Verwerkersovereenkomst

Deze verwerkersovereenkomst hoort bij de algemene voorwaarden en geldt tussen Millstone, KvK 89795857, Acacialaan 18, 2282 AX Rijswijk ("Caller", verwerker) en de accounthouder ("Klant", verwerkingsverantwoordelijke). Ze voldoet aan artikel 28 AVG. Een ondertekende versie is op verzoek beschikbaar via privacy@caller.nl.

1. Rollen en doel

De Klant is verantwoordelijke en Caller is verwerker. Caller verwerkt persoonsgegevens alleen om de dienst te leveren, op gedocumenteerde instructie van de Klant, tenzij de wet anders vereist. Caller meldt het als een instructie volgens haar in strijd is met de wet.

2. Verplichtingen Klant

De Klant garandeert dat zij een geldige grondslag heeft voor de verwerking, inclusief het opnemen van gesprekken, en dat alle vereiste mededelingen en toestemmingen vooraf zijn geregeld.

3. Vertrouwelijkheid

Personeel met toegang tot persoonsgegevens is gebonden aan geheimhouding. Toegang is beperkt tot wie die nodig heeft.

4. Beveiliging

Caller treft passende technische en organisatorische maatregelen volgens artikel 32 AVG, zoals beschreven in bijlage B. Die mogen wijzigen zolang het niveau niet wezenlijk daalt.

5. Subverwerkers

De Klant geeft algemene toestemming voor de subverwerkers in bijlage C. Caller legt hun gelijkwaardige verplichtingen op en blijft verantwoordelijk. Nieuwe subverwerkers van gespreksinhoud meldt Caller minstens 30 dagen vooraf. De Klant kan binnen 15 dagen op redelijke gronden bezwaar maken en, als dat niet wordt opgelost, de overeenkomst beëindigen.

6. Internationale doorgifte

Doorgifte buiten de EER gebeurt alleen met een passende waarborg onder hoofdstuk V AVG, zoals het EU-US Data Privacy Framework of standaardcontractbepalingen.

7. Rechten van betrokkenen

Caller helpt de Klant bij verzoeken van betrokkenen en stuurt rechtstreeks ontvangen verzoeken door. Bij onevenredige inspanning kan Caller vooraf een redelijke vergoeding afspreken.

8. Bijstand

Caller helpt redelijkerwijs bij de verplichtingen uit de artikelen 32 tot en met 36 AVG, waaronder DPIA's.

9. Datalekken

Caller meldt een datalek zonder onnodige vertraging en uiterlijk binnen 72 uur, met de aard, gevolgen en genomen maatregelen voor zover bekend. Meldingen gaan naar het account-e-mailadres.

10. Audits

De Klant mag één keer per jaar op eigen kosten de naleving laten controleren door een onafhankelijke auditor onder geheimhouding, met 30 dagen aankondiging. Na een bevestigd datalek of optreden van een toezichthouder gelden die beperkingen niet.

11. Teruggave en verwijdering

Na het einde van de overeenkomst geeft Caller de gegevens binnen 30 dagen terug of verwijdert ze, naar keuze van de Klant, tenzij bewaren wettelijk verplicht is. Back-ups worden volgens de cyclus van de hostingpartij overschreven.

12. Aansprakelijkheid

De aansprakelijkheidsbeperking uit de voorwaarden geldt ook voor deze overeenkomst, behalve waar de wet dat niet toestaat, waaronder artikel 82 AVG.

13. Duur en overig

Deze overeenkomst loopt zolang Caller gegevens voor de Klant verwerkt. Bij strijd met de voorwaarden over gegevensbescherming gaat deze overeenkomst voor. Nederlands recht is van toepassing; de Rechtbank Zeeland-West-Brabant, locatie Breda, is bevoegd.

Bijlage A: Beschrijving van de verwerking

Bijlage B: Technische en organisatorische maatregelen

• Versleuteling tijdens transport (TLS) en bij opslag door onze hostingpartij.
• Toegangsregels per organisatie en gebruiker in de database.
• Opnames in afgeschermde opslag, alleen bereikbaar via tijdelijke links.
• Controle van de handtekening op webhooks van Twilio en Stripe.
• Geheime sleutels staan alleen op de server.
• Toegang voor beheer is beperkt tot wie die nodig heeft.
• Procedure voor het melden van datalekken.

Bijlage C: Subverwerkers