Verwerkersovereenkomst (DPA)

Deze verwerkersovereenkomst geldt tussen u als klant (verwerkingsverantwoordelijke) en Ad Vitam Invest AB (ProfitLens Consulting) (verwerker) en wordt van toepassing wanneer u de dienst begint te gebruiken. Er is geen ondertekening vereist; de voorwaarden gelden in hun laatst gepubliceerde versie en kunnen vanaf deze pagina worden gedownload.

Bij tegenstrijdigheid tussen deze overeenkomst en de aankoopvoorwaarden heeft deze overeenkomst voorrang voor aangelegenheden betreffende de verwerking van persoonsgegevens.

De verwerking omvat geautomatiseerde prijsanalyse: opslag van klantbestanden, kwaliteitscontroles, deterministische berekeningen in de browser van de klant, interviews, transcripten, analyseresultaten, rapporten en presentatie-inhoud. AI-ondersteuning maakt gebruik van Azure OpenAI in de EU. Spraak is optioneel, wordt uitsluitend door de respondent geactiveerd en kan worden uitgeschakeld; ProfitLens neemt geen audio op en slaat geen audio op en bewaart uitsluitend schriftelijke transcripten.

Voor begeleiding via de hulpgids wordt een beperkte samenvatting van kolomnamen, toewijzingen, controleresultaten en, indien ingeschakeld, gepseudonimiseerde voorbeeldrijen naar Azure OpenAI in de EU verzonden. De klant kan het delen van voorbeeldrijen uitschakelen. Microsoft gebruikt deze inhoud niet om basismodellen te trainen; zijn toepasselijke voorwaarden inzake beveiliging en misbruikmonitoring kunnen beperkte bewaring toestaan.

De verwerking duurt voort zolang u de dienst gebruikt en gedurende de in het privacybeleid vermelde bewaartermijnen.

Betrokkenen: uw werknemers die de dienst gebruiken, interviewrespondenten en personen die in geüploade gegevens kunnen voorkomen, zoals verkoopvertegenwoordigers of contactpersonen bij uw klanten.

Gegevens: naam, titel, e-mailadres, klantidentificatoren en transactiegegevens. Bijzondere categorieën van gegevens in de zin van Article 9 GDPR mogen niet worden geüpload. Klantnamen mogen worden gemaskeerd, mits de maskering consistent is.

Wij verwerken persoonsgegevens uitsluitend op basis van uw gedocumenteerde instructies, waarbij uw gebruik van de dienst en deze voorwaarden de instructie vormen.

Personeel met toegang is tot geheimhouding verplicht. Toegang wordt door middel van autorisaties gecontroleerd en is beperkt tot wat voor de werkzaamheden vereist is.

Wij treffen passende technische en organisatorische beveiligingsmaatregelen overeenkomstig Article 32: versleuteling in rust en tijdens overdracht, scheiding per account en analyse, logging en herstelprocedures.

Wij ondersteunen u bij het beantwoorden van verzoeken van betrokkenen en bij effectbeoordelingen en voorafgaande raadpleging, voor zover redelijkerwijs vereist.

Wij stellen u zonder onredelijke vertraging, en uiterlijk binnen 48 uur na ontdekking, in kennis van elke inbreuk in verband met persoonsgegevens die uw gegevens betreft.

Bij beëindiging verwijderen wij uw persoonsgegevens, of retourneren wij deze indien u daarom binnen dertig dagen verzoekt, behalve wanneer de wet ons verplicht deze te bewaren.

U verleent ons algemene voorafgaande toestemming om subverwerkers in te schakelen. Wij leggen aan elke subverwerker verplichtingen op die ten minste gelijkwaardig zijn aan die in deze overeenkomst en blijven voor hun verwerking verantwoordelijk alsof het onze eigen verwerking betreft.

Huidige subverwerkers en functies: Microsoft Ireland Operations Limited (Azure Blob Storage, klantbestanden in Zweden; Azure Database for PostgreSQL, transcripten, analyses, rapporten en presentatie-inhoud in Ierland; Azure OpenAI, tekst-AI en optionele spraak/transcriptie in de EU Data Zone). Supabase (website- en applicatieplatform, serverzijdige toegang en dienstorkestratie, accounts, authenticatie, toegangsmetagegevens en tegoeden). E-mailaanbieders bezorgen systeemmeldingen. Deze verdeling beschrijft de gebruikte diensten; zij houdt niet de bewering in dat hosting of ondersteuning uitsluitend in de EU plaatsvindt.

Wij informeren u voordat een nieuwe subverwerker wordt ingezet. U kunt op redelijke gronden bezwaar maken en indien wij niet aan het bezwaar tegemoet kunnen komen, kunt u de dienst beëindigen en ongebruikte tegoeden laten terugbetalen.

De primaire opslag van klantinhoud vindt plaats in Azure EU-regio's: bestanden in Sweden Central (Zweden), en transcripten, analyseresultaten, rapporten en presentatie-inhoud in North Europe (Ierland). Azure OpenAI EU Data Zone-inferentie kan plaatsvinden in verschillende EU-lidstaten. Global AI-implementaties worden niet gebruikt. Deterministische berekeningen worden lokaal uitgevoerd in de browser van de klant. Opslag en inferentie in de EU houden niet in dat elke applicatieserver of ondersteunende leverancier gegevens uitsluitend binnen de EU verwerkt.

Tijdelijke kopieën van klantinhoud in de eerdere Supabase EU-opslag blijven aanwezig tijdens verificatie en als terugvalvoorziening. Definitieve verwijdering vereist afzonderlijk goedgekeurde verwijdering en vindt niet automatisch plaats wanneer deze voorwaarden wijzigen. Voor toegang vanuit of doorgiften naar derde landen door ondersteunende leveranciers passen wij de doorgiftewaarborgen van de GDPR toe, waaronder standaardcontractbepalingen waar vereist. De toepasselijke gegevensbeschermings- en dienstvoorwaarden van Microsoft regelen tevens beveiliging en misbruikmonitoring; er is geen vrijstelling van bewaring geverifieerd.

Op verzoek verstrekken wij de documentatie die nodig is om naleving van Article 28 GDPR aan te tonen. Een audit kan eenmaal per jaar worden uitgevoerd, met een redelijke aankondigingstermijn en zonder gegevens van andere klanten bloot te leggen.

AI-ondersteuning wordt uitsluitend bij enkele stappen gebruikt en ontvangt nooit de volledige geüploade gegevensset. Berekeningen worden uitgevoerd door code onder versiebeheer zonder AI.

Voordat voorbeeldwaarden naar een AI-subverwerker worden verzonden, worden klantnamen, productnamen, verkoopvertegenwoordigers en segmenten vervangen door vaste codes. De vertaaltabel wordt tijdelijk in het geheugen opgebouwd en wordt niet opgeslagen.

De klant kan kiezen uit Standaard (gecodeerde voorbeeldwaarden), Beperkt (alleen kolom- en werkbladnamen) of Geen AI voor gegevens (AI-ondersteuning bij de gegevensstappen uitgeschakeld). De instelling geldt voor het account en kan per analyse worden gewijzigd.

Vóór elke AI-aanroep kan de klant de exacte tekst bekijken die wordt verzonden. Elke aanroep wordt per analyse gelogd met tijdstip, stap, modus, aantal tekens en de vermelding of voorbeeldwaarden zijn opgenomen; het logboek kan worden gedownload en ondersteunt uw eigen register overeenkomstig Article 30 GDPR.