Verwerkersovereenkomst

1. Partijen en reikwijdte

Deze Verwerkersovereenkomst ("Verwerkersovereenkomst") wordt gesloten tussen de klant die de Servicevoorwaarden aanvaardt ("Klant", de verwerkingsverantwoordelijke) en IMFA Labs LLC, een vennootschap met beperkte aansprakelijkheid (limited liability company), geregistreerd in Wyoming, Verenigde Staten ("IMFA", de verwerker). Zij maakt deel uit van de Voorwaarden en is van toepassing op persoonsgegevens die IMFA voor de Klant verwerkt bij het leveren van IMFA Agents ("Persoonsgegevens van de Klant"). Zij weerspiegelt artikel 28 van de Algemene Verordening Gegevensbescherming van de EU (AVG of GDPR), de UK GDPR en vergelijkbare wetten waar die van toepassing zijn.

Als deze Verwerkersovereenkomst in strijd is met de Voorwaarden, heeft deze Verwerkersovereenkomst voorrang voor Persoonsgegevens van de Klant. Als de Standard Contractual Clauses (modelcontractbepalingen) van toepassing zijn en in strijd zijn met deze Verwerkersovereenkomst, hebben de Standard Contractual Clauses voorrang.

2. Onderwerp en duur

IMFA verwerkt Persoonsgegevens van de Klant om de service te leveren die de Klant configureert: agents hosten, gesprekken beantwoorden in de websitewidget, via spraak en op verbonden kanalen, kennis en bestanden opslaan, leads en bestellingen vastleggen, de diensten koppelen die de Klant kiest, en de service veilig houden. De verwerking duurt zolang de Klant de service gebruikt en tot de verwijdering op grond van sectie 11. De details staan in Bijlage 1.

3. Verplichtingen van de Klant

De Klant:

• bepaalt welke persoonsgegevens in de service terechtkomen en waarom, en heeft daarvoor een rechtsgrond;
• geeft zijn bezoekers en klanten de kennisgevingen die de wet vereist (inclusief dat zij met een AI praten waar dat vereist is) en verkrijgt alle vereiste toestemming;
• voegt geen bijzondere categorieën van gegevens of gegevens van kinderen toe, tenzij de wet dat toestaat en de Klant over alle vereiste waarborgen beschikt;
• configureert zijn agents, kanalen, teamtoegang en integraties op passende wijze;
• beantwoordt de verzoeken van zijn betrokkenen, met hulp van IMFA op grond van sectie 8.

4. Verplichtingen van IMFA

IMFA:

• verwerkt Persoonsgegevens van de Klant alleen volgens de gedocumenteerde instructies van de Klant, namelijk de Voorwaarden, deze Verwerkersovereenkomst en de instellingen van de Klant in de service, tenzij de wet anders vereist (in dat geval informeert IMFA de Klant eerst, tenzij de wet dat verbiedt);
• laat de Klant weten als IMFA van mening is dat een instructie in strijd is met de wetgeving inzake gegevensbescherming;
• verkoopt Persoonsgegevens van de Klant niet en gebruikt ze niet voor eigen doeleinden, behalve voor zover nodig om de service te beveiligen, misbruik te voorkomen en de wet na te leven, zoals beschreven in het Privacybeleid;
• gebruikt Persoonsgegevens van de Klant niet om AI-modellen te trainen.

5. Vertrouwelijkheid

IMFA zorgt ervoor dat personen die bevoegd zijn om Persoonsgegevens van de Klant te verwerken, gebonden zijn aan geheimhouding en die gegevens alleen inzien voor zover nodig om de service te leveren, te ondersteunen en te beveiligen.

6. Beveiliging

IMFA past de technische en organisatorische maatregelen in Bijlage 2 toe, rekening houdend met de stand van de techniek, de kosten en de risico's. IMFA kan deze maatregelen bijwerken zolang de algehele bescherming niet afneemt.

7. Subverwerkers

De Klant geeft IMFA een algemene toestemming om subverwerkers in te schakelen. De actuele lijst staat op Subverwerkers. IMFA:

• verbindt elke subverwerker bij schriftelijke overeenkomst aan verplichtingen inzake gegevensbescherming die minstens even beschermend zijn als deze Verwerkersovereenkomst, passend bij de dienst die de subverwerker levert;
• werkt de lijst bij voordat een subverwerker wordt toegevoegd of vervangen; de Klant kan vragen om per e-mail via privacy@imfa.io op de hoogte te worden gesteld van wijzigingen;
• laat de Klant binnen 30 dagen na de bijwerking bezwaar maken op redelijke gronden van gegevensbescherming; als de partijen het bezwaar niet kunnen oplossen, kan de Klant stoppen met het gebruik van de betreffende functie of de service beëindigen, en een terugbetaling naar rato ontvangen van vooruitbetaalde kosten voor de ongebruikte periode van dat abonnement;
• blijft verantwoordelijk voor de uitvoering door zijn subverwerkers zoals de wet vereist.

Platforms die de Klant koppelt (Meta, Telegram, Discord, Google en betaalmethoden via Stripe) treden op als zelfstandige verwerkingsverantwoordelijken voor hun eigen verwerking en zijn geen subverwerkers van IMFA.

8. Hulp bij verzoeken van betrokkenen

Rekening houdend met de aard van de verwerking helpt IMFA de Klant bij het beantwoorden van verzoeken om inzage, rectificatie, verwijdering, beperking of overdracht van persoonsgegevens, voornamelijk via de tools in de service (gesprekken, leads, bestanden en agents bekijken en verwijderen). Waar de tools niet volstaan, kan de Klant contact opnemen via privacy@imfa.io. Als IMFA rechtstreeks een verzoek ontvangt van een betrokkene van een Klant, verwijst IMFA de persoon door naar de Klant, voor zover IMFA de Klant kan identificeren, en beantwoordt IMFA het verzoek niet zelf, tenzij de Klant daarom vraagt.

9. Inbreuken in verband met persoonsgegevens

IMFA stelt de Klant zonder onnodige vertraging op de hoogte nadat IMFA kennis heeft gekregen van een inbreuk in verband met persoonsgegevens die Persoonsgegevens van de Klant treft, met de informatie die de Klant nodig heeft om aan zijn eigen verplichtingen te voldoen, zodra die informatie beschikbaar komt. IMFA neemt redelijke maatregelen om de inbreuk in te dammen. Een melding is geen erkenning van schuld.

10. Effectbeoordelingen en autoriteiten

IMFA geeft de Klant redelijke hulp bij gegevensbeschermingseffectbeoordelingen en voorafgaande raadplegingen van toezichthoudende autoriteiten over de service, op basis van de informatie waarover IMFA beschikt, voornamelijk deze Verwerkersovereenkomst, de AI-verklaring en de lijst van Subverwerkers.

11. Teruggave en verwijdering

De Klant kan gesprekken, bestanden, kennis, agents en zijn volledige account op elk moment in de service verwijderen. Bij verwijdering van het account verwijdert IMFA Persoonsgegevens van de Klant zoals beschreven in het Privacybeleid (na een periode van 3 dagen waarin de Klant de verwijdering kan annuleren), behalve waar de wet IMFA verplicht ze te bewaren. Kopieën in back-ups van aanbieders worden volgens hun gebruikelijke schema verwijderd. Vóór de verwijdering kan de Klant via privacy@imfa.io een kopie van zijn gegevens aanvragen.

12. Audits

IMFA stelt de informatie beschikbaar die redelijkerwijs nodig is om aan te tonen dat deze Verwerkersovereenkomst wordt nageleefd, waaronder dit document, de bijlagen ervan en samenvattingen van de certificeringen van zijn aanbieders. Als dat niet volstaat, kan de Klant om een audit vragen, hoogstens eenmaal per jaar, met een kennisgeving van 30 dagen, op eigen kosten, uit te voeren door een onafhankelijke auditor die aan geheimhouding is gebonden, op een manier die de service niet verstoort en geen gegevens van andere klanten blootlegt. Audits van subverwerkers worden gedekt door hun eigen rapporten en certificeringen.

13. Internationale doorgiften

IMFA is gevestigd in de Verenigde Staten en zijn subverwerkers verwerken gegevens in de landen die in Bijlage 3 worden vermeld. Wanneer Persoonsgegevens van de Klant vanuit de Europese Economische Ruimte, het Verenigd Koninkrijk of Zwitserland worden doorgegeven aan een land zonder adequaatheidsbesluit, worden de EU Standard Contractual Clauses (Module 2, van verwerkingsverantwoordelijke naar verwerker, of Module 3, van verwerker naar verwerker, naargelang het geval), met het Britse addendum en de Zwitserse aanpassingen waar die van toepassing zijn, door verwijzing in deze Verwerkersovereenkomst opgenomen, met IMFA als gegevensimporteur. IMFA eist gelijkwaardige waarborgen van zijn subverwerkers.

14. Aansprakelijkheid en looptijd

De aansprakelijkheid van elke partij op grond van deze Verwerkersovereenkomst is onderworpen aan de beperkingen in de Voorwaarden, behalve waar de wet die niet toestaat. Deze Verwerkersovereenkomst blijft van kracht zolang IMFA Persoonsgegevens van de Klant verwerkt.

Bijlage 1: Details van de verwerking

Bijlage 2: Technische en organisatorische maatregelen

• Toegangscontrole: authenticatie voor elk verzoek aan het dashboard en de API; controles van rechten aan de serverzijde bij elke functie; rollen voor gedeelde agents (eigenaar, bewerker, kijker); beheertools beperkt tot beheerders van IMFA.
• Inloggegevens: API-sleutels en toegangstokens opgeslagen als hashes; inloggegevens van kanalen en Google-tokens versleuteld opgeslagen; geheimen worden nooit opnieuw getoond in de chat van de builder.
• Transport: versleutelde verbindingen (HTTPS) tussen browsers, onze diensten en onze aanbieders.
• Isolatie: de gegevens van elke klant zijn bij elke query beperkt tot het eigen account en de eigen agents van die klant.
• Preventie van misbruik: limieten op verzoeken per bezoeker, gesprek, agent en account; botcontroles op de widget; geautomatiseerde inhouds- en veiligheidscontroles; waarschuwingen en blokkades van bezoekers.
• Bescherming van gegevens bij AI: zero data retention aangevraagd op de Convex AI Gateway; contactgegevens verwijderd vóór het kwalificeren van leads en het samenvatten; instructies buiten de antwoorden gehouden.
• Gegevensminimalisatie en bewaring: automatische verwijdering van inactieve gesprekken, logboeken en registraties volgens de schema's in het Privacybeleid; beslissingen opgeslagen zonder de tekst van gesprekken.
• Activiteitenregistraties: audit- en activiteitenlogboeken voor gevoelige wijzigingen en activiteit van agents.
• Aanbieders: infrastructuur bij aanbieders met hun eigen beveiligingscertificeringen (zie de lijst van Subverwerkers).

Bijlage 3: Mechanismen voor internationale doorgifte