Verwerkersovereenkomst

1. Partijen en rollen

Verwerkingsverantwoordelijke is de organisatie die een account bij MyFacio heeft. Jij bepaalt welke persoonsgegevens je invoert en waarvoor.

Verwerker is MyFacio, Nederland, KVK 97241229. Wij verwerken die gegevens uitsluitend om de dienst te leveren, en alleen in jouw opdracht.

Voor de gegevens van jouw eigen account — je e-mailadres, je inloggegevens, je abonnement — zijn wíj verwerkingsverantwoordelijke. Daarvoor geldt de privacyverklaring, niet dit stuk.

2. Onderwerp en duur

Wij verwerken persoonsgegevens zolang je een actief account hebt. De overeenkomst eindigt wanneer je account eindigt; de verplichtingen over geheimhouding en teruggave blijven daarna gelden.

3. Instructies

Wij verwerken de gegevens alleen volgens jouw schriftelijke instructies. Het gebruik van MyFacio zelf geldt als die instructie. Wijkt een instructie naar ons oordeel af van de AVG, dan melden wij dat en voeren wij haar niet uit. Verplicht een wettelijke bepaling ons tot een verwerking die jij niet hebt opgedragen, dan laten wij dat vooraf weten, tenzij die wet dat verbiedt.

Wij gebruiken jouw gegevens nooit voor eigen doeleinden, verkopen ze niet, en gebruiken ze niet om AI-modellen te trainen.

4. Geheimhouding

Iedereen die namens ons toegang heeft tot jouw gegevens is tot geheimhouding verplicht. Toegang wordt alleen verleend voor zover nodig voor onderhoud en ondersteuning.

5. Beveiliging

Wij nemen passende technische en organisatorische maatregelen. De maatregelen die op dit moment gelden staan in bijlage B; ze mogen worden gewijzigd zolang het beschermingsniveau gelijk blijft of stijgt.

6. Subverwerkers

Je geeft algemene toestemming voor het inschakelen van de subverwerkers in bijlage C. Willen wij er een toevoegen of vervangen, dan melden wij dat ten minste dertig dagen vooraf per e-mail. Maak je binnen die termijn gemotiveerd bezwaar en komen we er niet uit, dan mag je het abonnement kosteloos beëindigen tegen de datum van de wijziging.

Wij leggen elke subverwerker dezelfde verplichtingen op als hier staan, en blijven tegenover jou aansprakelijk voor hun handelen.

7. Doorgifte buiten de EER

De opslag en verwerking vinden plaats binnen de Europese Economische Ruimte. Twee uitzonderingen, beide vermeld in bijlage C:

• Groq (Verenigde Staten) — verwerkt de tekstfragmenten die je aan de Kennisdatabank-assistent voorlegt. Doorgifte op basis van de standaardcontractbepalingen van de Europese Commissie.
• Google (Verenigde Staten) — alleen als je zelf een Google Drive koppelt, en alleen voor het uitlezen van de map die je daarbij aanwijst.

De vector-embeddings voor het zoeken worden gemaakt door een taalmodel op onze eigen server in Nederland; daarvoor verlaat geen tekst onze infrastructuur.

8. Rechten van betrokkenen

Krijg jij een verzoek om inzage, correctie, verwijdering of overdracht, dan help je dat zelf af te handelen — in MyFacio kun je gegevens inzien, wijzigen en verwijderen. Lukt het niet zelfstandig, dan helpen wij binnen vijf werkdagen. Komt zo'n verzoek bij ons binnen, dan sturen wij het door naar jou en beantwoorden wij het niet zelf.

9. Datalekken

Ontdekken wij een inbreuk in verband met persoonsgegevens, dan melden wij dat aan jou zonder onredelijke vertraging en uiterlijk binnen 24 uur na ontdekking, met wat wij op dat moment weten: aard van de inbreuk, betrokken categorieën gegevens, waarschijnlijke gevolgen en de maatregelen die wij nemen. De melding aan de Autoriteit Persoonsgegevens en aan betrokkenen doe jij; wij leveren de informatie die je daarvoor nodig hebt.

10. Controle

Op verzoek verstrekken wij de informatie die nodig is om aan te tonen dat wij ons aan deze overeenkomst houden. Je mag ten hoogste eenmaal per jaar een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht, aangekondigd ten minste dertig dagen vooraf. De kosten draag je zelf, tenzij uit de audit een wezenlijke tekortkoming van onze kant blijkt.

11. Teruggave en verwijdering

Zolang je account actief is kun je je gegevens exporteren. Na beëindiging verwijderen wij de persoonsgegevens binnen dertig dagen uit de actieve systemen, en uit de back-ups zodra die verlopen — uiterlijk veertien dagen later. Wat wij wettelijk moeten bewaren, bewaren wij: factuurgegevens van jouw abonnement vallen onder de fiscale bewaarplicht van zeven jaar en worden niet eerder verwijderd.

12. Aansprakelijkheid en toepasselijk recht

De aansprakelijkheidsregeling uit de algemene voorwaarden geldt ook hier, behalve waar de AVG dwingend anders bepaalt. Op deze overeenkomst is Nederlands recht van toepassing.

Bijlage A — Wat wij verwerken

Betrokkenen: medewerkers van jouw organisatie, contactpersonen bij jouw opdrachtgevers en ketenpartners, en bewoners of eigenaren op de adressen waar je werkt — voor zover je die zelf invoert.

Categorieën gegevens: naam, e-mailadres, telefoonnummer, adresgegevens, functie of rol, geschreven uren en de daaraan gekoppelde projecten, en de inhoud van wat je zelf invoert of uploadt (offertes, calculaties, facturen, aanbiedingen van ketenpartners, documenten in de Kennisdatabank).

Bijzondere persoonsgegevens zijn in MyFacio niet voorzien; er is geen veld voor. Voer ze niet in.

Bijlage B — Beveiligingsmaatregelen

• Versleutelde verbindingen (TLS) voor al het verkeer; HSTS afgedwongen.
• Scheiding tussen organisaties op databaseniveau met row-level security, zodat een query van de ene organisatie de gegevens van een andere niet kan bereiken.
• Rollen binnen een organisatie (eigenaar, beheerder, medewerker, alleen-lezen) en een optionele beperking waarbij een lid alleen eigen werk mag bewerken.
• Auditlogboek van wijzigingen, dat alleen door de server kan worden geschreven.
• Dagelijkse back-up van database en bestanden, veertien dagen bewaard, met een wekelijkse herstelproef die controleert dat de back-up daadwerkelijk terugleest.
• Wachtwoorden worden gehasht opgeslagen; wij kunnen ze niet inzien.
• Foutmeldingen worden gemonitord zodat storingen zichtbaar worden.

Bijlage C — Subverwerkers

Vragen hierover? Mail [email protected].