Informatieve vertaling. Bij afwijkingen prevaleert de oorspronkelijke Engelse versie, onder de rechtsmacht van Ierland (Cuandeoro Limited, CRO 813028).
Verwerkersovereenkomst van Veripass
Maakt deel uit van de Algemene voorwaarden.
1. Partijen en rollen. De Klant is de verwerkingsverantwoordelijke. Cuandeoro Limited t/a Veripass is de verwerker van persoonsgegevens in documenten van de Klant en accountinhoud („Persoonsgegevens van de Klant”).
2. Onderwerp, aard en doel. Opslag, extractie, analyse en publicatie van gegevens van product- en batterijpaspoorten, uitsluitend voor het verlenen van de Dienst.
3. Duur. De looptijd van het abonnement plus de verwijderingsperiode in artikel 11.
4. Categorieën betrokkenen. Personeel en gebruikers van de Klant; contactpersonen van leveranciers, klanten en laboratoria van de Klant die in geüploade documenten worden genoemd.
5. Categorieën gegevens. Namen, zakelijke contactgegevens, functietitels, handtekeningen en identificatiegegevens die in documenten voorkomen; gegevens van gebruikersaccounts. Er worden geen bijzondere categorieën van gegevens verwacht. De Klant zal deze niet uploaden.
5A. Verplichtingen van de Klant. De Klant zorgt ervoor dat hij een rechtmatige grondslag voor de verwerking heeft en rechtmatige instructies geeft, informeert betrokkenen zoals vereist en uploadt geen bijzondere categorieën van gegevens.
6. Verplichtingen van de verwerker. Veripass zal:
- (a) uitsluitend verwerken op basis van gedocumenteerde instructies van de Klant, ook met betrekking tot doorgiften naar een derde land, tenzij Unie- of lidstatelijk recht hem daartoe verplicht, in welk geval Veripass de Klant vóór de verwerking van dat wettelijk vereiste in kennis stelt, tenzij die wetgeving dit om gewichtige redenen van algemeen belang verbiedt;
- (b) ervoor zorgen dat personen die gemachtigd zijn om te verwerken tot geheimhouding verplicht zijn;
- (c) de technische en organisatorische maatregelen in Bijlage 2 implementeren;
- (d) de Klant bijstaan bij verzoeken van betrokkenen en bij de artikelen 32-36 AVG, rekening houdend met de aard van de verwerking;
- (e) de informatie ter beschikking stellen die nodig is om de naleving aan te tonen;
- (f) de Klant onmiddellijk informeren indien een instructie in strijd is met de wetgeving inzake gegevensbescherming.
7. Subverwerkers.
- De Klant verleent algemene toestemming voor de subverwerkers in Bijlage 3.
- Veripass stelt de Klant 30 dagen vooraf per e-mail in kennis van nieuwe subverwerkers. De Klant kan om redelijke gronden bezwaar maken en, indien geen oplossing wordt overeengekomen, kosteloos beëindigen.
- Veripass legt aan elke subverwerker gelijkwaardige verplichtingen inzake gegevensbescherming op en blijft voor hen aansprakelijk.
8. Internationale doorgiften. Persoonsgegevens van de Klant mogen in de Verenigde Staten worden verwerkt door de hostingprovider van Veripass (Cloud Clusters, Inc.) en Google (Gemini API, betaald niveau), op grond van de modelcontractbepalingen (Uitvoeringsbesluit (EU) 2021/914 van de Commissie) en, indien van toepassing, het EU-VS-gegevensprivacykader (EU-US Data Privacy Framework), met aanvullende maatregelen (versleuteling tijdens transport en in rust). Demobestanden worden na 24 uur verwijderd.
9. AI-verwerking. Documenten worden verwerkt door de AI-providers in Bijlage 3 onder voorwaarden die hen niet toestaan gegevens van de Klant te gebruiken om hun modellen te trainen. Wij gebruiken uw documenten of gegevens niet om enig AI-model te trainen.
10. Inbreuken op persoonsgegevens. Veripass stelt de Klant zonder onredelijke vertraging en in elk geval binnen 48 uur nadat zij kennis heeft genomen van een inbreuk die Persoonsgegevens van de Klant betreft, in kennis, met de informatie die krachtens art. 33(3) AVG vereist is, naarmate deze beschikbaar komt.
11. Teruggave en verwijdering. Naar keuze van de Klant geeft Veripass de Persoonsgegevens van de Klant terug of verwijdert zij deze. Binnen 60 dagen na beëindiging kan de Klant zijn gegevens exporteren. Daarna verwijdert Veripass de Persoonsgegevens van de Klant binnen 30 dagen, met inbegrip van back-ups binnen hun rotatiecyclus (maximaal 35 dagen), tenzij Unie- of lidstatelijk recht opslag vereist.
12. Audits. Veripass maakt audits, waaronder inspecties, door de Klant of een door hem gemachtigde, tot geheimhouding verplichte onafhankelijke auditor mogelijk en draagt daaraan bij. Audits vinden eenmaal per 12 maanden plaats met een aankondiging van 30 dagen (vaker na een inbreuk of wanneer een toezichthoudende autoriteit dit verlangt), tijdens kantooruren en op kosten van de Klant. Een schriftelijke vragenlijst gaat voorop wanneer die volstaat.
13. Aansprakelijkheid. Onder voorbehoud van de beperkingen in de Algemene voorwaarden, behalve waar de AVG beperking niet toestaat.
14. Voorrang. In geval van strijdigheid prevaleert deze DPA boven de Voorwaarden voor zover het gegevensbescherming betreft.
Bijlage 1 · Verwerkingsgegevens
Zoals in de artikelen 2 tot en met 5.
Bijlage 2 · Technische en organisatorische maatregelen
- TLS 1.2 of hoger tijdens transport; AES-256-versleuteling in rust.
- Rolgebaseerde toegang, MFA voor medewerkers, minimale rechten.
- Klantgegevens logisch gescheiden per account.
- Auditlog van validaties en publicaties.
- Dagelijkse versleutelde back-ups, rotatie van 35 dagen.
- Demobestanden worden na 24 u verwijderd.
- Kritieke kwetsbaarheden worden binnen 7 dagen gepatcht.
- Jaarlijkse evaluatie van deze maatregelen.
Bijlage 3 · Subverwerkers
| Subverwerker | Doel | Locatie |
|---|---|---|
| Cloud Clusters, Inc. | Hosting van de app en paspoortpagina’s | Verenigde Staten |
| Google (Gemini API, betaald niveau) | Documentextractie | Verenigde Staten |
| Cloud Clusters, Inc. (eigen mailserver, mailcow) | Verenigde Staten |
Stripe verwerkt de eigen factuurgegevens van Veripass; Stripe verwerkt geen Persoonsgegevens van de Klant uit documenten.