Verwerkersovereenkomst

1. Partijen en rolverdeling

1.1 Verwerkingsverantwoordelijke ben jij: de klant die bepaalt welke gegevens hij bij WozApi aanlevert en waarvoor. Hierna: "jij".

1.2 Verwerker is Veloware, handelend onder de naam WozApi, Het Dagwerk 35, 8252 KH Dronten, KvK 42005275. Hierna: "wij".

1.3 Deze overeenkomst geldt automatisch zodra jij persoonsgegevens bij ons aanlevert, en hoort bij de algemene voorwaarden. Bij tegenstrijdigheid gaat deze verwerkersovereenkomst voor, uitsluitend op het punt van gegevensbescherming.

1.4 Voor je eigen accountgegevens (je e-mailadres, je facturen, je gebruik van de dienst) zijn wij zelf verwerkingsverantwoordelijke. Wat wij daarmee doen staat in de privacyverklaring; deze overeenkomst gaat daar niet over.

2. Wat wij verwerken, en waarvoor

2.1 Onderwerp en doel: het aanvullen van door jou aangeleverde adressen met WOZ-waarden, adresgegevens uit de Basisregistratie Adressen en Gebouwen en kadastrale perceelgegevens, en het terugleveren daarvan aan jou.

2.2 Aard van de verwerking: ontvangen, opslaan, opzoeken, verrijken, terugleveren en verwijderen.

2.3 Soorten persoonsgegevens: adresgegevens (straat, huisnummer, postcode, plaats) en alle overige gegevens die jij zelf in je bestand of je aanvraag zet. Dat laatste bepaal jij: wij vragen er niet om en wij hebben ze niet nodig.

2.4 Categorieën betrokkenen: de personen op wie de door jou aangeleverde adressen betrekking hebben, bijvoorbeeld je klanten of de bewoners van de door jou getaxeerde panden.

2.5 Duur: zolang je account bestaat of zolang een opdracht loopt, met de bewaartermijnen uit artikel 8.

2.6 Geen bijzondere persoonsgegevens. Onze dienst is er niet op ingericht en je mag ze niet aanleveren: geen gegevens over gezondheid, ras, geloof, politieke voorkeur, seksleven, lidmaatschap van een vakbond, strafrechtelijke gegevens of BSN. Lever je die toch aan, dan mogen wij de verwerking opschorten en verwijderen wij ze.

3. Onze instructies

3.1 Wij verwerken jouw persoonsgegevens uitsluitend op jouw instructie. Je gebruik van de dienst, zoals het uploaden van een bestand of het doen van een API-aanroep, geldt als die instructie. Aanvullende instructies stuur je naar info@woz-api.nl.

3.2 Wij gebruiken jouw gegevens niet voor eigen doeleinden, niet om onze dienst te verbeteren, niet om modellen te trainen en niet voor marketing.

3.3 Denken wij dat een instructie in strijd is met de AVG of andere wetgeving, dan melden wij dat en mogen wij de uitvoering ervan opschorten.

3.4 Wij verwerken alleen binnen de Europese Economische Ruimte, behalve wat in artikel 5 staat over de Excel-wizard.

4. Geheimhouding

4.1 Iedereen bij ons die toegang heeft tot jouw gegevens is tot geheimhouding verplicht, hetzij op grond van de arbeidsovereenkomst, hetzij op grond van een aparte verklaring.

4.2 Toegang tot productiegegevens is beperkt tot wie die voor zijn werk nodig heeft.

5. Subverwerkers

5.1 Je geeft ons algemene toestemming om subverwerkers in te schakelen. Op het moment van deze versie zijn dat:

5.2 Wij leggen elke subverwerker minimaal dezelfde verplichtingen op als in deze overeenkomst staan, en blijven tegenover jou aansprakelijk voor wat zij doen.

5.3 Willen wij een subverwerker vervangen of toevoegen, dan melden wij dat minstens dertig dagen vooraf per e-mail. Maak je binnen die termijn schriftelijk en gemotiveerd bezwaar en komen wij er samen niet uit, dan mag je de overeenkomst opzeggen zonder kosten, met terugbetaling van ongebruikte credits.

5.4 Doorgifte buiten de EER. OpenAI en onze infrastructuurleverancier verwerken buiten de Europese Economische Ruimte. Die doorgifte berust op de standaardcontractbepalingen van de Europese Commissie. Wil je geen enkele doorgifte buiten de EER, laat dat dan weten: wij zetten de kolomherkenning voor jouw account uit, waarna je de kolommen zelf aanwijst en er niets naar OpenAI gaat.

6. Beveiliging

6.1 Wij nemen passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG. Concreet:

• Al het verkeer naar de site en de API loopt versleuteld over HTTPS.
• Wachtwoorden slaan wij versleuteld op en API-sleutels alleen als versleutelde afdruk, zodat wij ze zelf niet kunnen uitlezen.
• Toegang tot productiegegevens is beperkt tot wie die nodig heeft, met persoonlijke accounts.
• De database draait binnen de EU en is niet publiek benaderbaar.
• Wij houden logboeken bij van aanroepen en fouten, zodat misbruik opvalt en herleidbaar is.
• Van de database en de geüploade bestanden maken wij meerdere keren per dag een versleutelde back-up, die wij ook op een tweede plek binnen de EU bewaren. Elke week zetten wij er een terug om te controleren dat hij werkt.

6.2 Deze maatregelen mogen wij aanpassen zolang het beschermingsniveau daardoor niet daalt.

7. Datalekken

7.1 Ontdekken wij een inbreuk in verband met persoonsgegevens die jouw gegevens raakt, dan melden wij dat zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat wij ervan wisten, per e-mail op het adres van je account.

7.2 Die melding bevat in elk geval de aard van de inbreuk, de betrokken categorieën en aantallen voor zover bekend, de waarschijnlijke gevolgen en de maatregelen die wij nemen. Weten wij nog niet alles, dan melden wij eerst wat wij wel weten en vullen wij aan.

7.3 Jij bepaalt of er gemeld moet worden bij de Autoriteit Persoonsgegevens en bij de betrokkenen; dat is jouw rol als verantwoordelijke. Wij helpen je met de informatie die je daarvoor nodig hebt.

7.4 Wij melden nooit namens jou aan de toezichthouder zonder jouw opdracht.

8. Bewaren, teruggeven en wissen

8.1 Bestanden die je in de Excel-wizard uploadt bewaren wij tot je het resultaat hebt opgehaald, en daarna maximaal dertig dagen zodat je het opnieuw kunt downloaden. Daarna verwijderen wij het bronbestand.

8.2 Adressen die je via de API opvraagt leggen wij vast in het gebruikslogboek, zodat je je verbruik kunt controleren en wij de gratis herhaling binnen zeven dagen kunnen bieden.

8.3 Bij het einde van de overeenkomst verwijderen wij op jouw keuze alle persoonsgegevens die wij namens jou verwerken, of geven wij ze aan je terug, binnen dertig dagen na je verzoek. Wij bevestigen dat schriftelijk.

8.4 Uitzondering: gegevens die wij op grond van de wet moeten bewaren, zoals facturen, houden wij tot die termijn is verstreken. Die gebruiken wij dan nergens anders voor.

8.5 Vraag je tussentijds om verwijdering van een specifiek bestand, dan doen wij dat direct.

8.6 Wat wij verwijderen, staat nog in onze versleutelde back-ups tot die verlopen, na hoogstens negentig dagen. Een back-up gebruiken wij alleen om na een storing of fout gegevens terug te zetten. Zetten wij er een terug, dan verwijderen wij opnieuw wat al verwijderd was.

9. Rechten van betrokkenen

9.1 Krijgen wij rechtstreeks een verzoek van iemand wiens gegevens jij hebt aangeleverd, dan handelen wij dat niet zelf af. Wij sturen het door naar jou en laten de verzoeker weten dat jij de verantwoordelijke bent.

9.2 Wij helpen je binnen redelijke termijn met inzage, correctie, verwijdering, beperking, bezwaar en overdraagbaarheid, zodat jij binnen de wettelijke termijn kunt antwoorden.

9.3 Wij helpen je ook met een gegevensbeschermingseffectbeoordeling en met een eventueel overleg met de toezichthouder, voor zover dat op onze verwerking betrekking heeft.

10. Controle

10.1 Wij geven je op verzoek de informatie die je nodig hebt om te controleren of wij ons aan deze overeenkomst houden.

10.2 Je mag eens per jaar een audit laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding is gehouden. Kondig die minstens dertig dagen vooraf aan. De audit verstoort onze dienstverlening niet en raakt geen gegevens van andere klanten.

10.3 De kosten draag je zelf, tenzij uit de audit blijkt dat wij ons wezenlijk niet aan deze overeenkomst houden; dan dragen wij ze.

10.4 Blijkt er iets niet in orde, dan herstellen wij dat op onze kosten en binnen een redelijke termijn.

11. Aansprakelijkheid

11.1 Voor schade door een boete of claim die het gevolg is van een toerekenbare tekortkoming van ons in deze verwerkersovereenkomst geldt de aansprakelijkheidsregeling uit de algemene voorwaarden, met dien verstande dat die beperking niet geldt bij opzet of bewuste roekeloosheid aan onze kant, en niet voor zover dwingend recht dat verbiedt.

11.2 Artikel 82 AVG blijft onverkort gelden tussen ons en de betrokkene.

12. Duur en wijzigingen

12.1 Deze overeenkomst loopt zolang wij persoonsgegevens namens jou verwerken en eindigt met de onderliggende overeenkomst. De artikelen over geheimhouding, aansprakelijkheid en wissen blijven daarna gelden.

12.2 Wijzigen wij deze overeenkomst wezenlijk, dan melden wij dat minstens dertig dagen vooraf per e-mail. Ben je het er niet mee eens, dan mag je opzeggen zonder kosten.

12.3 Op deze overeenkomst is Nederlands recht van toepassing. Geschillen leggen wij voor aan de bevoegde rechter in het arrondissement waar wij gevestigd zijn.