Verwerkersovereenkomst

Begrippen

In deze overeenkomst hebben Account, Anonymiser, Consument, Document, Housekeeping, Klant, Lexparaat, Model, Rapport, Scan, Uitkomst, Voorwaarden en Wachter de betekenis uit artikel 1 van de Voorwaarden. Persoonsgegevens, betrokkene, verwerking, verwerkingsverantwoordelijke, verwerker en subverwerker hebben de betekenis van artikel 4 van de Algemene verordening gegevensbescherming (AVG).

1 · Partijen, toepassing en rangorde

1.1 Deze verwerkersovereenkomst geldt tussen Leagle Support Staff BV, handelend onder de naam Lexparaat ("Verwerker"), en de Klant die van Lexparaat gebruikmaakt ("Verantwoordelijke").

1.2 Zij is van toepassing voor zover Verwerker bij de uitvoering van de Voorwaarden persoonsgegevens verwerkt ten behoeve van Verantwoordelijke. Onder die verwerkingen namens Verantwoordelijke vallen ook de gratis Scan en de beoordeling door de jurist (bijlage 1). Voor de verwerkingen waarvoor Lexparaat zelf verwerkingsverantwoordelijke is — onder meer het Account, de facturatie en de beveiliging — geldt zij niet; daarop is de privacyverklaring van toepassing.

1.3 Indien Verwerker met Verantwoordelijke een specifieke zelfstandige juridische adviesopdracht overeenkomt, kan Verwerker — uitsluitend voor die opdracht en afhankelijk van de inhoud daarvan — voor die verwerking als verwerkingsverantwoordelijke kwalificeren; in zoverre is deze overeenkomst op die opdracht niet van toepassing.

1.4 Begrippen die in de AVG zijn omschreven, hebben hier dezelfde betekenis.

1.5 Bij tegenstrijdigheid gaat deze verwerkersovereenkomst voor op de Voorwaarden en op de privacyverklaring, waar het de verwerking van persoonsgegevens betreft.

2 · Onderwerp, duur, aard en doel van de verwerking

2.1 Het onderwerp, de duur, de aard en het doel van de verwerking, het soort persoonsgegevens en de categorieën betrokkenen staan in bijlage 1.

2.2 Deze overeenkomst loopt zolang Verwerker voor Verantwoordelijke persoonsgegevens verwerkt, en eindigt zodra de dienstverlening eindigt en artikel 9 is uitgevoerd.

2.3 Verwerker verwerkt de persoonsgegevens niet voor eigen doeleinden en verstrekt ze niet aan derden, behalve op grond van deze overeenkomst of een wettelijke verplichting.

3 · Verwerking uitsluitend op instructie

3.1 Verwerker verwerkt de persoonsgegevens uitsluitend op gedocumenteerde instructie van Verantwoordelijke, ook wat betreft doorgifte naar een derde land. De Voorwaarden, deze overeenkomst en het gebruik dat Verantwoordelijke feitelijk van de dienst maakt — de bestelling, de ingevulde gegevens, de ingestelde bewaking — gelden als die instructie.

3.2 Verplicht een wettelijk voorschrift Verwerker tot een verwerking, dan stelt Verwerker Verantwoordelijke daarvan vóór de verwerking op de hoogte, tenzij dat voorschrift die kennisgeving om gewichtige redenen van algemeen belang verbiedt.

3.3 Meent Verwerker dat een instructie in strijd is met de AVG of met andere gegevensbeschermingsbepalingen, dan stelt hij Verantwoordelijke daarvan onmiddellijk in kennis.

4 · Geheimhouding

4.1 Verwerker zorgt ervoor dat de personen die tot de persoonsgegevens toegang hebben, zich tot geheimhouding hebben verbonden of door een passende wettelijke verplichting tot geheimhouding zijn gebonden.

4.2 Toegang wordt uitsluitend verleend voor zover dat voor de uitvoering noodzakelijk is. De jurist die een Document of Scan beoordeelt, heeft die toegang uit hoofde van de opdracht.

5 · Beveiliging

5.1 Verwerker treft de passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG. De op dit moment getroffen maatregelen staan in bijlage 2.

5.2 Verwerker mag maatregelen wijzigen, mits het beveiligingsniveau daardoor niet daalt.

6 · Subverwerkers

6.1 Verantwoordelijke geeft Verwerker algemene schriftelijke toestemming voor het inschakelen van subverwerkers. De op dit moment ingeschakelde subverwerkers staan in bijlage 3.

6.2 Verwerker informeert Verantwoordelijke over een voorgenomen toevoeging of vervanging van een subverwerker, ten minste dertig dagen vóór de wijziging ingaat, en geeft hem daarmee de gelegenheid bezwaar te maken.

6.3 Maakt Verantwoordelijke op redelijke, gegevensbeschermingsrechtelijke gronden tijdig bezwaar, dan overleggen partijen. Komen zij er niet uit, dan mag Verantwoordelijke de betrokken dienst met ingang van de wijzigingsdatum kosteloos beëindigen, tegen terugbetaling naar rato van vooruitbetaalde vergoedingen.

6.4 Verwerker schakelt subverwerkers uitsluitend in op basis van een schriftelijke overeenkomst die hun gegevensbeschermingsverplichtingen oplegt die in wezen dezelfde bescherming bieden als in deze overeenkomst, zoals bedoeld in art. 28 lid 4 AVG, passend bij de aard van hun dienst. Hanteert een subverwerker (AI-, betaal- of hostingleverancier) zijn eigen standaard-verwerkersovereenkomst, dan aanvaardt Verwerker die mits zij ten minste een gelijkwaardig beschermingsniveau waarborgt en, bij doorgifte naar een derde land, de modelcontractbepalingen of een ander geldig mechanisme omvat. Verwerker toetst die gelijkwaardigheid vóór inschakeling en legt de toets vast. Verwerker blijft jegens Verantwoordelijke volledig aansprakelijk voor de nakoming door iedere subverwerker, als betrof het zijn eigen handelen.

7 · Bijstand bij verzoeken van betrokkenen

7.1 Verwerker verleent Verantwoordelijke, rekening houdend met de aard van de verwerking, door passende technische en organisatorische maatregelen bijstand bij het vervullen van diens plicht te reageren op verzoeken van betrokkenen op grond van hoofdstuk III AVG.

7.2 Ontvangt Verwerker rechtstreeks een verzoek van een betrokkene dat betrekking heeft op gegevens die hij namens Verantwoordelijke verwerkt, dan beantwoordt hij dat niet zelf, maar verwijst hij de betrokkene door en bericht hij Verantwoordelijke onverwijld.

8 · Bijstand bij beveiliging, datalekken en beoordelingen

8.1 Verwerker verleent Verantwoordelijke bijstand bij het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG, rekening houdend met de aard van de verwerking en de hem ter beschikking staande informatie. Daaronder vallen de beveiliging van de verwerking, het melden van inbreuken, de gegevensbeschermingseffectbeoordeling en een eventuele voorafgaande raadpleging van de toezichthouder.

8.2 Verwerker informeert Verantwoordelijke zonder onredelijke vertraging en in elk geval binnen achtenveertig uur nadat hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens die de gegevens van Verantwoordelijke raakt.

8.3 De melding bevat in elk geval: de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de getroffen en voorgestelde maatregelen, en een contactpunt. Is nog niet alles bekend, dan meldt Verwerker wat bekend is en vult hij aan zodra er meer bekend is.

8.4 Verwerker meldt niet zelf bij de toezichthouder of bij betrokkenen; dat is aan Verantwoordelijke, tenzij partijen in het concrete geval anders afspreken.

9 · Teruggave en verwijdering na afloop

9.1 Na afloop van de dienstverlening verwijdert Verwerker de persoonsgegevens, of geeft hij ze terug, naar keuze van Verantwoordelijke, en verwijdert hij bestaande kopieën, tenzij een wettelijke bepaling opslag voorschrijft.

9.2 In de praktijk: het Account blijft na beëindiging dertig dagen toegankelijk zodat Verantwoordelijke zijn Documenten, Rapporten en facturen zelf kan downloaden. Maakt hij binnen die termijn geen andere keuze kenbaar, dan verwijdert Verwerker de gegevens daarna.

9.3 Gegevens waarvoor een wettelijke bewaarplicht geldt — in het bijzonder facturen en de daarbij horende gegevens — blijven bewaard gedurende de wettelijke termijn en worden daarna verwijderd. Op die gegevens is Verwerker zelf verwerkingsverantwoordelijke.

10 · Informatie en audits

10.1 Verwerker stelt Verantwoordelijke alle informatie ter beschikking die nodig is om de nakoming van artikel 28 AVG aan te tonen.

10.2 Verwerker maakt audits, waaronder inspecties, door Verantwoordelijke of een door hem gemachtigde controleur mogelijk en draagt daaraan bij. Een audit wordt ten minste dertig dagen van tevoren aangekondigd, vindt tijdens kantooruren plaats, verstoort de bedrijfsvoering zo min mogelijk en raakt niet aan gegevens van andere Klanten.

10.3 De kosten van een audit komen voor rekening van Verantwoordelijke, tenzij de audit een tekortkoming van Verwerker aan het licht brengt.

11 · Doorgifte buiten de EER

11.1 Verwerker geeft persoonsgegevens uitsluitend door naar een land buiten de EER op grond van een adequaatheidsbesluit van de Europese Commissie of van passende waarborgen als bedoeld in artikel 46 AVG.

11.2 De op dit moment voorziene doorgiften en hun grondslag staan in bijlage 3.

12 · Gebruiksgegevens

12.1 Voor zover Verwerker uit de dienstverlening voortvloeiende gebruiksgegevens (zoals aanroeplogs en gebruikspatronen) verwerkt om de dienst te beveiligen en te verbeteren, doet hij dat uitsluitend in geaggregeerde of geanonimiseerde vorm en niet om de persoonsgegevens van betrokkenen van Verantwoordelijke voor eigen doeleinden te gebruiken. Herleidbare inhoud van Verantwoordelijke wordt hierbij niet gebruikt.

13 · Aansprakelijkheid

13.1 Op de aansprakelijkheid uit hoofde van deze overeenkomst is artikel 20 van de Voorwaarden van toepassing, met dien verstande dat de wettelijke aansprakelijkheid jegens betrokkenen op grond van artikel 82 AVG daardoor niet wordt beperkt of uitgesloten.

13.2 Verantwoordelijke staat ervoor in dat hij gerechtigd is de persoonsgegevens door Verwerker te laten verwerken en dat hij aan zijn eigen verplichtingen jegens betrokkenen voldoet.

14 · Slot

14.1 Deze overeenkomst is opgesteld in het Nederlands en beheerst door Nederlands recht.

14.2 Wijzigingen zijn geldig voor zover zij schriftelijk of langs elektronische weg zijn vastgelegd. Op een wijziging is artikel 25 van de Voorwaarden van overeenkomstige toepassing.

14.3 Deze overeenkomst is aangegaan in schriftelijke vorm, waaronder de elektronische vorm wordt begrepen (artikel 28 lid 9 AVG). Aanvaardt de Klant de Voorwaarden, dan geldt deze overeenkomst als bijlage daarbij.

Bijlage 1 · De verwerkingen

Wat artikel 28 lid 3 AVG aan het begin verlangt, per dienst ingevuld. Deze bijlage beschrijft uitsluitend de verwerkingen waarvoor Lexparaat verwerker is.

Documentgeneratie. Onderwerp en aard: het opmaken van een Document uit een Model, op basis van de antwoorden die Verantwoordelijke invult. Doel: het leveren van het bestelde Document. Betrokkenen: Verantwoordelijke zelf, zijn wederpartijen, ondertekenaars en vertegenwoordigers. Gegevens: naam, adres, functie, contactgegevens, bedragen, ingangs- en einddatums. Duur: zolang het dossier loopt.

Termijnbewaking (Wachter). Onderwerp en aard: het bewaken van termijnen en verplichtingen uit door Verantwoordelijke aangeleverde of gegenereerde contracten, en het waarschuwen per e-mail. Doel: voorkomen dat een termijn ongemerkt verstrijkt. Betrokkenen: Verantwoordelijke en de partijen bij het bewaakte contract. Gegevens: partijnamen, contactgegevens, datums en termijnomschrijvingen. Duur: zolang het abonnement loopt.

Corporate Housekeeping. Onderwerp en aard: het bewaken van vennootschapsrechtelijke termijnen van de door Verantwoordelijke opgegeven vennootschappen, mede aan de hand van openbare registers. Doel: signaleren. Betrokkenen: bestuurders en uiteindelijk belanghebbenden van die vennootschappen. Gegevens: naam en KvK-nummer van de vennootschap, rechtsvorm, einde boekjaar, controlestatus. Duur: zolang de vennootschap in de bewaking staat.

Elektronische ondertekening. Onderwerp en aard: het aan de door Verantwoordelijke uitgenodigde partijen aanbieden van een document ter ondertekening en het vastleggen van het ondertekeningsbewijs. Doel: bewijs van ondertekening. Betrokkenen: de ondertekenaars. Gegevens: naam, e-mailadres, tijdstip, IP-adres, browsergegevens, documentzegel. Duur: zolang het getekende exemplaar bewijswaarde heeft.

Opslag van het dossier. Onderwerp en aard: het bewaren van de contracten, Documenten en Rapporten van Verantwoordelijke in zijn afgeschermde portaal. Doel: beschikbaarheid voor Verantwoordelijke. Betrokkenen en gegevens: die van de opgeslagen stukken. Duur: zolang het Account bestaat, plus dertig dagen.

Gratis Scan. Onderwerp en aard: het geautomatiseerd doorlezen van een door Verantwoordelijke aangeleverd contract op termijnen en risico's. Doel: een indicatief overzicht. Betrokkenen: de partijen in het aangeleverde contract. Gegevens: al wat in de aangeleverde tekst staat. Duur: zeven dagen voor een Scan zonder Account, daarna gewist.

Beoordeling door de jurist. Onderwerp en aard: de menselijke controle en aftekening van een Scan of Document, eventueel gevolgd door een aanvullende geautomatiseerde controle vóór elektronische ondertekening. Doel: een gecontroleerd oordeel. Betrokkenen en gegevens: die van het beoordeelde stuk. Duur: zolang het dossier loopt.

Niet in deze bijlage, omdat Lexparaat daar zelf verwerkingsverantwoordelijke is: het Account, de bestelling en de facturatie, de beveiligings- en auditlogging, en de contactgegevens van belangstellenden. De gratis Scan en de beoordeling door de jurist zijn hierboven opgenomen, overeenkomstig de kwalificatie "verwerker namens de Klant" (artikel 1.2), behoudens de uitzondering van artikel 1.3.

Bijlage 2 · Beveiligingsmaatregelen (artikel 32 AVG)

• Versleuteling van al het verkeer; opslag op een afgeschermde server in Nederland.
• Strikte scheiding tussen de publieke omgeving en de interne omgeving; de publieke server kent de interne functies niet.
• Toegang op basis van minimale rechten; de backoffice zit achter een aparte toegangscontrole.
• Wachtwoordloos inloggen via een eenmalige link, met tweefactor-authenticatie voor juristen en de backoffice; inloglinks worden uitsluitend als hash bewaard.
• Auditspoor op kritieke handelingen, met een hash per gebeurtenis.
• Een hulpmiddel (de Anonymiser) waarmee Verantwoordelijke de tekst vóór verzending in zijn browser kan anonimiseren.
• Detectie van verborgen instructies in aangeleverde documenten; die worden niet uitgevoerd.
• Dagelijkse back-up, wekelijkse volledige serversnapshot en een offsite kopie.
• Geautomatiseerde bewaking elke vijf minuten, met herstart bij een storing.
• Dagplafonds en omvangsgrenzen tegen misbruik en overbelasting.

Deze lijst beschrijft wat er feitelijk draait.

Bijlage 3 · Subverwerkers en doorgifte

• Anthropic — analyse en generatie — Verenigde Staten — EU-US Data Privacy Framework of standaardbepalingen (art. 46 AVG).
• Mistral — aanvullende controlerende lezer vóór elektronische ondertekening — Frankrijk (EER) — geen doorgifte.
• Resend — verzenden van e-mail — Verenigde Staten — EU-US Data Privacy Framework of standaardbepalingen (art. 46 AVG).
• TransIP — hosting en opslag — Nederland (EER) — geen doorgifte.

Mollie (betalingen, Nederland/EER) is geen subverwerker: voor de betaalgegevens treedt Mollie op als zelfstandig verwerkingsverantwoordelijke, zoals ook in de privacyverklaring staat. Er vindt geen doorgifte buiten de EER plaats.

De Kamer van Koophandel en het btw-informatiesysteem VIES worden bevraagd ter verificatie, met gegevens die letterlijk in de aangeleverde tekst staan. Zij zijn ontvanger, geen subverwerker, en beide binnen de EER.