1. Partijen en onderwerp
Deze verwerkersovereenkomst is gesloten tussen de klant van Artiq Socials (verwerkingsverantwoordelijke) en Artiq Motion B.V., Heliumstraat 8, 7463 PL Rijssen, KvK 67683428 (verwerker). Hij maakt deel uit van de algemene voorwaarden en geldt zolang verwerker persoonsgegevens verwerkt voor de klant.
Werkt de klant als bureau voor eindklanten, dan kan de klant zelf verwerker zijn van die eindklant. In dat geval is Artiq Motion B.V. subverwerker, en geeft de klant met deze overeenkomst de afspraken door die hij met zijn eindklant maakte voor zover die op Artiq Socials betrekking hebben.
2. Aard, doel en duur van de verwerking
Verwerker verwerkt persoonsgegevens uitsluitend om de dienst Artiq Socials te leveren: social media plannen, schrijven, laten goedkeuren, publiceren, reacties beheren en resultaten meten, zoals beschreven in Bijlage 1. Verwerker verwerkt alleen op gedocumenteerde instructie van de klant; het gebruik van de dienst door de klant geldt als zo'n instructie.
Verwerker gebruikt de gegevens niet voor eigen doeleinden en niet om AI-modellen te trainen.
3. Verplichtingen van verwerker
- Verwerker zorgt dat mensen die toegang hebben tot de gegevens tot geheimhouding verplicht zijn.
- Verwerker neemt passende technische en organisatorische maatregelen, zoals beschreven in Bijlage 2.
- Verwerker helpt de klant bij verzoeken van betrokkenen, bij een gegevensbeschermingseffectbeoordeling en bij contact met de toezichthouder, voor zover redelijk.
- Verwerker meldt het de klant direct als hij meent dat een instructie in strijd is met de AVG.
4. Subverwerkers
De klant geeft algemene toestemming voor het inschakelen van subverwerkers. De actuele lijst staat in Bijlage 3. Verwerker laat een nieuwe subverwerker ten minste 30 dagen vooraf weten; de klant kan binnen die termijn gemotiveerd bezwaar maken en, als er geen oplossing komt, de overeenkomst opzeggen.
Verwerker legt subverwerkers ten minste dezelfde verplichtingen op als in deze overeenkomst, en blijft verantwoordelijk voor hun naleving.
Social media platforms zijn geen subverwerkers van verwerker: de klant kiest zelf om inhoud naar een platform te publiceren, en het platform verwerkt die als zelfstandig verantwoordelijke.
5. Doorgifte buiten de EER
Verwerker slaat klantinhoud op in de Europese Unie. Doorgifte naar landen buiten de EER gebeurt alleen voor zover een subverwerker in Bijlage 3 dat vermeldt, op basis van een adequaatheidsbesluit of de standaardcontractbepalingen van de Europese Commissie, met aanvullende maatregelen waar nodig.
6. Inbreuken in verband met persoonsgegevens
Verwerker meldt een inbreuk zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat hij die heeft ontdekt, aan het e-mailadres van de eigenaar van de organisatie in Artiq Socials. De melding bevat, voor zover bekend: wat er is gebeurd, welke gegevens en hoeveel betrokkenen het raakt, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen.
De klant beslist of de inbreuk wordt gemeld aan de Autoriteit Persoonsgegevens en aan betrokkenen. Verwerker helpt daarbij.
7. Controle
Verwerker stelt de informatie beschikbaar die nodig is om naleving aan te tonen. De klant kan eenmaal per jaar, met een aankondiging van ten minste 30 dagen, een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht. De kosten zijn voor de klant, tenzij de audit een wezenlijke tekortkoming aantoont.
8. Einde van de verwerking
Na het einde van de dienst kan de klant zijn gegevens gedurende [PLACEHOLDER: 30 dagen] exporteren. Daarna verwijdert verwerker de persoonsgegevens, inclusief kopieën, tenzij bewaren wettelijk verplicht is. Gegevens in back-ups verdwijnen binnen 30 dagen daarna. Op verzoek bevestigt verwerker de verwijdering schriftelijk.
9. Aansprakelijkheid
Voor de aansprakelijkheid van partijen geldt wat in de algemene voorwaarden is afgesproken, voor zover de AVG dat toelaat.
10. Bijlage 1: specificatie van de verwerking
| Betrokkenen | Gebruikers van de klant; contactpersonen van eindklanten; medewerkers die delen of vermeld worden; mensen die reageren op posts van de klant; personen in beeldmateriaal. |
|---|---|
| Persoonsgegevens | Naam, e-mailadres, functie of rol, platform-ID's en handles, profielfoto's, inhoud van posts en reacties, beeldmateriaal, goedkeuringen en antwoorden op de uitvraag, toestemmingen voor vermelding en portretrecht, gebruiks- en auditgegevens. |
| Bijzondere gegevens | Niet bedoeld. De klant zet geen bijzondere categorieën van persoonsgegevens in de dienst, tenzij dat noodzakelijk is en vooraf is afgestemd. |
| Bewerkingen | Opslaan, ordenen, tonen, laten beoordelen door AI, publiceren naar platforms, ophalen van reacties en statistieken, exporteren en verwijderen. |
| Bewaartermijnen | Zoals beschreven in het privacybeleid, inclusief de termijnen die platforms opleggen. |
11. Bijlage 2: beveiligingsmaatregelen
- Scheiding tussen workspaces met Row Level Security in de database, met een geautomatiseerde isolatietest.
- Envelope-encryptie van platformtokens met een eigen sleutel per kanaal; hoofdsleutels in een sleutelbeheersysteem; alleen de publicatieworker kan tokens ontsleutelen.
- Rollen en rechten per organisatie en workspace, gecontroleerd op de server bij elke actie.
- Passkeys, tweede factor en SSO; beperking van inlogpogingen.
- Versleuteld verkeer (TLS); bestanden alleen via kortlevende, ondertekende links.
- Opnieuw coderen van uploads en verwijderen van metadata zoals GPS-locatie.
- Auditlog van gevoelige handelingen, met reden.
- AI zonder toegang tot tokens, database of publicatie; één workspace per AI-verzoek.
- Afspraken over toegang van medewerkers van verwerker: alleen waar nodig voor support of beheer, en vastgelegd.
12. Bijlage 3: subverwerkers
[PLACEHOLDER: lijst met naam, dienst, locatie en doorgiftegrondslag per subverwerker]
Voorlopig overzicht van de soorten diensten: hosting van app en database (EU), opslag van media (EU), sleutelbeheer (EU), AI-tekstgeneratie (Anthropic, of AWS Bedrock in Frankfurt), betalingen (Stripe, alleen voor facturatiegegevens), transactionele e-mail (EU) en monitoring (EU).