1. Partijen en reikwijdte
Deze verwerkersovereenkomst («DPA») is tussen de klantorganisatie die in de bestelling staat («Klant», de verwerkingsverantwoordelijke) en Collabix.ai B.V., Singel 542, 1017 AZ Amsterdam, KVK 97088617 («Collabix», de verwerker). Ze geldt voor alle persoonsgegevens die Collabix voor de Klant verwerkt bij het leveren van de dienst Collabix onder de algemene voorwaarden en de bestelling. Het is een verwerkersovereenkomst in de zin van artikel 28 van de Algemene verordening gegevensbescherming (AVG). Ondertekenen de Klant en Collabix een andere DPA, dan geldt die.
2. Wat wordt verwerkt
| Onderwerp | Overleggen voorbereiden, er zichtbaar aan deelnemen, besluiten en acties opschrijven en, nadat iemand ze heeft goedgekeurd, de gekoppelde tools van de Klant bijwerken. |
|---|---|
| Duur | De looptijd van het abonnement, plus de verwijdertermijnen in artikel 9. |
| Aard | Verzamelen uit gekoppelde tools en overleggen, opslag, transcriptie, analyse met AI-modellen, tonen aan de gebruikers van de Klant, schrijven naar gekoppelde tools na goedkeuring. |
| Doel | Het leveren van de dienst Collabix aan de Klant zoals in de voorwaarden beschreven. Geen ander doel. |
| Betrokkenen | Gebruikers, medewerkers en opdrachtnemers van de Klant; deelnemers aan overleggen, ook van buiten de organisatie van de Klant; personen die in de gekoppelde tools voorkomen (toegewezen tickets, auteurs van documenten, afzenders van berichten). |
| Soorten gegevens | Namen, zakelijke e-mailadressen, rollen; agenda-items; audio van overleggen, videobeelden die nodig zijn om deel te nemen, en transcripties; de doelen, besluiten, acties en context die in het product worden geschreven; tickets, documenten en berichten uit gekoppelde tools (Jira, Google Workspace, Slack, Microsoft Teams, Zoom); technische gegevens zoals IP-adressen en logs; contactgegevens voor facturatie. |
| Bijzondere categorieën | Niet beoogd. Inhoud van overleggen kan zulke gegevens bij toeval bevatten; de Klant bepaalt wat er wordt besproken in een overleg waar Collabix bij is. |
3. Instructies
Collabix verwerkt persoonsgegevens alleen op de schriftelijke instructies van de Klant: deze voorwaarden, de bestelling, de instellingen die de Klant in het product kiest en de handelingen van haar gebruikers. Er wordt niets naar een gekoppelde tool geschreven voordat iemand in de organisatie van de Klant het goedkeurt. Meent Collabix dat een instructie in strijd is met de wet, dan meldt ze dat aan de Klant voordat ze handelt. Collabix gebruikt klantgegevens niet om AI-modellen te trainen en verkoopt of deelt ze niet met derden voor hun eigen doelen.
4. Vertrouwelijkheid
Iedereen die aan de kant van Collabix klantgegevens verwerkt is contractueel of wettelijk tot geheimhouding verplicht en heeft alleen toegang tot wat zijn taak vereist.
5. Beveiliging
Collabix neemt de technische en organisatorische maatregelen die bij het risico passen, waaronder: versleuteling onderweg (TLS) en in opslag; geheimen in Azure Key Vault; scheiding van gegevens per klant; toegang op basis van rollen met meerfactorauthenticatie voor beheerders; logging van beheerhandelingen; back-ups; koppelingstokens die worden verwijderd zodra een koppeling wordt verbroken. De actuele beschrijving staat op de beveiligingspagina. Collabix is nog niet SOC 2- of ISO 27001-gecertificeerd en zegt dat ook.
6. Subverwerkers
De Klant geeft algemene toestemming voor de onderstaande subverwerkers. Collabix blijft verantwoordelijk voor hun werk en legt hun verplichtingen op die gelijkwaardig zijn aan deze DPA.
| Subverwerker | Doel | Locatie |
|---|---|---|
| Microsoft Azure (Microsoft Ireland Operations Ltd.) | Hosting, opslag, Azure OpenAI-modellen | EU; een deel van de AI-verwerking in Amerikaanse Azure-regio's, per omgeving schriftelijk bevestigd |
| Recall.ai, Inc. | Deelname aan overleggen en opname van audio | Verenigde Staten (EU-VS Data Privacy Framework) |
| Gladia SAS | Live transcriptie | EU (Frankrijk) |
| Stripe Payments Europe, Ltd. | Facturen, betalingen, contactgegevens voor facturatie | EU (Ierland); kaartgegevens blijven bij Stripe |
| Aanbieder van transactionele e-mail | Service-e-mails (uitnodigingen, briefings, rapporten, facturatie) | EU |
| HubSpot, Inc. | Relatiebeheer (alleen contactgegevens) | EU-datacenter (EU-VS Data Privacy Framework) |
Collabix kondigt een nieuwe of vervangende subverwerker minstens 30 dagen voordat die klantgegevens gaat verwerken per e-mail aan bij de beheerder van het account. De Klant kan binnen die termijn op redelijke gronden van gegevensbescherming bezwaar maken; wordt het bezwaar niet opgelost, dan kan de Klant het abonnement voor de betreffende dienst zonder boete beëindigen en krijgt ze een vooruitbetaalde periode na de einddatum terug.
7. Doorgifte buiten de EER
Verwerkt een subverwerker gegevens buiten de Europese Economische Ruimte, dan rust de doorgifte op de EU-standaardcontractbepalingen (Besluit 2021/914, module 3) of een adequaatheidsbesluit, voor de Verenigde Staten het EU-VS Data Privacy Framework als de aanbieder is gecertificeerd. De Klant bevestigt de productieregio van haar omgeving in de bestelling.
8. Bijstand
- Verzoeken van betrokkenen. Collabix stuurt een verzoek dat zij ontvangt binnen 5 werkdagen door aan de Klant en helpt de Klant het te beantwoorden; beheerders kunnen gegevens zelf in het product exporteren en verwijderen.
- Datalek. Collabix meldt een inbreuk die klantgegevens raakt zonder onnodige vertraging en uiterlijk binnen 48 uur nadat ze ervan weet, met wat ze op dat moment weet en met aanvullingen naarmate ze meer leert, zodat de Klant haar termijn van 72 uur kan halen.
- Effectbeoordelingen en raadpleging. Collabix levert de informatie die de Klant redelijkerwijs nodig heeft voor een gegevensbeschermingseffectbeoordeling of een voorafgaande raadpleging van een toezichthouder.
9. Verwijdering en teruggave
Tijdens het abonnement kan een beheerder de gegevens van de Klant op elk moment exporteren. Na het einde van het abonnement heeft de Klant 30 dagen om te exporteren; daarna verwijdert of anonimiseert Collabix de klantgegevens binnen 90 dagen en haalt ze binnen nog eens 35 dagen uit de back-ups, tenzij EU- of Nederlands recht langer bewaren vereist (factuurgegevens: 7 jaar). Koppelingstokens worden verwijderd zodra een koppeling wordt verbroken.
10. Audits
Eens per jaar, of na een datalek, kan de Klant Collabix vragen om de informatie die nodig is om naleving van deze DPA aan te tonen, waaronder de beveiligingsbeschrijving, de lijst van subverwerkers en de uitkomsten van een eventuele beoordeling door derden. Is dat niet genoeg, dan mag de Klant Collabix auditen, of een onafhankelijke auditor dat laten doen, met 30 dagen aankondiging, tijdens kantooruren, zonder de dienst te verstoren en onder geheimhouding. Elke partij draagt haar eigen kosten.
11. Aansprakelijkheid en looptijd
De aansprakelijkheidsbeperkingen uit de algemene voorwaarden gelden ook voor deze DPA. Deze DPA duurt zolang Collabix persoonsgegevens voor de Klant verwerkt. Nederlands recht is van toepassing.
12. Contact
Vragen over gegevensbescherming: info@collabix.ai. Collabix heeft geen functionaris voor gegevensbescherming aangesteld; de founders antwoorden zelf.