Verwerkersovereenkomst

01Partijen en toepassing

Deze verwerkersovereenkomst is gesloten tussen:

• Orbecta, Waldorpstraat 584, 2521 CK Den Haag, KvK 72579943, hierna: Verwerker;
• de organisatie of zelfstandige professional die een account aanmaakt of een abonnement afsluit op het Orbecta-platform, hierna: Verwerkingsverantwoordelijke.

Deze overeenkomst maakt deel uit van de Algemene Voorwaarden van Orbecta (samen: de Hoofdovereenkomst). Door een account aan te maken of een abonnement af te sluiten, gaat Verwerkingsverantwoordelijke ermee akkoord. Op verzoek ontvangt Verwerkingsverantwoordelijke een ondertekend exemplaar met dezelfde inhoud.

Voor de gegevens die Orbecta zelf gebruikt om accounts, facturatie en de website te beheren, is Orbecta zelf verwerkingsverantwoordelijke. Daarvoor geldt de privacyverklaring.

02Definities

Begrippen in deze overeenkomst hebben de betekenis die de AVG eraan geeft, zoals persoonsgegevens, verwerking, betrokkene, verwerkingsverantwoordelijke, verwerker en inbreuk in verband met persoonsgegevens (hierna: datalek). Daarnaast geldt:

• Subverwerker: een derde die Verwerker inschakelt om persoonsgegevens voor Verwerkingsverantwoordelijke te verwerken.
• Platform: het Orbecta-platform, bereikbaar via orbecta.com, met de modules die Verwerkingsverantwoordelijke gebruikt.
• Gebruiker: een persoon die namens Verwerkingsverantwoordelijke toegang heeft tot het Platform.

03Onderwerp en duur

3.1 Verwerker verwerkt persoonsgegevens alleen om de diensten uit de Hoofdovereenkomst te leveren. Sectie 15 beschrijft de aard en het doel van de verwerking, de soorten persoonsgegevens en de categorieën betrokkenen.

3.2 Deze overeenkomst geldt zolang Verwerkingsverantwoordelijke een account heeft, en daarna zolang Verwerker nog persoonsgegevens van Verwerkingsverantwoordelijke verwerkt.

3.3 Bij strijdigheid tussen deze overeenkomst en de Algemene Voorwaarden gaat deze overeenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.

04Verwerking volgens instructies

4.1 Verwerker verwerkt de persoonsgegevens uitsluitend op basis van de instructies van Verwerkingsverantwoordelijke. De Hoofdovereenkomst, deze overeenkomst en de instellingen die Verwerkingsverantwoordelijke in het Platform kiest, gelden als zulke instructies.

4.2 Verwerker gebruikt de persoonsgegevens niet voor eigen doeleinden en niet om AI-modellen te trainen. Verwerker verkoopt de persoonsgegevens niet en deelt ze niet met derden, behalve met Subverwerkers volgens artikel 7.

4.3 Is Verwerker wettelijk verplicht persoonsgegevens te verwerken buiten de instructies om, dan meldt Verwerker dat vooraf aan Verwerkingsverantwoordelijke, tenzij de wet dat verbiedt.

4.4 Verwerker meldt het direct als een instructie naar zijn oordeel in strijd is met de AVG of een andere privacywet.

4.5 Verwerkingsverantwoordelijke staat ervoor in dat hij een rechtsgrond heeft voor de verwerking en dat de inhoud die Gebruikers in het Platform invoeren, rechtmatig is.

05Geheimhouding

5.1 Verwerker houdt de persoonsgegevens geheim. Alleen wie de gegevens nodig heeft voor zijn taak, krijgt toegang.

5.2 Iedereen die namens Verwerker toegang heeft tot de persoonsgegevens, is gebonden aan een geheimhoudingsplicht.

06Beveiliging

6.1 Verwerker neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen, zoals artikel 32 AVG vraagt. Sectie 16 beschrijft de maatregelen.

6.2 Verwerker houdt de maatregelen actueel en mag ze aanpassen, zolang het beveiligingsniveau niet lager wordt.

07Subverwerkers

7.1 Verwerkingsverantwoordelijke geeft Verwerker algemene toestemming om de Subverwerkers uit sectie 17 in te schakelen.

7.2 Wil Verwerker een Subverwerker toevoegen of vervangen, dan meldt Verwerker dat minimaal 30 dagen vooraf, per e-mail aan zakelijke klanten en op deze pagina. Verwerkingsverantwoordelijke kan binnen die termijn gemotiveerd bezwaar maken. Komen partijen er niet uit, dan mag Verwerkingsverantwoordelijke het abonnement opzeggen tegen de datum waarop de wijziging ingaat.

7.3 Verwerker legt aan elke Subverwerker ten minste dezelfde verplichtingen op als die in deze overeenkomst staan, en blijft tegenover Verwerkingsverantwoordelijke verantwoordelijk voor diens nakoming.

08Doorgifte buiten de EER

8.1 Verwerker verwerkt persoonsgegevens binnen de Europese Economische Ruimte, tenzij sectie 17 iets anders vermeldt.

8.2 Doorgifte naar een land buiten de EER gebeurt alleen als daarvoor een geldige grondslag bestaat, zoals een adequaatheidsbesluit van de Europese Commissie, het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie.

09Datalekken

9.1 Verwerker informeert Verwerkingsverantwoordelijke zonder onredelijke vertraging, en in elk geval binnen 48 uur nadat Verwerker een datalek heeft ontdekt dat de persoonsgegevens van Verwerkingsverantwoordelijke raakt. Zo kan Verwerkingsverantwoordelijke binnen de wettelijke termijn van 72 uur melden waar dat nodig is.

9.2 De melding bevat, voor zover bekend: de aard van het datalek en sinds wanneer het speelt; de categorieën en het geschatte aantal betrokkenen en gegevens; de waarschijnlijke gevolgen; de maatregelen die Verwerker heeft genomen of voorstelt; en een contactpersoon. Informatie die nog niet bekend is, levert Verwerker zodra die beschikbaar is.

9.3 Verwerker neemt direct maatregelen om het datalek te beperken en herhaling te voorkomen, en legt elk datalek vast in een register.

9.4 Verwerkingsverantwoordelijke beslist of het datalek wordt gemeld aan de Autoriteit Persoonsgegevens en aan betrokkenen. Verwerker meldt zelf niets aan hen, tenzij de wet dat verplicht.

10Rechten van betrokkenen en bijstand

10.1 Verwerker helpt Verwerkingsverantwoordelijke bij verzoeken van betrokkenen om inzage, correctie, verwijdering, beperking, overdracht of bezwaar. Veel hiervan kan Verwerkingsverantwoordelijke zelf in het Platform doen, zoals gegevens verwijderen.

10.2 Krijgt Verwerker zo'n verzoek rechtstreeks, dan stuurt Verwerker het binnen vijf werkdagen door aan Verwerkingsverantwoordelijke en handelt het niet zelf af.

10.3 Verwerker helpt Verwerkingsverantwoordelijke, voor zover redelijk, bij het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG, zoals een gegevensbeschermingseffectbeoordeling (DPIA), onder meer met de informatie uit het Trust Center en het Security en Privacy Pack.

11Audit

11.1 Verwerker stelt alle informatie beschikbaar die nodig is om aan te tonen dat deze overeenkomst wordt nageleefd, waaronder het Security en Privacy Pack en de certificeringsrapporten van de Subverwerkers.

11.2 Verwerkingsverantwoordelijke mag één keer per jaar, of na een datalek, een audit laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding verplicht is. Partijen stemmen het moment en de reikwijdte vooraf af, en de audit mag de dienstverlening niet onnodig verstoren.

11.3 De kosten van een audit komen voor rekening van Verwerkingsverantwoordelijke, tenzij de audit aantoont dat Verwerker deze overeenkomst op wezenlijke punten niet nakomt.

12Einde en verwijderen

12.1 Eindigt het account of het abonnement, dan kan Verwerkingsverantwoordelijke binnen 30 dagen een export van zijn gegevens opvragen.

12.2 Daarna verwijdert Verwerker de persoonsgegevens, inclusief bijlagen, tenzij de wet bewaren verplicht. Gegevens in back-ups lopen vanzelf af binnen de bewaartermijn van de back-ups (7 dagen).

12.3 Tot de termijn uit sectie 15 verloopt, blijven het AI-auditlog en het e-maillog bewaard. Een anonieme samenvatting van claims, zonder koppeling aan Verwerkingsverantwoordelijke, kan bewaard blijven voor de benchmark, alleen als die benchmark voor Verwerkingsverantwoordelijke is aangezet.

12.4 Op verzoek bevestigt Verwerker schriftelijk dat de gegevens zijn verwijderd.

13Aansprakelijkheid

Voor de aansprakelijkheid van partijen onder deze overeenkomst geldt de regeling uit de Algemene Voorwaarden, waaronder de beperking tot het bedrag dat Verwerkingsverantwoordelijke in de 12 maanden voor de schadeveroorzakende gebeurtenis heeft betaald. Die beperking geldt niet bij opzet of bewuste roekeloosheid.

14Wijzigingen en slotbepalingen

14.1 Verwerker kan deze overeenkomst wijzigen. Wezenlijke wijzigingen worden minimaal 30 dagen vooraf per e-mail aangekondigd aan klanten met een abonnement. Sectie 17 kan Verwerker bijwerken volgens artikel 7.

14.2 Is een bepaling nietig of vernietigbaar, dan blijven de andere bepalingen gelden. Partijen vervangen de bepaling dan door een geldige bepaling die zo dicht mogelijk bij de bedoeling ligt.

14.3 Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Den Haag.

15Beschrijving van de verwerking

Doel. Het leveren van het Platform: analyse van leveranciersclaims (Claim Check), voorbereiding van leveranciersgesprekken (Supplier Warroom), contractanalyse en -bewaking (Contract Intelligence), de AI-chat, monitoring van markten en compliance, en het beheer van accounts en teamaccounts.

Aard van de verwerking. Opslaan, ordenen, analyseren met AI, tonen aan Gebruikers, delen binnen een teamaccount volgens de instellingen van de beheerder, en verwijderen.

Categorieën betrokkenen. Gebruikers van Verwerkingsverantwoordelijke, en contactpersonen bij leveranciers en andere zakelijke relaties, voor zover hun gegevens voorkomen in de inhoud die Gebruikers invoeren of uploaden.

Soorten persoonsgegevens.

• Accountgegevens van Gebruikers: naam, zakelijk e-mailadres, functie, bedrijfsnaam, rol binnen een teamaccount;
• inhoud die Gebruikers invoeren of uploaden: claims, contracten, Warroom-sessies, bijlagen, notities en vragen aan de AI-chat, met de daarin opgenomen namen en contactgegevens;
• AI-resultaten bij die inhoud;
• technische gegevens: inloggegevens, tijdstippen, gebruik van functies en het AI-auditlog (tijdstip, functie, model, tokens).

Verwerkingsverantwoordelijke voert geen bijzondere persoonsgegevens in, zoals gegevens over gezondheid, en geen strafrechtelijke gegevens.

Bewaartermijnen.

16Beveiligingsmaatregelen

• Toegang. Afscherming per gebruiker in de database; binnen een teamaccount bepaalt de beheerder per module wat collega's zien, en wijzigen of verwijderen kan alleen degene die iets heeft aangemaakt. Tweestapsverificatie, verplicht voor beheerders van Orbecta en beschikbaar voor elke Gebruiker. Pakketten en limieten worden in de database bewaakt. API-sleutels staan alleen op de server.
• Versleuteling. Database en bestanden versleuteld opgeslagen (AES-256); al het verkeer via TLS/HTTPS, afgedwongen met HSTS; bijlagen in afgeschermde opslag, per Gebruiker gescheiden, alleen te openen via tijdelijke links.
• AI-verwerking. Elke AI-functie controleert of de Gebruiker is ingelogd en of het record van hem is. Per aanvraag gaat alleen de inhoud van dat ene record naar de AI-leverancier. Documenten worden behandeld als gegevens, nooit als instructie aan de AI. Maximaal 3 heranalyses per record per 24 uur.
• Controleerbaarheid. Een onveranderlijk auditlog van elke AI-analyse, zonder prompts of AI-tekst; Gebruikers zien hun eigen AI-activiteit in hun profiel.
• Webbeveiliging en beheer. Content Security Policy en opschonen van ingevoerde en door AI gemaakte tekst (bescherming tegen XSS); controle van betalingsberichten; automatisch opschonen van logs en chats; een vaste procedure voor datalekken met een incidentregister.

Meer details staan in het Trust Center.

17Subverwerkers

Op verzoek verwerkt Orbecta de AI-analyse binnen de EU, via Claude op AWS Bedrock of Google Cloud in een EU-regio. Partijen leggen dat dan schriftelijk vast.

Google Analytics verwerkt alleen bezoekgegevens van de website, niet de inhoud die Gebruikers invoeren; zie de cookieverklaring.

18Contact