Verwerkersovereenkomst

Partijen en aard

Deze verwerkersovereenkomst geldt automatisch tussen:

• Klaver Solutions, h.o.d.n. Practions, hierna: "Verwerker", en
• de Klant die met Verwerker een Overeenkomst voor de Dienst is aangegaan, hierna: "Verwerkings-verantwoordelijke".

De verwerkersovereenkomst maakt integraal onderdeel uit van de Algemene Voorwaarden en van de Overeenkomst en treedt in werking op het moment van ingebruikname van de Dienst. Bij strijd tussen deze verwerkersovereenkomst en de Algemene Voorwaarden voor wat betreft de verwerking van Persoonsgegevens, prevaleert deze verwerkersovereenkomst.

Termen die in deze verwerkersovereenkomst met een hoofdletter beginnen, hebben de betekenis die daaraan in de Algemene Voorwaarden is toegekend, of, bij ontstentenis daarvan, de betekenis die daaraan in artikel 4 AVG is gegeven.

Artikel 1. Onderwerp en duur

1. Verwerker verwerkt Persoonsgegevens van Cliënten uitsluitend ten behoeve van Verwerkings-verantwoordelijke en in opdracht van Verwerkings-verantwoordelijke, in het kader van de Dienst zoals beschreven in de Algemene Voorwaarden.
2. Deze verwerkersovereenkomst geldt voor de duur van de Overeenkomst en, voor zover toepasselijk, daarna voor de looptijd van de wettelijke bewaarplichten en de in artikel 12 lid 2 genoemde nazorg.

Artikel 2. Aard en doel van de verwerking

1. De aard van de verwerking is het via een online platform verwerken van Persoonsgegevens met het oog op het beheer van een coachpraktijk: cliëntenadministratie, sessieagenda, real-time transcriptie, AI-ondersteunde sessienotities, bestanduitwisseling, facturatie, betalingsverwerking en boekhoudkoppeling.
2. Het doel van de verwerking is het leveren, beveiligen, onderhouden en doorontwikkelen van de Dienst en het naleven van wettelijke verplichtingen die op Verwerker als verwerker rusten.

Artikel 3. Soort persoonsgegevens en categorieën betrokkenen

1. De categorieën Persoonsgegevens die Verwerker namens Verwerkings- verantwoordelijke verwerkt, zijn opgesomd in Bijlage 1 bij deze overeenkomst.
2. De categorieën van betrokkenen zijn: a. Cliënten van Verwerkings-verantwoordelijke (eindcliënten van de coachpraktijk); b. eventuele contactpersonen van Cliënten die voor de uitvoering van een sessie of factuur worden vastgelegd.
3. Verwerkings-verantwoordelijke staat ervoor in dat de invoer of upload van bijzondere categorieën persoonsgegevens (artikel 9 AVG), zoals coaching-inhoud, transcripten of gezondheidsindicaties, plaatsvindt onder een geldige grondslag, in beginsel uitdrukkelijke toestemming van de Cliënt (artikel 9 lid 2 sub a AVG). Verwerker biedt in de Dienst een toestemmingsregistratiemechanisme aan dat per sessie toestemming voor opname, transcriptie en AI-verwerking vastlegt.

Artikel 4. Rechten en plichten van Verwerkings-verantwoordelijke

1. Verwerkings-verantwoordelijke is verantwoordelijk voor de rechtmatigheid van de verwerking, waaronder in elk geval: a. de geldigheid van de gehanteerde grondslag; b. de informatieplicht jegens betrokkenen (artikel 13 en 14 AVG); c. het correct afhandelen van rechten van betrokkenen.
2. Verwerkings-verantwoordelijke geeft instructies aan Verwerker via de Dienst (zoals het aan- of uitzetten van AI-functies, het instellen van het cliëntportaal en het registreren van toestemming) en, waar nodig, schriftelijk via [email protected].
3. Een instructie van Verwerkings-verantwoordelijke die naar het oordeel van Verwerker in strijd is met de AVG of met andere privacywetgeving, wordt door Verwerker schriftelijk gemeld waarna Verwerker de instructie zonder gevolgen voor zichzelf kan weigeren.

Artikel 5. Verplichtingen van Verwerker

1. Verwerker verwerkt Persoonsgegevens uitsluitend op gedocumenteerde instructie van Verwerkings-verantwoordelijke, behoudens voor zover Verwerker daartoe op grond van Unie- of nationaal recht verplicht is. In dat laatste geval informeert Verwerker Verwerkings- verantwoordelijke voorafgaand aan de verwerking, tenzij dat recht die voorafgaande informatie verbiedt.
2. Verwerker waarborgt dat de tot het verwerken van Persoonsgegevens gemachtigde personen zich tot vertrouwelijkheid hebben verbonden of door een passende wettelijke verplichting van vertrouwelijkheid zijn gebonden.
3. Verwerker treft, gelet op de stand van de techniek, de uitvoerings- kosten, en de aard, omvang, context en doeleinden van de verwerking, alsmede de risico's voor de rechten en vrijheden van natuurlijke personen, passende technische en organisatorische maatregelen overeenkomstig artikel 32 AVG. De maatregelen zijn gespecificeerd in Bijlage 3.
4. Verwerker stelt Verwerkings-verantwoordelijke desgevraagd in staat te voldoen aan zijn verplichtingen op grond van artikel 32 tot en met 36 AVG (beveiliging, datalekkenmelding, voorafgaande raadpleging en gegevensbeschermingseffectbeoordeling), rekening houdend met de aard van de verwerking en de aan Verwerker ter beschikking staande informatie.
5. Verwerker biedt redelijke ondersteuning bij verzoeken van betrokkenen tot uitoefening van hun rechten als bedoeld in hoofdstuk III AVG. Standaardondersteuning is opgenomen in de prijs van de Dienst (in elk geval inzage en export via de in de Dienst aangeboden functionaliteit). Buitensporige verzoeken kunnen tegen redelijke kostenvergoeding worden afgehandeld.

Artikel 6. Sub-verwerkers

1. Verwerkings-verantwoordelijke geeft hierbij algemene voorafgaande schriftelijke toestemming voor de inschakeling van sub-verwerkers, onder de voorwaarden van dit artikel.
2. De op het moment van inwerkingtreding van deze verwerkersovereenkomst ingeschakelde sub-verwerkers staan vermeld in Bijlage 2, gepubliceerd op https://practions.com/sub-verwerkers.
3. Verwerker informeert Verwerkings-verantwoordelijke ten minste dertig (30) dagen vóór een voorgenomen wijziging of toevoeging van een sub-verwerker, via e-mail of via een mededeling in de Dienst.
4. Verwerkings-verantwoordelijke heeft tijdens deze aankondigingstermijn het recht gemotiveerd bezwaar te maken. Indien partijen er niet in slagen tot een voor beide aanvaardbare oplossing te komen, heeft Verwerkings-verantwoordelijke het recht de Overeenkomst op te zeggen tegen de datum waarop de nieuwe sub-verwerker in gebruik wordt genomen.
5. Verwerker legt aan elke sub-verwerker bij overeenkomst dezelfde verplichtingen op als die welke voor Verwerker uit deze verwerkersovereenkomst voortvloeien, met name de verplichtingen op grond van artikel 28 lid 4 AVG.

Artikel 7. Datalekken

1. Verwerker meldt een inbreuk in verband met Persoonsgegevens binnen verwerkings-verantwoordelijkheid van Verwerkings-verantwoordelijke zonder onredelijke vertraging na ontdekking aan Verwerkings- verantwoordelijke, en in elk geval binnen 24 uur na ontdekking, zodat Verwerkings-verantwoordelijke binnen de termijn van 72 uur van artikel 33 AVG aan zijn meldplicht kan voldoen.
2. De melding bevat in elk geval de informatie genoemd in artikel 33 lid 3 AVG, voor zover op het moment van melden bekend.
3. Indien aanvullende informatie pas later beschikbaar komt, levert Verwerker deze gefaseerd na, conform artikel 33 lid 4 AVG.
4. Verwerker verleent redelijke medewerking aan een eventueel door Verwerkings-verantwoordelijke uit te voeren onderzoek en communicatie aan betrokkenen op grond van artikel 34 AVG.

Artikel 8. Audit

1. Verwerker verstrekt Verwerkings-verantwoordelijke op verzoek alle informatie die nodig is om de naleving van deze verwerkersovereenkomst aan te tonen, zoals beschrijvingen van de beveiligingsmaatregelen en relevante auditverslagen voor zover beschikbaar.
2. Verwerkings-verantwoordelijke heeft, met inachtneming van een redelijke aankondigingstermijn van ten minste vier (4) weken, het recht eenmaal per kalenderjaar een audit te laten uitvoeren door een onafhankelijke en aan een geheimhoudingsverklaring gebonden auditor. De audit is beperkt in scope tot de naleving van deze verwerkersovereenkomst en mag de continuïteit van de Dienst voor andere klanten niet verstoren.
3. De kosten van een audit komen voor rekening van Verwerkings- verantwoordelijke, tenzij de audit een wezenlijke tekortkoming van Verwerker aan het licht brengt; in dat geval komen de kosten ten laste van Verwerker en stelt Verwerker zonder onredelijke vertraging een herstelplan op.

Artikel 9. Internationale doorgifte

1. Verwerker verwerkt Persoonsgegevens in beginsel binnen de Europese Economische Ruimte. Voor productie-AI-verwerking wordt uitsluitend gebruikgemaakt van Microsoft Azure OpenAI in EU-regio's. De directe API van OpenAI in de Verenigde Staten wordt in productie niet ingezet.
2. Voor zover een sub-verwerker buiten de EER is gevestigd, vindt de doorgifte plaats op basis van een door artikel 46 AVG erkend passend mechanisme, waaronder de standaardcontractsbepalingen van de Europese Commissie en, waar van toepassing, het EU-US Data Privacy Framework, in voorkomend geval aangevuld met transferimpactassessments en aanvullende technische en organisatorische maatregelen.
3. De toepasselijke doorgifte-mechanismen per sub-verwerker zijn opgenomen in Bijlage 2.

Artikel 10. Aansprakelijkheid

1. De aansprakelijkheid van Verwerker uit hoofde van deze verwerkersovereenkomst valt onder en wordt begrensd door artikel 13 van de Algemene Voorwaarden, met dien verstande dat dwingend- rechtelijke bepalingen, waaronder artikel 82 AVG, onverkort van toepassing blijven.
2. In het kader van een vordering uit hoofde van artikel 82 AVG nemen partijen de onderlinge verdeling van verantwoordelijkheid in acht, in die zin dat een partij slechts wordt aangesproken voor de schade die voortvloeit uit haar eigen handelen of nalaten.
3. Bestuurlijke boetes opgelegd door een toezichthouder worden gedragen door de partij wiens handelen of nalaten de boete heeft veroorzaakt.

Artikel 11. Duur en beëindiging

1. Deze verwerkersovereenkomst eindigt automatisch op het moment dat de Overeenkomst eindigt.
2. Een tussentijdse beëindiging van deze verwerkersovereenkomst, los van de Overeenkomst, is niet mogelijk, behoudens voor zover de AVG dat dwingendrechtelijk voorschrijft.

Artikel 12. Slotbepalingen

1. Op deze verwerkersovereenkomst is uitsluitend Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Midden-Nederland, locatie Lelystad.
2. Na afloop van de Overeenkomst geldt de in artikel 16 lid 2 van de Algemene Voorwaarden beschreven nazorg: een grace period van negentig (90) dagen voor data-export, daarna definitieve verwijdering uit productie en overschrijving van back-ups binnen dertig (30) dagen, behoudens facturatiegegevens die zeven (7) jaar worden bewaard op grond van de fiscale bewaarplicht.
3. De Nederlandse versie van deze verwerkersovereenkomst is bindend. Een Engelse vertaling wordt aangeboden voor het gemak; bij verschil prevaleert de Nederlandse tekst.

Bijlage 1. Specificatie persoonsgegevens en betrokkenen

Categorieën betrokkenen

• Cliënten van Verwerkings-verantwoordelijke (coachees, eindcliënten).
• Eventuele contactpersonen van Cliënten ten behoeve van factuur of zakelijke afhandeling.

Categorieën persoonsgegevens

Bijlage 2. Sub-verwerkers

Een actuele lijst is gepubliceerd op https://practions.com/sub-verwerkers en wordt onderhouden in het afzonderlijke document Sub-verwerkerslijst dat onderdeel uitmaakt van deze verwerkersovereenkomst.

Bijlage 3. Beveiligingsmaatregelen (artikel 32 AVG)

Versleuteling

• TLS voor alle inkomende en uitgaande verbindingen.
• Versleuteling at rest van inhoudelijke sessiegegevens (sessietranscripten, sessiesamenvattingen, privé-aantekeningen, transcriptregels), TOTP-seeds en API-tokens van sub-verwerkers, met afzonderlijke Fernet-sleutels per kolomcategorie. Coaching-protocol- metadata (Goals, Habits, Programs, Enrollments, Groups, ClientInsights, Automations en de AI-suggesties op Note) is in de huidige release niet afzonderlijk versleuteld at rest, maar staat onder dezelfde toegangs-, audit- en netwerkcontroles als de overige tabellen; uitbreiding van encryptie naar deze tabellen staat op de roadmap.
• Hashing van wachtwoorden via bcrypt met SHA-256-voorbewerking ter voorkoming van afkappen van lange wachtwoorden.

Toegang en authenticatie

• Korte access-token-TTL (15 minuten) en refresh-token-rotatie met reuse-detectie.
• Optionele tweefactorauthenticatie (TOTP) met versleutelde seed en bcrypt-gehashte herstelcodes.
• HttpOnly, Secure en SameSite-cookieattributen voor authenticatie.
• Double-submit-CSRF-mechanisme.
• Rolgebaseerde toegang voor administratiefuncties.

Netwerk en infrastructuur

• Toepassings-egress-allowlist die uitgaande verbindingen vanuit het productieproces beperkt tot een vaste set sub-verwerker-domeinen.
• HTTP Strict Transport Security met max-age=31536000; includeSubDomains.
• Content Security Policy met frame-ancestors 'none', object-src 'none', base-uri 'self' en form-action 'self'.
• Permissions-Policy waarmee toegang tot camera, microfoon en geo expliciet wordt gerestricteerd.
• Rate limiting op authenticatie- en publieke endpoints.

Logging en monitoring

• Audit-logging met composiet-indices voor per-gebruiker en per-actie-onderzoek.
• PII-scrubber op het log-niveau die JWT's, bcrypt-hashes, IBAN/BTW-nummers, e-maillocalparts, telefoonnummers en lange hex-tokens uit logregels filtert.
• Optionele foutregistratie via Sentry met PII-scrubbing en forbidden-fields-filter vóór verzending.

Bewaring en verwijdering

• Dagelijkse retentiebatch met per-tabel bewaartermijnen, vastgelegd in artikel 7 van de Privacyverklaring.
• Geen automatische harde verwijdering van facturatiegegevens vóór het verstrijken van de fiscale bewaarplicht; verwijdering is operator-bevestigd na zeven (7) jaar.

Organisatorisch

• Geheimhoudingsverklaring voor medewerkers en leveranciers met toegang tot productiedata.
• Periodieke beoordeling van toegangsrechten.
• Procedure voor incidentrespons en datalekkenmelding.