Verwerkers­overeenkomst

Deze verwerkersovereenkomst regelt de verwerking van persoonsgegevens door AIAgentCycle in opdracht van een zakelijke opdrachtgever. AIAgentCycle is een handelsnaam van Good Nature Vibe B.V., KvK 95865101, correspondentieadres Houtwal 29B, 8431 EX Oosterwolde, e-mail info@aiagentcycle.com. De opdrachtgever en diens bevoegde contactpersoon staan in de aanvaarde offerte of opdrachtbeschrijving.

Deze overeenkomst wordt samen met de opdrachtgebonden bijlagen schriftelijk, waaronder elektronisch, overeengekomen vóór de betreffende verwerking begint. Alleen het bezoeken van deze pagina of indienen van een contactaanvraag sluit geen verwerkersovereenkomst. Bestaande overeenkomsten wijzigen niet uitsluitend door publicatie van een nieuwe versie.

Deze overeenkomst maakt deel uit van de overeengekomen dienstverlening. Bij strijdigheid gaat zij voor op het gebied van verwerking en bescherming van persoonsgegevens. Artikel 10 regelt de aansluiting op de aansprakelijkheidsregeling. Voor eigen contact-, offerte- en bedrijfsadministratie treedt AIAgentCycle in beginsel op als verwerkingsverantwoordelijke; daarop ziet de privacyverklaring van AIAgentCycle. De feitelijke rol en verwerking zijn bepalend.

Artikel 1 — Onderwerp, aard, doel en duur

1.1. AIAgentCycle verwerkt als verwerker uitsluitend de persoonsgegevens die nodig zijn voor het overeengekomen bouwen, koppelen, hosten en beheren van workflows, AI-agents en technische omgevingen. De opdrachtgever bepaalt de doeleinden en rechtmatige instructies.

1.2. Bijlage 1 legt vóór de verwerking de concrete doeleinden, handelingen, duur, gegevenssoorten, categorieën betrokkenen en de rechten en verplichtingen van de opdrachtgever vast. Een offerte of implementatiebijlage kan daarvoor dienen als deze gegevens erin staan en partijen haar als onderdeel van deze overeenkomst aanvaarden.

1.3. De duur volgt de betreffende opdracht en de noodzakelijke afwikkeling volgens artikel 9. Bijzondere persoonsgegevens, strafrechtelijke gegevens, burgerservicenummers en andere gegevens waarvoor aanvullende wettelijke eisen gelden, vallen niet standaard binnen de opdracht. Verwerking daarvan vereist vooraf een beoordeling en uitdrukkelijke schriftelijke afspraken over rechtmatigheid, noodzaak en maatregelen.

Artikel 2 — Instructies en verantwoordelijkheid opdrachtgever

2.1. AIAgentCycle verwerkt uitsluitend op gedocumenteerde instructie, ook bij doorgiften. Als Unierecht of lidstatelijk recht anders verplicht, informeert zij de opdrachtgever vooraf, tenzij dat recht dit verbiedt.

2.2. De opdrachtgever zorgt voor een geldige grondslag, noodzakelijke informatie aan betrokkenen, passende gegevensselectie en rechtmatige instructies. AIAgentCycle informeert de opdrachtgever onmiddellijk als een instructie naar haar oordeel inbreuk maakt op de AVG of andere toepasselijke gegevensbeschermingsregels. Zij schort de getroffen verwerking op voor zover dat nodig is om onrechtmatige verwerking te voorkomen en bespreekt een rechtmatige oplossing.

2.3. AIAgentCycle gebruikt de in opdracht verwerkte persoonsgegevens niet voor eigen doeleinden of het trainen van AI-modellen. Gebruik van AI-diensten bij ontwikkeling of uitvoering wordt vooraf binnen de instructies en de leveranciersafspraken afgebakend. API-gebruik betekent op zichzelf niet dat geen opslag of logging plaatsvindt.

Artikel 3 — Geheimhouding en toegang

3.1. Toegang wordt beperkt tot bevoegde personen die deze voor hun taak nodig hebben. Personen onder het gezag van AIAgentCycle zijn gebonden aan geheimhouding of een passende wettelijke geheimhoudingsplicht. Deze bescherming blijft gelden na het einde van hun werkzaamheden.

Artikel 4 — Beveiliging en locaties

4.1. AIAgentCycle treft en onderhoudt passende technische en organisatorische maatregelen volgens artikel 32 AVG. Daarbij worden de stand van de techniek, uitvoeringskosten, aard en omvang van de verwerking en risico’s voor betrokkenen betrokken. De opdrachtgebonden Bijlage 2 legt de concrete maatregelen, verantwoordelijkheden en controlefrequenties vast. Het vereiste wettelijke beveiligingsniveau blijft gelden, ook als een maatregel niet afzonderlijk is benoemd.

4.2. De inrichting omvat risicogebaseerde toegangsbeperking, beveiligde verbindingen, beschermd geheimenbeheer, passende beveiliging van gebruikte apparatuur, onderhoud en een incidentprocedure. Bijlage 2 specificeert onder meer multifactor-authenticatie, versleuteling van opslag en apparaten, afscherming van beheerinterfaces, relevante logging, back-ups en hersteltests waar die nodig zijn. Een vermelding van een techniek in deze overeenkomst verklaart niet dat ieder product of ieder klantapparaat die techniek al toepast. Vooraf overeengekomen concrete maatregelen blijven verplichte prestaties. Er wordt geen absolute beveiliging, ononderbroken beschikbaarheid of gegarandeerde hersteltijd toegezegd zonder een uitdrukkelijke afzonderlijke afspraak.

4.3. Voor zijn eigen hosting gebruikt AIAgentCycle Contabo in Duitsland. Voor zijn zakelijke agenda en CRM gebruikt AIAgentCycle de EU-omgeving van Zoho One. Dit beschrijft de eigen inrichting van AIAgentCycle en maakt deze diensten niet automatisch onderdeel van iedere klantopdracht. De concrete opslaglocaties, toegang vanuit andere landen en leveranciers bij een klantopdracht worden in Bijlage 3 vastgelegd.

4.4. Een server in de EER betekent niet dat alle aangesloten diensten of ondersteuning uitsluitend binnen de EER verwerken. Doorgifte buiten de EER vindt alleen plaats volgens de schriftelijke instructies, de vooraf gemelde gegevensstroom en de toepasselijke vereisten van hoofdstuk V AVG. Daarbij worden de benodigde doorgiftegrondslag, beoordeling en aanvullende maatregelen vastgelegd. EU-opslag bij Zoho sluit ondersteuningstoegang van buiten de EER niet volledig uit.

Artikel 5 — Subverwerkers

5.1. Met aanvaarding van deze overeenkomst en Bijlage 3 geeft de opdrachtgever algemene schriftelijke toestemming voor de daarin beschreven subverwerkers. AIAgentCycle legt hun bij overeenkomst gegevensbeschermingsverplichtingen op die aansluiten op deze overeenkomst en blijft tegenover de opdrachtgever verantwoordelijk voor hun verplichtingen overeenkomstig artikel 28 lid 4 AVG.

5.2. AIAgentCycle meldt een voorgenomen toevoeging of vervanging vooraf schriftelijk, met identiteit, functie, relevante locaties en gevolgen voor gegevensbescherming. De opdrachtgever krijgt veertien kalenderdagen na de melding om gemotiveerd bezwaar te maken voordat de wijziging voor diens gegevens wordt uitgevoerd. Een wijziging van de algemene leverancierspagina vervangt deze melding niet.

5.3. Bij een onderbouwd bezwaar onderzoeken partijen een redelijke oplossing. Zolang het bezwaar niet is opgelost, wordt de nieuwe subverwerker niet voor de betrokken verwerking ingezet. Als een passende voortzetting niet mogelijk is, kunnen partijen het getroffen deel beëindigen; de bestaande regels over afrekening en veilige overdracht blijven gelden. Een bezwaar beëindigt niet automatisch alle dienstverlening.

5.4. Een leverancier die de opdrachtgever rechtstreeks inschakelt, is niet alleen daardoor een subverwerker van AIAgentCycle. De werkelijke contractuele rol, toegang en instructies worden vastgelegd. AIAgentCycle blijft verantwoordelijk voor haar eigen werkzaamheden.

Artikel 6 — Bijstand

6.1. Rekening houdend met de aard van de verwerking helpt AIAgentCycle met passende maatregelen bij verzoeken van betrokkenen. Zij stuurt ontvangen verzoeken die de opdrachtgever betreffen onverwijld door en beantwoordt die niet zelfstandig, tenzij dit is opgedragen of wettelijk verplicht.

6.2. AIAgentCycle verleent de nodige bijstand bij beveiliging, datalekken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van de toezichthouder, rekening houdend met de aard van de verwerking en de beschikbare informatie.

6.3. Werk buiten de overeengekomen dienstverlening wordt vooraf begroot en na akkoord berekend. Noodzakelijke wettelijke medewerking wordt niet uitgesteld totdat overeenstemming over kosten bestaat. Herstel of bijstand die nodig is door een eigen toerekenbare tekortkoming wordt niet als extra dienstverlening in rekening gebracht; de algemene voorwaarden blijven daarop van toepassing.

Artikel 7 — Datalekken

7.1. AIAgentCycle meldt een vastgestelde inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat zij daarvan kennis heeft genomen aan de aangewezen contactpersoon. Deze termijn loopt in kalenderuren en wordt niet verlengd door kantoor- of service-uren. Er wordt niet gewacht op een volledig onderzoek.

7.2. De melding bevat de op dat moment beschikbare informatie over aard en omvang, mogelijke gevolgen, genomen of voorgestelde maatregelen en een contactpunt. Ontbrekende informatie wordt zonder onredelijke verdere vertraging aangevuld. AIAgentCycle documenteert het incident en verleent de nodige medewerking aan beperking en herstel.

7.3. De opdrachtgever beoordeelt en verzorgt als verwerkingsverantwoordelijke de meldingen aan de toezichthouder en betrokkenen. Eigen wettelijke verplichtingen van AIAgentCycle blijven gelden. Een incidentmelding is geen erkenning van aansprakelijkheid; dit beperkt de feitelijke medewerking of wettelijke rechten niet.

Artikel 8 — Informatie en audit

8.1. AIAgentCycle verstrekt de informatie die nodig is om naleving aan te tonen en maakt audits, waaronder inspecties door de opdrachtgever of een door hem gemachtigde auditor, mogelijk en werkt daaraan mee.

8.2. Reguliere audits worden waar redelijk eerst op basis van beschikbare documentatie uitgevoerd, in beginsel eenmaal per jaar, met veertien dagen aankondiging en tijdens kantooruren. Deze werkafspraken beperken geen noodzakelijke aanvullende of spoedeisende audit bij een datalek, concrete aanwijzingen van niet-naleving, of een verzoek of verplichting van een toezichthouder. Partijen beperken onnodige verstoring en beschermen gegevens van andere klanten en bedrijfsgeheimen, zonder effectieve controle onmogelijk te maken.

8.3. Iedere partij draagt haar eigen normale auditkosten. Aanvullende ondersteuning wordt alleen volgens vooraf overeengekomen redelijke afspraken berekend; artikel 6.3 blijft van toepassing. De wettelijke bevoegdheden van een toezichthouder worden hierdoor niet beperkt.

Artikel 9 — Teruggave, verwijdering en einde

9.1. Na het einde geeft AIAgentCycle de in opdracht verwerkte persoonsgegevens naar keuze van de opdrachtgever terug en verwijdert zij de resterende kopieën, of verwijdert zij de gegevens, standaard binnen dertig kalenderdagen. Een verplichting tot bewaring op grond van Unierecht of lidstatelijk recht vormt hierop een uitzondering. De opdrachtgever geeft tijdig een uitvoerbare instructie; AIAgentCycle stemt de veilige afwikkeling af.

9.2. Bijlage 2 beschrijft vooraf de verwijdering van back-ups en eventuele technisch noodzakelijke uitloop bij externe diensten, met concrete maximale termijnen. Voor de standaard onderhoudsback-ups blijft de overeengekomen uitloop van maximaal dertig dagen gelden. Een afwijkende uitloop vereist vooraf een uitdrukkelijke, rechtmatige afspraak; deze pagina verleent geen algemene toestemming om langer te bewaren. Tot verwijdering blijven resterende kopieën afgeschermd en beschermd en worden ze uitsluitend gebruikt voor noodzakelijke continuïteit of een wettelijke verplichting. Na een herstel worden verwijderinstructies opnieuw toegepast.

9.3. AIAgentCycle bevestigt op verzoek de uitvoering. Eigen administratie waarvoor zij verwerkingsverantwoordelijke is, volgt de privacyverklaring en toepasselijke wettelijke bewaarplichten. Dat rechtvaardigt niet het bewaren van alle onder deze overeenkomst ontvangen klantbestanden.

Artikel 10 — Aansprakelijkheid en toepasselijke afspraken

10.1. Op de onderlinge contractuele aansprakelijkheid is artikel 15 van de op de opdracht toepasselijke Algemene Voorwaarden B2B van toepassing, met de daarin opgenomen grenzen en uitzonderingen, voor zover rechtens toegestaan. Deze verwerkersovereenkomst introduceert geen afzonderlijke of opgetelde schadevergoeding, boete of onbeperkte vrijwaring. Samenhangende claims uit de opdracht, onderhoud en deze overeenkomst vallen onder dezelfde toepasselijke regeling.

10.2. De wettelijke rechten van betrokkenen, bevoegdheden van toezichthouders en verplichtingen waarvoor uitsluiting of beperking niet is toegestaan, blijven onverlet. Dit omvat de toepasselijke verplichtingen van artikel 28 lid 4 en artikel 82 AVG. Deze overeenkomst legt geen automatische vergoeding van aan de andere partij opgelegde bestuurlijke boetes op; aansprakelijkheid en eventueel verhaal volgen het toepasselijke recht en de rechtsgeldige contractuele afspraken.

10.3. Herstel van een eigen tekortkoming en noodzakelijke wettelijke medewerking blijven verschuldigd zoals overeengekomen en wettelijk vereist. Op deze overeenkomst zijn het recht en de geschillenregeling van de hoofdovereenkomst van toepassing, met behoud van dwingend recht.