Verwerkersovereenkomst

1. Partijen en toepassingsgebied

Partijen zijn de klant die een DealerBrain-dienstenovereenkomst heeft gesloten (“Klant”, verwerkingsverantwoordelijke) en LogiNet Enterprise Software Technologies Kft., Budaörsi út 48–50, 1e verdieping, deur 2, 1118 Boedapest, Hongarije, inschrijvingsnummer in het handelsregister 01-09-430828 (“LogiNet”, verwerker).

Deze Verwerkersovereenkomst is van toepassing op alle persoonsgegevens die LogiNet namens de Klant verwerkt bij het leveren van de DealerBrain-dienst (“Persoonsgegevens van de Klant”). Zij is niet van toepassing op gegevens die LogiNet als verwerkingsverantwoordelijke verwerkt, bijvoorbeeld voor het beheer van de klantrelatie of voor de exploitatie van dealerbrain.io. Die verwerking wordt beschreven in onze privacyverklaring.

Indien de Klant onderworpen is aan de Zwitserse federale wet inzake gegevensbescherming (revFADP), PIPEDA of Quebec Law 25, is deze Verwerkersovereenkomst van overeenkomstige toepassing op de verplichtingen op grond van die wetten.

2. Onderwerp, aard en doel

LogiNet levert de DealerBrain AI-verkoopchat op de websites van de Klant en de bijbehorende tools voor de medewerkers van de Klant: zoeken in voorraad en modellen, contentaanbevelingen, het vastleggen van leads, afspraakverzoeken, ticketbeheer, overname door medewerkers en rapportage. De details van de verwerking, de categorieën betrokkenen en de soorten persoonsgegevens zijn opgenomen in Bijlage 1.

Deze Verwerkersovereenkomst is van toepassing zolang LogiNet Persoonsgegevens van de Klant verwerkt op grond van de dienstenovereenkomst, en totdat die gegevens zijn verwijderd of teruggegeven overeenkomstig artikel 11.

3. Instructies

LogiNet verwerkt Persoonsgegevens van de Klant uitsluitend op basis van gedocumenteerde instructies van de Klant, ook wat betreft doorgiften aan derde landen, tenzij het recht van de Unie of van een lidstaat anders voorschrijft. In dat geval stelt LogiNet de Klant vóór de verwerking daarvan in kennis, tenzij dat recht dit verbiedt.

De dienstenovereenkomst, deze Verwerkersovereenkomst en de configuratie van de dienst door de Klant (bijvoorbeeld de persona, het regelboek, de bewaarregels, de toestemmingsinstellingen en de integraties) vormen de instructies van de Klant. Aanvullende instructies moeten schriftelijk worden gegeven. LogiNet stelt de Klant onverwijld in kennis indien zij van mening is dat een instructie inbreuk maakt op de wetgeving inzake gegevensbescherming.

4. Verantwoordelijkheden van de Klant

De Klant is verantwoordelijk voor de rechtmatigheid van de verwerking die hij opdraagt. De Klant zal in het bijzonder:

• de bezoekers van zijn websites de informatie verstrekken die op grond van de artikelen 13 en 14 AVG vereist is, waaronder het feit dat zij met een AI communiceren,
• elke vereiste toestemming verkrijgen, bijvoorbeeld voor opvolging per e-mail of sms, met gebruikmaking van de toestemmingsfuncties van de dienst,
• bepalen welke databronnen, integraties en AI-aanbieders aan de dienst worden gekoppeld,
• de dienst geen opdracht geven bijzondere categorieën van persoonsgegevens te verzamelen, tenzij hij daarvoor een rechtsgrond heeft.

5. Vertrouwelijkheid

LogiNet waarborgt dat iedereen die zij machtigt om Persoonsgegevens van de Klant te verwerken, zich tot vertrouwelijkheid heeft verplicht of door een passende wettelijke verplichting tot vertrouwelijkheid is gebonden, en dat de toegang beperkt is tot de personen die deze nodig hebben om de dienst te leveren, te ondersteunen of te beveiligen.

6. Beveiliging

LogiNet neemt passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, zoals vereist door artikel 32 AVG. De maatregelen worden beschreven in Bijlage 2. LogiNet mag deze bijwerken naarmate de techniek zich ontwikkelt, mits het algehele beschermingsniveau niet wordt verlaagd.

7. Subverwerkers

De Klant verleent LogiNet een algemene toestemming om subverwerkers in te schakelen. De subverwerkers die bij het sluiten van deze Verwerkersovereenkomst zijn ingeschakeld, zijn opgenomen in Bijlage 3.

LogiNet informeert de Klant ten minste 30 dagen van tevoren over elke voorgenomen toevoeging of vervanging van een subverwerker. De Klant kan binnen die termijn op redelijke gronden in verband met gegevensbescherming bezwaar maken. Indien partijen het bezwaar niet kunnen oplossen, kan de Klant het betreffende deel van de dienst zonder boete beëindigen.

LogiNet legt elke subverwerker bij schriftelijke overeenkomst verplichtingen inzake gegevensbescherming op die ten minste hetzelfde beschermingsniveau bieden als deze Verwerkersovereenkomst, en blijft jegens de Klant aansprakelijk voor de nakoming door de subverwerker.

8. Locatie en internationale doorgiften

De DealerBrain-dienst en de Persoonsgegevens van de Klant worden gehost op servers in de Europese Unie. LogiNet geeft Persoonsgegevens van de Klant niet door aan een land buiten de Europese Economische Ruimte, tenzij de Klant daartoe opdracht geeft of de doorgifte is gewaarborgd overeenkomstig hoofdstuk V AVG, bijvoorbeeld door een adequaatheidsbesluit of de modelcontractbepalingen van de Europese Commissie.

Indien de Klant zijn eigen account bij een AI-aanbieder aan de dienst koppelt (bring your own key), wordt die aanbieder door de Klant ingeschakeld op grond van de eigen overeenkomst van de Klant met die aanbieder, en is de Klant verantwoordelijk voor de verwerking door die aanbieder en eventuele daarmee samenhangende doorgiften. Hetzelfde geldt wanneer de Klant de AI-laag in zijn eigen cloudaccount of in zijn eigen omgeving (on-premises) laat draaien.

9. Bijstand aan de Klant

Rekening houdend met de aard van de verwerking verleent LogiNet de Klant bijstand:

• bij het beantwoorden van verzoeken van betrokkenen die hun rechten uitoefenen, voornamelijk via de export-, correctie- en verwijderfuncties van de dienst en de REST API; LogiNet stuurt elk verzoek dat zij rechtstreeks ontvangt onverwijld door aan de Klant,
• bij het nakomen van zijn verplichtingen op het gebied van beveiliging, gegevensbeschermingseffectbeoordelingen en voorafgaande raadplegingen van toezichthoudende autoriteiten (artikelen 32 tot en met 36 AVG), door de informatie te verstrekken waarover LogiNet beschikt.

10. Inbreuken in verband met persoonsgegevens

LogiNet stelt de Klant zonder onredelijke vertraging, en indien mogelijk binnen 48 uur, in kennis nadat zij kennis heeft genomen van een inbreuk in verband met persoonsgegevens die betrekking heeft op Persoonsgegevens van de Klant. De melding beschrijft, voor zover bekend, de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en betrokken gegevensregisters, de waarschijnlijke gevolgen, en de genomen of voorgestelde maatregelen. LogiNet vult de informatie aan zodra deze beschikbaar komt en neemt redelijke maatregelen om de inbreuk in te dammen en de gevolgen ervan te beperken.

11. Verwijdering en teruggave

De Klant kan zijn gegevens op elk moment exporteren via de dienst en de REST API. Bij het einde van de dienstenovereenkomst verwijdert LogiNet, naar keuze van de Klant, binnen 30 dagen alle Persoonsgegevens van de Klant of geeft zij deze terug, en verwijdert zij bestaande kopieën, tenzij opslag op grond van het recht van de Unie of van een lidstaat verplicht is. Tijdens de looptijd van de dienst worden gegevens verwijderd volgens de bewaarregels die de Klant instelt.

12. Informatie en audits

LogiNet stelt de Klant alle informatie ter beschikking die nodig is om de naleving van deze Verwerkersovereenkomst en artikel 28 AVG aan te tonen, waaronder haar certificaten en samenvattingen van relevante auditrapporten. Indien dit niet volstaat, kan de Klant of een door hem aangewezen onafhankelijke auditor een audit uitvoeren, ten hoogste eenmaal per jaar, met een schriftelijke aankondiging van ten minste 30 dagen, tijdens normale kantooruren en onder voorbehoud van vertrouwelijkheid. Elke partij draagt haar eigen kosten.

13. Aansprakelijkheid, rangorde en toepasselijk recht

De aansprakelijkheid op grond van deze Verwerkersovereenkomst wordt beheerst door de dienstenovereenkomst, onverminderd artikel 82 AVG. In geval van strijdigheid over onderwerpen op het gebied van gegevensbescherming prevaleert deze Verwerkersovereenkomst boven de dienstenovereenkomst.

Op deze Verwerkersovereenkomst is Hongaars recht van toepassing. De rechtbanken van Boedapest zijn bevoegd. Indien een bepaling ongeldig is, blijven de overige bepalingen van kracht.

Bijlage 1. Details van de verwerking

Bijlage 2. Technische en organisatorische maatregelen

• Hosting op servers in de Europese Unie, in datacenters die worden beheerd door onze hosting-subverwerker.
• Versleuteling van gegevens tijdens de overdracht tussen browsers, de dienst en gekoppelde systemen.
• Een met inloggegevens beveiligde beheeromgeving met rolgebaseerde rechten (beheerder en medewerker) en de mogelijkheid om gebruikers te deactiveren.
• Logische scheiding van de gegevens van elke klant, en gesprekken gekoppeld aan de website waar zij vandaan kwamen.
• Logging van AI-aanroepen, toestemmingen en intrekkingen, overdrachten en berichten met tijdstempels, ten behoeve van audit en herleidbaarheid.
• Scheiding van interne notities en servicegegevens van alles wat aan klanten wordt getoond.
• Instelbare bewaar- en verwijderregels per klant.
• Filtering van spam en geautomatiseerd verkeer voordat dit de AI of de medewerkers van de Klant bereikt.
• Toegang tot productiesystemen beperkt tot geautoriseerde medewerkers op need-to-knowbasis, onder geheimhoudingsverplichtingen.
• Een kwaliteitsmanagementsysteem gecertificeerd volgens ISO 9001, met gedocumenteerde processen voor wijzigingsbeheer en incidentafhandeling.

Bijlage 3. Subverwerkers

LogiNet schakelt voor de DealerBrain-dienst de volgende subverwerkers in:

Overige aanbieders

Vercel Inc. (VS) host onze marketingwebsite, dealerbrain.io. Vercel is geen subverwerker: er gaan geen Persoonsgegevens van de Klant of gespreksgegevens doorheen. AI-aanbieders die de Klant met zijn eigen sleutel koppelt, worden door de Klant ingeschakeld (zie artikel 8).