Deze verwerkersovereenkomst hoort bij de Gebruiksvoorwaarden en geldt zolang Glimps persoonsgegevens voor de Klant verwerkt.
Partijen: de Klant die de Gebruiksvoorwaarden heeft aanvaard, als verwerkingsverantwoordelijke, en Glimps, KvK 94781745, Sint Lambertusweg 18, 5953 CJ Reuver, als verwerker.
1. Instructies
1.1 Glimps verwerkt persoonsgegevens uitsluitend in opdracht van de Klant, voor de doeleinden in Bijlage 1. De Gebruiksvoorwaarden, deze overeenkomst en de instellingen die de Klant in het platform kiest, gelden samen als de volledige instructie.
1.2 Glimps meldt het de Klant direct als een instructie naar haar mening in strijd is met de AVG.
1.3 Glimps verwerkt de gegevens niet voor eigen doeleinden. Correcties van gebruikers gebruikt Glimps uitsluitend binnen het account van de betreffende Klant. Bedrijfsoverstijgend leren met Klantdata is niet toegestaan. Alleen daadwerkelijk geanonimiseerde statistieken mogen worden gebruikt voor beheer en verbetering van de Dienst.
2. Geheimhouding
Iedereen die onder gezag van Glimps persoonsgegevens verwerkt, is gebonden aan geheimhouding.
3. Beveiliging
Glimps treft passende technische en organisatorische maatregelen conform artikel 32 AVG. De actuele maatregelen staan in Beveiligingsmaatregelen, Bijlage 3 bij deze overeenkomst. Glimps mag die maatregelen wijzigen, mits het beschermingsniveau niet wezenlijk afneemt.
4. Subverwerkers
4.1 De Klant geeft algemene toestemming voor het inschakelen van de subverwerkers op de subverwerkerslijst, Bijlage 2 bij deze overeenkomst. De lijst die geldt bij aanvaarding, is daarmee goedgekeurd.
4.2 Glimps publiceert een toevoeging of vervanging op de subverwerkerspagina. De Klant kan zich via [email protected] aanmelden voor een e-mailmelding bij wijzigingen. De Klant kan schriftelijk en gemotiveerd bezwaar maken tegen een nieuwe subverwerker. Komen partijen er niet uit, dan kan de Klant de betreffende functie uitschakelen of de overeenkomst beëindigen.
4.3 Glimps legt aan subverwerkers verplichtingen op die ten minste gelijkwaardig zijn aan deze overeenkomst, en blijft jegens de Klant verantwoordelijk voor hun prestaties.
5. Doorgifte buiten de EER
De verwerkingslocatie per subverwerker staat op de subverwerkerslijst. Waar een partij buiten de EER verwerkt of toegang kan hebben, gebruikt Glimps een geldig doorgiftemechanisme: een adequaatheidsbesluit, het EU-VS Data Privacy Framework of standaardcontractbepalingen.
6. Bijstand aan de Klant
6.1 Glimps ondersteunt de Klant bij verzoeken van betrokkenen, bij beveiliging, bij de meldplicht datalekken en bij een DPIA of voorafgaande raadpleging.
6.2 Komt een verzoek van een betrokkene rechtstreeks bij Glimps binnen, dan stuurt Glimps dat direct door aan de Klant. Glimps handelt het niet zelfstandig af.
6.3 Kosten voor bijstand die verder gaat dan de standaardfunctionaliteit van de Dienst, brengt Glimps alleen in rekening na een vooraf gegeven prijsopgave.
7. Datalekken
7.1 Glimps informeert de Klant zonder onredelijke vertraging nadat zij kennis heeft genomen van een inbreuk die de Klant betreft. Het operationele doel is binnen 24 uur, en waar redelijkerwijs mogelijk uiterlijk binnen 48 uur. De eerste melding mag voorlopig zijn en wordt aangevuld zodra er meer bekend is.
7.2 De melding aan de toezichthouder en aan betrokkenen is de verantwoordelijkheid van de Klant. Glimps meldt niet namens de Klant.
8. Audit
8.1 Glimps stelt op verzoek de informatie beschikbaar die nodig is om naleving aan te tonen.
8.2 De Klant mag maximaal eenmaal per kalenderjaar, op eigen kosten en na 30 dagen aankondiging, een audit laten uitvoeren tijdens kantooruren en zonder onevenredige verstoring. Die frequentiebeperking geldt niet wanneer een incident of een toezichthouder redelijkerwijs een aanvullende audit vereist. Bevindingen zijn vertrouwelijk.
8.3 Glimps heeft geen ISO 27001- of SOC 2-certificering waarnaar zij kan verwijzen.
9. Verwijdering en teruggave
9.1 De Klant kan op elk moment een volledige export van zijn exporteerbare Klantdata en metadata aanvragen via [email protected]. Glimps levert die in een gestructureerd, gangbaar en machineleesbaar formaat, binnen 30 kalenderdagen en zonder kosten.
9.2 Na het einde van de overeenkomst bewaart Glimps de gegevens 90 dagen, zodat de Klant kan exporteren of het account kan heropenen. Daarna verwijdert Glimps de Klantdata binnen 30 dagen uit productie. Kopieën in back-ups vervallen binnen maximaal 30 dagen daarna. De Klant kan vóór het einde van de overeenkomst schriftelijk een langere bewaartermijn aanvragen.
9.3 Glimps bewaart langer waar de wet dat vereist, zoals voor de eigen facturatie-administratie.
9.4 De Klant blijft verantwoordelijk voor zijn eigen wettelijke bewaarplichten. Glimps is zonder aparte schriftelijke archiefovereenkomst niet de wettelijke langetermijnarchiefdienst van de Klant.
10. Aansprakelijkheid en duur
10.1 De aansprakelijkheidsregeling uit de Gebruiksvoorwaarden geldt onverkort voor deze overeenkomst.
10.2 Bepalingen die naar hun aard voortduren, zoals geheimhouding, blijven na beëindiging van kracht.
Bijlage 1: Overzicht van verwerkingen
Aard en doel: het geautomatiseerd verwerken van inkoopfacturen. Ontvangst via upload en e-mail, uitlezen, herkenning van leveranciers, voorstellen voor codering en btw, matching met inkooporders, goedkeuringsroutes, boeking in het boekhoudpakket van de Klant, notificaties en rapportage.
Categorieën betrokkenen:
- medewerkers en vertegenwoordigers van de Klant;
- contactpersonen en medewerkers van leveranciers van de Klant;
- eenmanszaken en zzp'ers als leverancier;
- overige personen van wie gegevens voorkomen in facturen of e-mails die de Klant verwerkt.
Categorieën persoonsgegevens:
- NAW- en contactgegevens, functietitels en handtekeningen op facturen;
- financiële gegevens: factuurbedragen, IBAN, btw-nummers en betalingsreferenties;
- e-mailmetadata van gekoppelde mailboxen: afzender, onderwerp, bijlagenamen en classificatie;
- goedkeuringshandelingen, opmerkingen en vragen van gebruikers;
- de inhoud van AI-gesprekken, voor zover de gebruiker die zelf invoert.
Bijzondere categorieën persoonsgegevens zijn niet beoogd. Omdat vrije tekst, e-mails en documenten worden verwerkt, kunnen die incidenteel toch voorkomen. De Klant vermijdt dit, tenzij daarvoor een geldige grondslag en een passende instructie bestaat.
Duur: zolang de Hoofdovereenkomst loopt, daarna volgens artikel 9.
Bijlage 2: Subverwerkers
Bijlage 3: Technische en organisatorische maatregelen
Vragen over dit document? [email protected]