Verwerkersovereenkomst

Deze verwerkersovereenkomst (hierna: DPA) wordt gesloten tussen:

• Verwerker: Coderize, handelend onder de naam GetSam, KvK 95308431, Laan van Avant-Garde 79, 3059 RA Rotterdam (GetSam); en
• Verwerkingsverantwoordelijke: de onderneming die een GetSam-account aanmaakt of een abonnement afsluit (Klant).

Door het aanmaken van een account aanvaardt de Klant deze DPA. De DPA maakt integraal deel uit van de algemene voorwaarden. Bij strijdigheid tussen de DPA en de algemene voorwaarden gaat, voor zover het de verwerking van persoonsgegevens betreft, de DPA voor.

• Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (AVG art. 4 lid 1).
• Verwerking: elke bewerking op persoonsgegevens, waaronder verzamelen, opslaan, raadplegen, doorsturen en verwijderen (AVG art. 4 lid 2).
• Eindklant: de persoon die via WhatsApp, e-mail of telefoon contact opneemt met de Klant via de GetSam-dienst.
• Dienst:de GetSam SaaS — AI-assistent, dashboard, agenda-integraties, betaalverzoeken en bijbehorende API's.
• Subverwerker: een door GetSam ingeschakelde derde die persoonsgegevens verwerkt ten behoeve van de Dienst.
• Datalek: een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde toegang tot persoonsgegevens (AVG art. 4 lid 12).

Begrippen die niet zijn gedefinieerd hebben de betekenis die de AVG eraan geeft.

• Onderwerp: GetSam verwerkt persoonsgegevens van Eindklanten uitsluitend ten behoeve van het leveren van de Dienst aan de Klant.
• Duur: de DPA loopt parallel aan de overeenkomst tussen GetSam en de Klant en eindigt zodra alle persoonsgegevens zijn verwijderd of geretourneerd conform artikel 14.
• Aard: het ontvangen, opslaan en beantwoorden van berichten (WhatsApp, e-mail, telefoon), het genereren van AI-antwoorden, het inplannen van afspraken en het versturen van betaalverzoeken en herinneringen.
• Doel: geautomatiseerde klantcommunicatie en afsprakenbeheer namens de Klant. GetSam verwerkt geen persoonsgegevens van Eindklanten voor eigen doeleinden, tenzij een wettelijke verplichting dit vereist; in dat geval informeert GetSam de Klant vooraf, tenzij de wet dat verbiedt.

• Soorten persoonsgegevens: naam, telefoonnummer, e-mailadres, inhoud van berichten en gesprekken, afspraakgegevens en betaalverzoek-gegevens (bedrag en status; geen betaalkaartgegevens).
• Categorieën betrokkenen: Eindklanten van de Klant die contact opnemen via WhatsApp, e-mail of telefoon, en personen voor wie een afspraak wordt ingepland.
• Bijzondere categorieën: de Dienst is niet bedoeld voor bijzondere categorieën persoonsgegevens (gezondheid, religie, etc.). De Klant configureert de instructies zo dat deze gegevens zoveel mogelijk worden vermeden en gebruikt de Dienst niet voor verwerkingen waarvoor zulke gegevens noodzakelijk zijn.

• GetSam verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Klant. Als gedocumenteerde instructies gelden: deze DPA, de algemene voorwaarden en de door de Klant geconfigureerde prompts, instructies en instellingen binnen de Dienst.
• GetSam informeert de Klant onmiddellijk als een instructie naar haar oordeel in strijd is met de AVG of andere privacywetgeving.
• GetSam werkt mee aan verzoeken van betrokkenen (artikel 9), meldt datalekken (artikel 10) en verleent de Klant redelijke bijstand bij het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA) en voorafgaande raadpleging (AVG art. 35–36), voor zover die betrekking heeft op de Dienst.
• GetSam houdt een register bij van de verwerkingsactiviteiten die zij als verwerker uitvoert (AVG art. 30 lid 2).

GetSam zorgt dat personen die onder haar gezag persoonsgegevens verwerken zich hebben verbonden tot vertrouwelijkheid of onder een passende wettelijke geheimhoudingsplicht vallen. Toegang tot persoonsgegevens is beperkt tot personen voor wie dat noodzakelijk is voor het leveren van de Dienst of het bieden van support. Deze geheimhoudingsplicht blijft ook na afloop van de DPA bestaan.

GetSam treft passende technische en organisatorische maatregelen ter beveiliging van persoonsgegevens, rekening houdend met de stand van de techniek en de aard van de verwerking, waaronder:

• Primaire hosting en gegevensopslag binnen de EU, bij Hetzner Online GmbH in Duitsland
• Versleuteling in transit (TLS 1.2+) en at rest (AES-256)
• Toegangscontrole op basis van rollen (RBAC)
• Per-tenant data-isolatie (scheiding per tenant) in de database
• Tweefactorauthenticatie (TOTP) voor dashboard-toegang
• Auditlogging van beveiligingsrelevante gebeurtenissen
• Dagelijkse, versleutelde offsite-backups (Backblaze) met beperkte retentie

Een actueel overzicht is beschikbaar op de beveiligingspagina. GetSam mag maatregelen actualiseren, mits het beveiligingsniveau niet verslechtert.

De Klant geeft GetSam een algemene toestemming om subverwerkers in te schakelen. GetSam sluit met iedere subverwerker een overeenkomst die minimaal dezelfde verplichtingen bevat als deze DPA en blijft jegens de Klant volledig verantwoordelijk voor de nakoming door haar subverwerkers. Bij aanvang van deze DPA zijn dat:

Wijzigingsprocedure: GetSam informeert de Klant minimaal 14 dagen vóór het toevoegen of vervangen van een subverwerker, per e-mail of via het dashboard. De Klant kan binnen die termijn schriftelijk en gemotiveerd bezwaar maken. Partijen zoeken dan in overleg naar een redelijke oplossing; is die er niet, dan mag de Klant de overeenkomst opzeggen tegen de datum waarop de wijziging ingaat.

Wanneer een Eindklant een AVG-recht uitoefent (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid of bezwaar) ten aanzien van via GetSam verwerkte gegevens, ondersteunt GetSam de Klant bij het afhandelen daarvan, onder meer met export- en verwijderfunctionaliteit in het dashboard.

Ontvangt GetSam een verzoek rechtstreeks van een betrokkene — via getsam.nl/privacy-verzoek of info@getsam.nl — dan stuurt GetSam dit onverwijld door naar de Klant en handelt het niet zelfstandig af, tenzij de Klant daarom vraagt of de wet dat vereist.

GetSam meldt een datalek dat (mogelijk) persoonsgegevens van Eindklanten raakt zo snel mogelijk — en uiterlijk binnen 48 uur na ontdekking — aan de Klant via het e-mailadres dat bij het account is geregistreerd. De melding bevat minimaal:

• de aard van het incident en het (geschatte) aantal betrokkenen;
• de categorieën persoonsgegevens die (mogelijk) zijn geraakt;
• de vermoedelijke oorzaak en de getroffen en voorgenomen maatregelen;
• een contactpunt voor meer informatie.

GetSam documenteert datalekken en verleent de Klant alle redelijke medewerking bij het onderzoek. De Klant beoordeelt als verwerkingsverantwoordelijke zelf of melding aan de Autoriteit Persoonsgegevens (binnen 72 uur, AVG art. 33) en/of aan betrokkenen (AVG art. 34) nodig is, en verzorgt die melding. GetSam doet geen mededelingen aan derden over het incident zonder overleg met de Klant, tenzij een wettelijke plicht daartoe bestaat.

Verwerking en primaire opslag vinden plaats op servers binnen de EU (Hetzner, Duitsland). Doorgifte buiten de EER — onder meer naar Twilio Inc. (VS), Stripe Inc. (VS, als sub-subverwerker van Stripe Payments Europe Ltd.), Google LLC (VS) en, voor zover back-ups in de VS worden opgeslagen, Backblaze — vindt uitsluitend plaats op basis van een geldig overdrachtsmechanisme conform AVG Hoofdstuk V, waaronder de EU Standard Contractual Clauses (SCC's). GetSam past aanvullende technische maatregelen toe, zoals pseudonimisering en versleuteling in transit.

GetSam hanteert de volgende bewaartermijnen voor persoonsgegevens van Eindklanten:

• Berichten en gesprekken: 12 maanden na ontvangst; de Klant kan een kortere termijn instellen
• Afspraken: 24 maanden na afspraakdatum
• Auditlogs (beveiligingsgebeurtenissen): 12 maanden
• Na beëindiging van het abonnement: verwijdering binnen 30 dagen

Gegevens waarvoor een wettelijke bewaarplicht geldt (onder andere facturatiegegevens, 7 jaar fiscaal) zijn hiervan uitgezonderd.

GetSam stelt de Klant alle informatie ter beschikking die nodig is om naleving van AVG art. 28 aan te tonen. De Klant heeft het recht om maximaal één keer per jaar, na minimaal 14 dagen schriftelijke aankondiging en op eigen kosten, een audit uit te (laten) voeren ter verificatie van de naleving van deze DPA. GetSam kan een audit beperken tot informatie die relevant is voor de verwerking van persoonsgegevens van de Klant en tot uitvoering onder redelijke geheimhoudingsafspraken, buiten piektijden.

Als alternatief kan GetSam recente auditrapporten of gelijkwaardige certificeringen (zoals ISO 27001-rapportages van subverwerkers) overleggen als bewijs van naleving.

Bij beëindiging van het abonnement kiest de Klant voor teruggave (export in een gangbaar, machineleesbaar formaat) of verwijdering van alle persoonsgegevens van Eindklanten. GetSam verwijdert de gegevens uiterlijk binnen 30 dagen na beëindiging, inclusief kopieën in backups zodra de backup-retentie verstrijkt, tenzij een wettelijke bewaarplicht van toepassing is. Op verzoek bevestigt GetSam de verwijdering schriftelijk.

Voor aansprakelijkheid onder deze DPA geldt de aansprakelijkheidsregeling uit de algemene voorwaarden, voor zover dwingend recht — waaronder AVG art. 82 — niet anders bepaalt. Iedere partij is verantwoordelijk voor de naleving van de verplichtingen die de AVG aan haar eigen rol (verantwoordelijke respectievelijk verwerker) verbindt, en voor boetes die aan haar worden opgelegd wegens schending van die eigen verplichtingen.

Op deze DPA is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter te Rotterdam, tenzij dwingend recht anders bepaalt.

Vragen over deze verwerkersovereenkomst: info@getsam.nl · +31 6 18461595
Coderize (h.o.d.n. GetSam) · KvK 95308431 · Laan van Avant-Garde 79, 3059 RA Rotterdam
Zie ook onze privacyverklaring en algemene voorwaarden.