Verwerkersovereenkomst

1. Partijen en rollen

De klant is de verwerkingsverantwoordelijke. SEO Lokaal, handelend onder de naam ProjectMaat (KvK 85224200), is de verwerker. ProjectMaat verwerkt persoonsgegevens uitsluitend ten behoeve van de klant en op diens instructie.

2. Onderwerp, aard en doel van de verwerking

ProjectMaat verwerkt persoonsgegevens om de overeengekomen dienst te leveren: het ontvangen van door de klant aangeleverde input (voicememo's, foto's, video's, tekst), het transcriberen en omzetten daarvan in content, en het ondersteunen van de publicatie van die content. De verwerking vindt plaats voor de duur van de overeenkomst. Daarna bewaart ProjectMaat gegevens alleen nog zolang artikel 12 dat toestaat.

Om de teksten voor jou beter te maken bewaart ProjectMaat je goedgekeurde content als voorbeeld, met de uitgeschreven tekst van de bijbehorende opname erbij zodat we het juiste voorbeeld kunnen terugvinden. Die uitgeschreven tekst wordt na dertig dagen uit het voorbeeld verwijderd; het voorbeeld zelf blijft zolang je account bestaat. ProjectMaat gebruikt die voorbeelden uitsluitend bij het schrijven voor jouw eigen account. Content van de ene klant wordt nooit gebruikt voor een andere klant. ProjectMaat verstrekt persoonsgegevens of content van de klant niet aan derden voor hun eigen doeleinden en verkoopt deze niet.

3. Categorieën gegevens en betrokkenen

Categorieën van betrokkenen: de klanten en potentiële klanten van de klant, en de medewerkers van de klant.

De verwerking kan de volgende persoonsgegevens betreffen, voor zover de klant deze aanlevert:

• voor het maken en publiceren van content op social media en het Google Bedrijfsprofiel: namen, adres- en locatiegegevens, beeldmateriaal (foto's en video's) waarop personen herkenbaar in beeld kunnen zijn, en de audio en transcriptie van voicememo's;
• voor het publiceren van projectpagina's en updates op de website van de klant: locatiegegevens, beeldmateriaal en namen die in de gepubliceerde content voorkomen;
• voor het gebruik van de dienst zelf: de telefoonnummers van de klant en van de medewerkers die hij koppelt om projecten in te sturen, met het label dat hij daarbij zet, en de namen en functies van eigen medewerkers die hij in zijn kennisbank vastlegt.

Betrokkenen zijn de personen wier gegevens in de input voorkomen. De klant levert geen bijzondere of strafrechtelijke persoonsgegevens aan.

4. Instructies

ProjectMaat verwerkt de persoonsgegevens uitsluitend op basis van de schriftelijke instructies van de klant, waaronder deze DPA en het gebruik van de dienst. ProjectMaat stelt de klant in kennis indien een instructie naar haar oordeel in strijd is met de AVG.

Hierop bestaat één uitzondering: heeft de klant daar bij de onboarding apart en vrijwillig toestemming voor gegeven, dan mag ProjectMaat al openbaar gepubliceerde, goedgekeurde content van de klant ook op haar eigen kanalen tonen als voorbeeld, met naamsvermelding. Voor dat tonen is ProjectMaat zelf verwerkingsverantwoordelijke. Die toestemming is optioneel, staat los van de dienst en is op elk moment in te trekken via privacy@projectmaat.ai; daarna haalt ProjectMaat de content van haar kanalen.

5. Vertrouwelijkheid

ProjectMaat zorgt dat personen die toegang hebben tot de persoonsgegevens tot geheimhouding zijn gehouden en de gegevens uitsluitend verwerken voor zover nodig voor de dienst.

6. Beveiliging

ProjectMaat treft passende technische en organisatorische maatregelen conform artikel 32 AVG, waaronder versleuteling onderweg en in rust, toegangsbeheer op databaseniveau, inloggen zonder wachtwoord, en logging van handelingen. Een overzicht staat op /security.

7. Subverwerkers

De klant geeft ProjectMaat algemene toestemming om subverwerkers in te schakelen voor de uitvoering van de dienst. Subverwerkers zijn gebonden aan verplichtingen die ten minste gelijkwaardig zijn aan deze DPA. De meeste subverwerkers zijn binnen de EER gevestigd en verwerken binnen de EER; waar dat niet zo is, gebeurt de doorgifte uitsluitend onder een geldige grondslag zoals beschreven in artikel 8.

De actuele lijst staat op /subprocessors. Bij een nieuwe of vervangen subverwerker informeert ProjectMaat de klant per e-mail, minimaal 30 dagen voordat de wijziging ingaat. Wil je bezwaar maken, mail dan naar privacy@projectmaat.ai; we zoeken dan samen een oplossing, en kom je er niet uit dan kun je de overeenkomst beëindigen zonder opzegtermijn.

8. Internationale doorgifte

De eigen verwerking en opslag van ProjectMaat vinden plaats binnen de EER: de database en bestandsopslag (Supabase, Frankfurt), de hosting (Vercel, Frankfurt), de AI-verwerking (Mistral, Frankrijk), de e-mailverzending (Brevo, Sendinblue SAS, met verwerking en opslag in de EU) en het doorgeven van content aan je social kanalen (PostProxy, EU).

Twee benoemde uitzonderingen verwerken deels in de Verenigde Staten, telkens op grond van het EU-VS Data Privacy Framework: Meta Platforms Ireland voor al het WhatsApp-verkeer: de binnenkomende spraakberichten, foto's, video's en telefoonnummers, en de berichten die ProjectMaat terugstuurt, zoals de link naar je project en de melding dat je content online staat. En Google Workspace voor inkomende zakelijke e-mail.

Daarnaast is het publiceren zelf een doorgifte: zodra jij een extern kanaal koppelt en op publiceren drukt, gaan de tekst en de foto's naar dat kanaal. Instagram, Facebook, Pinterest, LinkedIn en het Google Bedrijfsprofiel verwerken (deels) in de Verenigde Staten, telkens op grond van het EU-VS Data Privacy Framework van hun aanbieder; je eigen website valt onder je eigen hostingkeuze. Dat publiceren is de kern van de dienst en gebeurt uitsluitend op jouw instructie: zonder jouw goedkeuring wordt er niets gepubliceerd. Je bepaalt zelf welke kanalen je koppelt. De actuele stand per partij staat op /subprocessors.

9. Bijstand aan de verantwoordelijke

ProjectMaat verleent de klant redelijke bijstand bij het voldoen aan verzoeken van betrokkenen (inzage, correctie, verwijdering, beperking, bezwaar en dataportabiliteit) en bij verplichtingen op grond van de artikelen 32 tot en met 36 AVG, waaronder beveiliging, datalekken en eventuele gegevensbeschermingseffectbeoordelingen. Voor bijstand die wezenlijk verder gaat dan wat de dienst zelf al biedt, mag ProjectMaat redelijke kosten in rekening brengen; dat wordt vooraf gemeld.

10. Datalekken

ProjectMaat informeert de klant zonder onredelijke vertraging, en uiterlijk binnen 48 uur na ontdekking, over een inbreuk in verband met persoonsgegevens die de gegevens van de klant betreft, met de informatie die de klant nodig heeft om aan zijn eigen meldplicht te voldoen. ProjectMaat ondersteunt de klant bij een eventuele melding aan de Autoriteit Persoonsgegevens of aan betrokkenen, en doet die melding niet zelf, tenzij de klant daar schriftelijk om vraagt.

11. Audit en controle

ProjectMaat stelt de klant op verzoek de informatie ter beschikking die nodig is om naleving van deze DPA aan te tonen. De klant mag maximaal eenmaal per jaar, na redelijke aankondiging, een audit (laten) uitvoeren naar de naleving, waarbij de redelijke kosten voor rekening van de klant komen en de bedrijfsvoering van ProjectMaat zo min mogelijk wordt verstoord.

12. Bewaring, teruggave en verwijdering

ProjectMaat bewaart persoonsgegevens niet langer dan nodig en conform de bewaartermijnen in het privacybeleid. Na beëindiging van de overeenkomst wist ProjectMaat de persoonsgegevens in elk geval binnen 12 maanden, met uitzondering van de gegevens waarvoor een wettelijke bewaarplicht geldt (facturatie- en abonnementsgegevens, het minimale klantrecord en het consent-bewijs: 7 jaar). Op eerste verzoek van de klant, tijdens of na de looptijd, wist ProjectMaat de persoonsgegevens ook eerder of bezorgt ze terug, tenzij een wettelijke bewaarplicht anders vereist. De klant informeert ProjectMaat over wettelijke bewaartermijnen die op de verwerking van toepassing zijn; ProjectMaat verwerkt niet langer dan die termijnen.

13. Aansprakelijkheid

De aansprakelijkheid onder deze DPA wordt beheerst door de aansprakelijkheidsbepalingen in de algemene voorwaarden, voor zover dwingend recht zich daar niet tegen verzet.

14. Duur en beëindiging

Deze DPA geldt zolang ProjectMaat persoonsgegevens voor de klant verwerkt en eindigt gelijktijdig met de onderliggende overeenkomst. Verplichtingen die naar hun aard voortduren, blijven na beëindiging van kracht.

Gaat de onderneming van ProjectMaat over op een rechtsopvolger of op een vennootschap waarin de onderneming wordt ingebracht (bijvoorbeeld bij omzetting van de eenmanszaak in een besloten vennootschap), dan gaat deze DPA ongewijzigd mee over. De klant wordt daarover geïnformeerd; de verwerking, de subverwerkers en de beveiliging veranderen er niet door.

15. Toepasselijk recht

Op deze DPA is Nederlands recht van toepassing. Geschillen worden beslecht door de bevoegde rechter in het arrondissement van de vestigingsplaats van ProjectMaat.