Overeenkomst inzake gegevensverwerking
Inleiding
Deze overeenkomst regelt de verwerking van persoonsgegevens door revzper SAS (verwerker) namens de klant (verwerkingsverantwoordelijke).
1. Reikwijdte en instructies
De verwerker verwerkt persoonsgegevens uitsluitend op schriftelijke instructies die via een beveiligd kanaal zijn verstrekt en in de verwerkingsregisters van de verwerkingsverantwoordelijke zijn vastgelegd. revzper SAS bevestigt de ontvangst van instructies en documenteert alle naar aanleiding daarvan genomen nalevingsmaatregelen. De verwerker zorgt ervoor dat personen die gemachtigd zijn om persoonsgegevens te verwerken, zich tot geheimhouding hebben verbonden. De verwerker treft passende technische en organisatorische maatregelen om een beveiligingsniveau te waarborgen dat is afgestemd op het risico. De verwerker ondersteunt de verwerkingsverantwoordelijke bij het waarborgen van de naleving van verplichtingen.
2. Broncode en metagegevens van repositories
Wanneer de verwerkingsverantwoordelijke deze voor analyse indient, omvatten de persoonsgegevens die krachtens deze Overeenkomst worden verwerkt broncode en metagegevens van repositories: bestandspaden, commitonderwerpen, datums en aantallen, en configuratieregels, die de bijdragers van de verwerkingsverantwoordelijke kunnen identificeren, evenals de namen, procesnummers en starttijden van programma's die op de computers van de verwerkingsverantwoordelijke worden uitgevoerd.
Ref: GDPR Art. 28(3)
3. Geen training met persoonsgegevens
revzper SAS gebruikt persoonsgegevens die krachtens deze Overeenkomst worden verwerkt niet voor het trainen of fijn afstellen van AI-modellen. Het fijn afstellen van een model voor de verwerkingsverantwoordelijke vereist een afzonderlijke schriftelijke overeenkomst met de verwerkingsverantwoordelijke en wordt uitsluitend uitgevoerd met gegevens die de verwerkingsverantwoordelijke uitdrukkelijk voor dat doel heeft aangewezen. De enige uitzondering betreft feedback die een gebruiker via een applicatie verstuurt nadat hij voor die feedback een afzonderlijk vakje heeft aangevinkt dat telkens niet is aangevinkt en nooit namens de gebruiker wordt aangevinkt. revzper SAS verwerkt die feedback vervolgens als verwerkingsverantwoordelijke, op basis van de toestemming van de gebruiker: zij verwijdert de geheimen en de gegevens die een persoon identificeren voordat de feedback aan een dataset wordt toegevoegd; zij gebruikt die dataset uitsluitend om de AI-modellen te testen, te trainen en fijn af te stellen die de functies van het platform voor alle gebruikers ondersteunen, en nooit een model dat voor een andere klant is gebouwd; zij kan de training laten uitvoeren door een AI-aanbieder in de Europese Unie die als haar verwerker optreedt, op grond van een overeenkomst die die aanbieder verbiedt de dataset voor zichzelf te gebruiken; en zij bewaart elk item gedurende maximaal één jaar. De verwerkingsverantwoordelijke blijft verantwoordelijk voor het feit dat haar gebruikers gerechtigd zijn de inhoud te delen die zij aan hun feedback toevoegen.
Ref: GDPR Art. 28(3)(a), GDPR Art. 28(10)
4. Handelingen na beëindiging
Na beëindiging van deze Overeenkomst of op instructie van de verwerkingsverantwoordelijke zal revzper SAS:
Standaardhandelingen
- Alle persoonsgegevens binnen 30 dagen na beëindiging verwijderen, tenzij de verwerkingsverantwoordelijke schriftelijk anders heeft geïnstrueerd.
- Alle persoonsgegevens aan de verwerkingsverantwoordelijke teruggeven in een gestructureerd, algemeen gebruikt en machineleesbaar formaat, indien de verwerkingsverantwoordelijke hierom binnen 15 dagen na beëindiging schriftelijk verzoekt.
- De verwerkingsverantwoordelijke een schriftelijke certificering verstrekken waarin de voltooiing van de verwijdering of teruggave wordt bevestigd, met inbegrip van de datum en de wijze van handelen.
- De verwerkingsverantwoordelijke op redelijk verzoek toestaan de naleving van deze clausule te verifiëren.
Aanvullende verplichtingen
- revzper SAS bewaart geen persoonsgegevens langer dan tot de voltooiing van bovenstaande handelingen, tenzij de wet dit vereist.
Verwerkingslocatie en subverwerkers
Alle verwerking van persoonsgegevens krachtens deze Overeenkomst vindt plaats binnen de Europese Unie. Persoonsgegevens worden in Frankrijk (regio Parijs) gehost door Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France. Betalingsgegevens worden verwerkt door Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Netherlands, als onafhankelijke verwerkingsverantwoordelijke op grond van haar eigen voorwaarden. AI-functies worden verwerkt door Microsoft Ireland Operations Limited, Dublin, Ireland (Microsoft Foundry, Azure OpenAI Service, implementaties van de gegevenszone van de Europese Unie op een resource in Frankrijk) en door Mistral AI SAS, 15 rue des Halles, 75001 Paris, France (La Plateforme, gegevens gehost in de Europese Unie), als subverwerkers. Een AI-aanbieder die op verzoek van de verwerkingsverantwoordelijke is geconfigureerd, wordt vóór gebruik aan die verwerkingsverantwoordelijke bekendgemaakt. revzper SAS informeert de verwerkingsverantwoordelijke voordat een andere subverwerker wordt ingeschakeld.
2. AI-aanbieders en modellen gekozen door de verwerkingsverantwoordelijke
Wanneer de verwerkingsverantwoordelijke, of een gebruiker die namens haar handelt, een AI-functie heeft die wordt geleverd door een AI-aanbieder die is geconfigureerd met de eigen account van de verwerkingsverantwoordelijke of van de gebruiker, of door een model dat op de eigen apparatuur van de verwerkingsverantwoordelijke draait, wordt die aanbieder of dat model door de verwerkingsverantwoordelijke ingeschakeld en is deze geen subverwerker van revzper SAS; revzper SAS stuurt de verzoeken hoogstens aan deze door. De verwerkingsverantwoordelijke is verantwoordelijk voor die keuze, voor haar overeenkomst met die aanbieder en voor de rechtmatigheid van de daaruit voortvloeiende doorgifte van persoonsgegevens, ongeacht de rol binnen de dienst van de gebruiker die deze keuze heeft gemaakt, met inbegrip van maker of beheerder.
Ref: GDPR Art. 24, GDPR Art. 28(2)