan elke Eigenaar. Een Eigenaar kan de organisatie ook zelf in de Dienst verwijderen, na bevestiging via een link die per e-mail naar een Eigenaar gaat. De Dienst verwijdert de Klantgegevens dan direct uit de database; dat kan niet ongedaan worden gemaakt. De bestanden en de accounts verwijdert DeciDesk daarna binnen 30 dagen volgens artikel 11.3. Een export moet de Klant vóór die verwijdering aanvragen.

11.3 Na de periode uit artikel 11.2, of eerder als de Klant daarom vraagt, verwijdert DeciDesk de Persoonsgegevens binnen 30 dagen. Dat geldt voor de database, de bestandsopslag met audio, bijlagen, profielfoto's en logo's, en de accounts van Gebruikers die geen lid zijn van een andere organisatie. Voor kopieën die Subverwerkers in opdracht van DeciDesk bewaren, gelden de termijnen uit Bijlage 1, onder Bewaren bij Subverwerkers. Waar Bijlage 1 geen vaste termijn noemt, bewaart de Subverwerker die kopieën volgens zijn eigen voorwaarden.

11.4 Back-ups van de database kunnen verwijderde Persoonsgegevens nog tot 14 dagen na de verwijdering bevatten. DeciDesk gebruikt die back-ups alleen om de Dienst na een storing of fout te herstellen. Na 14 dagen worden ze automatisch verwijderd.

11.5 De verwijderplicht geldt niet voor gegevens die DeciDesk op grond van de wet moet bewaren. Die gegevens gebruikt DeciDesk alleen voor dat wettelijke doel.

11.6 Op verzoek bevestigt DeciDesk schriftelijk dat de verwijdering is uitgevoerd.

11.7 Stopt DeciDesk met het leveren van de Dienst, dan meldt DeciDesk die beëindiging ten minste 3 maanden vooraf aan de Klant, tenzij een faillissement of overmacht dat onmogelijk maakt. De Klant kan tot het einde van die termijn een export aanvragen volgens artikel 11.2. Daarna verwijdert DeciDesk de Persoonsgegevens volgens artikel 11.3 tot en met 11.6.

12.1 Op de aansprakelijkheid van partijen onder deze Verwerkersovereenkomst is artikel 19 van de Algemene Voorwaarden van toepassing, met de afwijkingen en aanvullingen uit artikel 12.2. Aansprakelijkheid onder deze Verwerkersovereenkomst en onder de Algemene Voorwaarden valt samen onder dezelfde maxima uit artikel 19 van de Algemene Voorwaarden. Die maxima gelden ook voor verhaal volgens artikel 12.3 en voor de vrijwaring uit artikel 12.5.

12.2 Voor aansprakelijkheid onder deze Verwerkersovereenkomst gelden de volgende afwijkingen van en aanvullingen op artikel 19 van de Algemene Voorwaarden:

de beperkingen uit artikel 19 van de Algemene Voorwaarden gelden niet in de gevallen die dat artikel uitzondert: opzet of bewuste roekeloosheid, en aansprakelijkheid die op grond van dwingend recht niet kan worden beperkt;

de uitsluiting van schade door verlies van gegevens geldt niet voor schade door een Datalek dat aan DeciDesk is toe te rekenen;

voor de aansprakelijkheid van DeciDesk voor een Datalek dat aan DeciDesk is toe te rekenen, en voor andere schendingen van deze Verwerkersovereenkomst of de AVG door DeciDesk, geldt het aparte maximum uit artikel 19 van de Algemene Voorwaarden, en niet het algemene maximum; in de gevallen uit het eerste onderdeel, zoals opzet of bewuste roekeloosheid, geldt geen maximum.

12.3 Tegenover betrokkenen zijn partijen aansprakelijk zoals artikel 82 van de AVG bepaalt. Betaalt een partij schadevergoeding voor schade die geheel of gedeeltelijk aan de andere partij is toe te rekenen, dan kan zij dat deel op de andere partij verhalen.

12.4 Een boete van een toezichthouder komt voor rekening van de partij aan wie zij is opgelegd.

12.5 De Klant vrijwaart DeciDesk voor aanspraken van derden die het gevolg zijn van een instructie van de Klant die in strijd is met de AVG, of van het niet nakomen door de Klant van artikel 3.5 of 3.6.

13.1 Deze Verwerkersovereenkomst gaat in op het moment van aanvaarding en eindigt zoals artikel 2.5 bepaalt. Zij geldt ook voor verwerkingen die DeciDesk vóór dat moment in opdracht van de Klant heeft uitgevoerd. Zij kan niet los van de Overeenkomst worden opgezegd.

13.2 Voor de verwerking van Persoonsgegevens gaat deze Verwerkersovereenkomst voor op de overige bepalingen van de Algemene Voorwaarden. De Privacyverklaring is informatief en maakt geen deel uit van de Overeenkomst. Bij strijd tussen de artikelen van deze Verwerkersovereenkomst en een Bijlage gaan de artikelen voor.

13.3 DeciDesk kan deze Verwerkersovereenkomst wijzigen. DeciDesk meldt elke nieuwe versie ten minste 30 dagen voordat die ingaat, met een overzicht van de wijzigingen. De melding gaat per e-mail naar elke Eigenaar en naar de privacycontactpersoon uit artikel 9.1, als de Klant die heeft opgegeven. Een Eigenaar kan de nieuwe versie ook eerder in de Dienst aanvaarden; dan geldt die versie vanaf dat moment. Voor een ondertekend exemplaar geldt daarnaast artikel 0.4.

13.4 Een wijziging die de bescherming van de Persoonsgegevens of de rechten van de Klant uit deze Verwerkersovereenkomst vermindert, geldt voor de Klant pas nadat de Klant daarmee akkoord heeft gegeven, bijvoorbeeld doordat een Eigenaar de nieuwe versie in de Dienst aanvaardt. Zolang dat akkoord ontbreekt, blijft de vorige versie gelden. DeciDesk kan de Overeenkomst in dat geval opzeggen met een termijn van ten minste 30 dagen. Bij twijfel of een wijziging de bescherming of de rechten van de Klant vermindert, geldt de wijziging als een vermindering. Een andere wijziging geldt vanaf de aangekondigde datum. Gaat de Klant niet akkoord met een andere wijziging, dan kan de Klant de Overeenkomst opzeggen met ingang van de dag waarop de wijziging ingaat. Bij een opzegging volgens dit artikel betaalt DeciDesk het vooruitbetaalde bedrag voor de resterende periode naar rato terug. Wijzigingen van Bijlage 3 verlopen volgens artikel 6.

13.5 Is een bepaling nietig of vernietigbaar, dan blijven de overige bepalingen gelden. Partijen vervangen de bepaling dan door een geldige bepaling die de bedoeling zo dicht mogelijk benadert.

13.6 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de rechter die in artikel 27 van de Algemene Voorwaarden is aangewezen.

13.7 Deze Verwerkersovereenkomst is opgesteld in het Nederlands. Bij verschil tussen de Nederlandse tekst en een vertaling gaat de Nederlandse tekst voor.

Doeleinden. Het leveren van de Dienst: vergaderingen voorbereiden, vastleggen en opvolgen, besluiten en acties beheren, opnames uitschrijven, verbeteren en samenvatten, de status van vergaderingen met AI bepalen, met AI agendapunten en titels van acties voorstellen en een overzicht van de vorige vergadering maken, meldingen versturen, zoeken met de DeciDesk Assistent, en de Dienst beveiligen en ondersteunen.

Categorieën betrokkenen.

Gebruikers van de Klant en personen die de Klant uitnodigt.

Deelnemers aan vergaderingen die met de Dienst worden opgenomen, ook externe deelnemers in een online vergadering.

Andere personen die in Klantgegevens voorkomen, bijvoorbeeld in een besluit, een actie of een notitie.

Soorten persoonsgegevens en bewaartermijnen.

Bewaren bij Subverwerkers. Naast de termijnen in de tabel gelden bij Subverwerkers de volgende termijnen:

Recall.ai verwijdert de opname van de opnamebot uiterlijk 3 dagen na afloop van de opname. De link naar de online vergadering verwijdert Recall.ai na 14 dagen en logbestanden na 7 dagen. Overige gegevens over de inzet van de opnamebot bewaart Recall.ai zonder vaste termijn.

ElevenLabs zet de audio om in tekst. Zodra DeciDesk de transcriptie heeft ontvangen, geeft DeciDesk ElevenLabs via de API opdracht de transcriptie te verwijderen. Volgens ElevenLabs verwijdert die opdracht de audio en de tekst direct uit de database van ElevenLabs. Mislukt het verwijderen, dan probeert DeciDesk het opnieuw. ElevenLabs bewaart verwijderde gegevens daarna nog ten hoogste 30 dagen in back-ups. Logbestanden van ElevenLabs voor foutopsporing en moderatie kunnen gegevens over de opdracht bevatten. ElevenLabs noemt voor die logbestanden geen bewaartermijn. Het gebruik van deze gegevens voor het verbeteren van de diensten van ElevenLabs is uitgeschakeld (artikel 2.3).

Microsoft kan invoer en uitvoer van de AI-modellen bewaren om misbruik op te sporen, volgens de voorwaarden van Microsoft. Microsoft gebruikt die gegevens niet om modellen te trainen.

Apple, Google en Microsoft bewaren tijdelijk een pushmelding die nog niet kan worden bezorgd, volgens hun eigen voorwaarden.

Voor herstelpunten van de database geldt artikel 11.4.

Bijzondere persoonsgegevens. De Dienst is daar niet voor bedoeld; zie artikel 3.6.

Stem en AI. De Dienst gebruikt stemgeluid alleen om spraak om te zetten in tekst en om sprekers binnen één opname van elkaar te onderscheiden. De Dienst herkent of identificeert geen personen aan hun stem. De Dienst neemt geen besluiten over personen die uitsluitend op geautomatiseerde verwerking berusten.

Deze bijlage beschrijft de technische en organisatorische maatregelen die DeciDesk op de datum van deze versie heeft getroffen.

Deze Subverwerkers zet DeciDesk in op de datum van deze versie. Wijzigingen verlopen volgens artikel 6.

Factuurgegevens verwerkt DeciDesk als verwerkingsverantwoordelijke (artikel 2.4). Stripe Payments Europe, Limited, die de betalingen verwerkt, staat daarom niet in deze lijst. Ook de meting van bezoek en laadtijden van de website en de Dienst met Vercel Web Analytics en Speed Insights is een eigen verwerking van DeciDesk (artikel 2.4), zonder cookies.

Alleen nodig als de Klant een ondertekend exemplaar wenst (artikel 0.4). Partijen ondertekenen versie 2 van deze Verwerkersovereenkomst zonder wijzigingen. Met de ondertekening aanvaardt de Klant ook de Algemene Voorwaarden die bij het ondertekende exemplaar zijn gevoegd (artikel 0.4).