Verwerkersovereenkomst

1. Partijen

Deze verwerkersovereenkomst geldt tussen Celtix, zoals geïdentificeerd in de hoofdovereenkomst, hierna ‘Verwerker’, en de zakelijke klant uit de hoofdovereenkomst, hierna ‘Verwerkingsverantwoordelijke’.

Deze overeenkomst vormt een aanvulling op de hoofdovereenkomst voor zover Celtix namens de Klant persoonsgegevens verwerkt.

2. Onderwerp en duur

Celtix verwerkt persoonsgegevens uitsluitend voor de overeengekomen dienstverlening en gedurende de periode waarin dit daarvoor noodzakelijk is.

Na beëindiging gelden de afspraken over teruggave en verwijdering uit deze overeenkomst.

3. Aard en doel

De verwerking kan betrekking hebben op Workflow op maat, Eigen Platform en daarmee samenhangende technische dienstverlening.

Afhankelijk van de opdracht kan Celtix gegevens ontvangen, raadplegen, opslaan, structureren, combineren, classificeren, doorgeven aan overeengekomen systemen, verwijderen of anderszins verwerken voor het uitvoeren van het afgesproken proces.

Het concrete doel van de verwerking wordt bepaald door de Klant en de betreffende opdracht.

4. Instructies

Celtix verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructies van de Klant, waaronder de hoofdovereenkomst, deze DPA en het normale overeengekomen gebruik van de oplossing.

Wanneer Celtix van mening is dat een instructie in strijd is met toepasselijke privacywetgeving, informeert Celtix de Klant daarover voordat de instructie wordt uitgevoerd, tenzij de wet dit verbiedt.

5. Categorieën gegevens

• identificatie- en contactgegevens;
• zakelijke relatiegegevens;
• account- en gebruikersgegevens;
• communicatie;
• documenten en bijlagen;
• gegevens uit gekoppelde systemen;
• technische log- en auditgegevens;
• overige persoonsgegevens die expliciet onderdeel zijn van de opdracht.

Welke categorieën daadwerkelijk worden verwerkt, wordt per opdracht bepaald. Niet iedere categorie is op iedere klant van toepassing.

6. Betrokkenen

• medewerkers en gebruikers van de Klant;
• klanten en prospects van de Klant;
• contactpersonen;
• leveranciers of zakelijke relaties;
• andere personen die voorkomen in de overeengekomen gegevensstromen.

Alleen voor zover relevant voor de concrete opdracht.

7. Bijzondere en strafrechtelijke gegevens

Bijzondere categorieën persoonsgegevens of strafrechtelijke persoonsgegevens worden alleen verwerkt wanneer dit uitdrukkelijk onderdeel is van de overeengekomen verwerking en de Klant hiervoor een geldige grondslag en noodzakelijke waarborgen heeft.

Wanneer verwerking hiervan niet is afgesproken, hoort de Klant dergelijke gegevens niet bewust in de betreffende oplossing aan te leveren.

8. Geheimhouding

Personen die namens Celtix toegang hebben tot persoonsgegevens zijn gebonden aan vertrouwelijkheid en krijgen alleen toegang voor zover dit voor hun werkzaamheden noodzakelijk is.

9. Beveiliging

Celtix treft passende technische en organisatorische maatregelen, rekening houdend met de aard van de verwerking en de risico’s voor betrokkenen.

Tot de basismaatregelen behoren, waar passend:

• toegangsbeheer volgens least privilege;
• rollen en rechten;
• MFA waar dit passend en ondersteund is;
• versleutelde netwerkverbindingen;
• veilig beheer van technische sleutels en geheimen;
• logging van relevante beheer- en beveiligingshandelingen;
• scheiding van klantdata waar van toepassing;
• back-up- en herstelmaatregelen;
• scheiding tussen ontwikkel/test en productie waar passend;
• wijzigings- en incidentbeheer;
• periodieke actualisatie van software en afhankelijkheden.

De concrete maatregelen kunnen per oplossing verschillen en worden waar nodig projectspecifiek vastgelegd.

Lees meer over vertrouwen & security →

10. Verwerkingslocatie

De standaardarchitectuur van Celtix is erop gericht operationele klantdata en door Celtix ingerichte AI-verwerking binnen de EER te verwerken en op te slaan.

De actuele leveranciers en primaire verwerkingslocaties worden vastgelegd in het subverwerkersregister.

Wanneer voor een specifieke opdracht een verwerking buiten de EER noodzakelijk zou worden, zal Celtix dit vooraf kenbaar maken. Een dergelijke doorgifte vindt alleen plaats wanneer deze rechtmatig is en passende waarborgen zijn getroffen.

11. AI-verwerking

Wanneer AI onderdeel is van de verwerking, gebruikt Celtix alleen de voor de opdracht overeengekomen AI-diensten.

Waar open-source AI-modellen zijn overeengekomen, worden deze op de voor de oplossing geselecteerde Europese infrastructuur uitgevoerd.

De aanduiding open-source wordt alleen gebruikt wanneer de licentie van het betreffende model daadwerkelijk als zodanig is gecontroleerd.

Persoonsgegevens van de Klant worden door Celtix niet voor eigen doeleinden gebruikt om AI-modellen te trainen.

12. Subverwerkers

De Klant geeft Celtix algemene toestemming om subverwerkers in te schakelen die noodzakelijk zijn voor de dienstverlening, onder de voorwaarden van deze overeenkomst.

Celtix legt aan een subverwerker ten minste gelijkwaardige privacyverplichtingen op voor zover die betrekking hebben op de uitbestede verwerking.

Het actuele overzicht staat in het subverwerkersregister.

Celtix informeert bestaande klanten vooraf over materiële toevoegingen of vervangingen van subverwerkers die hun verwerking raken.

De Klant kan binnen 14 dagen gemotiveerd bezwaar maken op redelijke privacy- of beveiligingsgronden. Partijen zoeken in dat geval gezamenlijk naar een redelijke oplossing.

13. Rechten van betrokkenen

Celtix ondersteunt de Klant redelijkerwijs bij verzoeken van betrokkenen, rekening houdend met de aard van de verwerking.

Ontvangt Celtix rechtstreeks een verzoek dat betrekking heeft op gegevens waarvoor de Klant verwerkingsverantwoordelijke is, dan stuurt Celtix dit verzoek in beginsel door naar de Klant en voert Celtix niet zelfstandig inhoudelijke wijzigingen uit zonder instructie.

14. DPIA en toezichthouder

Celtix verleent, voor zover redelijkerwijs nodig en gelet op de informatie waarover Celtix beschikt, ondersteuning wanneer de Klant voor de overeengekomen verwerking een gegevensbeschermingseffectbeoordeling (DPIA) moet uitvoeren of overleg met een toezichthouder noodzakelijk is.

15. Datalekken

Celtix informeert de Klant zonder onredelijke vertraging nadat Celtix kennis heeft gekregen van een inbreuk in verband met persoonsgegevens die onder deze overeenkomst valt.

Celtix streeft ernaar een eerste melding waar mogelijk binnen 24 uur na interne bevestiging te doen.

De eerste melding bevat de op dat moment redelijkerwijs beschikbare informatie over:

• de aard van het incident;
• de betrokken gegevens en personen;
• mogelijke gevolgen;
• reeds genomen of geplande maatregelen.

Nieuwe informatie kan in delen worden aangevuld.

De Klant blijft verantwoordelijk voor de beoordeling of melding aan de Autoriteit Persoonsgegevens en/of betrokkenen noodzakelijk is, tenzij de wet anders bepaalt.

16. Audit en informatie

Celtix stelt informatie beschikbaar die redelijkerwijs nodig is om naleving van deze overeenkomst aan te tonen.

De Klant kan maximaal eenmaal per kalenderjaar een redelijke audit laten uitvoeren, tenzij een ernstig incident, wettelijke verplichting of toezichthouder aanleiding geeft voor een aanvullende audit.

Een audit wordt minimaal 30 dagen vooraf aangekondigd, vindt tijdens normale werktijden plaats en mag de beveiliging of dienstverlening aan andere klanten niet onnodig verstoren.

Kosten zijn in beginsel voor de Klant, tenzij uit de audit een wezenlijke tekortkoming van Celtix blijkt.

17. Beëindiging, teruggave en verwijdering

Na beëindiging geeft Celtix, op verzoek van de Klant, de overeengekomen persoonsgegevens terug in een gangbaar technisch formaat voor zover deze bij Celtix beschikbaar zijn.

Tenzij anders overeengekomen kan de Klant dit verzoek binnen 30 dagen na beëindiging doen.

Daarna verwijdert Celtix de persoonsgegevens waar redelijkerwijs mogelijk, tenzij een wettelijke verplichting langer bewaren vereist.

Kopieën in back-ups verdwijnen volgens de reguliere back-upcyclus en worden in de tussentijd niet voor andere doeleinden gebruikt.

18. Aansprakelijkheid

Voor aansprakelijkheid tussen Partijen geldt de aansprakelijkheidsregeling uit de hoofdovereenkomst en algemene voorwaarden.

Niets in deze bepaling beperkt rechten van betrokkenen of bevoegdheden van toezichthouders die op grond van dwingend recht niet kunnen worden beperkt.

19. Slot

Nederlands recht is van toepassing voor zover toegestaan.

Vragen over deze verwerkersovereenkomst kunnen worden gestuurd naar info@celtix.nl.

• Privacyverklaring
• Algemene voorwaarden
• Subverwerkersregister
• Vertrouwen & security

Bijlagen