Verwerkersovereenkomst (DPA)

Definities

• Persoonsgegevens: informatie over een geïdentificeerde of identificeerbare persoon.
• Verwerkingsverantwoordelijke (Controller): de Klant.
• Verwerker (Processor): SlimService.
• Subverwerker: derde ingeschakeld door SlimService.
• Datalek: inbreuk in verband met persoonsgegevens (art. 4 sub 12 AVG).

Rollen en toepasselijkheid

• Klant is verwerkingsverantwoordelijke voor eindklantgegevens.
• SlimService is verwerker namens de Klant.
• Deze DPA is van toepassing op alle verwerkingen in het kader van de dienstverlening.

Onderwerp, aard en duur

• Onderwerp: WhatsApp intake, conversatie-automatisering, workflows.
• Aard: Geautomatiseerde verwerking voor intake, afspraken, notificaties.
• Duur: Looptijd overeenkomst + afwikkelingsperiode (art. 10).

Doeleinden

• Afhandelen intake en klantvragen via WhatsApp/Instagram.
• Plannen, bevestigen, wijzigen en annuleren afspraken.
• Notificaties, herinneringen en opvolgberichten.
• Betaalverzoeken verwerken (indien van toepassing).
• Support, onderhoud en beveiligingslogging.

Categorieën gegevens en betrokkenen

Standaard: Naam, telefoonnummer, WhatsApp metadata, afspraakgegevens, technische logs.

Betrokkenen: Eindklanten en medewerkers van de Klant.

Instructies

• SlimService verwerkt alleen op basis van gedocumenteerde instructies van de Klant.
• Overeenkomst, DPA en configuratie vormen de instructies.
• SlimService meldt instructies die strijdig lijken met de AVG.

Vertrouwelijkheid

• Personen die gegevens verwerken zijn gebonden aan geheimhouding.
• Toegang beperkt tot wie dit nodig heeft.
• Geheimhouding blijft na beëindiging van kracht.

Beveiligingsmaatregelen

• Toegangsbeperking (least privilege).
• 2FA waar ondersteund.
• TLS-versleuteling.
• Beheer van geheimen en sleutels.
• Monitoring en logging (max 90 dagen).

Subverwerkers

• SlimService kan subverwerkers inschakelen met dezelfde verplichtingen.
• Substantiële wijzigingen vooraf gecommuniceerd.
• Klant kan binnen 14 dagen bezwaar maken.

Bewaring, teruggave en verwijdering

Na beëindiging: Export op verzoek, verwijdering binnen 30 dagen.

Assistentie

SlimService assisteert bij: verzoeken betrokkenen, beveiligingsincidenten, DPIA's, toezichthouders.

Assistentie buiten scope: €125,-/uur (excl. btw).

Datalekken

Melding bevat: aard incident, categorieën betrokkenen, gevolgen, genomen maatregelen. Klant blijft verantwoordelijk voor melding aan AP (72 uur).

Audit

• SlimService verstrekt documentatie, verklaringen of certificeringen.
• Audit op locatie: 30 dagen aankondiging, max 1x per 12 maanden.
• Kosten: €125,-/uur (excl. btw), max 8 uur per audit.

Doorgifte buiten EER

• Verwerking bij voorkeur binnen EER.
• Buiten EER via subverwerkers: SCC's en aanvullende maatregelen.

Aansprakelijkheid

• Aansprakelijkheid conform algemene voorwaarden.
• Maximum: 3 maanden facturatie, absoluut plafond €2.500,-/jaar.
• Klant vrijwaart SlimService voor claims uit onrechtmatige verwerking door Klant.

Slotbepalingen

• Rangorde: DPA prevaleert voor privacy-verplichtingen.
• Toepasselijk recht: Nederlands recht.
• Geschillen: Rechtbank Rotterdam.