Verwerkersovereenkomst

1. Onderwerp, aard en doel

Wij verwerken persoonsgegevens alleen om de Dienst aan de Klant te leveren: beheer van accounts en plaatsen, het geven van training in AI-geletterdheid, het beoordelen van quizzen en kennismetingen, het uitgeven en verifiëren van certificaten, het versturen van e-mails, het bijhouden van het trainingsbewijs en het audittrail, en het leveren van rapporten en exports. De verwerking bestaat uit verzameling, opslag, ordening, gebruik, doorgifte aan de hieronder genoemde subverwerkers, wissing en de overige bewerkingen die voor deze doeleinden nodig zijn.

2. Duur

Deze DPA geldt zolang wij persoonsgegevens voor de Klant verwerken: gedurende het abonnement en de daaropvolgende periode tot de verwijdering die in artikel 11 is beschreven.

3. Betrokkenen en categorieën van gegevens

• Betrokkenen: medewerkers van de Klant aan wie een plaats is toegewezen, en de beheerders van de Klant.
• Identificatie- en contactgegevens: naam, e-mailadres, afdeling, functie en voorkeurstaal.
• Accountgegevens: wachtwoordhash (Argon2id), gegevens voor verificatie in twee stappen indien gebruikt, aanmeldtijden en IP-adressen.
• Trainingsgegevens: toegewezen cursussen, voortgang en bestede tijd in lessen, antwoorden op quizzen en kennismetingen, resultaten en pogingen, certificaten, bevestigingen van het AI-beleid van de Klant.
• Door de Klant ingevoerde registraties: de inventaris van AI-tools en andere door beheerders ingevoerde gegevens.
• Auditlog van belangrijke handelingen met tijdstip en auteur.

De Dienst is niet ontworpen voor bijzondere categorieën van persoonsgegevens (art. 9 AVG) en de Klant voert die niet in.

4. Instructies van de Klant

Wij verwerken de gegevens alleen op gedocumenteerde instructies van de Klant. Deze DPA, de Servicevoorwaarden en de instellingen en handelingen van de beheerders van de Klant in de Dienst vormen de volledige instructies van de Klant. Wij informeren de Klant als een instructie naar onze mening inbreuk maakt op het gegevensbeschermingsrecht, en wij mogen gegevens alleen anders verwerken als het Unierecht of het recht van een lidstaat dat vereist; in dat geval informeren wij de Klant vooraf, tenzij de wet dat verbiedt.

5. Vertrouwelijkheid

Alleen personen die toegang nodig hebben om de Dienst te exploiteren of te ondersteunen, hebben toegang tot de gegevens, en zij zijn gebonden aan geheimhouding.

6. Beveiligingsmaatregelen

• De Dienst en alle gegevens draaien op een server in een datacenter in Duitsland (EU).
• Versleutelde verbindingen (HTTPS); wachtwoorden alleen opgeslagen als Argon2id-hashes; ondertekende HTTP-only sessiecookies.
• Strikte scheiding van klanten: elk verzoek wordt gecontroleerd tegen de aangemelde gebruiker en diens bedrijf.
• Verificatie in twee stappen voor beheerders, verplicht voor onze eigen supportaccounts en beschikbaar voor elke beheerder van de Klant.
• Beperking van het aantal pogingen bij aanmelden, het opnieuw instellen van wachtwoorden en de verificatie van certificaten.
• Opgeslagen geheimen, zoals inloggegevens van de e-mailafzender en sleutels voor verificatie in twee stappen, worden versleuteld (AES-256-GCM).
• Quizantwoorden worden op de server beoordeeld; juiste antwoorden bereiken nooit de browser.
• Auditlog van belangrijke handelingen en een log van beveiligingsgebeurtenissen dat 30 dagen wordt bewaard.
• Back-ups met een bewaartermijn van maximaal 30 dagen en een gedocumenteerde procedure voor beveiligingsincidenten.

7. Toegang door support

Bevoegde supportmedewerkers van MadHoney mogen zich op verzoek van de Klant aanmelden bij het beheerdersaccount van de Klant om het account in te richten of een probleem op te lossen, of waar dat nodig is om de Dienst te beschermen. Deze toegang is beperkt tot het beheerpaneel (nooit lessen, quizzen of certificaten namens medewerkers), is beperkt in tijd en wordt vastgelegd in het auditlog van de Klant.

8. Subverwerkers

• Hostinger International Ltd. (Cyprus) - huur van de virtuele privéserver waarop de Dienst draait; datacenter in Duitsland (EU).
• ZONER a.s. (Tsjechië) - SMTP-server voor het afleveren van e-mails (uitnodigingen, herinneringen, meldingen); datacenters in Brno.

De Klant geeft algemene toestemming voor het inschakelen van subverwerkers. Wij leggen ieder van hen verplichtingen inzake gegevensbescherming op die gelijkwaardig zijn aan deze DPA. Wij informeren de beheerders van de Klant ten minste 30 dagen voordat een subverwerker wordt toegevoegd of vervangen per e-mail; de Klant kan om een gegronde reden bezwaar maken en, als wij het bezwaar niet kunnen oplossen, het abonnement opzeggen voordat de wijziging ingaat.

Paddle.com Market Ltd verwerkt betaal- en factuurgegevens als zelfstandige verwerkingsverantwoordelijke (Merchant of Record) en ontvangt geen gegevens over de medewerkers van de Klant.

9. Bijstand aan de Klant

Beheerders kunnen de gegevens van hun medewerkers rechtstreeks in de Dienst bekijken, corrigeren, exporteren en verwijderen. Rekening houdend met de aard van de verwerking helpen wij de Klant ook bij het beantwoorden van verzoeken van betrokkenen en bij het nakomen van zijn verplichtingen uit de artikelen 32 tot en met 36 AVG (beveiliging, melding van inbreuken, gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging). Verzoeken van medewerkers die ons bereiken, worden doorgestuurd naar de Klant.

10. Inbreuken in verband met persoonsgegevens

Wij melden een inbreuk in verband met persoonsgegevens zonder onnodige vertraging en uiterlijk 48 uur nadat wij er kennis van hebben genomen aan de beheerders van de Klant, met de informatie die beschikbaar is op grond van artikel 33, lid 3, AVG, en vullen die aan zodra meer feiten bekend worden. Wij nemen maatregelen om de inbreuk in te dammen en de gevolgen ervan te beperken.

11. Verwijdering en teruggave van gegevens

Tijdens het abonnement kan de Klant zijn rapporten, trainingsbewijzen en audittrail op elk moment exporteren. Na het einde van het abonnement kunnen beheerders zich nog 90 dagen aanmelden, alleen om gegevens te exporteren; daarna worden het bedrijf en al zijn gegevens automatisch verwijderd, tenzij de Klant om eerdere verwijdering vraagt. Kopieën in back-ups worden binnen 30 dagen overschreven. Gegevens die wij op grond van de wet moeten bewaren (bijv. facturen), vallen niet onder dit artikel.

12. Audits

Wij stellen de Klant de informatie ter beschikking die nodig is om de naleving van deze DPA aan te tonen en maken audits, waaronder inspecties, mogelijk door de Klant of een auditor die aan geheimhouding is gebonden. Audits vinden plaats na een redelijke voorafgaande schriftelijke kennisgeving, tijdens kantooruren, maximaal eenmaal per jaar (behalve na een inbreuk in verband met persoonsgegevens) en op kosten van de Klant, zonder de Dienst of de toegang tot gegevens van andere klanten te verstoren.

13. Verplichtingen van de Klant

De Klant is verantwoordelijk voor een rechtsgrond voor de verwerking, voor het informeren van zijn medewerkers en voor de rechtmatigheid van de gegevens en instructies die hij ons geeft.

14. Aansprakelijkheid en toepasselijk recht

De aansprakelijkheid op grond van deze DPA volgt de Servicevoorwaarden, tenzij de AVG anders bepaalt. Op deze DPA is het recht van de Tsjechische Republiek van toepassing; geschillen die eruit voortvloeien, worden beslecht door de bevoegde rechtbanken van de Tsjechische Republiek die volgens onze statutaire zetel relatief bevoegd zijn. Contact voor zaken over gegevensbescherming: sales@guard-ai.eu.