Verwerkersovereenkomst (DPA)

Dit document beschrijft de afspraken tussen Klant (verwerkingsverantwoordelijke) en SynqData (verwerker) over de verwerking van persoonsgegevens, in overeenstemming met artikel 28 van de Algemene Verordening Gegevensbescherming (AVG / GDPR).

Voor het ondertekenen van deze overeenkomst, neem contact op via info@synqdata.nl. Wij sturen je een getekende versie met de naam van jouw organisatie ingevuld.

1. Partijen

• Verwerkingsverantwoordelijke ("Klant"): de partij die SynqData inschakelt en namens wie persoonsgegevens worden verwerkt.
• Verwerker ("SynqData"): SynqData B.V., gevestigd aan de Millinxstraat 102 B, 3081 PT Rotterdam, KvK 42170358.

2. Onderwerp en duur

Deze DPA hoort bij de hoofdovereenkomst tussen partijen over levering van de diensten van SynqData (procesautomatisering en/of het SynqData-platform). De DPA loopt zolang SynqData persoonsgegevens namens Klant verwerkt, en eindigt automatisch bij beëindiging van de hoofdovereenkomst.

3. Aard en doel van de verwerking

• Aard: lezen en, voor zover een afgesproken automatisering dat vereist, bijwerken of versturen van gegevens uit de systemen van Klant (zoals het ERP), om vragen van eindgebruikers te beantwoorden en terugkerende processen automatisch uit te voeren.
• Doel: het leveren van datagedreven antwoorden, dashboards en inzichten, en het automatiseren van terugkerende processen zoals het opvragen van documenten en het versturen van herinneringen.
• Categorieën betrokkenen: medewerkers, klanten, leveranciers en andere relaties van Klant zoals deze in het ERP staan.
• Categorieën gegevens: NAW-gegevens, contactgegevens, financiële gegevens, transactiegegevens, projectgegevens. Geen bijzondere persoonsgegevens (gezondheid, religie etc.) tenzij apart afgesproken.

4. Verplichtingen SynqData

• SynqData verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van Klant.
• SynqData zorgt dat personen met toegang tot de data tot geheimhouding zijn verplicht.
• SynqData neemt passende technische en organisatorische beveiligingsmaatregelen (zie artikel 7).
• SynqData ondersteunt Klant bij het beantwoorden van verzoeken van betrokkenen.
• SynqData ondersteunt Klant bij meldingen van datalekken en bij DPIA's wanneer relevant.
• Op verzoek van Klant verwijdert of retourneert SynqData alle persoonsgegevens na einde van de overeenkomst.

5. Sub-verwerkers

Klant geeft SynqData algemene toestemming om de volgende sub-verwerkers in te schakelen:

• Hetzner Online GmbH (Duitsland): server-hosting van het platform en database.
• Anthropic PBC (Verenigde Staten): AI-modellen voor het beantwoorden van vragen. API-input/output wordt na 7 dagen automatisch verwijderd en nooit gebruikt voor training.
• Resend (Resend Inc.) (Verenigde Staten): verzending van transactionele e-mail (welkomstmails, notificaties).

Bij toevoeging of vervanging van een sub-verwerker informeert SynqData Klant minimaal 30 dagen vooraf, zodat Klant bezwaar kan maken. Bij gegronde bezwaren zoeken partijen samen naar een oplossing.

6. Internationale doorgifte

Voor doorgifte naar de Verenigde Staten (Anthropic, Resend) baseert SynqData zich op EU-modelclausules en/of het EU-US Data Privacy Framework. Aanvullende technische maatregelen (zoals encryptie tijdens transport) zijn van toepassing.

7. Beveiligingsmaatregelen

• Versleutelde verbinding (HTTPS/TLS 1.2+) voor al het verkeer.
• Een beveiligde verbinding (bijvoorbeeld een VPN-tunnel) tussen SynqData en de systemen van Klant waar dat nodig is.
• Waar mogelijk een alleen-lezen databasegebruiker; schrijfrechten alleen voor wat een afgesproken automatisering nodig heeft.
• Toegangscontrole met sterke wachtwoorden en tweefactor-authenticatie waar het systeem dat ondersteunt.
• Auditlogs van alle queries en systeemtoegang.
• Dagelijkse versleutelde back-ups, retentie 30 dagen, gescheiden locatie.
• Patchmanagement voor onderliggende systemen.

8. Datalekken

Bij een (vermoedelijk) datalek informeert SynqData Klant zonder onnodige vertraging, en in ieder geval binnen 48 uur na ontdekking. SynqData verstrekt alle informatie die Klant nodig heeft om te voldoen aan de meldplicht bij de Autoriteit Persoonsgegevens (binnen 72 uur).

9. Audit

Klant heeft het recht om eens per jaar (of vaker, bij gegronde aanleiding) een audit te laten uitvoeren door een onafhankelijke deskundige, op kosten van Klant. Partijen stemmen de audit minimaal 30 dagen vooraf af.

10. Aansprakelijkheid

De aansprakelijkheidsbeperkingen uit de hoofdovereenkomst (Algemene voorwaarden, artikel 10) zijn ook van toepassing op deze DPA, voor zover wettelijk toegestaan.

11. Beëindiging

Bij beëindiging van de hoofdovereenkomst verwijdert SynqData binnen 30 dagen alle persoonsgegevens van Klant uit zijn systemen, tenzij wettelijke bewaarplicht bestaat. Op verzoek wordt de data eerst geëxporteerd en teruggegeven.

12. Toepasselijk recht

Op deze DPA is Nederlands recht van toepassing.

Ondertekening

Voor het ondertekenen van deze DPA met de naam van jouw organisatie, neem contact op via info@synqdata.nl. Wij sturen een PDF met de juiste klantgegevens ingevuld voor digitale ondertekening (DocuSign of vergelijkbaar).