Verwerkersovereenkomst (DPA)
Deze verwerkersovereenkomst (“DPA”) maakt deel uit van de overeenkomst tussen de klant (“Verwerkingsverantwoordelijke”) en Otto (Digital Genics) (“Verwerker”) voor het gebruik van Otto, en regelt de verwerking van persoonsgegevens conform artikel 28 AVG.
1. Voorwerp, duur, aard en doel
De Verwerker verwerkt persoonsgegevens uitsluitend om de Otto-dienst te leveren: het categoriseren van inkomende e-mail en het voorbereiden van concept-antwoorden en taken. De verwerking duurt zolang de overeenkomst loopt. Otto verzendt nooit zelf e-mail.
Categorieën van betrokkenen en gegevens
- Betrokkenen: medewerkers van de klant en hun correspondenten.
- Gegevens: naam en e-mailadres, de inhoud van e-mailberichten en concepten, en daaraan gekoppelde taken en metadata.
2. Verwerking op instructie
De Verwerker verwerkt de gegevens uitsluitend op gedocumenteerde instructie van de Verwerkingsverantwoordelijke, zoals vastgelegd in de overeenkomst en de instellingen in de app (waaronder de trainings-opt-in, die standaard uit staat). De Verwerker gebruikt de gegevens niet voor eigen doeleinden.
3. Vertrouwelijkheid
Personen die toegang hebben tot de gegevens zijn tot vertrouwelijkheid gehouden. Toegang wordt beperkt tot wat nodig is om de dienst te leveren en te ondersteunen.
4. Beveiligingsmaatregelen (TOMs)
De Verwerker neemt passende technische en organisatorische maatregelen, waaronder:
- Versleuteling van gegevens in transit (TLS) en van gevoelige tokens in rust;
- Strikte toegangscontrole, rolgebaseerde rechten en logische scheiding per organisatie (multi-tenant);
- Minimale OAuth-rechten — lezen en concepten, nooit verzenden;
- Logging, monitoring en foutregistratie voor beveiliging;
- Back-ups en herstelprocedures;
- Verwerking binnen de EU.
5. Subverwerkers
De Verwerkingsverantwoordelijke geeft een algemene machtiging voor het inschakelen van de onderstaande subverwerkers. De Verwerker informeert vooraf over wijzigingen, zodat bezwaar mogelijk is.
| Subverwerker | Doel | Locatie |
|---|---|---|
| Anthropic | AI-model voor categoriseren en concepten | Verwerking conform API-voorwaarden; traint niet op klantdata |
| Microsoft | Microsoft 365 / Graph (als je dit koppelt) | EU |
| Gmail (als je dit koppelt) | EU | |
| [Hostingpartner] | Hosting en databank | EU |
| [Betaalpartner] | Abonnementen en facturatie | EU/EER |
6. Internationale doorgifte
Gegevens worden in beginsel binnen de EU/EER verwerkt. Indien doorgifte naar een derde land nodig is, gebeurt dit met passende waarborgen (zoals de standaardcontractbepalingen van de Europese Commissie).
7. Bijstand aan de Verwerkingsverantwoordelijke
De Verwerker helpt, voor zover redelijk, bij het beantwoorden van verzoeken van betrokkenen en bij verplichtingen rond beveiliging, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging.
8. Datalekken
De Verwerker meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging na kennisname, met de informatie die nodig is om aan de meldplicht te voldoen.
9. Teruggave en verwijdering
Bij het einde van de dienst verwijdert de Verwerker de persoonsgegevens of bezorgt ze terug, naar keuze van de Verwerkingsverantwoordelijke, behoudens wettelijke bewaarplichten. Otto biedt hiervoor een data-export en een verwijderfunctie.
10. Audits
De Verwerker stelt de informatie ter beschikking die nodig is om naleving van artikel 28 AVG aan te tonen, en werkt mee aan redelijke audits.
Vragen over deze tekst of je gegevens? Mail privacy@heyotto.eu.