Verwerkersovereenkomst

1. 1.1Deze verwerkersovereenkomst (hierna: VO) geldt tussen DriftWork B.V. (hierna: Driftwork) en de partij die met Driftwork een overeenkomst sluit waarbij Driftwork persoonsgegevens verwerkt (hierna: Opdrachtgever).
2. 1.2De begrippen "persoonsgegevens", "verwerking", "verwerkingsverantwoordelijke", "verwerker", "betrokkene", "inbreuk in verband met persoonsgegevens" en "toezichthoudende autoriteit" hebben de betekenis die de Algemene verordening gegevensbescherming (Verordening (EU) 2016/679, hierna: AVG) daaraan geeft.
3. 1.3Voor de verwerkingen die onder deze VO vallen is Opdrachtgever verwerkingsverantwoordelijke en Driftwork verwerker, tenzij artikel 3 lid 3 van toepassing is.
4. 1.4Deze VO maakt onderdeel uit van de overeenkomst tussen partijen. Bij strijd tussen deze VO en de algemene voorwaarden van Driftwork gaat deze VO voor, maar uitsluitend op het punt van de verwerking van persoonsgegevens. Op alle andere punten blijven de algemene voorwaarden gelden.
5. 1.5De bijlagen maken onderdeel uit van deze VO. Bijlage 2 (de subverwerkerslijst) is een levend document en staat gepubliceerd op driftwork.ai/subverwerkers; de versie die op het moment van ondertekening op die pagina staat geldt als de bijlage bij deze VO, en wijzigingen daarna verlopen via artikel 6.

1. 2.1Driftwork verwerkt persoonsgegevens uitsluitend om de diensten te leveren die partijen zijn overeengekomen. De aard en het doel van de verwerking, de categorieën betrokkenen en de categorieën persoonsgegevens staan in bijlage 1.
2. 2.2Driftwork verwerkt de persoonsgegevens niet voor eigen doeleinden, geeft ze niet door aan derden anders dan via de in bijlage 2 genoemde subverwerkers, en gebruikt ze niet om zelfstandig producten of diensten aan betrokkenen aan te bieden.
3. 2.3Deze VO geldt zolang Driftwork voor Opdrachtgever persoonsgegevens verwerkt, ook als de onderliggende overeenkomst eerder eindigt, en in elk geval tot alle persoonsgegevens conform artikel 11 zijn teruggegeven of gewist.
4. 2.4Partijen verwerken onder deze VO geen bijzondere categorieën persoonsgegevens als bedoeld in artikel 9 AVG en geen gegevens over strafrechtelijke veroordelingen of strafbare feiten als bedoeld in artikel 10 AVG, tenzij partijen dat vooraf schriftelijk vastleggen en Driftwork de passende aanvullende maatregelen heeft kunnen treffen.

1. 3.1Driftwork verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van Opdrachtgever, behoudens voor zover Unierechtelijke of lidstaatrechtelijke bepalingen Driftwork tot verwerking verplichten. In dat geval stelt Driftwork Opdrachtgever voorafgaand aan de verwerking op de hoogte, tenzij die wetgeving dat om gewichtige redenen van algemeen belang verbiedt.
2. 3.2De overeenkomst, deze VO, de instellingen die Opdrachtgever in het platform vastlegt en de opdrachten die Opdrachtgever via het platform geeft gelden samen als de gedocumenteerde instructie.
3. 3.3Is Opdrachtgever zelf verwerker voor een of meer van zijn klanten, dan treedt Driftwork op als subverwerker. In dat geval staat Opdrachtgever ervoor in dat hij bevoegd is Driftwork in te schakelen, blijft Opdrachtgever het enige aanspreekpunt van Driftwork, en gelden de instructies die Opdrachtgever van zijn klant ontvangt als instructies van Opdrachtgever aan Driftwork, voor zover Opdrachtgever die aan Driftwork doorgeeft.
4. 3.4Driftwork stelt Opdrachtgever onmiddellijk op de hoogte als naar zijn oordeel een instructie in strijd is met de AVG of andere toepasselijke wetgeving over gegevensbescherming. Driftwork mag de uitvoering van die instructie opschorten totdat Opdrachtgever haar bevestigt of aanpast.
5. 3.5Driftwork verwerkt persoonsgegevens niet om algemene modellen van kunstmatige intelligentie te trainen of te finetunen, en bedingt bij de in bijlage 2 genoemde AI-subverwerkers dat zij dat evenmin doen met de gegevens die via de diensten bij hen binnenkomen.

1. 4.1Driftwork houdt de persoonsgegevens geheim en verstrekt ze niet aan derden, behalve aan de subverwerkers uit bijlage 2, op instructie van Opdrachtgever, of als een wettelijk voorschrift of een bevel van een bevoegde autoriteit daartoe verplicht.
2. 4.2Driftwork zorgt dat de personen die onder zijn gezag de persoonsgegevens verwerken zich tot geheimhouding hebben verbonden of door een passende wettelijke verplichting tot geheimhouding zijn gebonden, en dat zij alleen toegang hebben tot de gegevens die zij voor hun werk nodig hebben.
3. 4.3Wordt Driftwork verplicht tot verstrekking aan een autoriteit, dan meldt Driftwork dat vooraf aan Opdrachtgever, tenzij dat wettelijk verboden is, en verstrekt Driftwork niet meer dan wat het verzoek strikt vereist.

1. 5.1Driftwork treft passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG. De maatregelen die op de ingangsdatum van deze VO gelden staan in bijlage 3.
2. 5.2Driftwork mag de maatregelen uit bijlage 3 aanpassen aan de stand van de techniek, mits het beschermingsniveau daardoor niet lager wordt. Een wezenlijke verlaging meldt Driftwork vooraf aan Opdrachtgever.
3. 5.3Opdrachtgever beoordeelt of de maatregelen uit bijlage 3 passend zijn gezien de aard van de gegevens die hij in het platform brengt. Wil Opdrachtgever aanvullende maatregelen, dan leggen partijen die vooraf schriftelijk vast; de kosten daarvan komen voor rekening van Opdrachtgever tenzij anders overeengekomen.
4. 5.4Opdrachtgever is verantwoordelijk voor de beveiliging aan zijn eigen zijde: accounts, wachtwoorden, tweefactorauthenticatie, toegangsbeheer en de apparaten van zijn medewerkers.

1. 6.1Opdrachtgever verleent Driftwork algemene schriftelijke toestemming om subverwerkers in te schakelen. De subverwerkers die op de ingangsdatum van deze VO zijn ingeschakeld staan in bijlage 2.
2. 6.2Driftwork legt elke subverwerker bij schriftelijke overeenkomst ten minste dezelfde verplichtingen op als Driftwork onder deze VO heeft, voor zover die verplichtingen relevant zijn voor het werk van die subverwerker. Driftwork blijft jegens Opdrachtgever volledig aansprakelijk voor het nakomen van die verplichtingen door de subverwerker.
3. 6.3Driftwork meldt een voorgenomen wijziging in de lijst van subverwerkers, zowel een toevoeging als een vervanging, ten minste tien (10) werkdagen voor ingang aan Opdrachtgever. De melding gaat naar het door Opdrachtgever opgegeven e-mailadres en de gewijzigde lijst wordt tegelijk gepubliceerd op driftwork.ai/subverwerkers.
4. 6.4Opdrachtgever kan binnen die tien werkdagen schriftelijk en gemotiveerd bezwaar maken. Partijen treden dan in overleg over een passende uitvoering. Komen zij er niet uit, dan kan elk van hen het deel van de overeenkomst dat redelijkerwijs met die subverwerker samenhangt beëindigen tegen vergoeding van het tot dan toe verrichte werk, zonder dat er een verdere schadevergoedingsplicht ontstaat.
5. 6.5Maakt Opdrachtgever geen bezwaar binnen de termijn, dan geldt de gewijzigde lijst als aanvaard en vervangt hij bijlage 2.

1. 7.1Verwerking buiten de Europese Economische Ruimte vindt alleen plaats bij de subverwerkers die als zodanig in bijlage 2 staan, en alleen op basis van een geldig doorgiftemechanisme onder hoofdstuk V AVG: een adequaatheidsbesluit van de Europese Commissie of standaard contractuele bepalingen, waar nodig aangevuld met bijkomende maatregelen.
2. 7.2Bijlage 2 vermeldt per subverwerker welk mechanisme van toepassing is en waar de verwerking plaatsvindt.
3. 7.3Vervalt een doorgiftemechanisme of verklaart een bevoegde instantie het ongeldig, dan treft Driftwork binnen een redelijke termijn een vervangend mechanisme of aanvullende maatregelen, of stopt Driftwork de betreffende doorgifte. Driftwork stelt Opdrachtgever daarvan op de hoogte.
4. 7.4Opdrachtgever erkent dat de diensten vandaag niet zonder verwerking buiten de EER geleverd kunnen worden, omdat de taalmodellen, de embeddingdienst en de e-mailverzending daar plaatsvinden. Wenst Opdrachtgever een uitvoering die volledig binnen de EER blijft, dan leggen partijen dat vooraf schriftelijk vast; zonder die vastlegging geldt de uitvoering zoals beschreven in bijlage 2.

1. 8.1Driftwork verleent Opdrachtgever, rekening houdend met de aard van de verwerking, redelijke bijstand met passende technische en organisatorische maatregelen bij het beantwoorden van verzoeken van betrokkenen die hun rechten uit hoofdstuk III AVG uitoefenen.
2. 8.2Ontvangt Driftwork rechtstreeks een verzoek van een betrokkene dat de gegevens van Opdrachtgever betreft, dan beantwoordt Driftwork dat verzoek niet zelf, maar stuurt hij het zonder onnodige vertraging door naar Opdrachtgever.
3. 8.3Bijstand die verder gaat dan wat het platform zelf aan uitvoer, correctie en verwijdering biedt, brengt Driftwork in rekening tegen het overeengekomen uurtarief, na voorafgaande melding van de verwachte omvang.

1. 9.1Driftwork stelt Opdrachtgever zonder onredelijke vertraging en in elk geval binnen achtenveertig (48) uur na ontdekking op de hoogte van een inbreuk in verband met persoonsgegevens die de gegevens van Opdrachtgever raakt.
2. 9.2De melding bevat ten minste: de aard van de inbreuk, de categorieën en het aantal betrokkenen en registraties voor zover bekend, de waarschijnlijke gevolgen, de getroffen en voorgestelde maatregelen, en een contactpunt bij Driftwork. Is niet alle informatie meteen beschikbaar, dan meldt Driftwork wat hij weet en vult hij aan zodra hij meer weet.
3. 9.3Driftwork meldt niet zelf bij de toezichthoudende autoriteit of bij betrokkenen. Die afweging en die melding zijn aan Opdrachtgever als verwerkingsverantwoordelijke, of aan diens klant als Opdrachtgever zelf verwerker is.
4. 9.4Driftwork houdt een register bij van inbreuken die de diensten raken en stelt de daarop betrekking hebbende informatie op verzoek aan Opdrachtgever ter beschikking.

1. 10.1Driftwork verleent Opdrachtgever redelijke bijstand bij een gegevensbeschermingseffectbeoordeling (DPIA) als bedoeld in artikel 35 AVG en bij een voorafgaande raadpleging als bedoeld in artikel 36 AVG, voor zover die betrekking hebben op de verwerkingen onder deze VO en rekening houdend met de informatie waarover Driftwork beschikt.
2. 10.2Die bijstand bestaat in elk geval uit het beschrijven van de verwerkingen, de gegevensstromen en de beveiligingsmaatregelen. Bijstand die daarbovenuit gaat brengt Driftwork in rekening tegen het overeengekomen uurtarief.

1. 11.1Driftwork bewaart persoonsgegevens niet langer dan nodig is voor de uitvoering van de overeenkomst, behoudens wettelijke bewaartermijnen.
2. 11.2Na afloop van de overeenkomst geeft Driftwork op verzoek van Opdrachtgever de persoonsgegevens terug in een gangbaar, machineleesbaar formaat, of wist hij ze. Opdrachtgever doet dat verzoek binnen dertig (30) dagen na afloop; blijft een verzoek uit, dan wist Driftwork de gegevens na die termijn.
3. 11.3Driftwork wist ook de kopieën bij zijn subverwerkers, tenzij Unierechtelijke of lidstaatrechtelijke bepalingen bewaring voorschrijven. Back-ups verdwijnen mee in het normale rotatieschema; tot dat moment blijven de beveiligingsmaatregelen uit bijlage 3 daarop van toepassing.
4. 11.4Op verzoek bevestigt Driftwork schriftelijk dat de gegevens zijn teruggegeven of gewist.

1. 12.1Driftwork stelt Opdrachtgever op verzoek alle informatie ter beschikking die nodig is om aan te tonen dat de verplichtingen uit artikel 28 AVG worden nagekomen, waaronder de actuele subverwerkerslijst, de beschrijving van de beveiligingsmaatregelen en de beschikbare rapportages of verklaringen van subverwerkers.
2. 12.2Opdrachtgever mag ten hoogste eenmaal per kalenderjaar een audit laten uitvoeren door een onafhankelijke, aan geheimhouding gebonden auditor, na een aankondiging van ten minste dertig (30) dagen en op een tijdstip dat de bedrijfsvoering van Driftwork niet onredelijk verstoort. Bij een concreet vermoeden van een tekortkoming of na een datalek vervalt de beperking tot eenmaal per jaar.
3. 12.3De kosten van een audit komen voor rekening van Opdrachtgever, tenzij uit de audit blijkt dat Driftwork tekortschiet in een wezenlijke verplichting uit deze VO. In dat geval draagt Driftwork de kosten en herstelt hij het gebrek binnen een redelijke termijn.
4. 12.4Een audit strekt zich niet uit tot gegevens van andere klanten van Driftwork, en niet tot de systemen van subverwerkers; voor die laatste stelt Driftwork de informatie ter beschikking waarover hij op grond van zijn eigen overeenkomsten beschikt.

1. 13.1Op de aansprakelijkheid van Driftwork onder deze VO is de aansprakelijkheidsregeling uit de algemene voorwaarden van Driftwork van toepassing, met inbegrip van de daarin opgenomen beperkingen, tenzij dwingend recht zich daartegen verzet.
2. 13.2De beperking uit lid 1 geldt niet voor een boete die een toezichthoudende autoriteit rechtstreeks aan Driftwork oplegt wegens een aan Driftwork toe te rekenen tekortkoming, en niet voor opzet of bewuste roekeloosheid van Driftwork of zijn leidinggevenden.
3. 13.3Opdrachtgever vrijwaart Driftwork tegen aanspraken van betrokkenen, van klanten van Opdrachtgever en van toezichthouders die voortvloeien uit het ontbreken van een rechtmatige grondslag aan de zijde van Opdrachtgever, uit onvolledige of onjuiste informatie aan betrokkenen, of uit instructies van Opdrachtgever waarvan Driftwork op grond van artikel 3 lid 4 heeft gemeld dat hij ze in strijd met de wet acht.

1. 14.1Driftwork mag deze VO wijzigen als wetgeving, rechtspraak, een besluit van een toezichthouder of een wijziging in de diensten daartoe aanleiding geeft. Wijzigingen worden ten minste dertig (30) dagen voor inwerkingtreding aan Opdrachtgever bekendgemaakt.
2. 14.2Maakt Opdrachtgever binnen die termijn schriftelijk gemotiveerd bezwaar en komen partijen er niet uit, dan kan elk van hen de overeenkomst beëindigen tegen de datum waarop de wijziging ingaat, tegen vergoeding van het tot dan toe verrichte werk.
3. 14.3Wijzigingen in de subverwerkerslijst verlopen niet via dit artikel maar via artikel 6.
4. 14.4De geldende versie van deze VO staat op driftwork.ai/verwerkersovereenkomst, met versienummer en ingangsdatum. Wil Opdrachtgever een ondertekende versie, dan stelt Driftwork die op verzoek ter beschikking.

1. 15.1Op deze VO is Nederlands recht van toepassing.
2. 15.2Geschillen die voortvloeien uit deze VO worden voorgelegd aan de bevoegde rechter in het arrondissement waar Driftwork is gevestigd, tenzij dwingend recht een andere rechter aanwijst.
3. 15.3Is een bepaling van deze VO nietig of wordt zij vernietigd, dan blijven de overige bepalingen van kracht en vervangen partijen de betreffende bepaling door een geldige bepaling die de bedoeling ervan zo dicht mogelijk benadert.

Wat Driftwork verwerkt, voor wie en waarom. Deze bijlage beschrijft de standaarddienst. Brengt Opdrachtgever andere gegevens in het platform dan hier genoemd, dan is dat een uitbreiding van de instructie en hoort die vooraf schriftelijk te worden vastgelegd.

De partijen die Driftwork inschakelt en die daarbij persoonsgegevens van Opdrachtgever kunnen verwerken. De volledige en actuele lijst, inclusief de partijen die alleen de eigen website en webwinkel van Driftwork raken, staat op driftwork.ai/subverwerkers. Wijzigingen verlopen via artikel 6 van deze verwerkersovereenkomst.

De maatregelen die op de ingangsdatum van deze verwerkersovereenkomst gelden, als bedoeld in artikel 32 AVG. Deze lijst beschrijft wat er in het platform is ingebouwd; hij is geen certificering en geen auditverklaring.