Verwerkersovereenkomst

1. Onderwerp en duur

KlarComply levert aan de klant de in de abonnementsovereenkomst beschreven diensten (compliance-dashboard, online training, bewijsvoering conform Verordening (EU) 2024/1689). Daarbij verwerkt KlarComply persoonsgegevens in opdracht van de klant. Deze overeenkomst geldt voor de duur van het abonnement en eindigt met de beëindiging daarvan; artikel 7 (verwijdering) blijft onverlet.

2. Aard, doel en omvang van de verwerking

Opslag, organisatie en analyse van gegevens van de medewerkers van de klant ten behoeve van trainingsbeheer, certificaatbeheer, bewijsvoering (AI-register, beleidsgegevens, kennisnemingslogs) en toegangsbeheer. Details: bijlage 1.

3. Instructiebevoegdheid

KlarComply verwerkt de gegevens uitsluitend op gedocumenteerde instructie van de klant (art. 28 lid 3 sub a AVG); het gebruik van de platformfuncties door de klant geldt als instructie. Acht KlarComply een instructie onrechtmatig, dan informeert zij de klant onverwijld en mag zij de uitvoering opschorten.

4. Vertrouwelijkheid en beveiliging

1. Tot verwerking bevoegde personen zijn tot vertrouwelijkheid verplicht (art. 28 lid 3 sub b).
2. KlarComply treft de technische en organisatorische maatregelen van bijlage 2 (art. 32 AVG) en past deze aan de stand van de techniek aan zonder het beschermingsniveau te verlagen.

5. Subverwerkers

De klant verleent algemene toestemming voor de inzet van de in bijlage 3 genoemde subverwerkers. KlarComply informeert over voorgenomen wijzigingen; de klant kan binnen 14 dagen op zwaarwegende privacygronden bezwaar maken. Met alle subverwerkers bestaan overeenkomsten conform art. 28 AVG.

6. Ondersteuningsplichten

KlarComply ondersteunt de klant binnen het redelijke bij het beantwoorden van verzoeken van betrokkenen (art. 12–23), bij de beveiliging van de verwerking, bij gegevensbeschermingseffectbeoordelingen en bij meldplichten (art. 32–36). Inbreuken in verband met persoonsgegevens die in opdracht verwerkte gegevens betreffen, meldt KlarComply onverwijld aan de klant, uiterlijk binnen 24 uur na kennisneming. De melding bevat de op grond van art. 33 lid 3 AVG vereiste gegevens voor zover die beschikbaar zijn; zijn die niet volledig beschikbaar, dan mogen zij op grond van art. 33 lid 4 AVG in fasen worden nagezonden. De melding dient ter ondersteuning van de klant bij diens eigen meldplicht en houdt geen erkenning van schuld in.

7. Verwijdering en teruggave

Na beëindiging van het abonnement verwijdert KlarComply alle in opdracht verwerkte persoonsgegevens binnen 30 dagen, tenzij een wettelijke bewaarplicht bestaat. De klant kan zijn gegevens vooraf via de export-/printfuncties van het dashboard veiligstellen. Uitgegeven certificaten blijven voor openbare verificatie opgeslagen (gerechtvaardigd belang van de certificaathouders); de klant kan om verwijdering verzoeken.

8. Verantwoording en controles

KlarComply stelt de klant de voor het aantonen van de verplichtingen uit art. 28 AVG benodigde informatie ter beschikking en maakt — na aankondiging en ten hoogste eenmaal per jaar, behoudens concrete aanleiding — controles mogelijk. Verantwoording kan geschieden via actuele attesten/certificeringen van de subverwerkers (bijv. SOC 2, ISO 27001).

9. Doorgifte naar derde landen

De verwerking vindt plaats in datacenters in de EU (regio Frankfurt, Duitsland). Voor zover subverwerkers buiten de EU worden ingezet (bijlage 3), vindt een eventuele doorgifte plaats op basis van EU-standaardcontractbepalingen dan wel een adequaatheidsbesluit (bijv. EU-US Data Privacy Framework).

10. Slotbepalingen

Het recht dat op de abonnementsovereenkomst van toepassing is, geldt ook hier. Bij tegenstrijdigheden gaat deze overeenkomst in privacykwesties voor. Mocht een bepaling ongeldig zijn, dan blijven de overige bepalingen van kracht.

Bijlage 1 — Gegevens en betrokkenen

Bijlage 2 — Technische en organisatorische maatregelen (art. 32)

• Locatie: gegevensopslag uitsluitend in de EU (AWS eu-central-1, Frankfurt)
• Versleuteling: transport TLS 1.2+; opslag versleuteld (encryption at rest)
• Scheiding van klanten: row-level security op databaseniveau — elk bedrijf ziet alleen eigen gegevens
• Toegangscontrole: wachtwoordloze aanmelding via magic link; beheerderstoegang rolgebaseerd; interne toegang tot productiedata alleen door de eigenaar, gelogd
• Invoercontrole: wijzigings- en kennisnemingslogs met tijdstempel
• Beschikbaarheid: dagelijkse back-ups door de hostingprovider; herstelprocedures
• Dataminimalisatie: alleen de voor training/bewijs noodzakelijke gegevens worden verzameld

Bijlage 3 — Subverwerkers

Let op: betaalgegevens verwerkt Stripe Payments Europe Ltd. als zelfstandige verwerkingsverantwoordelijke — zij vallen niet onder deze verwerkersovereenkomst.

Aanvaarding

Deze overeenkomst wordt elektronisch gesloten (art. 28 lid 9 AVG). De aanvaarding vindt plaats in het KlarComply-dashboard door de tekenbevoegde persoon van de klant; tijdstip, naam en contractversie worden controleerbaar gelogd. Bindend is de Duitse versie 1.2 (zie klarcomply.com/avv).