Verwerkersovereenkomst

1. Partijen

Verwerkingsverantwoordelijke: de organisatie die Haki gebruikt en deze overeenkomst in de applicatie accepteert (hierna: “de Organisatie”). Verwerker: Stonework Systems (hierna: “Haki”).

Deze overeenkomst hoort bij de voorwaarden (de hoofdovereenkomst). Bij strijd over de verwerking van persoonsgegevens gaat deze overeenkomst voor.

2. Onderwerp, aard en doel

Haki zet op verzoek van een behandelaar een opgenomen gesprek om in tekst en maakt daaruit een conceptverslag in het format van de Organisatie. Haki verwerkt persoonsgegevens uitsluitend om deze dienst te leveren, en alleen op gedocumenteerde instructie van de Organisatie. Het gebruik van de dienst zoals de Organisatie die inricht (verslagtypen, privacy-instellingen) geldt als die instructie.

3. Betrokkenen en gegevens

Haki is zo gebouwd dat gespreksinhoud niet wordt opgeslagen: audio wordt direct na de spraakherkenning verwijderd, en transcript en conceptverslag bestaan alleen in de browser van de behandelaar. Haki vervangt standaard namen en identificerende nummers (zoals BSN) voordat tekst naar het taalmodel gaat. De Organisatie kan dat uitzetten; dat wordt in het auditlog vastgelegd.

4. Verplichtingen van Haki

• Haki verwerkt persoonsgegevens alleen op instructie van de Organisatie, ook bij doorgifte, tenzij een wettelijke plicht anders vereist; in dat geval meldt Haki dat vooraf, tenzij de wet dat verbiedt.
• Haki meldt het direct als een instructie naar haar oordeel in strijd is met de AVG.
• Iedereen die bij Haki toegang heeft tot persoonsgegevens, is tot geheimhouding verplicht.
• Haki neemt passende technische en organisatorische maatregelen (art. 32 AVG). Die staan beschreven op Beveiliging en vormen bijlage B.
• Haki gebruikt persoonsgegevens van de Organisatie niet voor eigen doeleinden, en niet (en laat ze niet gebruiken) om AI-modellen te trainen.

5. Subverwerkers

De Organisatie geeft algemene toestemming voor de subverwerkers in bijlage C. Haki legt met elke subverwerker ten minste dezelfde verplichtingen op als in deze overeenkomst. Haki kondigt een nieuwe of vervangende subverwerker ten minste 30 dagen vooraf aan per e-mail aan de beheerders. De Organisatie kan binnen die termijn met redenen bezwaar maken; komen partijen er niet uit, dan kan de Organisatie de dienst kosteloos opzeggen. Haki blijft tegenover de Organisatie volledig verantwoordelijk voor haar subverwerkers.

6. Doorgifte buiten de EER

Haki en haar subverwerkers verwerken persoonsgegevens uitsluitend binnen de Europese Economische Ruimte. Doorgifte daarbuiten gebeurt niet zonder voorafgaande schriftelijke toestemming van de Organisatie.

7. Rechten van betrokkenen

Haki helpt de Organisatie bij verzoeken van betrokkenen (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid, bezwaar). Omdat Haki geen gespreksinhoud opslaat, gaat dit in de praktijk over gebruikersgegevens en het auditlog; beheerders kunnen die zelf exporteren of verwijderen. Verzoeken die Haki rechtstreeks ontvangt, stuurt Haki door naar de Organisatie.

8. Datalekken

Haki meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en uiterlijk binnen 24 uur na ontdekking aan de beheerders van de Organisatie, met de informatie die de Organisatie nodig heeft voor een eventuele melding aan de Autoriteit Persoonsgegevens en aan betrokkenen: wat er gebeurde, welke gegevens en betrokkenen het (mogelijk) raakt, de waarschijnlijke gevolgen en de genomen maatregelen. Haki houdt een register bij van alle inbreuken.

9. Bijstand en controle

Haki helpt de Organisatie bij een gegevensbeschermingseffectbeoordeling (DPIA) en voorafgaande raadpleging, en stelt alle informatie beschikbaar die nodig is om naleving aan te tonen. De Organisatie mag eenmaal per jaar, of na een datalek, een audit laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding is verplicht, na redelijke aankondiging. De Organisatie draagt de kosten, tenzij de audit een tekortkoming van betekenis aan het licht brengt.

10. Duur en einde

Deze overeenkomst loopt zolang Haki persoonsgegevens voor de Organisatie verwerkt. Bij het einde verwijdert Haki binnen 30 dagen alle persoonsgegevens van de Organisatie (gebruikers, instellingen, sjablonen en auditlog), tenzij een wettelijke bewaarplicht geldt. Een beheerder kan vóór die tijd het auditlog en de inrichting exporteren. Back-ups worden binnen de reguliere back-upcyclus overschreven.

11. Aansprakelijkheid

De aansprakelijkheid van partijen volgt de regeling in de voorwaarden. Elke partij is verantwoordelijk voor de naleving van de AVG voor zover het haar eigen rol betreft.

12. Overig

Haki kan deze overeenkomst wijzigen door een nieuwe versie te publiceren en die minimaal 30 dagen vooraf aan te kondigen. Bij een inhoudelijke wijziging vraagt de applicatie een beheerder om de nieuwe versie te accepteren; tot dan blijft de vorige versie gelden. Op deze overeenkomst is Nederlands recht van toepassing.

Bijlage A — Verwerkingen

Bijlage B — Beveiligingsmaatregelen

Zie Beveiliging. Haki houdt deze maatregelen actueel en verlaagt het beschermingsniveau niet.

Bijlage C — Subverwerkers