Verwerkersovereenkomst

1. Partijen en reikwijdte

Deze verwerkersovereenkomst (de "DPA") wordt gesloten tussen PeakCore LLC, een Wyoming limited liability company die AIGROW exploiteert ("wij", "ons"), en het bedrijf dat onze Algemene voorwaarden aanvaardt ("jij"). Ze maakt deel uit van de overeenkomst die bestaat uit de Algemene voorwaarden en de documenten die daarin worden genoemd (de "Overeenkomst").

Ze geldt telkens wanneer we Klantpersoonsgegevens verwerken bij het leveren van de Diensten aan jou. Ze geldt automatisch, zonder handtekening, vanaf het moment dat je ons voor het eerst zulke gegevens geeft. Typische gevallen zijn:

• de bedrijfsgegevens, concurrenten en totalen van Google Analytics-verkeer die je bij een monitor opslaat;
• de klantgegevens, huisstijl en white-labelrapporten van een agency;
• de leads die de ingebedde checker van een agency verzamelt bij de websitebezoekers van die agency;
• Search Console-gegevens en de sleutel die je aan de blogmotor koppelt;
• de berichten, herinneringen en documenten die je aan de assistent geeft, en de content van de blogmotor;
• prompts en antwoorden die via onze API lopen;
• het materiaal dat je ons stuurt voor done-for-you-werk en persberichten, zoals klantbeoordelingen, citaten en de namen van je medewerkers.

Deze DPA geldt alleen voor bedrijfsklanten. Ze geldt niet voor persoonsgegevens die we als verwerkingsverantwoordelijke verwerken, zoals je account-, factuur- en contactgegevens, waarvoor het privacybeleid geldt.

2. Definities

Termen die in de Algemene voorwaarden zijn gedefinieerd, hebben hier dezelfde betekenis. "Verwerkingsverantwoordelijke", "verwerker", "betrokkene", "persoonsgegevens", "verwerking" en "toezichthoudende autoriteit" hebben de betekenis die de AVG eraan geeft. Daarnaast:

• Klantpersoonsgegevens: persoonsgegevens die we namens jou verwerken bij het leveren van de Diensten.
• Gegevensbeschermingswetgeving: de wetten die op die verwerking van toepassing zijn, waaronder mogelijk de Algemene verordening gegevensbescherming van de EU 2016/679 (de "AVG"), de AVG zoals die deel uitmaakt van het Britse recht (de "UK GDPR"), de Britse Data Protection Act 2018, de Zwitserse federale wet inzake gegevensbescherming (de "FADP"), de California Consumer Privacy Act en vergelijkbare wetten van Amerikaanse staten.
• Subverwerker: een derde die wij inschakelen om Klantpersoonsgegevens te verwerken.
• Datalek: een inbreuk op de beveiliging die leidt tot de accidentele of onrechtmatige vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of toegang tot Klantpersoonsgegevens op systemen die wij of onze Subverwerkers beheren.
• SCC's: de standaardcontractbepalingen die zijn goedgekeurd bij Uitvoeringsbesluit (EU) 2021/914 van de Europese Commissie.
• UK-addendum: het International Data Transfer Addendum bij de SCC's, uitgegeven door de Britse Information Commissioner.

3. Rollen

Jij bent de verwerkingsverantwoordelijke voor Klantpersoonsgegevens en wij zijn je verwerker. Als je handelt voor je eigen klant, zoals een agency doet, ben je verwerker, is je klant de verwerkingsverantwoordelijke en zijn wij jouw subverwerker. Je bevestigt dat je klant je heeft gemachtigd om ons deze instructies te geven, inclusief de aanstelling van onze Subverwerkers, en je blijft ons enige aanspreekpunt.

Wij zijn verwerkingsverantwoordelijke, geen verwerker, voor de gegevens die we nodig hebben om ons bedrijf te runnen: account- en factuurgegevens, registraties van gebruik en kosten, beveiligings- en misbruiklogboeken, en statistieken waaruit niemand te identificeren is. We mogen gebruiksregistraties en zulke statistieken gebruiken om de Diensten te laten werken, te beveiligen, te factureren en te verbeteren, en nooit om jouw betrokkenen te identificeren.

Verenigde Staten. Waar privacywetten van Amerikaanse staten van toepassing zijn, treden wij op als jouw service provider of contractor. We verkopen of delen Klantpersoonsgegevens niet. We bewaren, gebruiken of verstrekken ze niet voor andere doeleinden dan het leveren van de Diensten onder de Overeenkomst, noch buiten onze directe zakelijke relatie met jou, en we combineren ze niet met persoonsgegevens uit andere bronnen, behalve voor zover die wetten dat toestaan. We voldoen aan de verplichtingen die die wetten ons opleggen en laten het je weten als we daar niet langer aan kunnen voldoen. Je mag dan redelijke en passende maatregelen nemen om ongeoorloofd gebruik te stoppen en te herstellen.

4. Verwerking op jouw instructies

We verwerken Klantpersoonsgegevens alleen op basis van jouw gedocumenteerde instructies, ook met betrekking tot internationale doorgiften, tenzij de wet anders vereist. In dat geval melden we je de wettelijke eis vóór de verwerking, tenzij de wet dat verbiedt.

Jouw instructies zijn deze DPA, de Overeenkomst, de instellingen die je kiest en de manier waarop je de Diensten gebruikt, plus alle verdere schriftelijke instructies waarmee wij instemmen. Het kiezen van een functie, een model of een afleveradres is een instructie. Als je bijvoorbeeld in de assistent of de API een model kiest, maakt het sturen van je content naar de aanbieder van dat model deel uit van jouw instructies.

We laten het je weten als een instructie naar onze mening in strijd is met de Gegevensbeschermingswetgeving. We zijn niet verplicht je instructies op wettelijke naleving te controleren, en we mogen de betreffende verwerking opschorten totdat je de instructie bevestigt of wijzigt.

Jij bent verantwoordelijk voor de rechtmatigheid van de verwerking die je opdraagt: het hebben van een rechtsgrond, het geven van de vereiste informatie en het verkrijgen van de toestemmingen die de wet vereist, en de juistheid van de gegevens die je aanlevert. De Diensten zijn niet ontworpen voor bijzondere categorieën persoonsgegevens, strafrechtelijke gegevens of gegevens van kinderen. Geef ons zulke gegevens niet, tenzij ze noodzakelijk zijn voor de Dienst en rechtmatig.

5. Vertrouwelijkheid

We geven alleen toegang tot Klantpersoonsgegevens aan mensen die die toegang nodig hebben om de Diensten te leveren, te ondersteunen of te beveiligen, en die gebonden zijn aan vertrouwelijkheidsverplichtingen of een wettelijke geheimhoudingsplicht.

Als een rechtbank, autoriteit of andere derde ons om Klantpersoonsgegevens vraagt, verwijzen we die naar jou waar we dat kunnen. We informeren je over het verzoek, tenzij de wet dat verbiedt, en we verstrekken alleen wat we wettelijk verplicht zijn te verstrekken.

6. Beveiliging

We nemen technische en organisatorische maatregelen die zorgen voor een beveiligingsniveau dat past bij het risico, zoals artikel 32 van de AVG vereist, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, de omvang, de context en de doeleinden van de verwerking. De maatregelen die nu gelden, staan hieronder en vormen Bijlage II voor de toepassing van de SCC's.

We mogen deze maatregelen wijzigen naarmate technologie en risico's veranderen, mits de wijziging het algehele beveiligingsniveau niet wezenlijk verlaagt. Jij bent verantwoordelijk voor de beveiliging van je eigen account, apparaten, API-sleutels en rapportlinks, en voor de gegevens die je zelf uploadt. Onze beveiligingspagina beschrijft hoe AIGROW werkt.

7. Subverwerkers

Je geeft ons algemene toestemming om Subverwerkers in te schakelen. De categorieën die we gebruiken, met hun locaties, staan in de bijlage hieronder. De actuele lijst van Subverwerkers is op aanvraag verkrijgbaar via privacy@aigrow.gg.

We informeren je per e-mail, op het adres van je account, minstens 14 dagen voordat een nieuwe Subverwerker begint met het verwerken van Klantpersoonsgegevens. Je mag op redelijke gronden met betrekking tot gegevensbescherming bezwaar maken door binnen die termijn te schrijven naar privacy@aigrow.gg. We bespreken je bezwaren te goeder trouw. Als we ze niet kunnen oplossen, mag je de betrokken Dienst beëindigen met een schriftelijke opzegging, en het terugbetalingsbeleid is van toepassing op alle betaalde bedragen. Dit is je enige rechtsmiddel bij een bezwaar.

Als we een Subverwerker met spoed moeten vervangen, om redenen van beveiliging of om de Diensten draaiende te houden, mogen we dat meteen doen en informeren we je zo snel mogelijk daarna, met hetzelfde recht van bezwaar.

We leggen elke Subverwerker bij schriftelijke overeenkomst gegevensbeschermingsverplichtingen op die in wezen dezelfde bescherming bieden als deze DPA, zoals artikel 28, lid 4, van de AVG vereist. We blijven jegens jou verantwoordelijk voor de nakoming van de verplichtingen van onze Subverwerkers.

8. Bijstand

Rekening houdend met de aard van de verwerking en de informatie waarover wij beschikken, staan we je bij met:

• het beantwoorden van verzoeken van betrokkenen om hun rechten uit te oefenen, via de functies van de Diensten en, als die niet volstaan, op verzoek via privacy@aigrow.gg;
• je beveiligingsverplichtingen, gegevensbeschermingseffectbeoordelingen en voorafgaande raadplegingen van toezichthoudende autoriteiten, door informatie over de Diensten te verstrekken.

Als een betrokkene rechtstreeks contact met ons opneemt over Klantpersoonsgegevens, verwijzen we die naar jou en reageren we zelf niet, behalve om te bevestigen dat we het verzoek hebben doorgegeven.

Als de bijstand verder gaat dan de functies en informatie die de Diensten al bieden, mogen we redelijke kosten in rekening brengen, die we je vooraf melden, tenzij de bijstand nodig is omdat wij deze DPA hebben geschonden.

9. Datalekken

We informeren je zonder onredelijke vertraging nadat we kennis hebben genomen van een Datalek, per e-mail op het adres van je account. Zodra die beschikbaar is, geven we je de informatie die artikel 33, lid 3, van de AVG noemt:

• de aard van het datalek, waar mogelijk inclusief de categorieën en het geschatte aantal betrokkenen en gegevensrecords in kwestie;
• een contactpunt voor meer informatie;
• de waarschijnlijke gevolgen van het datalek;
• de maatregelen die zijn genomen of voorgesteld om de inbreuk aan te pakken en de mogelijke nadelige gevolgen ervan te beperken.

Wij nemen redelijke maatregelen om de inbreuk in te perken en te herstellen. Jij bent verantwoordelijk voor elke melding aan toezichthoudende autoriteiten en betrokkenen, en wij ondersteunen je daarbij zoals in de sectie over bijstand staat beschreven.

Mislukte pogingen of activiteiten die de beveiliging van Klantpersoonsgegevens niet in gevaar brengen, zoals mislukte inlogpogingen, pings, poortscans of geblokkeerde aanvallen, zijn geen inbreuken op persoonsgegevens. Onze melding van een inbreuk is geen erkenning van schuld of aansprakelijkheid.

10. Teruggave en verwijdering

Zolang je de Diensten gebruikt, kun je een groot deel van je gegevens zelf verwijderen, zoals een monitor, een gekoppelde blogsite, een document of een geheugenitem van de assistent. Voor een kopie van de rest kun je privacy@aigrow.gg vragen.

Wanneer de Diensten eindigen, of op elk moment op je schriftelijke verzoek aan privacy@aigrow.gg, geven wij Klantpersoonsgegevens binnen een redelijke termijn terug of verwijderen wij ze, naar jouw keuze, tenzij de wet ons verplicht ze te bewaren. Op verzoek bevestigen wij de verwijdering schriftelijk. Als je geen verzoek doet, verwijderen wij Klantpersoonsgegevens zodra wij ze niet meer nodig hebben om de Diensten te leveren, zoals het Privacybeleid beschrijft.

Gegevens die wij volgens de wet moeten bewaren, blijven beschermd door deze verwerkersovereenkomst en worden alleen verwerkt voor het doel waarvoor bewaring vereist is.

11. Informatie en audits

Wij stellen je de informatie ter beschikking die nodig is om aan te tonen dat we voldoen aan artikel 28 van de AVG. Dat doen we eerst schriftelijk: via deze verwerkersovereenkomst, onze beveiligingspagina en schriftelijke antwoorden op je redelijke vragen over onze verwerking. Wij beschikken niet over certificeringen van derden zoals SOC 2 of ISO 27001.

Een inspectie vindt alleen plaats wanneer de gegevensbeschermingswetgeving of een toezichthoudende autoriteit daarom vraagt en de schriftelijke informatie niet aan die eis voldoet. In dat geval geldt het volgende:

• je geeft ons redelijke voorafgaande schriftelijke kennisgeving en stemt de reikwijdte, het tijdstip en de duur met ons af;
• de inspectie wordt uitgevoerd door jou of door een onafhankelijke auditor die gebonden is aan geheimhouding en geen concurrent van ons is;
• ze vindt plaats tijdens kantooruren, voorkomt verstoring van de Diensten en geeft geen toegang tot gegevens van andere klanten of tot onze vertrouwelijke informatie, behalve voor zover de inspectie dat nodig heeft;
• jij draagt de kosten ervan, inclusief de onze;
• ze vindt hoogstens één keer per jaar plaats, tenzij een toezichthoudende autoriteit vaker een inspectie vereist.

Audits op grond van de modelcontractbepalingen (SCC's) worden op dezelfde wijze uitgevoerd, voor zover de SCC's dat toestaan.

12. Internationale doorgiften

Wij verwerken Klantpersoonsgegevens in de Verenigde Staten en in Duitsland, en je geeft toestemming voor doorgiften naar die landen en naar de locaties van onze subverwerkers.

Doorgiften die onder de AVG vallen

Wanneer Klantpersoonsgegevens waarop de AVG van toepassing is aan ons worden doorgegeven, of door ons aan een subverwerker, in een land zonder adequaatheidsbesluit, maken de SCC's door verwijzing deel uit van deze verwerkersovereenkomst: Module 2 wanneer jij verwerkingsverantwoordelijke bent en Module 3 wanneer jij verwerker bent. Jij bent de gegevensexporteur en wij zijn de gegevensimporteur. Voor de SCC's geldt het volgende:

• de koppelingsclausule in Clausule 7 is van toepassing;
• in Clausule 9 is optie 2 van toepassing, met de kennisgevingstermijn uit de sectie over subverwerkers;
• de facultatieve tekst in Clausule 11 is niet van toepassing;
• in Clausule 13 wordt de bevoegde toezichthoudende autoriteit bepaald zoals Clausule 13(a) voorschrijft;
• in Clausules 17 en 18 zijn het recht en de rechters van Ierland van toepassing;
• Bijlage I wordt ingevuld met de partijen die in deze verwerkersovereenkomst en in de bijlage over verwerkingsgegevens worden genoemd, Bijlage II met de beveiligingsmaatregelen in deze verwerkersovereenkomst en Bijlage III met de lijst van subverwerkers die op verzoek beschikbaar is.

Wanneer je als agency namens je klanten optreedt, kan een klant die verwerkingsverantwoordelijke is, met jouw instemming tot de SCC's toetreden op grond van Clausule 7, door schriftelijke kennisgeving aan privacy@aigrow.gg.

Verenigd Koninkrijk. Voor doorgiften die onder de UK GDPR vallen, maakt het UK Addendum door verwijzing deel uit van deze overeenkomst. Tabel 1 wordt ingevuld met de gegevens van de partijen in deze verwerkersovereenkomst, Tabel 2 met de SCC's zoals hierboven uiteengezet en Tabel 3 met de bijlagen van deze verwerkersovereenkomst. In Tabel 4 kan de importeur het UK Addendum beëindigen zoals Sectie 19 ervan toestaat.

Zwitserland. Voor doorgiften die onder de FADP vallen, zijn de SCC's van toepassing met deze wijzigingen: de Federale Commissaris voor gegevensbescherming en informatie is de bevoegde toezichthoudende autoriteit, verwijzingen naar de AVG worden gelezen als verwijzingen naar de FADP, en betrokkenen in Zwitserland kunnen een procedure starten op de plaats waar zij gewoonlijk verblijven.

Wanneer een ontvanger is gecertificeerd onder het EU-US Data Privacy Framework, of onder de Britse of Zwitserse uitbreiding daarvan, mogen wij ons in plaats daarvan op die certificering beroepen. Als een doorgiftemechanisme wordt vervangen of niet langer geldig is, mogen wij een ander rechtmatig mechanisme hanteren en laten we het je weten.

Als de SCC's of het UK Addendum in strijd zijn met deze verwerkersovereenkomst, hebben zij voorrang voor de doorgiften die zij bestrijken.

13. Aansprakelijkheid

Voor zover de wet het toestaat, is de aansprakelijkheid van elke partij die voortvloeit uit of verband houdt met deze verwerkersovereenkomst, inclusief de SCC's, onderworpen aan de beperkingen en uitsluitingen van aansprakelijkheid in de Algemene voorwaarden. Die beperkingen gelden voor de Overeenkomst en deze verwerkersovereenkomst samen, niet afzonderlijk.

Niets in deze verwerkersovereenkomst beperkt de aansprakelijkheid jegens betrokkenen op grond van de SCC's, of enige aansprakelijkheid die volgens het toepasselijke recht niet kan worden beperkt.

Voor zover de wet het toestaat, vrijwaar je ons tegen claims van derden, boetes en kosten die voortvloeien uit verwerking op jouw instructies, wanneer die instructies of de gegevens die je hebt aangeleverd in strijd waren met de gegevensbeschermingswetgeving.

14. Looptijd, rangorde en wijzigingen

Deze verwerkersovereenkomst duurt zolang wij Klantpersoonsgegevens verwerken. Ze blijft na het einde van de Overeenkomst van kracht totdat die gegevens zijn teruggegeven of verwijderd.

Als documenten met elkaar in strijd zijn, geldt deze rangorde: een opdracht of schriftelijke overeenkomst die door beide partijen is ondertekend, daarna de Servicevoorwaarden voor het betreffende product, daarna deze verwerkersovereenkomst voor zaken die met gegevensbescherming te maken hebben, daarna de Voorwaarden en vervolgens ons overige beleid. De SCC's en het UK Addendum hebben voorrang zoals de sectie over internationale doorgiften bepaalt. Dwingend recht gaat boven al deze documenten.

Wij mogen deze verwerkersovereenkomst bijwerken, bijvoorbeeld om wijzigingen in de wet of bij onze subverwerkers te verwerken. Wij sturen je minstens 30 dagen van tevoren een e-mail over elke wijziging die de bescherming van Klantpersoonsgegevens wezenlijk vermindert. Geen enkele wijziging vermindert de bescherming die de gegevensbeschermingswetgeving vereist.

Op deze verwerkersovereenkomst is het recht van toepassing dat op de Voorwaarden van toepassing is, behalve dat op de SCC's het recht van toepassing is dat in hun clausules is bepaald. Heb je een medeondertekend exemplaar nodig voor je administratie, schrijf dan naar legal@aigrow.gg.

15. Bijlage: verwerkingsgegevens

Deze bijlage beschrijft de verwerking voor de toepassing van artikel 28, lid 3 van de AVG en Bijlage I van de SCC's.

16. Bijlage: categorieën subverwerkers

Dit zijn de categorieën subverwerkers die Klantpersoonsgegevens kunnen verwerken, met hun locaties. De actuele lijst van met naam genoemde subverwerkers is op verzoek verkrijgbaar via privacy@aigrow.gg.