Verwerkersovereenkomst
1. Partijen, reikwijdte en werking
Deze verwerkersovereenkomst wordt gesloten tussen de zakelijke klant die vambel gebruikt ("Klant", verwerkingsverantwoordelijke) en Qraft Holding B.V., Beeldhouwersdijk 43, 3541 AP Utrecht, Nederland, Kamer van Koophandel (KvK) 54873576 ("wij", verwerker). Zij voldoet aan de eisen van artikel 28 van de Algemene verordening gegevensbescherming (AVG).
Deze verwerkersovereenkomst maakt deel uit van de gebruiksvoorwaarden voor zakelijke klanten en gaat in zodra de Klant de voorwaarden aanvaardt. Zijn deze verwerkersovereenkomst en de voorwaarden op het punt van gegevensbescherming met elkaar in strijd, dan gaat deze verwerkersovereenkomst voor.
2. Gegevens over de verwerking
| Onderwerp | Het leveren van vambel: het opslaan, bewerken, genereren en renderen van de videoprojecten van de Klant. |
|---|---|
| Duur | Zolang het account van de Klant bestaat, en daarna tot de verwijdering volgens artikel 11. |
| Aard | Hosting, opslag, transcriptie op onze eigen server, doorgifte aan subverwerkers en aan aanbieders die de Klant aanwijst, rendering, back-up en verwijdering. |
| Doel | Uitsluitend het leveren van vambel aan de Klant volgens de voorwaarden en de schriftelijke instructies van de Klant. |
| Categorieën persoonsgegevens | Namen en contactgegevens van gebruikers van de werkruimte; content met persoonsgegevens zoals scripts, uploads, stemopnames, foto's en video's van mensen, toestemmingen van echte personen; gebruiksgegevens; beveiligingslogs (IP-adres, user agent, tijdstippen). |
| Bijzondere categorieën | Niet beoogd. Foto's en stemmen van mensen worden verwerkt om video's te maken, niet om iemand te identificeren. Bevat de content van de Klant bijzondere persoonsgegevens, dan is de Klant verantwoordelijk voor een geldige grondslag. |
| Betrokkenen | Gebruikers van de werkruimte van de Klant; presentatoren, acteurs en andere mensen die in de content van de Klant voorkomen of worden genoemd; kijkers die contact opnemen met de Klant. |
3. Instructies van de Klant
We verwerken persoonsgegevens alleen op schriftelijke instructie van de Klant. Die instructies volgen uit de voorwaarden, deze verwerkersovereenkomst en het gebruik dat de Klant van de functies van vambel maakt. Vinden we dat een instructie in strijd is met het gegevensbeschermingsrecht, dan laten we dat de Klant direct weten. Verplicht de wet ons om gegevens anders te verwerken, dan melden we dat de Klant vooraf, tenzij de wet dat verbiedt.
De Klant is verantwoordelijk voor de rechtmatigheid van de verwerking die hij opdraagt, waaronder de vastgelegde toestemming van echte personen van wie het gezicht of de stem wordt gebruikt, en voor het informeren van zijn betrokkenen.
4. Geheimhouding
Iedereen die we toestemming geven om persoonsgegevens van de Klant te verwerken, heeft een geheimhoudingsplicht op grond van een overeenkomst of de wet, en heeft alleen toegang voor zover dat voor zijn taak nodig is.
5. Beveiligingsmaatregelen
We nemen passende technische en organisatorische maatregelen volgens artikel 32 AVG, waaronder:
- versleutelde opslag van de API-sleutels van de Klant voor AI-aanbieders (XChaCha20-Poly1305); sleutels worden nooit gelogd;
- wachtwoorden alleen opgeslagen als argon2id-hash;
- TLS-versleuteling van al het verkeer, dat eindigt op onze eigen server in Nederland;
- scheiding van klanten op rijniveau in de database, zodat de ene werkruimte de gegevens van een andere niet kan lezen;
- toegangsbeheer met rollen, zowel in de applicatie als voor onze eigen medewerkers;
- beveiligingslogging (30 dagen bewaard) en afremming van mislukte inlogpogingen;
- regelmatige back-ups, die binnen 30 dagen roteren;
- spraakherkenning op onze eigen server, zonder audio naar derden te sturen.
We kunnen deze maatregelen aanpassen, zolang het totale beschermingsniveau niet daalt.
6. Subverwerkers
De Klant geeft algemene toestemming voor het inschakelen van deze subverwerkers:
| Subverwerker | Dienst | Locatie en waarborg bij doorgifte |
|---|---|---|
| Tailscale Inc. | Netwerkdoorgifte van HTTPS-verkeer; TLS eindigt op onze eigen server, dus Tailscale ziet geen content | Verenigde Staten; standaardcontractbepalingen (verwerkersovereenkomst van Tailscale) |
| [e-mailaanbieder] | Verzending van e-mail | [nog te bevestigen] |
De hosting gebeurt op onze eigen server in Nederland. Stripe verwerkt factuurgegevens waarvoor wij de verwerkingsverantwoordelijke zijn; Stripe verwerkt geen content uit de werkruimtes van de Klant.
We leggen elke subverwerker verplichtingen op die minstens even beschermend zijn als deze verwerkersovereenkomst, en we blijven voor hen verantwoordelijk. We melden het toevoegen of vervangen van een subverwerker minstens 30 dagen vooraf per e-mail. De Klant kan binnen die termijn op redelijke gronden van gegevensbescherming bezwaar maken. Lossen we het bezwaar niet op, dan kan de Klant het abonnement zonder boete beëindigen voordat de wijziging ingaat.
7. Aanbieders die de Klant met eigen sleutels koppelt (BYOK)
ElevenLabs, OpenAI, xAI, BytePlus, OpenRouter, Anthropic en andere aanbieders die de Klant met een eigen API-sleutel koppelt, zijn niet onze subverwerkers. De Klant heeft met elk van hen een eigen overeenkomst. Laat de Klant vambel zo'n aanbieder gebruiken, dan versturen we de content op instructie van de Klant en valt de verwerking door die aanbieder onder de eigen overeenkomst van de Klant met die aanbieder. De Klant is verantwoordelijk voor passende afspraken met die aanbieders, waaronder een eventuele verwerkersovereenkomst en waarborgen voor doorgifte.
8. Doorgifte buiten de EER
We hosten en verwerken de gegevens van de Klant in de EU. Vindt via een subverwerker doorgifte plaats naar een land zonder adequaatheidsbesluit, dan valt die onder het EU-VS-gegevensprivacykader als de ontvanger gecertificeerd is, en anders onder de modelcontractbepalingen (Uitvoeringsbesluit (EU) 2021/914 van de Commissie), module 3 (verwerker naar verwerker). Is de Klant buiten de EER gevestigd en geven we gegevens aan hem terug, dan geldt waar nodig module 4 (verwerker naar verwerkingsverantwoordelijke). De modelcontractbepalingen zijn waar van toepassing door verwijzing opgenomen en gaan bij strijdigheid voor op deze verwerkersovereenkomst.
9. Bijstand
Rekening houdend met de aard van de verwerking helpen we de Klant:
- bij het beantwoorden van verzoeken van betrokkenen (inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar), ook via de selfservice-export en verwijdering; verzoeken die wij rechtstreeks ontvangen, sturen we door naar de Klant;
- bij het nakomen van zijn verplichtingen rond beveiliging, het melden van datalekken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging (artikelen 32 tot en met 36 AVG).
10. Datalekken
We melden een inbreuk in verband met persoonsgegevens van de Klant zonder onnodige vertraging en uiterlijk binnen 48 uur nadat we die hebben ontdekt. De melding beschrijft, voor zover bekend, de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en gegevensregels, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. We vullen de informatie aan zodra die beschikbaar komt en nemen redelijke maatregelen om de inbreuk in te dammen.
11. Verwijdering en teruggave
De Klant kan zijn content op elk moment exporteren. Eindigt het account, dan verwijderen we de content van werkruimtes waarvan de Klant de enige eigenaar is binnen 30 dagen en roteren back-ups binnen nog eens 30 dagen, tenzij Unierecht of lidstatelijk recht ons verplicht gegevens te bewaren (bijvoorbeeld facturen gedurende 7 jaar). Op verzoek voor de verwijdering helpen we de Klant zijn gegevens in een gangbaar formaat terug te krijgen.
12. Audits
We stellen alle informatie beschikbaar die nodig is om aan te tonen dat we aan artikel 28 AVG voldoen. De Klant kan onze naleving laten controleren, zelf of via een onafhankelijke auditor met geheimhoudingsplicht, eenmaal per jaar met minstens 30 dagen vooraankondiging, of eerder na een datalek of op verzoek van een toezichthouder. Audits vinden plaats tijdens kantooruren, zonder de dienst te verstoren en zonder toegang tot gegevens van andere klanten. Iedere partij draagt haar eigen kosten.
13. Aansprakelijkheid en looptijd
De aansprakelijkheidsbepalingen van de voorwaarden gelden ook voor deze verwerkersovereenkomst, behalve waar de AVG beperking niet toestaat. Deze verwerkersovereenkomst loopt zolang we persoonsgegevens voor de Klant verwerken.