Verwerkersovereenkomst

Deze verwerkersovereenkomst (hierna de „Overeenkomst“) regelt de verwerking van persoonsgegevens die Feedbax bij het exploiteren van de LeadWin-agent op de website van de Klant in diens opdracht uitvoert. Zij concretiseert de verplichtingen van de partijen op grond van art. 28 AVG en is gebaseerd op de standaardcontractbepalingen van de Europese Commissie in de zin van art. 28 lid 7 AVG (uitvoeringsbesluit (EU) 2021/915).

Deze Overeenkomst komt tot stand wanneer de Klant ermee akkoord gaat bij de registratie voor LeadWin; bij Feedbax geregistreerde gebruikers (dienstverleners en opdrachtgevers) van wie de LeadWin-toegang via hun Feedbax-account ontstaat, gaan ermee akkoord in het LeadWin-dashboard. Zij wordt daarmee onderdeel van de gebruiksovereenkomst voor LeadWin. Vóór dit akkoord stelt Feedbax geen code ter beschikking om de LeadWin-agent in te sluiten. Een afzonderlijke ondertekening is niet vereist.

Partijen

Verwerkingsverantwoordelijke is de Klant: de houder van het LeadWin-account en exploitant van de website waarop de LeadWin-agent is ingebouwd (hierna de „Klant“).

Verwerker is Feedbax, eigenaar: Armin Bossag, Holsteinstr. 10, 41564 Kaarst, Duitsland, e-mail [email protected] (hierna „Feedbax“ of „wij“).

„Gebruiksovereenkomst“ is de overeenkomst over het gebruik van LeadWin, die wordt beheerst door de Gebruiksvoorwaarden en bij betaalde abonnementen bovendien door de Algemene voorwaarden.

1. Onderwerp en duur

1.1 Onderwerp van deze Overeenkomst is het exploiteren van de LeadWin-agent op de website van de Klant, met inbegrip van het dashboard en de inbox waarin de Klant en zijn teamleden gesprekken, contacten en afspraakboekingen inzien en verwerken.

1.2 De duur van deze Overeenkomst komt overeen met de looptijd van de gebruiksovereenkomst. De gebruiksovereenkomst bestaat zolang de Klant een LeadWin-account aanhoudt, ook met het gratis abonnement; het aflopen of opzeggen van een betaald abonnement beëindigt haar niet. Zij eindigt met het wissen van het account of wanneer Feedbax de gebruiksrelatie beëindigt. Deze Overeenkomst eindigt samen met de gebruiksovereenkomst, zonder dat een afzonderlijke opzegging nodig is. De verplichtingen uit artikel 10 blijven na het einde van de overeenkomst gelden totdat de gegevens zijn gewist of teruggegeven.

2. Aard, doel, soorten gegevens en betrokkenen

De aard en het doel van de verwerking, de categorieën persoonsgegevens en de categorieën betrokkenen zijn beschreven in bijlage 1.

3. Instructies

3.1 Feedbax verwerkt de persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Klant, tenzij Feedbax op grond van Unierecht of lidstatelijk recht tot verwerking verplicht is. In dat geval stelt Feedbax de Klant vóór de verwerking in kennis van dat wettelijke voorschrift, tenzij het betreffende recht een dergelijke kennisgeving verbiedt.

3.2 Deze Overeenkomst, de gebruiksovereenkomst en de configuratie die de Klant in het dashboard aanbrengt (in het bijzonder instructies, kennisbronnen, ingeschakelde functies, gekoppelde systemen en de toestemmingsverklaring voor de bezoekersanalyse) gelden als gedocumenteerde instructies. Verdere instructies geeft de Klant in tekstvorm aan [email protected].

3.3 Is Feedbax van mening dat een instructie in strijd is met de AVG of met andere bepalingen van het Unierecht of het lidstatelijke recht inzake gegevensbescherming, dan stelt Feedbax de Klant daarvan onverwijld in kennis. Feedbax mag de uitvoering van de betreffende instructie opschorten totdat de Klant deze bevestigt of wijzigt.

4. Vertrouwelijkheid

Feedbax waarborgt dat de tot het verwerken van de persoonsgegevens gemachtigde personen zich tot vertrouwelijkheid hebben verbonden of door een passende wettelijke geheimhoudingsplicht zijn gebonden. De toegang tot de gegevens is beperkt tot de personen die deze nodig hebben voor de uitvoering van deze Overeenkomst.

5. Beveiliging van de verwerking

5.1 Feedbax treft de in bijlage 3 beschreven technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau volgens art. 32 AVG te waarborgen. Daarbij wordt rekening gehouden met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de doeleinden van de verwerking en de risico's voor de betrokkenen.

5.2 Feedbax mag de maatregelen aanpassen aan de technische ontwikkeling, mits het overeengekomen beschermingsniveau niet wordt verlaagd. Wezenlijke wijzigingen worden in bijlage 3 gedocumenteerd.

6. Subverwerkers

6.1 De Klant verleent Feedbax een algemene toestemming om de in bijlage 2 genoemde subverwerkers in te schakelen.

6.2 Feedbax informeert de Klant over elke beoogde toevoeging of vervanging van een subverwerker ten minste zeven dagen van tevoren per e-mail aan het accountadres van de Klant. De Klant kan binnen deze termijn om een zwaarwegende reden op het gebied van gegevensbescherming in tekstvorm bezwaar maken tegen de wijziging. Komen de partijen niet tot overeenstemming, dan mag de Klant de gebruiksovereenkomst opzeggen met ingang van het moment van de wijziging.

6.3 Feedbax legt elke subverwerker bij overeenkomst dezelfde verplichtingen inzake gegevensbescherming op als in deze Overeenkomst zijn vastgelegd, in het bijzonder afdoende garanties voor passende technische en organisatorische maatregelen. Feedbax blijft jegens de Klant aansprakelijk voor de nakoming van de verplichtingen van de subverwerker.

6.4 Op verzoek verstrekt Feedbax de Klant een kopie van de wezenlijke bepalingen inzake gegevensbescherming uit de overeenkomst met een subverwerker; bedrijfsgeheimen mogen onleesbaar worden gemaakt.

7. Doorgifte naar derde landen

7.1 Doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte vindt alleen plaats als aan de voorwaarden van hoofdstuk V AVG is voldaan: op basis van een adequaatheidsbesluit van de Europese Commissie (bijvoorbeeld voor het Verenigd Koninkrijk), een certificering van de ontvanger onder het EU-U.S. Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie, telkens aangevuld met de vereiste aanvullende maatregelen.

7.2 De voor de afzonderlijke subverwerkers geldende doorgiftegrondslag is vermeld in bijlage 2.

8. Bijstand aan de verwerkingsverantwoordelijke

8.1 Rekening houdend met de aard van de verwerking staat Feedbax de Klant door middel van passende technische en organisatorische maatregelen bij in het vervullen van zijn plicht om verzoeken tot uitoefening van de rechten van betrokkenen (art. 12 tot en met 22 AVG) te beantwoorden. Inzage in bezoekersgegevens en het wissen daarvan voert Feedbax op verzoek van de Klant uit, voor zover de Klant dit niet zelf via het dashboard kan doen.

8.2 Verzoeken van betrokkenen die rechtstreeks bij Feedbax binnenkomen en de verwerking in opdracht van de Klant betreffen, stuurt Feedbax onverwijld door aan de Klant. Feedbax beantwoordt dergelijke verzoeken niet zelf, maar alleen op instructie van de Klant.

8.3 Feedbax staat de Klant bij in het nakomen van de verplichtingen uit art. 32 tot en met 36 AVG, in het bijzonder bij de beveiliging van de verwerking, de melding van inbreuken in verband met persoonsgegevens, de gegevensbeschermingseffectbeoordeling en de voorafgaande raadpleging van de toezichthoudende autoriteit, en verstrekt daarvoor de bij Feedbax beschikbare informatie.

9. Melding van inbreuken in verband met persoonsgegevens

9.1 Feedbax meldt de Klant elke inbreuk in verband met persoonsgegevens die in opdracht van de Klant worden verwerkt onverwijld nadat Feedbax daarvan kennis heeft genomen, per e-mail aan het accountadres van de Klant.

9.2 De melding bevat, voor zover bekend, de in art. 33 lid 3 AVG genoemde gegevens: de aard van de inbreuk met de categorieën en het geschatte aantal betrokkenen en gegevensrecords, de naam en contactgegevens van een contactpunt, de waarschijnlijke gevolgen van de inbreuk en de genomen of voorgestelde maatregelen om de inbreuk aan te pakken en de gevolgen ervan te beperken. Kunnen de gegevens niet gelijktijdig worden verstrekt, dan worden zij zonder onredelijke vertraging nagezonden.

9.3 Feedbax staat de Klant bij in de melding aan de toezichthoudende autoriteit en de mededeling aan de betrokkenen volgens art. 33 en 34 AVG.

10. Wissen en teruggave

10.1 Hoe lang de in opdracht verwerkte gegevens bewaard blijven, bepaalt de Klant. Tijdens de looptijd van de gebruiksovereenkomst wist Feedbax ze niet uit eigen beweging; uitgezonderd zijn de gegevens van de bezoekersanalyse, die na de termijnen in bijlage 1 worden gewist. De Klant kan te allen tijde afzonderlijke agents met alle bijbehorende gegevens of zijn volledige account in het dashboard wissen, of het wissen per e-mail aan [email protected] verlangen. Afzonderlijke gesprekken, contacten en afspraakboekingen wist Feedbax op verzoek van de Klant.

10.2 Wist de Klant een agent of zijn account, of verlangt hij het wissen, dan wist Feedbax de betrokken persoonsgegevens onverwijld. Wenst de Klant in plaats daarvan teruggave, dan deelt hij dit vóór het wissen in tekstvorm aan Feedbax mee; Feedbax stelt de gegevens dan in een gangbaar machineleesbaar formaat ter beschikking. Beëindigt Feedbax de gebruiksrelatie, dan kan de Klant tot het einde van de overeenkomst teruggave verlangen; na het einde van de overeenkomst wist Feedbax de gegevens. Kopieën in back-ups worden in de reguliere rotatiecyclus van de back-ups overschreven. Langere opslag vindt alleen plaats voor zover Unierecht of lidstatelijk recht dit vereist.

10.3 Op verzoek bevestigt Feedbax het wissen in tekstvorm.

11. Bewijs en controles

11.1 Feedbax stelt de Klant alle informatie ter beschikking die nodig is om aan te tonen dat de in art. 28 AVG neergelegde verplichtingen worden nagekomen, in het bijzonder de beschrijving van de technische en organisatorische maatregelen in bijlage 3, informatie over de subverwerkers en, voor zover beschikbaar, rapporten en certificaten.

11.2 De Klant mag de naleving van deze Overeenkomst controleren door middel van audits, met inbegrip van inspecties, die hij zelf of een door hem gemachtigde en tot vertrouwelijkheid verplichte auditor uitvoert. Controles worden ten minste 14 dagen van tevoren aangekondigd, vinden plaats tijdens de gebruikelijke kantooruren en worden zo uitgevoerd dat de bedrijfsvoering van Feedbax niet onredelijk wordt verstoord. Zonder concrete aanleiding vindt ten hoogste één controle per kalenderjaar plaats; bij een concrete aanleiding, bijvoorbeeld een inbreuk in verband met persoonsgegevens of een bevel van de toezichthoudende autoriteit, te allen tijde.

11.3 De kosten van een controle draagt de Klant, tenzij daarbij schendingen van deze Overeenkomst worden vastgesteld.

12. Verplichtingen van de verwerkingsverantwoordelijke

12.1 De Klant is verantwoordelijk voor de rechtmatigheid van de verwerking, in het bijzonder voor de rechtsgrondslagen, de eerbiediging van de rechten van betrokkenen en de nakoming van de informatieplichten volgens art. 13 en 14 AVG.

12.2 De Klant informeert de bezoekers van zijn website in zijn eigen privacyverklaring over het gebruik van de LeadWin-agent. Feedbax stelt daarvoor in het dashboard onder „Privacy“ een tekstblok ter beschikking dat de Klant aan zijn situatie aanpast.

12.3 Schakelt de Klant de optionele bezoekersanalyse in, dan verkrijgt hij de vereiste toestemming van de bezoekers via zijn eigen toestemmingsbeheer en zorgt hij ervoor dat de agent de bezoekersanalyse pas uitvoert nadat de toestemming is gegeven. Zonder toestemming worden alleen de in bijlage 1 als toestemmingsvrij aangeduide gegevens verwerkt.

12.4 De Klant wijst zijn bezoekers erop geen bijzondere categorieën persoonsgegevens (art. 9 AVG) in de chat in te voeren, tenzij dit voor zijn aanbod noodzakelijk is.

13. Aansprakelijkheid en slotbepalingen

13.1 De aansprakelijkheid van de partijen wordt beheerst door art. 82 AVG en voor het overige door de aansprakelijkheidsbepalingen van de gebruiksovereenkomst.

13.2 Het recht van de Bondsrepubliek Duitsland is van toepassing.

13.3 Bij tegenstrijdigheden tussen deze Overeenkomst en de gebruiksovereenkomst gaat deze Overeenkomst voor in kwesties van gegevensbescherming.

13.4 Feedbax mag deze Overeenkomst met werking voor de toekomst wijzigen voor zover dit noodzakelijk is wegens een gewijzigde juridische situatie, gewijzigde functies van de agent of gewijzigde subverwerkers. Wijzigingen worden de Klant tijdig vóór het van kracht worden per e-mail aan het accountadres aangekondigd. Voor wijzigingen van de subverwerkers geldt artikel 6.2.

13.5 De taal van de overeenkomst is Duits. Vertalingen van deze Overeenkomst dienen uitsluitend ter informatie; bij afwijkingen geldt de Duitse versie.

13.6 Mochten afzonderlijke bepalingen van deze Overeenkomst ongeldig zijn, dan blijft de geldigheid van de overige bepalingen onverlet. In plaats van de ongeldige bepaling geldt de wettelijke regeling.

Bijlage 1: Beschrijving van de verwerking

Doel van de verwerking

• beantwoorden van bezoekersvragen in de chat op de website van de Klant,
• vastleggen en kwalificeren van contactaanvragen (leads),
• boeken van afspraken,
• overdragen van gesprekken aan het team van de Klant,
• analyseren van het gebruik (statistieken) voor de Klant.

Categorieën betrokkenen

• bezoekers van de website van de Klant,
• teamleden van de Klant.

Categorieën persoonsgegevens

• chatberichten en bijgevoegde bestanden;
• herkomstcontext: pad van de bezochte pagina, verwijzende host, land van herkomst (afgeleid uit het ingekorte IP-adres);
• door de bezoeker achtergelaten contactgegevens: naam, e-mailadres, telefoonnummer, bedrijf, vraag;
• afspraakgegevens: gekozen tijdstip, type gebeurtenis, deelnemers;
• bij ingeschakelde bezoekersanalyse en gegeven toestemming: pseudonieme bezoekersidentificatie, paginageschiedenis, verblijfsduur, apparaattype, browser, taal, UTM-parameters;
• een op een sleutel gebaseerde eenrichtingshash van het IP-adres, uitsluitend voor blokkeerlijsten;
• gegevens van teamleden: naam, e-mailadres, rol, acties in de inbox.

Zonder toestemming worden alleen de chatberichten, de herkomstcontext, de door de bezoeker vrijwillig achtergelaten contact- en afspraakgegevens en de hash voor blokkeerlijsten verwerkt.

Bijzondere categorieën persoonsgegevens

De verwerking van bijzondere categorieën persoonsgegevens (art. 9 AVG) is niet voorzien. De Klant wijst de bezoekers erop dergelijke gegevens niet in te voeren.

Verwerkingshandelingen

Opslag, doorgifte aan het AI-taalmodel voor het genereren van de antwoorden, doorgifte van de berichttekst aan de taalherkenningsdienst, weergave in de inbox, analyse in geaggregeerde vorm, wissen.

Duur van de verwerking

Looptijd van de gebruiksovereenkomst (artikel 1.2), tenzij de Klant de gegevens eerder wist (artikel 10). Ruwe gegevens van de bezoekersanalyse worden na 90 dagen gewist, dagaggregaten na twee jaar.

Bijlage 2: Subverwerkers

Systemen die de Klant zelf koppelt (Google Agenda, Microsoft 365, Calendly, Intercom, eigen webhooks en CRM-systemen) zijn geen subverwerkers van Feedbax. De Klant zet ze onder eigen verantwoordelijkheid in.

Voor de kennisbasis en het live zoeken haalt Feedbax via ScraperAPI LLC (VS) uitsluitend openbare pagina's van de website van de Klant op. ScraperAPI ontvangt alleen de adressen van deze pagina's; bezoekersgegevens (berichten, identificatiekenmerken, IP-adressen) worden niet doorgegeven. ScraperAPI is daarom geen subverwerker voor bezoekersgegevens.

Beoordelingen van Google, Trustpilot en Trusted Shops leest Feedbax in opdracht van de Klant via de dienst Wextractor (geëxploiteerd door Lucas Moauro; de voorwaarden noemen Argentijns recht en geen postadres). Alleen de openbare identificatie van het bedrijf van de Klant op het betreffende platform wordt doorgegeven; bezoekersgegevens en contactgegevens van de Klant worden niet verzonden. Terug komen openbaar geplaatste beoordelingen met de naam waaronder de beoordelaar wordt weergegeven. Wextractor is daarom geen subverwerker voor bezoekersgegevens.

Berichten uit de socialemediaprofielen van de Klant (LinkedIn, Instagram, TikTok, X) leest Feedbax op verzoek van de Klant via Apify Technologies s.r.o. (Praag, Tsjechië). Alleen het adres van het betreffende profiel van de Klant wordt doorgegeven; bezoekersgegevens worden niet doorgegeven. Terug komen de daar openbaar gepubliceerde berichten. Apify is daarom geen subverwerker voor bezoekersgegevens.

Bijlage 3: Technische en organisatorische maatregelen (art. 32 AVG)

Vertrouwelijkheid

• Transportversleuteling: alle verbindingen tussen bezoekers, dashboard, agent en subverwerkers zijn volledig met TLS versleuteld.
• Toegangscontrole: rollen en teamzetels in het dashboard; toegang tot gesprekken alleen voor de Klant en zijn teamleden. Beheerderstoegang bij Feedbax is beperkt tot enkele personen.
• Pseudonimisering: het IP-adres wordt vóór de geolocatie ingekort en niet opgeslagen; voor blokkeerlijsten wordt alleen een op een sleutel gebaseerde eenrichtingshash bewaard. Bezoekersidentificaties voor de bezoekersanalyse worden alleen met toestemming en pseudoniem toegekend.
• Scheidingscontrole: per widget gescheiden opslag per klant; toegangstoken per gesprek.

Integriteit

• Invoercontrole: acties van de agent (boekingen, overdrachten) zijn in de inbox traceerbaar.
• Bescherming tegen promptinjectie: door de browser aangeleverde waarden worden opgeschoond voordat zij het taalmodel bereiken.

Beschikbaarheid en veerkracht

• dagelijkse back-ups door de hostingprovider,
• content delivery network en DDoS-bescherming.

Procedures voor regelmatige controle

• Wisbeleid: ruwe gegevens van de bezoekersanalyse na 90 dagen, dagaggregaten na 730 dagen; gesprekken, contacten en afspraakboekingen zodra de Klant de agent of zijn account wist of om wissing verzoekt; kopieën in back-ups in de reguliere rotatiecyclus.
• Controle op subverwerking: verwerkersovereenkomsten met alle subverwerkers; geheimhoudingsverplichting voor de gemachtigde personen.
• Organisatie: proces voor gegevensbeschermingsbeheer met regelmatige controle en aanpassing van de maatregelen.