Verwerkersovereenkomst SocialGain

Versie [0.1] — [datum]. Deze verwerkersovereenkomst maakt onderdeel uit van de overeenkomst tussen de klant en eProjects B.V. voor het gebruik van SocialGain.

1. Partijen

• Verwerkingsverantwoordelijke ("Verantwoordelijke"): de klant die SocialGain gebruikt.
• Verwerker: eProjects B.V. (handelsnaam Internetdiensten Nederland), Bovendijk 132, 3045 PC Rotterdam, KvK 24295052.

2. Definities

Begrippen als "persoonsgegevens", "verwerking", "betrokkene", "datalek" en "subverwerker" hebben de betekenis uit de Algemene Verordening Gegevensbescherming (AVG). Waar hieronder "de overeenkomst" staat, wordt de hoofdovereenkomst voor SocialGain bedoeld.

3. Onderwerp, aard en doel van de verwerking

De Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van het leveren van SocialGain: het plannen, aanmaken, beoordelen en publiceren van social-media-content, inclusief AI-assistentie en publicatie naar de door de Verantwoordelijke gekozen kanalen. De duur van de verwerking is gelijk aan de looptijd van de overeenkomst. De categorieën betrokkenen en persoonsgegevens staan in Bijlage 1.

4. Instructies van de Verantwoordelijke

De Verwerker verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Verantwoordelijke, waaronder het gebruik van het platform zelf, tenzij een wettelijke verplichting anders bepaalt. De Verwerker informeert de Verantwoordelijke als een instructie naar zijn oordeel in strijd is met de AVG.

5. Vertrouwelijkheid

De Verwerker verplicht personen die toegang hebben tot de persoonsgegevens tot geheimhouding en verleent alleen toegang voor zover nodig voor de uitvoering van de overeenkomst.

6. Beveiliging (art. 32)

De Verwerker treft passende technische en organisatorische maatregelen, waaronder:

• versleuteling van gevoelige gegevens in rust (o.a. koppelingstokens, tweestapsverificatie-geheimen) en versleutelde verbindingen (TLS);
• sterk gehashte wachtwoorden en gehashte, aflopende, eenmalig bruikbare tokens;
• strikte toegangscontrole, rolgebaseerde permissies en scheiding tussen klanten (multi-tenant);
• auditregistratie van gevoelige handelingen en actieve misbruik-/brute-force-preventie;
• opslagbeperking door geautomatiseerde opschoning van tijdelijke gegevens.

7. Subverwerkers

De Verantwoordelijke geeft algemene toestemming voor het inschakelen van subverwerkers. De actuele lijst staat in Bijlage 2. De Verwerker legt aan elke subverwerker gelijkwaardige verplichtingen op en blijft aansprakelijk voor hun handelen. Bij een voorgenomen wijziging (nieuwe of vervangende subverwerker) informeert de Verwerker de Verantwoordelijke [ten minste 30 dagen] vooraf, zodat deze bezwaar kan maken op redelijke, privacygerelateerde gronden.

8. Doorgifte buiten de EER

Voor zover een subverwerker persoonsgegevens buiten de Europese Economische Ruimte verwerkt (met name AI- en social-media-aanbieders in de Verenigde Staten), zorgt de Verwerker voor een passend doorgiftemechanisme, zoals een adequaatheidsbesluit (EU-VS Data Privacy Framework) of de standaardcontractbepalingen (SCC's). Op verzoek verstrekt de Verwerker informatie over het toegepaste mechanisme.

9. Bijstand bij rechten van betrokkenen

De Verwerker helpt de Verantwoordelijke, rekening houdend met de aard van de verwerking en met passende maatregelen, bij het beantwoorden van verzoeken van betrokkenen (inzage, rectificatie, verwijdering, dataportabiliteit, bezwaar). Onder meer via de in het platform aanwezige export- en beheerfuncties.

10. Datalekken

De Verwerker informeert de Verantwoordelijke zonder onredelijke vertraging, en uiterlijk [binnen 48 uur] nadat hij bekend is geworden met een datalek dat persoonsgegevens van de Verantwoordelijke betreft, en verstrekt de informatie die de Verantwoordelijke nodig heeft om aan zijn meldplicht (art. 33/34 AVG) te voldoen.

11. Audits

De Verwerker stelt de Verantwoordelijke de informatie ter beschikking die nodig is om naleving van dit artikel aan te tonen en maakt audits mogelijk. Partijen maken redelijke afspraken over frequentie, kosten en vertrouwelijkheid; een recente onafhankelijke rapportage/certificering kan als bewijs dienen.

12. Teruggave en verwijdering

Na afloop van de overeenkomst verwijdert of retourneert de Verwerker, naar keuze van de Verantwoordelijke, alle persoonsgegevens, en verwijdert bestaande kopieën, tenzij wet- of regelgeving bewaring voorschrijft (zoals de fiscale bewaarplicht op facturen). Er geldt een gedocumenteerde retentietermijn waarbinnen de Verantwoordelijke zijn gegevens nog kan exporteren.

13. Aansprakelijkheid en duur

Op deze verwerkersovereenkomst is [de aansprakelijkheidsregeling uit de hoofdovereenkomst] van toepassing. De overeenkomst geldt zolang de Verwerker persoonsgegevens namens de Verantwoordelijke verwerkt.

Bijlage 1 — Details van de verwerking

• Categorieën betrokkenen: medewerkers en teamleden van de Verantwoordelijke, revieweres/contactpersonen, en personen die worden genoemd of afgebeeld in de content.
• Categorieën persoonsgegevens: naam en contactgegevens, accountgegevens, postinhoud (tekst/beeld), reacties en reviewfeedback, merk-/schrijfprofielen, gekoppelde social-accounts en (versleutelde) toegangstokens.
• Bijzondere categorieën: niet beoogd; de Verantwoordelijke dient te voorkomen dat bijzondere persoonsgegevens onnodig in content worden opgenomen.
• Aard en doel: hosting, opslag, weergave, AI-assistentie en publicatie van content zoals beschreven in de overeenkomst.
• Duur: looptijd van de overeenkomst, plus de retentietermijn uit artikel 12.

Bijlage 2 — Subverwerkers

• Mollie B.V. — betaalverwerking (NL/EU).
• Anthropic, OpenAI, Google (optioneel Microsoft Azure OpenAI) — AI-tekst-/beeldgeneratie (VS; Azure EU-regio mogelijk).
• LinkedIn, Meta (Facebook/Instagram/Threads), Bluesky — publicatie/koppeling (VS/Ierland).
• Sendible — publicatie-aggregator, indien gebruikt (VK).
• E-mail-/SMTP-provider en hostingprovider — (NL/EU).

Deze lijst wordt actueel gehouden; de meest recente versie is op verzoek beschikbaar.