Verwerkersovereenkomst

Deze verwerkersovereenkomst (hierna: de overeenkomst) hoort bij de algemene voorwaarden van GO CREAjt. Hierin staat hoe wij omgaan met de persoonsgegevens die jij als bureau in GO CREAjt verwerkt over je klanten, hun contactpersonen en andere mensen. Zo voldoen we samen aan artikel 28 van de Algemene verordening gegevensbescherming (AVG).

Partijen en rollen

• Jij, het bureau dat GO CREAjt gebruikt, bent de verwerkingsverantwoordelijke. Jij bepaalt waarom en hoe je de gegevens van je klanten verwerkt.
• Wij, CREAJT, een eenmanszaak van Jens Thonissen, handelend onder de naam GO CREAjt, gevestigd aan de Sint Annastraat 37A, 6524 EE Nijmegen, KvK 99234017, btw NL005377107B89, zijn de verwerker.
• Voor de gegevens van je eigen account, je team en je abonnement zijn wij zelf verantwoordelijk. Die vallen niet onder deze overeenkomst, maar onder ons privacybeleid.

1. Onderwerp en duur

We verwerken persoonsgegevens alleen om GO CREAjt aan jou te leveren. Deze overeenkomst geldt zolang we persoonsgegevens voor je verwerken. Ze eindigt pas als alle gegevens zijn verwijderd of teruggegeven (zie artikel 13).

2. Wat we verwerken

• Doel: het leveren van GO CREAjt. Denk aan contentplanning en goedkeuring, plaatsen op social media en het tonen van cijfers, foto- en videogalerijen, showcases, projecten, taken en uren, facturen, contracten en betaalherinneringen, het klantportaal, e-mails, meldingen en de AI-functies.
• Betrokkenen: je klanten en hun contactpersonen, gebruikers van het klantportaal, bezoekers van gedeelde galerijen en review-links, mensen die in je content of beeld voorkomen, en eventueel teamleden van wie je gegevens in je werk vastlegt.
• Soorten gegevens: namen, e-mailadressen, telefoonnummers, adres- en bedrijfsgegevens, inloggegevens van portaalgebruikers, content en media (waaronder beeld van personen), planning, feedback en berichten, facturen en financiële gegevens, contracten en handtekeningen, uren, koppelingen met social accounts en statistieken van geplaatste berichten.
• Bijzondere gegevens: GO CREAjt is niet bedoeld voor bijzondere persoonsgegevens (zoals gezondheid of geloof) of strafrechtelijke gegevens. Zet je die er toch in, dan ben je daar zelf verantwoordelijk voor.

3. Jouw instructies

We verwerken de gegevens alleen volgens jouw instructies. Jouw instructies zijn deze overeenkomst, de voorwaarden en wat je in de dienst instelt en doet. We gebruiken de gegevens niet voor onze eigen doelen en verkopen ze nooit. Eén uitzondering: we tellen per dag welke gebruikers, ook van het klantportaal, actief waren en of dat in de app of op het web was. Dat gebruiken we alleen om de dienst te beheren en te verbeteren, en we bewaren het 12 maanden. Moeten we van de wet iets anders doen, dan laten we je dat vooraf weten, tenzij de wet dat verbiedt. Vinden we dat een instructie in strijd is met de AVG, dan zeggen we dat meteen.

4. Geheimhouding

Iedereen die bij ons met de gegevens werkt, heeft een geheimhoudingsplicht. We geven alleen toegang aan wie dat nodig heeft voor zijn werk.

5. Toegang door ons team

Ons team kijkt alleen in je bureau als dat nodig is. Bijvoorbeeld om je te helpen met een vraag, een storing op te lossen of de dienst te beheren. We doen dan niet meer dan daarvoor nodig is.

6. Beveiliging

We nemen passende technische en organisatorische maatregelen, zoals artikel 32 AVG vraagt. Daaronder vallen:

• versleutelde verbindingen (HTTPS) en wachtwoorden die alleen als onomkeerbare hash worden opgeslagen;
• versleutelde opslag van de database en de bestanden bij onze leveranciers;
• strikte scheiding van gegevens per bureau en per klant op databaseniveau (row level security), en toegang per rol en recht binnen je bureau;
• uploaden alleen na inloggen of via een persoonlijke aanleverlink die jij deelt, en bestanden op lange, niet te raden webadressen, met de keuze om een galerij met een wachtwoord af te schermen;
• geheime sleutels alleen op de server;
• automatische back-ups van de database;
• opslag en hosting zoveel mogelijk binnen de EU;
• een vaste werkwijze en een register voor datalekken.

We passen deze maatregelen aan als de techniek of de risico's veranderen. Het beschermingsniveau gaat daarbij nooit omlaag. Jij zorgt er zelf voor dat je team veilige wachtwoorden gebruikt, dat je de juiste rechten geeft en dat je links alleen deelt met de juiste mensen.

7. Subverwerkers

Je geeft ons algemene toestemming om subverwerkers in te schakelen. Op dit moment zijn dat:

• Met elke subverwerker hebben we afspraken die minstens zo streng zijn als deze overeenkomst. Wij blijven tegenover jou verantwoordelijk voor hun werk.
• Voegen we een subverwerker toe of vervangen we er een, dan laten we je dat minstens 30 dagen vooraf per e-mail weten. Je kunt binnen die termijn met redenen bezwaar maken. Komen we er samen niet uit, dan mag je de dienst opzeggen per de datum van de wijziging. Wat je al vooruit had betaald voor de tijd daarna, betalen we dan terug.
• Plaats je via GO CREAjt op social media, dan komt je content bij het platform dat je kiest (zoals Meta, TikTok, LinkedIn of YouTube). Die platforms zijn geen subverwerker van ons. Je deelt de content op jouw instructie met hen, en hun eigen voorwaarden gelden.
• Hetzelfde geldt als je je boekhoudpakket koppelt (Moneybird of e-Boekhouden): wij zetten dan op jouw instructie klanten, facturen en bonnetjes door. Dat pakket kies je zelf en je maakt er zelf afspraken mee.
• Koppel je je eigen AI-assistent (zoals Claude van Anthropic of ChatGPT van OpenAI) aan GO CREAjt, dan geven wij op jouw instructie de gegevens door waar de assistent om vraagt, binnen de rechten van de gekoppelde gebruiker. De aanbieder van die assistent is geen subverwerker van ons: jij schakelt hem zelf in en sluit zelf de afspraken met die aanbieder, zoals een verwerkersovereenkomst. Die aanbieder kan gegevens buiten de EER verwerken; jij beoordeelt of dat voor jouw klanten past. Wij geven via de koppeling geen wachtwoorden, sleutels of bestanden door, alleen tekst, gegevens en links naar GO CREAjt. We houden een logboek bij van elke opvraging en wijziging via de koppeling en bewaren dat 12 maanden.

8. Gegevens buiten Europa

De app draait in de EU (Frankfurt) en de database en bestanden staan in de EU. Verwerkt een subverwerker gegevens buiten de Europese Economische Ruimte, dan zorgen we voor passende waarborgen. Dat zijn de modelcontractbepalingen van de Europese Commissie (SCC's) en, als de partij daaronder valt, het EU-VS Data Privacy Framework (DPF).

9. Hulp bij de rechten van betrokkenen

Vraagt iemand je om inzage, correctie, verwijdering, beperking, overdracht of doet iemand bezwaar, dan kun je dat meestal zelf regelen in GO CREAjt. Je kunt gegevens aanpassen of verwijderen en via Voorkeuren al je gegevens downloaden. Lukt iets niet zelf, dan helpen we je. Krijgen wij zo'n verzoek rechtstreeks, dan sturen we het door naar jou en reageren we zelf niet inhoudelijk.

10. Overige hulp

We helpen je ook redelijkerwijs bij een gegevensbeschermingseffectbeoordeling (DPIA), bij een voorafgaande raadpleging van de Autoriteit Persoonsgegevens en bij vragen van een toezichthouder. Kost dat meer dan een beperkte inspanning, dan kunnen we daarvoor in overleg redelijke kosten rekenen.

11. Datalekken

• Ontdekken we een inbreuk op de beveiliging die jouw gegevens raakt, dan melden we dat zonder onnodige vertraging aan de eigenaar van je bureau, uiterlijk binnen 48 uur na ontdekking.
• We geven je de informatie die je nodig hebt om aan je eigen meldplicht te voldoen: wat er is gebeurd, welke gegevens en hoeveel mensen het raakt, wat de gevolgen kunnen zijn en wat we eraan doen. Wat we nog niet weten, sturen we zo snel mogelijk na.
• We nemen meteen maatregelen om het lek te stoppen en de gevolgen te beperken, en we leggen het vast in ons datalekregister.
• Jij beslist of je het lek meldt bij de Autoriteit Persoonsgegevens en de betrokkenen. Wij melden het niet namens jou, tenzij je ons daarom vraagt.

12. Controle (audit)

Op een redelijk verzoek laten we zien dat we ons aan deze overeenkomst houden, bijvoorbeeld met documentatie, een toelichting op onze maatregelen of de verklaringen van onze subverwerkers. Is dat niet genoeg, dan kan een onafhankelijke deskundige met geheimhoudingsplicht een audit doen. Dat gebeurt in overleg, maximaal één keer per jaar en minstens 30 dagen vooraf aangekondigd. De kosten zijn voor jou, tenzij de audit laat zien dat we ons op een belangrijk punt niet aan de afspraken houden.

13. Einde: teruggave en verwijdering

• Zolang je toegang hebt, kun je je gegevens zelf downloaden via Voorkeuren en je bestanden zelf opslaan. Dat is de manier waarop we gegevens teruggeven.
• Na het einde van je abonnement bewaren we je bureau nog 12 maanden op slot, zodat je zonder verlies terug kunt komen. Daarna verwijderen we de gegevens, na een waarschuwing per e-mail. Wil je dat het eerder gebeurt, dan verwijder je je account of vraag je verwijdering aan via Voorkeuren of privacy@gocreajt.com.
• Na verwijdering zijn de gegevens meteen uit de database weg. Bestanden en kopieën in back-ups ruimen we daarna op, uiterlijk binnen 90 dagen.
• We bewaren alleen iets langer als de wet ons daartoe verplicht.

14. Aansprakelijkheid

Voor de aansprakelijkheid onder deze overeenkomst gelden de afspraken over aansprakelijkheid in de algemene voorwaarden. Dat laat de rechten van betrokkenen en de regels van artikel 82 AVG onverlet.

15. Wijzigingen, rangorde en recht

• We kunnen deze overeenkomst aanpassen, bijvoorbeeld als de wet of de dienst verandert. Belangrijke wijzigingen laten we je minstens 30 dagen vooraf weten.
• Spreken deze overeenkomst en de algemene voorwaarden elkaar tegen over persoonsgegevens, dan gaat deze overeenkomst voor.
• Op deze overeenkomst is Nederlands recht van toepassing. Geschillen leggen we voor aan de bevoegde rechter van de rechtbank Gelderland.

Vragen

Vragen over deze verwerkersovereenkomst? Mail ons op privacy@gocreajt.com.