Verwerkersovereenkomst

Verwerkersovereenkomst (DPA) — Tenderscoor

Deze verwerkersovereenkomst ("Overeenkomst") hoort bij de hoofdovereenkomst tussen:

• Verwerkingsverantwoordelijke ("Klant"): de onderneming die met ons een abonnement op Tenderscoor is aangegaan, zoals vastgelegd in de opdrachtbevestiging en het account; en
• Verwerker: TeachYou B.V., Middellaan 8c, 6881 RP Velp, KvK 09195022, handelend onder de naam Tenderscoor ("wij").

1. Definities

Begrippen als "persoonsgegevens", "verwerking", "betrokkene", "datalek" en "subverwerker" hebben de betekenis uit de Algemene Verordening Gegevensbescherming (AVG).

2. Onderwerp en duur

Wij verwerken persoonsgegevens uitsluitend ten behoeve van de Klant, in het kader van de levering van Tenderscoor (tender-signalering, analyse en de schrijfmodule). De Overeenkomst geldt zolang de hoofdovereenkomst loopt en eindigt daarmee, behoudens de bepalingen die naar hun aard voortduren.

3. Aard, doel en gegevens van de verwerking

Zie Bijlage A. Wij verwerken de persoonsgegevens alleen op grond van schriftelijke (waaronder elektronische) instructies van de Klant, tenzij een wettelijke verplichting anders bepaalt; in dat geval melden wij dat vooraf, tenzij de wet dit verbiedt.

4. Instructies

Wij verwerken de persoonsgegevens niet voor eigen doeleinden. Wij gebruiken de gegevens, documenten en gegenereerde output van de Klant niet om producten, modellen of output voor andere klanten te verbeteren of te benchmarken.

5. Vertrouwelijkheid

Eenieder die onder ons gezag toegang heeft tot de persoonsgegevens is tot geheimhouding verplicht. Toegang door ons team is beperkt tot support, storingsoplossing en incidenten — nooit om inhoud te lezen — en wordt gelogd (zie art. 9 en Bijlage C).

6. Beveiliging

Wij nemen passende technische en organisatorische maatregelen conform AVG art. 32. Zie Bijlage C voor de concrete maatregelen (o.a. EU-opslag, versleuteling, scheiding per klant via row-level security, audit-logging, wachtwoordloos inloggen).

7. Subverwerkers

De Klant geeft algemene toestemming voor de inschakeling van subverwerkers, opgenomen in Bijlage B. Bij voorgenomen toevoeging of vervanging informeren wij de Klant vooraf, zodat bezwaar mogelijk is. Wij leggen aan elke subverwerker dezelfde verplichtingen op als in deze Overeenkomst.

8. Doorgifte buiten de EU

Opslag en applicatie-compute vinden in de EU plaats (Ierland en Dublin). Voor de AI-bewerking worden gegevens doorgegeven aan Anthropic in de Verenigde Staten. Voor deze doorgifte gelden de EU-modelcontractbepalingen (SCC, module 2) uit de verwerkersovereenkomst van Anthropic (art. 46 AVG) en is Anthropic gecertificeerd onder het EU-VS Data Privacy Framework. *(Intern: van kracht onder Anthropic's commerciële voorwaarden — bevestigen dat ons account daarop draait.)*

9. Bijstand aan de Klant

Wij assisteren de Klant, voor zover redelijkerwijs mogelijk, bij:

• het beantwoorden van verzoeken van betrokkenen (inzage, rectificatie, verwijdering, dataportabiliteit) — mede via de zelfbedieningsfuncties in *Mijn bedrijf*;
• het waarborgen van de beveiliging (art. 32), datalekmeldingen (art. 33/34) en een eventuele DPIA (art. 35).

10. Datalekken

Bij een (vermoed) datalek dat de Klant raakt, informeren wij de Klant zonder onnodige vertraging na ontdekking, met de op dat moment bekende informatie (aard, betrokken gegevens, gevolgen, maatregelen). Wij hanteren een vaste incident- en datalekprocedure.

11. Audit en controle

Wij stellen de Klant op verzoek de informatie ter beschikking die nodig is om naleving aan te tonen, en werken mee aan audits. Daaronder valt het op verzoek verstrekken van een auditlog van toegang/wijzigingen (zie Bijlage C).

12. Teruggave en verwijdering

Bij beëindiging ontvangt de Klant op verzoek een volledige export van de persoonsgegevens, waarna wij de gegevens binnen 30 dagen verwijderen, behoudens wettelijke bewaarplichten. De Klant kan dit ook zelf via *Mijn bedrijf* in gang zetten (export + verwijderverzoek).

13. Aansprakelijkheid

Op deze Overeenkomst is de aansprakelijkheidsregeling van artikel 10 van de algemene voorwaarden van toepassing, met dezelfde beperkingen en uitzonderingen. Ieder van partijen blijft daarnaast zelf aansprakelijk voor bestuurlijke boetes die aan hem worden opgelegd wegens een tekortkoming die aan hem is toe te rekenen.

14. Toepasselijk recht

Op deze Overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter van de rechtbank Gelderland, zittingsplaats Arnhem.

Bijlage A — Verwerkingsdetails

• Doel: leveren van Tenderscoor (signalering, analyse, schrijfmodule), account- en relatiebeheer.
• Soorten persoonsgegevens: contact-/accountgegevens (naam, bedrijf, e-mail, telefoon, functie); inhoudelijke gegevens in geüploade documenten en gegenereerde teksten voor zover die persoonsgegevens bevatten.
• Categorieën betrokkenen: medewerkers/contactpersonen van de Klant; personen genoemd in aangeleverde of gegenereerde documenten.
• Duur: zolang de hoofdovereenkomst loopt + bewaartermijn (art. 12).

Bijlage B — Subverwerkers

Bijlage C — Beveiligingsmaatregelen (AVG art. 32)

• Opslag en verwerking in de EU; versleuteling op disk en tijdens transport.
• Strikte scheiding per klant via row-level security (logische multi-tenant-isolatie).
• Wachtwoordloze authenticatie (eenmalige code per e-mail).
• Audit-logging: administratieve acties (app) én directe databasetoegang (pgAudit) worden vastgelegd — wie, wanneer, wat; op verzoek inzichtelijk.
• Toegang door ons team beperkt tot support/storing/incident; geheimhoudingsplicht.
• Beperkte bewaartermijnen + aantoonbare verwijdering bij beëindiging.

*Aanvragen: zakelijke klanten ontvangen deze verwerkersovereenkomst op verzoek via info@teachyou.nl.*