Verwerkersovereenkomst

Bots24/7 · Model · versie 1.0 · 28 oktober 2026

Partijen

1. [Naam onderneming klant], gevestigd aan [adres], ingeschreven bij de KvK onder nummer [KvK-nummer], hierbij vertegenwoordigd door [naam en functie], hierna: "Verwerkingsverantwoordelijke" of "Klant"; en
2. Klik&Shop, eenmanszaak handelend onder de naam Bots24/7, gevestigd aan Paramaribohof 55, 2315 VW Leiden, ingeschreven bij de KvK onder nummer 98148362, hierna: "Verwerker" of "Bots24/7".

Overwegingen

• Partijen hebben een overeenkomst gesloten voor het inrichten, hosten en beheren van een chatbot voor de website en/of het WhatsApp Business-nummer van de Klant (de "Hoofdovereenkomst"), waarop de algemene voorwaarden van Bots24/7 van toepassing zijn.
• Bij de uitvoering daarvan verwerkt Bots24/7 persoonsgegevens in opdracht van de Klant. De Klant bepaalt het doel en de middelen van die verwerking.
• Partijen leggen in deze overeenkomst hun afspraken vast, zoals vereist door artikel 28 lid 3 van de Algemene Verordening Gegevensbescherming ("AVG").

1. Begrippen

Begrippen als persoonsgegevens, verwerking, betrokkene, verwerkingsverantwoordelijke, verwerker, subverwerker en inbreuk in verband met persoonsgegevens (datalek) hebben de betekenis die de AVG eraan geeft.

2. Onderwerp en instructies

1. Bots24/7 verwerkt persoonsgegevens uitsluitend in opdracht van de Klant en op basis van diens schriftelijke instructies, zoals vastgelegd in de Hoofdovereenkomst, deze overeenkomst en Bijlage 1. Dit geldt ook voor doorgifte naar een land buiten de Europese Economische Ruimte (EER).
2. Bots24/7 verwerkt de persoonsgegevens niet voor eigen doeleinden, verkoopt ze niet en gebruikt ze niet om (AI-)modellen te trainen buiten de chatbot van de Klant.
3. Is Bots24/7 op grond van een wettelijke verplichting gehouden de gegevens anders te verwerken, dan informeert zij de Klant daarover vooraf, tenzij de wet dat verbiedt.
4. Is Bots24/7 van mening dat een instructie in strijd is met de AVG of andere privacywetgeving, dan meldt zij dat direct aan de Klant. Zij is dan niet verplicht die instructie uit te voeren.

3. Verplichtingen van de Klant

1. De Klant staat ervoor in dat de verwerking rechtmatig is, dat er een geldige grondslag voor bestaat en dat betrokkenen (bezoekers en klanten van de Klant) op een passende manier worden geïnformeerd, bijvoorbeeld via de privacyverklaring van de Klant.
2. De Klant zorgt dat de kennisbank van de chatbot geen bijzondere persoonsgegevens of andere gegevens bevat die daar niet thuishoren, tenzij partijen dat uitdrukkelijk schriftelijk afspreken.

4. Geheimhouding

Bots24/7 houdt de persoonsgegevens geheim. Zij zorgt dat iedereen die onder haar gezag toegang heeft tot de gegevens, tot geheimhouding is verplicht en alleen toegang heeft voor zover dat nodig is voor de dienstverlening.

5. Beveiliging

1. Bots24/7 neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies en onrechtmatige verwerking, rekening houdend met de stand van de techniek, de kosten en de risico's (artikel 32 AVG). Deze maatregelen staan in Bijlage 2.
2. Bots24/7 mag de maatregelen aanpassen, mits het beveiligingsniveau niet lager wordt.

6. Subverwerkers

1. De Klant geeft Bots24/7 algemene schriftelijke toestemming om subverwerkers in te schakelen. De categorieën subverwerkers staan in Bijlage 3. De concrete subverwerkers op het moment van sluiten worden bij ondertekening aan de Klant verstrekt.
2. Bots24/7 informeert de Klant ten minste 30 dagen vooraf per e-mail over een voorgenomen toevoeging of vervanging van een subverwerker. De Klant kan binnen die termijn op redelijke gronden bezwaar maken. Komen partijen er niet uit, dan mag de Klant de Hoofdovereenkomst kosteloos opzeggen tegen de datum waarop de wijziging ingaat.
3. Bots24/7 legt aan iedere subverwerker schriftelijk ten minste dezelfde verplichtingen op als in deze overeenkomst. Bots24/7 blijft tegenover de Klant aansprakelijk voor het nakomen van die verplichtingen door subverwerkers.

7. Doorgifte buiten de EER

Bots24/7 geeft persoonsgegevens alleen door aan een land buiten de EER als daarvoor passende waarborgen bestaan in de zin van hoofdstuk V AVG, zoals een adequaatheidsbesluit (waaronder het EU-VS Data Privacy Framework voor gecertificeerde partijen) of de standaardcontractbepalingen van de Europese Commissie, zo nodig aangevuld met aanvullende maatregelen.

8. Rechten van betrokkenen

Bots24/7 helpt de Klant, voor zover redelijkerwijs mogelijk, bij het afhandelen van verzoeken van betrokkenen (zoals inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar). Ontvangt Bots24/7 zo'n verzoek rechtstreeks, dan stuurt zij het binnen 5 werkdagen door naar de Klant en handelt zij het niet zelf af, tenzij de Klant daartoe opdracht geeft.

9. Datalekken

1. Bots24/7 informeert de Klant zonder onredelijke vertraging en uiterlijk binnen 36 uur nadat zij een datalek heeft ontdekt dat betrekking heeft op persoonsgegevens van de Klant.
2. De melding bevat, voor zover bekend: de aard van het lek, de betrokken categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen en een contactpunt. Informatie die nog niet bekend is, wordt zo snel mogelijk aangevuld.
3. De Klant beoordeelt of het lek gemeld moet worden aan de Autoriteit Persoonsgegevens en/of aan betrokkenen, en doet die meldingen zelf. Bots24/7 verleent daarbij redelijke medewerking.
4. Bots24/7 documenteert alle datalekken, inclusief de feiten, gevolgen en genomen maatregelen.

10. Overige bijstand

Bots24/7 helpt de Klant, rekening houdend met de aard van de verwerking en de informatie waarover zij beschikt, bij het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG, zoals een gegevensbeschermingseffectbeoordeling (DPIA) en een eventuele voorafgaande raadpleging van de Autoriteit Persoonsgegevens. Voor bijstand die meer dan beperkte tijd kost, mag Bots24/7 na voorafgaande melding redelijke kosten rekenen tegen haar gangbare tarief.

11. Informatie en audits

1. Bots24/7 stelt alle informatie beschikbaar die nodig is om aan te tonen dat zij deze overeenkomst en artikel 28 AVG naleeft.
2. De Klant mag maximaal één keer per jaar, of na een datalek, een audit laten uitvoeren door een onafhankelijke, tot geheimhouding verplichte deskundige. De audit wordt ten minste 14 dagen vooraf aangekondigd en verstoort de bedrijfsvoering niet onnodig. De kosten zijn voor de Klant, tenzij blijkt dat Bots24/7 deze overeenkomst op wezenlijke punten niet nakomt.

12. Bewaren, teruggeven en verwijderen

1. Bots24/7 bewaart persoonsgegevens niet langer dan nodig voor de dienstverlening of dan in Bijlage 1 is afgesproken.
2. Na afloop van de Hoofdovereenkomst geeft Bots24/7 de persoonsgegevens op verzoek van de Klant binnen 30 dagen terug in een gangbaar formaat (bijvoorbeeld CSV of JSON) en verwijdert zij ze daarna, inclusief kopieën bij subverwerkers, tenzij opslag wettelijk verplicht is. Back-ups worden volgens het gebruikelijke rotatieschema overschreven, uiterlijk binnen 90 dagen.
3. Op verzoek bevestigt Bots24/7 schriftelijk dat de gegevens zijn verwijderd.

13. Aansprakelijkheid

Voor de aansprakelijkheid van partijen gelden de bepalingen uit de algemene voorwaarden van Bots24/7, voor zover de AVG daar niet dwingend van afwijkt (artikel 82 AVG).

14. Looptijd en slotbepalingen

1. Deze overeenkomst geldt zolang Bots24/7 persoonsgegevens voor de Klant verwerkt, en eindigt niet eerder dan de Hoofdovereenkomst. Verplichtingen die naar hun aard doorlopen (zoals geheimhouding en verwijdering) blijven ook daarna gelden.
2. Bij strijdigheid gaat deze overeenkomst voor op de Hoofdovereenkomst en de algemene voorwaarden, voor zover het de verwerking van persoonsgegevens betreft.
3. Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter van de Rechtbank Den Haag.
4. Wijzigt de wet of een besluit van een toezichthouder, dan passen partijen deze overeenkomst zo nodig in goed overleg aan.

Ondertekening

Bijlage 1 – Beschrijving van de verwerking

Bijlage 2 – Beveiligingsmaatregelen

• Versleutelde verbindingen (TLS/HTTPS) voor de chatbot, de beheeromgeving en het doorsturen van aanvragen.
• Toegang tot gegevens alleen voor wie dat nodig heeft (need-to-know), met persoonlijke accounts, sterke wachtwoorden en tweestapsverificatie.
• Gegevens worden opgeslagen bij gerenommeerde hostingproviders met versleuteling van opgeslagen data, waar de provider dat biedt.
• Dataminimalisatie: de chatbot vraagt alleen gegevens die nodig zijn voor de aanvraag, en gesprekken worden automatisch verwijderd na de bewaartermijn.
• Geheimen zoals API-sleutels staan niet in broncode en worden per klant gescheiden.
• Software en afhankelijkheden worden actueel gehouden; beveiligingsupdates worden zo snel mogelijk doorgevoerd.
• Logging van beheerhandelingen en monitoring van ongebruikelijke activiteit, voor zover de gebruikte diensten dat ondersteunen.
• Een vaste werkwijze voor het melden en afhandelen van datalekken (zie artikel 9).
• Instellingen bij aanbieders van AI-taalmodellen waarbij ingevoerde gegevens niet worden gebruikt om modellen te trainen, voor zover de aanbieder dat mogelijk maakt.

Bijlage 3 – Categorieën subverwerkers

Een overzicht van de concrete subverwerkers, met vestigingsland en doorgiftemechanisme, wordt bij ondertekening verstrekt en actueel gehouden volgens artikel 6.

Afdrukken / opslaan als PDF