Verwerkersovereenkomst

Preambule

Deze overeenkomst (de “Overeenkomst”) wordt gesloten tussen de Klant, die optreedt als verwerkingsverantwoordelijke (of als verwerker van zijn eigen klanten, wanneer hij een bureau is), en CODEVIUM SAS, uitgever van de dienst iPand, die optreedt als verwerker (“iPand”), in de zin van artikel 28 van Verordening (EU) 2016/679 (de “AVG”).

Ze vormt bijlage 1 bij de algemene verkoopvoorwaarden (de “verkoopvoorwaarden”) en wordt samen daarmee aanvaard, via het aanvaardingsvakje dat bij het afsluiten wordt aangevinkt of via de aanvaarding van een offerte voor Maatwerk. Ze is van toepassing zolang iPand Persoonsgegevens van de Klant verwerkt, ook na het einde van de verkoopvoorwaarden.

De begrippen “persoonsgegevens”, “verwerking”, “verwerkingsverantwoordelijke”, “verwerker”, “betrokkene” en “inbreuk in verband met persoonsgegevens” hebben de betekenis die artikel 4 AVG eraan geeft. De andere begrippen met een hoofdletter hebben de betekenis uit de verkoopvoorwaarden.

Artikel 1 — Reikwijdte: wat iPand voor de Klant verwerkt

1.1 iPand treedt op als verwerker voor de persoonsgegevens in de Klantgegevens (de “Persoonsgegevens van de Klant”), beschreven in bijlage A: samenstelling van de Organisatie (leden, rollen, toegankelijke merken, uitnodigingen), inhoud die de leden invoeren (prompts, entiteiten, concurrenten, taken, gevolgde pagina’s), gesprekken met Pandi, de GEO-assistent van iPand, en resultaten die voor de Klant worden gegenereerd.

1.2 iPand treedt op als verwerkingsverantwoordelijke, en niet als verwerker, voor de verwerkingen die iPand zelf bepaalt: aanmaak en beveiliging van gebruikersaccounts, authenticatie en beveiligingslog, bewijs van de aanvaarding van de voorwaarden, facturatie en commerciële relatie, service-e-mails, support, voorkoming van misbruik, meting van het gebruik van de app, meting van het websitebezoek. Deze verwerkingen worden beschreven in het privacybeleid en vallen niet onder de Overeenkomst.

1.3 De antwoorden die bij AI-platforms worden verzameld en de geanalyseerde webpagina’s kunnen natuurlijke personen noemen (bestuurders, auteurs, openbare reviews). Voor het verzamelen van deze openbare inhoud en voor zijn meetmethode handelt iPand voor eigen rekening, als verwerkingsverantwoordelijke, op basis van zijn gerechtvaardigd belang; deze verwerking wordt beschreven in het privacybeleid.

Artikel 2 — Instructies

2.1 iPand verwerkt de Persoonsgegevens van de Klant alleen op basis van schriftelijke instructies van de Klant, ook wat betreft doorgifte buiten de Europese Unie, tenzij een wettelijke verplichting anders voorschrijft; in dat geval stelt iPand de Klant vóór de verwerking daarvan in kennis, tenzij de wet dat verbiedt.

2.2 De instructies van de Klant bestaan uit de verkoopvoorwaarden, de gebruiksvoorwaarden, deze Overeenkomst, de instellingen en handelingen van de leden in de Dienst (toevoegen of verwijderen van prompts, entiteiten, leden; aanvragen van een archief; verwijderen van een merk of een account; autoriseren van een MCP-client), en elke aanvullende schriftelijke instructie die iPand aanvaardt.

2.3 iPand stelt de Klant onmiddellijk in kennis als een instructie naar zijn oordeel inbreuk maakt op de AVG of op een andere regel inzake gegevensbescherming.

2.4 iPand gebruikt de Persoonsgegevens van de Klant niet voor eigen doeleinden, verkoopt ze niet en gebruikt ze niet om AI-modellen te trainen.

Artikel 3 — Vertrouwelijkheid

iPand zorgt ervoor dat de personen die gemachtigd zijn de Persoonsgegevens van de Klant te verwerken, zich ertoe hebben verbonden de vertrouwelijkheid ervan te respecteren of aan een wettelijke geheimhoudingsplicht zijn gebonden, en er alleen toegang toe hebben voor zover dat nodig is voor de uitvoering van de Dienst, voor de door de Klant gevraagde support of voor de beveiliging.

Artikel 4 — Beveiliging

4.1 iPand neemt de passende technische en organisatorische maatregelen die in bijlage B worden beschreven, overeenkomstig artikel 32 AVG, rekening houdend met de stand van de techniek, de kosten, de aard van de verwerkingen en de risico’s.

4.2 iPand kan deze maatregelen aanpassen, op voorwaarde dat het algemene beveiligingsniveau niet daalt.

4.3 De Klant blijft verantwoordelijk voor de maatregelen die op hem rusten: beheer van de leden en hun rechten, intrekken van de toegang van personen die zijn organisatie verlaten, vertrouwelijkheid van de mailboxen die de inlogcodes ontvangen, keuze van de MCP-clients die hij autoriseert, en de inhoud die hij invoert (met name het ontbreken van persoonsgegevens in de prompts, zoals de gebruiksvoorwaarden vragen).

Artikel 5 — Inbreuk in verband met persoonsgegevens

5.1 iPand meldt de Klant elke inbreuk in verband met persoonsgegevens die de Persoonsgegevens van de Klant betreft zo snel mogelijk en uiterlijk 48 uur nadat iPand er kennis van heeft gekregen, per e-mail aan het factuuradres en aan de Beheerders.

5.2 De melding vermeldt, voor zover mogelijk: de aard van de inbreuk, de categorieën en het geschatte aantal betrokken personen en registraties, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen, en een contactpunt. Informatie die nog niet beschikbaar is, wordt zo snel mogelijk, in fasen, verstrekt.

5.3 iPand werkt met de Klant samen zodat die de toezichthoudende autoriteit en, in voorkomend geval, de betrokkenen kan informeren. De melding door iPand houdt geen erkenning van schuld in. iPand past een interne procedure toe voor de afhandeling van inbreuken in verband met persoonsgegevens.

Artikel 6 — Subverwerkers

6.1 De Klant geeft iPand een algemene toestemming om de subverwerkers in te schakelen die op de datum van het afsluiten op de lijst staan die iPand bijhoudt (bijlage C), en daarna zoals die lijst volgens dit artikel verandert. De actuele lijst wordt de Klant op verzoek verstrekt, via contact@ipand.io.

6.2 Subverwerkers die iPand kiest. iPand informeert de Klant over elke toevoeging of vervanging van een subverwerker die iPand kiest, ten minste 30 dagen voordat die Persoonsgegevens van de Klant verwerkt, per e-mail aan de Beheerders van elke klantorganisatie. De Klant kan daartegen binnen die termijn schriftelijk bezwaar maken, via contact@ipand.io, om een redelijke reden die verband houdt met gegevensbescherming. De partijen zoeken dan een oplossing; lukt dat niet, dan kan de Klant het betrokken abonnement kosteloos opzeggen, waarbij het niet geleverde deel van de jaarlijkse Periode hem naar rato wordt terugbetaald.

6.3 Vervanging bij spoed. Wanneer de beveiliging van de gegevens of de uitval van een leverancier een vervanging vereist zonder die termijn af te wachten, kan iPand daartoe overgaan met een kortere aankondigingstermijn. iPand informeert de Klant daarover dan onverwijld, op dezelfde wijze, en de Klant heeft achteraf dezelfde rechten van bezwaar en opzegging.

6.4 Wijzigingen bij de subverwerkers van subverwerkers. Sommige subverwerkers schakelen zelf leveranciers in die ze kiezen en volgens hun eigen voorwaarden kunnen wijzigen, zonder iPand altijd een aankondigingstermijn van 30 dagen te garanderen: met name de leveranciers die de antwoorden verzamelen en hun modelleveranciers, de hostingleverancier, de leverancier voor e-mailverzending en de aanbieders van de platforms van het pakket Maatwerk. iPand informeert de Klant over deze wijzigingen, op dezelfde wijze, zodra iPand ervan op de hoogte is. De Klant heeft dan dezelfde rechten van bezwaar en opzegging als in artikel 6.2.

6.5 iPand legt elke subverwerker contractueel verplichtingen inzake gegevensbescherming op die gelijkwaardig zijn aan die van de Overeenkomst, met name voldoende garanties wat betreft de technische en organisatorische maatregelen. iPand blijft tegenover de Klant aansprakelijk voor de nakoming van hun verplichtingen.

6.6 De MCP-clients (assistenten van derden zoals claude.ai of ChatGPT) die een lid toestemming geeft om de gegevens van de Organisatie te lezen, zijn geen subverwerkers van iPand: ze handelen op initiatief en onder verantwoordelijkheid van de Klant, volgens hun eigen voorwaarden. De Klant kan hun toegang op elk moment intrekken (Instellingen › Integraties).

Artikel 7 — Doorgifte buiten de Europese Unie

7.1 De Persoonsgegevens van de Klant worden gehost in de Europese Unie, in de Azure-regio “West Europe” (Nederland); de geografisch redundante back-ups van de database worden daar bewaard en door Azure gerepliceerd naar de gekoppelde regio “North Europe” (Ierland), in de Europese Unie. Verwerkingen met taalmodellen worden uitgevoerd in de Europese Unie: verzoeken en antwoorden kunnen in elke lidstaat van de Unie worden verwerkt.

7.2 Wanneer een subverwerker gegevens buiten de Europese Economische Ruimte verwerkt, of daar toegang toe geeft, berust de doorgifte op een adequaatheidsbesluit (waaronder het Data Privacy Framework EU-VS voor een gecertificeerde vennootschap) of op de standaardcontractbepalingen van de Europese Commissie (Besluit 2021/914), zo nodig aangevuld met aanvullende maatregelen. De lijst van subverwerkers (bijlage C) vermeldt voor elk van hen de plaats van verwerking en het gekozen mechanisme.

7.3 Op de datum van deze versie van de Overeenkomst:

• In de Verenigde Staten gevestigde leveranciers die de antwoorden verzamelen en aanbieders van platforms: standaardcontractbepalingen, module 2 (verwerkingsverantwoordelijke naar verwerker) en, voor sommigen, module 3, opgenomen in hun verwerkersovereenkomst.
• In de Europese Unie gevestigde leveranciers die de antwoorden verzamelen en die gegevens buiten de Unie verwerken of laten verwerken (onder meer in de Verenigde Staten en het Verenigd Koninkrijk): de doorgifte van prompts door iPand is geen doorgifte buiten de Unie; hun eigen doorgifte berust op standaardcontractbepalingen of adequaatheidsbesluiten, volgens hun verwerkersovereenkomst of hun privacybeleid.
• In de Europese Unie gevestigde aanbieder van een platform (pakket Maatwerk): de doorgifte van prompts is geen doorgifte buiten de Unie; de aanbieder maakt bij voorkeur gebruik van leveranciers in de Unie, en in uitzonderlijke gevallen van leveranciers buiten de Unie.
• Leverancier voor e-mailverzending (Verenigde Staten): vennootschap gecertificeerd onder het Data Privacy Framework EU-VS; haar verwerkersovereenkomst bevat daarnaast de standaardcontractbepalingen, module 2. De e-mails worden vanuit Ierland verstuurd; de gegevens van het account (metadata van de e-mails, logs) worden in de Verenigde Staten opgeslagen.
• Hostingleverancier (Microsoft Ireland Operations Limited): de verwerkingen vallen onder de verwerkersovereenkomst van Microsoft (Microsoft Products and Services Data Protection Addendum).
• De API’s van twee modelleveranciers worden gebruikt voor een technische test met interne prompts van iPand en verwerken geen Persoonsgegevens van de Klant. Een gebruik ervan voor de meetrondes van klanten zou worden aangekondigd volgens artikel 6.2.

Artikel 8 — Bijstand aan de Klant

8.1 Rechten van betrokkenen. Rekening houdend met de aard van de verwerking helpt iPand de Klant, door middel van passende technische en organisatorische maatregelen, verzoeken van betrokkenen om hun rechten uit te oefenen te beantwoorden. Met de Dienst kan de Klant rechtstreeks:

• de gegevens inzien en exporteren: archief van de Organisatie (Instellingen › Organisatie, Beheerders), exports vanuit de schermen;
• ingevoerde gegevens rectificeren;
• gegevens wissen: verwijdering van een lid, archivering van een prompt, verwijdering van een entiteit, een taak, een gesprek met Pandi (met de berichten gewist 30 dagen na de verwijdering), een merk (opgeschoond 30 dagen na de verwijdering);
• de toegang van een lid tot bepaalde merken beperken.

Verzoeken die niet onder deze functies vallen, worden gericht aan contact@ipand.io; iPand beantwoordt ze binnen een termijn die de Klant in staat stelt de termijn van een maand van artikel 12 AVG na te leven. Een verzoek dat rechtstreeks van een betrokkene wordt ontvangen en betrekking heeft op de Persoonsgegevens van de Klant, wordt onverwijld aan de Klant doorgestuurd, zonder het inhoudelijk te beantwoorden, tenzij de Klant anders instrueert.

8.2 Andere verplichtingen. iPand helpt de Klant de naleving van de artikelen 32 tot en met 36 AVG te waarborgen (beveiliging, inbreuken, gegevensbeschermingseffectbeoordeling, voorafgaande raadpleging), rekening houdend met de informatie waarover iPand beschikt, met name door de beschrijving van de verwerkingen en van de beveiligingsmaatregelen in bijlage B te verstrekken. Deze bijstand wordt kosteloos verleend, binnen redelijke grenzen.

Artikel 9 — Duur, teruggave en verwijdering

9.1 De Overeenkomst is van toepassing gedurende de hele looptijd van de abonnementen en tot de daadwerkelijke verwijdering van de Persoonsgegevens van de Klant.

9.2 Teruggave. Vóór de verwijdering kan een Beheerder op elk moment een archief met de gegevens van de Organisatie verkrijgen, in JSON- en CSV-formaat, dat 24 uur na de voorbereiding beschikbaar is. Het bevat de organisatie en haar abonnementen, de leden en de uitnodigingen, de merken (markten, platforms, labels, entiteiten), de prompts, een overzicht van elk verzameld antwoord, de gevolgde pagina’s en het resultaat van hun laatste analyse, en het activiteitenlog van de Organisatie. Gesprekken met Pandi, taken en aanbevelingen, die er niet in staan, worden teruggegeven op verzoek aan contact@ipand.io.

9.3 Verwijdering. Aan het einde van de diensten verwijdert iPand de Persoonsgegevens van de Klant, behoudens een wettelijke bewaarplicht:

• einde van het abonnement van een merk: gegevens van het merk opgeschoond 12 maanden na het einde van het laatste abonnement ervan, bij de daaropvolgende maandelijkse verwerking; gedurende die termijn kan de Klant zich op verzoek aan contact@ipand.io opnieuw abonneren of het archief aanvragen, en kan hij een vervroegde verwijdering bewerkstelligen door het merk te verwijderen;
• verwijdering van een merk: gegevens opgeschoond 30 dagen na de verwijdering;
• verwijdering van het account van een lid: sessies, gekoppelde inlogidentiteiten en lidmaatschappen direct verwijderd; account en sporen 30 dagen later gewist;
• gesprek met Pandi verwijderd door de auteur: met de berichten gewist 30 dagen na de verwijdering; de taken die vanuit het gesprek zijn aangemaakt, blijven bewaard; de gesprekken van een lid dat uit de Organisatie is verwijderd, worden bewaard tot het merk of het account van dat lid wordt verwijderd;
• activiteitenlog van de Organisatie: 12 maanden;
• uitnodigingen: gewist 90 dagen na het verlopen, of ze nu zijn aanvaard, ingetrokken of niet;
• Organisatie zonder leden en zonder lopend abonnement: als verwijderd gemarkeerd bij de dagelijkse ochtendverwerking, opgeschoond 30 dagen later.

Zodra de gegevens uit de database zijn gewist, verdwijnen ze uiterlijk binnen 90 dagen uit de back-ups en archieven: herstel naar een willekeurig moment binnen 14 dagen, maandelijkse archieven van de database die maximaal 90 dagen worden bewaard, omkeerbare verwijdering van bestanden gedurende 14 dagen. Technische logs worden 30 dagen bewaard. De gegevens blijven tot hun wissing onder de Overeenkomst vallen.

9.4 Op schriftelijk verzoek bevestigt iPand de verwijdering schriftelijk.

Artikel 10 — Informatie en audit

10.1 iPand stelt de Klant de informatie ter beschikking die nodig is om aan te tonen dat artikel 28 AVG wordt nageleefd: deze Overeenkomst en de bijlagen daarbij en, op verzoek, de lijst van subverwerkers en een ingevulde beveiligingsvragenlijst.

10.2 De Klant kan op eigen kosten een audit laten uitvoeren door een onafhankelijke auditor die aan geheimhouding is gebonden en geen concurrent van iPand is, maximaal één keer per jaar (behalve bij een inbreuk in verband met persoonsgegevens of een verzoek van een toezichthoudende autoriteit), met een aankondigingstermijn van 30 dagen, tijdens kantooruren, zonder toegang tot de gegevens van andere klanten of tot beveiligingsgeheimen, en zonder de Dienst te verstoren. De audit van subverwerkers gebeurt aan de hand van hun certificeringen en rapporten (ISO 27001, SOC 2…).

Artikel 11 — Aansprakelijkheid

De aansprakelijkheid van elke partij op grond van de Overeenkomst is onderworpen aan de beperkingen van artikel 19 van de verkoopvoorwaarden, behoudens andersluidende dwingende bepalingen; in de verhouding tot betrokkenen is artikel 82 AVG van toepassing.

Artikel 12 — Diverse bepalingen

Bij tegenstrijdigheid tussen de Overeenkomst en de verkoopvoorwaarden gaat de Overeenkomst voor wat de bescherming van persoonsgegevens betreft. Op de Overeenkomst is Frans recht van toepassing en bevoegd zijn de rechters die in de verkoopvoorwaarden zijn aangewezen. iPand kan de Overeenkomst wijzigen onder de voorwaarden van artikel 25 van de verkoopvoorwaarden; een wijziging die door de wet of door een autoriteit wordt opgelegd, gaat onmiddellijk in.

Deze tekst is in het Frans opgesteld. De vertalingen worden ter informatie verstrekt; bij verschillen is de Franse versie leidend.

Bijlage A — Beschrijving van de verwerkingen

Bijlage B — Technische en organisatorische maatregelen

Maatregelen die gelden op de datum van inwerkingtreding van deze versie. Aanvullende informatie kan op verzoek, onder geheimhoudingsverplichting, aan de Klant worden verstrekt.

Hosting en versleuteling

• Hosting bij Microsoft Azure, regio West Europe (Nederland); geografisch redundante back-ups van de database, in dezelfde regio en in de gekoppelde regio North Europe (Ierland); geen productiegegevens buiten deze regio’s, behalve bij de subverwerkers van bijlage C.
• Versleuteling tijdens het transport: minimaal TLS 1.2 voor de database, de opslag en de API; HTTPS verplicht; HSTS op de API en de app.
• Versleuteling in rust van Azure SQL en Azure Storage, standaard ingeschakeld door Azure, met sleutels die Microsoft beheert.
• Geheimen in Azure Key Vault (op rollen gebaseerd toegangsbeheer, omkeerbare verwijdering gedurende 90 dagen, bescherming tegen definitieve verwijdering); geen geheimen in de code.

Toegangsbeheer

• Toegang van diensten tot resources via beheerde identiteiten; alleen Entra-authenticatie voor de database; gedeelde sleutels van de opslag en sleutels voor toegang tot de taalmodellen uitgeschakeld; anonieme openbare toegang tot bestanden afgesloten.
• Implementatie via gefedereerde identiteit (OIDC) alleen vanuit de hoofdbranch; geen permanente toegang met wachtwoord.
• Gebruikers: inloggen zonder wachtwoord (gehashte eenmalige code, 10 minuten geldig, 5 pogingen; Google; Microsoft); toegangstoken van 15 minuten in het geheugen; vernieuwingstoken in een cookie HttpOnly, Secure, SameSite=Strict, ingetrokken bij hergebruik; sessies zichtbaar en intrekbaar.
• Scheiding: elk verzoek controleert het lidmaatschap van de Organisatie en de toegang tot het merk; een bijdrager ziet alleen zijn eigen merken.
• Beheerders van het platform: beperkt in aantal, aangewezen in de database, zonder lidmaatschap van Organisaties; beheerdersacties gelogd.
• MCP-toegang: OAuth 2.1 met PKCE, één enkele leesscope, toegangstokens van 60 minuten, door de gebruiker intrekbaar.

Applicatiebeveiliging

• Snelheidslimieten op authenticatie, formulieren, Pandi, de MCP-server en OAuth.
• Bescherming tegen verzoeken naar het interne netwerk (SSRF) voor elk adres dat een klant opgeeft; geïsoleerde renderbrowser, zonder geheimen en zonder toegang tot de database.
• Meldingen van de betaal- en e-mailleveranciers geverifieerd via handtekening.
• Inhoud van derden (antwoorden van de platforms, pagina’s) door Pandi en de MCP-server als onbetrouwbaar behandeld.

Logging en monitoring

• Beveiligingslog 12 maanden bewaard: het IP-adres en het e-mailadres staan er alleen in als hash, berekend met een geheime sleutel, nooit leesbaar.
• Activiteitenlog van de Organisatie (12 maanden) en log van beheerdersacties.
• Technische logs 30 dagen bewaard, IP-adres gemaskeerd.
• Meldingen per e-mail bij fouten van de dienst, mislukte meetrondes, vastgelopen wachtrijen en overschreden uitgaven.

Continuïteit

• Back-ups van de database: herstel naar een willekeurig moment binnen 14 dagen; geografisch redundante kopieën, in West Europe en in de gekoppelde regio North Europe (Ierland).
• Maandelijks archief van de database, geëxporteerd en gecontroleerd in Azure, regio West Europe, en maximaal 90 dagen bewaard in de Azure-opslag van die regio; er worden geen productiegegevens toevertrouwd aan de dienst die de code host.
• Omkeerbare verwijdering van bestanden gedurende 14 dagen.

Minimalisering en bewaring

• Automatische opschoning: dagelijkse ochtendverwerking (verwijderde accounts, merken, organisaties en gesprekken, activiteitenlog, verlopen uitnodigingen), maandelijkse verwerking (merken waarvan het abonnement al 12 maanden is beëindigd, contact- en demo-aanvragen, feedback, gebruiksgebeurtenissen ouder dan 25 maanden), opschoning per uur (inlogcodes, beveiligingslog, sessies, berichten die wachten op verzending, verlopen tokens).
• Beperkte bewaring van de ruwe antwoorden van de leveranciers die de antwoorden verzamelen (30 dagen) en van schermafbeeldingen van pagina’s (183 dagen).
• Taalmodellen: verzoeken verstuurd zonder opslag van de antwoorden door de dienst (store: false); geen training van de modellen met deze gegevens; de leverancier bewaart verzoeken en antwoorden in de Europese Unie voor het toezicht op misbruik, gedurende een beperkte termijn die hij vaststelt, met een geautomatiseerde beoordeling en daarna, zo nodig, een beoordeling door bevoegde medewerkers in de Europese Economische Ruimte.
• Leveranciers die de antwoorden verzamelen en aanbieders van de platforms: elk van hen bewaart de verzoeken en antwoorden van de meetrondes volgens zijn verwerkersovereenkomst, van de tijd die nodig is om het antwoord te genereren tot 12 maanden, afhankelijk van de leverancier, of tot het einde van de dienst; tot 2 jaar voor inhoud die op grond van een gebruiksbeleid is gemeld. Voor een van de platforms van het pakket Maatwerk schakelt iPand de nulretentie in die de aanbieder ervan voorstelt, voordat dit platform voor de meetrondes wordt opengesteld. De bewaartermijn van elk van hen staat in de lijst van subverwerkers (bijlage C).
• Geen productiegegevens in de ontwikkelomgevingen; geen acceptatieomgeving.

Organisatie

• Personeel gebonden aan geheimhouding; toegang tot productiegegevens beperkt tot wat nodig is voor support en beheer.
• Interne procedure voor de afhandeling van inbreuken in verband met persoonsgegevens.

Bijlage C — Toegestane subverwerkers

De actuele lijst van subverwerkers (identiteit, rol, verwerkte gegevens, plaats van verwerking en waarborgen voor doorgifte) wordt door iPand bijgehouden en de Klant op verzoek verstrekt, via contact@ipand.io. De Klant wordt ten minste 30 dagen vóór elke toevoeging of vervanging van een subverwerker per e-mail op de hoogte gebracht en kan daartegen bezwaar maken onder de voorwaarden van artikel 6.