Verwerkersovereenkomst

1. Reikwijdte en rollen

Deze verwerkersovereenkomst maakt deel uit van de zakelijke overeenkomst die een bevoegde eigenaar of beheerder in het bedrijfsaccount aanvaardt, of van een afzonderlijk ondertekend opdrachtformulier. Het acceptatiebewijs identificeert de klant. Código Solidário Lda, NIPC 519431553, Rua da Arriba, N.º 18-Ac, Condomínio Vigias da Arriba, 2560-046 A dos Cunhados, Torres Vedras, Lisboa, Portugal, beheert DeepfakePolicy en is de Verwerker.

De Klant bepaalt waarom en hoe Persoonsgegevens van de Klant worden gebruikt en is daarvoor de verwerkingsverantwoordelijke. Als de Klant voor een andere verwerkingsverantwoordelijke handelt, bevestigt deze bevoegd te zijn om ons als subverwerker aan te stellen. Wij zijn afzonderlijk verwerkingsverantwoordelijke voor onze eigen accountadministratie, beveiliging, facturatie, fiscale en juridische gegevens, zoals beschreven in het privacybeleid.

2. Instructies en doelbinding

Wij gebruiken Persoonsgegevens van de Klant om de afgesproken dienst te leveren, te beschermen en te ondersteunen, volgens de instellingen en gedocumenteerde instructies van de Klant of wettelijke vereisten. Als een instructie in strijd met het gegevensbeschermingsrecht lijkt, informeren wij de Klant en kunnen wij die verwerking pauzeren totdat het probleem is opgelost.

Gewone Klantinhoud wordt niet verkocht, gebruikt voor gedragsgerichte advertenties of gebruikt om algemene modellen of modellen van derden te trainen of te verbeteren. Onderzoeksgebruik vereist een aparte, specifieke overeenkomst. Een persoonlijk selectievakje geeft geen toestemming om bedrijfsinhoud voor onderzoek te gebruiken.

3. Verantwoordelijkheden van de Klant

De Klant moet een rechtsgrond en de vereiste toestemming hebben, betrokkenen informeren over het gegevensgebruik en instructies beperken tot wat de dienst nodig heeft. Belangrijke beslissingen vereisen menselijke beoordeling. Rapporten zijn schattingen en kunnen onjuist zijn; identiteit, auteurschap, echtheid, fraude en intentie vragen om aanvullend bewijs.

Contracten, facturen, financiële gegevens en vertrouwelijke bedrijfsdocumenten vallen binnen de reikwijdte voor zover ze nodig zijn voor de overeengekomen dienst. Voor gegevens van kinderen, strafrechtelijke gegevens, bijzondere categorieën persoonsgegevens of biometrische gegevens voor unieke identificatie moet de Klant de rechtsgrond vastleggen en vóór verwerking voldoen aan alle aanvullende wettelijke voorwaarden, informatieplichten, vereiste toestemmingen en waarborgen. De gekozen dienst en zijn aanbieders moeten die verwerking ondersteunen onder de vereiste overeenkomsten. Verstrek geen gegevens als deze voorwaarden niet zijn vervuld; het aanvaarden van deze DPA alleen bewijst geen naleving.

4. Vertrouwelijkheid en beveiliging

Bevoegd personeel moet Persoonsgegevens van de Klant vertrouwelijk houden en alleen waar nodig raadplegen. Wij gebruiken maatregelen die passen bij de dienst en het risico: versleutelde verbindingen, servergeheimen, gehashte wachtwoorden en API-sleutels, werkruimterechten, ondertekende webhooks, privé tijdelijke opslag en geplande verwijdering. Rapportopslag en onderzoek zijn aparte keuzes; analyse is beperkt op gevoelige pagina’s.

OpenAI-aanroepen schakelen antwoordopslag uit met store: false. Dit betekent niet dat alle OpenAI-gegevens direct worden verwijderd. Onze beveiligingspagina beschrijft de gebruikte maatregelen en hun beperkingen.

5. Ondersteuning en verzoeken van betrokkenen

Wij bieden redelijke hulp bij verzoeken over gegevensrechten, beveiligingsbeoordelingen, datalekmeldingen, gegevensbeschermingseffectbeoordelingen en overleg met toezichthouders, rekening houdend met de verwerking en beschikbare informatie. Rechtstreeks ontvangen verzoeken over Persoonsgegevens van de Klant sturen wij door naar de Klant, tenzij de wet een andere reactie vereist.

De Klant blijft verantwoordelijk voor zijn juridische beslissingen en antwoorden. Omvangrijke ondersteuning op maat kan tegen een afgesproken tarief worden berekend, behalve wanneer die nodig is omdat wij deze DPA hebben geschonden.

6. Inbreuken in verband met persoonsgegevens

Wij informeren de Klant zonder onredelijke vertraging nadat wij kennis krijgen van een datalek dat Persoonsgegevens van de Klant raakt. Wij delen bekende informatie over het incident, de betrokken gegevens, waarschijnlijke gevolgen, beschermingsmaatregelen en een contactpunt voor updates. Aanvullende informatie kan in fasen volgen.

Wij bewaren relevant bewijsmateriaal en werken mee aan een redelijk onderzoek. Wij benaderen betrokkenen of toezichthouders namens de Klant alleen op instructie of wanneer wettelijk vereist.

7. Subverwerkers

De klant geeft algemene schriftelijke toestemming voor de aanbieders in het register bij zijn elektronische acceptatie of ondertekende opdrachtformulier. Het openbare overzicht van ontvangers beschrijft diensten en ontvangerscategorieën en vervangt die namenlijst niet. Voordat een leverancier Persoonsgegevens van de Klant ontvangt, moeten de vereiste schriftelijke verwerkings- en doorgiftevoorwaarden gelden. Bevestiging van een algemene dienstverleningsovereenkomst verruimt de overeengekomen reikwijdte van een Klant niet.

Wij mailen de geregistreerde privacycontactpersoon ten minste 30 dagen voordat een nieuwe of vervangende subverwerker persoonsgegevens ontvangt. De klant kan binnen die termijn bezwaar maken om privacyredenen. Zonder redelijke oplossing kan de klant de betrokken dienst zonder boete beëindigen. Een dringende wijziging vereist voorafgaande specifieke toestemming of opschorting van de betrokken verwerking.

8. Internationale doorgiften

Wij zijn gevestigd in Portugal en gebruiken internationale diensten. Verwerking uitsluitend in de EU of in een specifieke regio wordt alleen beloofd als het opdrachtformulier dit vermeldt. Doorgiften buiten beschermde rechtsgebieden moeten een geldig mechanisme gebruiken, zoals een adequaatheidsbesluit, EU-standaardcontractbepalingen of Britse doorgiftevoorwaarden.

Voor een doorgifte van ons als EER-verwerker naar een subverwerker buiten de EER geldt doorgaans Module Drie van de EU-bepalingen. Britse doorgiften vereisen ook het UK Addendum of een ander geldig Brits mechanisme. De vereiste partijgegevens, bijlagen en doorgiftebeoordelingen moeten zijn voltooid voordat de bepalingen van kracht worden.

9. Teruggave, verwijdering en bewaring

Productfuncties laten de Klant opgeslagen rapporten en tijdelijke API-resultaten verwijderen. Bij beëindiging van de overeenkomst of een geldige schriftelijke instructie geven wij Persoonsgegevens van de Klant terug of verwijderen deze, onder voorbehoud van wettelijk verplichte bewaring en beschermde back-upcycli. Zie het bewaarschema en het toepasselijke opdrachtformulier.

Wettelijk bewaarde gegevens worden beperkt tot dat doel. Voor leverancierskopieën gelden hun overeenkomsten; onze kopie verwijderen wist niet vanzelf een leverancierskopie vóór diens verwijderingscyclus.

10. Informatie en audits

Wij verstrekken informatie die redelijkerwijs nodig is om naleving aan te tonen. Beoordeling begint met documentatie, vragenlijsten en beschikbaar onafhankelijk bewijs. Als dat onvoldoende is, mag de Klant eenmaal per twaalf maanden een redelijke audit regelen door een onafhankelijke auditor met geheimhoudingsplicht. De audit mag geen gegevens van andere klanten blootleggen of de dienst onredelijk verstoren.

De frequentiebeperking geldt niet na een wezenlijke inbreuk, geloofwaardige beveiligingszorg of verzoek van een toezichthouder. Wij claimen geen SOC 2, ISO 27001 of onafhankelijke certificering tenzij een actueel rapport Código Solidário Lda en deze dienst dekt.

11. Privacyvoorwaarden van Amerikaanse staten

Waar privacywetgeving van een Amerikaanse staat ons als dienstverlener of opdrachtnemer behandelt, verkopen wij Persoonsgegevens van de Klant niet, delen deze niet voor contextoverschrijdende gedragsreclame, gebruiken deze niet buiten het contractuele bedrijfsdoel of de directe zakelijke relatie en combineren deze alleen met andere persoonsgegevens voor zover de wet dat toestaat.

Wij bieden het vereiste beschermingsniveau, informeren de Klant als dit niet langer mogelijk is en staan redelijke maatregelen toe om onbevoegd gebruik te stoppen en te herstellen. Deze voorwaarden veranderen onze afzonderlijke rollen voor facturatie, beveiliging, fraudepreventie of juridische gegevens niet.

12. Aansprakelijkheid, looptijd en toepasselijk recht

De hoofdovereenkomst regelt aansprakelijkheid, onder voorbehoud van dwingend recht. Bij tegenstrijdige voorwaarden hebben verplichte EU- of Britse doorgiftevoorwaarden voorrang, daarna deze DPA, vervolgens de hoofdovereenkomst en ten slotte de algemene websitevoorwaarden. Deze DPA geldt zolang wij Persoonsgegevens van de Klant verwerken.

Portugees recht en Portugese rechtbanken zijn van toepassing, tenzij de overeenkomst rechtmatig anders bepaalt. Dwingend gegevensbeschermingsrecht en doorgiftebepalingen blijven ongewijzigd.

Bijlage 1: Verwerkingsdetails

Bijlage 2: Huidige technische en organisatorische maatregelen

• Verplicht HTTPS, HSTS, basisbescherming in de browser waaronder blokkering van externe frame-inbedding en bescherming tegen MIME-sniffing, en no-store op privéroutes.
• Cryptografisch willekeurige sessies en API-sleutels; wachtwoorden en herstelbare inloggegevens worden niet als platte tekst opgeslagen.
• Op de server afgedwongen organisatierollen, afgebakende gegevens en een auditspoor voor dossierhandelingen.
• Privé-objectopslag voor bewaarde bronnen; tijdelijke overdrachtsobjecten voor leveranciers gebruiken korte TTL-metadata, een directe verwijderingspoging en een geplande controle van verlopen objecten voor herhaalpogingen.
• Resultaten en rapportminiaturen van bedrijfsbatches verlopen zeven dagen na voltooiing. Bronverwijdering volgt dezelfde regels voor verwijdering na verwerking en nieuwe pogingen als de API. Downloads van de klant en bestaande dossiers volgen hun aparte bewaartermijnen.
• Bronnen van de Evidence API zijn bestemd voor verwijdering na verwerking; mislukte verwijdering blijft in afwachting van een geplande nieuwe poging. De Klant kiest rapportbewaring van één uur tot zeven dagen.
• Ondertekende webhooks, begrensde herhaalpogingen en eenmalige weergave van webhookgeheimen.
• Aparte functies voor analyse, rapportopslag en onderzoeksbijdragen; verwijdering van onderzoeksbestanden is gepland 180 dagen na toestemming of wordt eerder aangevraagd na geverifieerde intrekking. Onbevestigde verwijdering blijft openstaan en de bron blijft uitgesloten van onderzoek tijdens herhaalpogingen.
• Aanroepen van de OpenAI Responses API gebruiken store: false; optionele Clarity-sessieanalyse is uitgesloten van scanner-, rapport-, authenticatie- en accountroutes.
• Eigen marketinggebeurtenissen verlopen na 90 dagen; gebruikersgebonden leverancierstelemetrie na 180 dagen; hashes van authenticatiepogingen na 24 uur.

Deze DPA aan uw overeenkomst toevoegen

Aanvaard de standaard zakelijke voorwaarden in uw bedrijfsaccount. Als uw verwerking aanvullende waarborgen, regionale toezeggingen of een andere reikwijdte vereist, stuur uw vereisten dan naar deepfakepolicy@proton.me. Aangepaste verwerking begint pas nadat het aanvullende gebruik schriftelijk is overeengekomen.

Zakelijke voorwaarden bekijken en accepteren