Verwerkingsovereenkomst

De klant is de organisatie die eigenaar is van de werkruimte, de verwerkingsverantwoordelijke voor de persoonsgegevens die zij in nerix.ai plaatst (en verwerker daarvan wanneer zij optreedt voor haar eigen klanten). Respiresoft LLC, 32 N Gould St, Sheridan, WY 82801, Verenigde Staten, is de verwerker.

Deze overeenkomst heeft betrekking op persoonsgegevens in de werkruimte van de klant: documenten, gesprekken, spreadsheets, werkregistraties, vergaderingen en opnames, embeddings van de bibliotheek, namen en e-mailadressen van leden, en de audittrail. Deze overeenkomst heeft geen betrekking op persoonsgegevens waarvoor nerix zelf de doeleinden bepaalt, zoals het inlogaccount van een persoon of factuurgegevens. Die worden beschreven in het privacybeleid.

Als deze overeenkomst en de Voorwaarden van elkaar afwijken met betrekking tot persoonsgegevens, gaat deze overeenkomst voor.

nerix verwerkt persoonsgegevens uitsluitend op basis van de gedocumenteerde instructies van de klant. De Voorwaarden, deze overeenkomst, de instellingen die de klant in het product kiest (bijvoorbeeld de AI-regio, de aanbieders, de bewaartermijnen en het verbergen van namen voor de AI) en wat haar leden het product vragen te doen, vormen de instructies. Dat omvat doorgiften naar een derde land: die vinden alleen plaats zoals deze instructies en de lijst van subverwerkers dat toestaan.

nerix stelt de klant onmiddellijk op de hoogte als zij van mening is dat een instructie in strijd is met de gegevensbeschermingswetgeving. Als de wet vereist dat nerix anders verwerkt, stelt zij de klant eerst op de hoogte, tenzij de wet dat verbiedt.

Iedereen bij nerix die toegang kan krijgen tot persoonsgegevens van klanten is gebonden aan een schriftelijke geheimhoudingsplicht, krijgt alleen toegang als het werk dat vereist, en elke inzage door medewerkers in een gesprek van een klant wordt vastgelegd in de audittrail van die klant zelf.

nerix neemt de maatregelen van artikel 32 GDPR. Bijlage 2 vermeldt de maatregelen die vandaag bestaan. nerix mag deze wijzigen als het beschermingsniveau niet daalt.

De klant geeft algemene schriftelijke toestemming voor de subverwerkers in Bijlage 1. nerix legt elk van hen contractueel dezelfde verplichtingen op het gebied van gegevensbescherming op en blijft jegens de klant volledig aansprakelijk voor hen.

nerix informeert de eigenaar van elke werkruimte ten minste 30 dagen voordat zij een subverwerker toevoegt of vervangt, in het product en per e-mail, en werkt de openbare lijst op nerix.ai/legal/subprocessors bij. De klant kan binnen die 30 dagen bezwaar maken op redelijke gronden die verband houden met gegevensbescherming. nerix probeert dan de dienst zonder die subverwerker aan te bieden, bijvoorbeeld door de werkruimte bij uitsluitend EU-aanbieders onder te brengen. Als dat niet mogelijk is, kan de klant de overeenkomst beëindigen en krijgt zij de vooruitbetaalde vergoedingen voor de niet gebruikte tijd terug.

Een klant kiest de AI-regio en de aanbieders voor haar eigen werkruimte. Een aanbieder die de klant zelf in Instellingen inschakelt, is een eigen keuze van de klant en geen wijziging door nerix.

Klantgegevens worden opgeslagen in de Europese Unie (Frankrijk, met versleutelde bestanden en back-ups in Nederland). nerix is gevestigd in de Verenigde Staten. Wanneer persoonsgegevens worden doorgegeven naar of geraadpleegd vanuit een land waarvoor geen adequaatheidsbesluit geldt, komen partijen als volgt de standaardcontractbepalingen van de Europese Commissie (Besluit (EU) 2021/914) overeen. Module Twee (verwerkingsverantwoordelijke naar verwerker) is van toepassing wanneer de klant verwerkingsverantwoordelijke is, en Module Drie (verwerker naar verwerker) wanneer de klant zelf verwerker is. Deze maken door verwijzing deel uit van deze overeenkomst.

• Clausule 7 (toetredingsclausule): opgenomen.
• Clausule 9(a): optie 2, algemene toestemming, met de kennisgevingstermijn van 30 dagen in artikel 6.
• Clausule 11(a): de optionele onafhankelijke geschillenbeslechtingsinstantie is niet van toepassing.
• Clausule 17: het recht van de Republiek Ierland. Clausule 18(b): de rechterlijke instanties van Ierland.
• De partijen in Bijlage I.A staan in artikel 1; Bijlage I.B is artikel 2; de bevoegde toezichthoudende autoriteit is die van de vestiging van de klant (of, als die er niet is, de Ierse Gegevensbeschermingscommissie). Bijlage II is Bijlage 2 hieronder. Bijlage III is Bijlage 1 hieronder.

Voor persoonsgegevens onder de UK GDPR komen partijen tevens de International Data Transfer Addendum bij de EU-SCC's overeen, uitgegeven door de UK Information Commissioner (versie B1.0, van kracht op 21 maart 2022). De tabellen ervan worden ingevuld aan de hand van deze sectie en de bijlagen, en elke partij kan het addendum beëindigen zoals artikel 19 ervan bepaalt.

Voor persoonsgegevens onder de Zwitserse gegevensbeschermingswet gelden de SCC's met deze wijzigingen: de Zwitserse Federale Commissaris voor Gegevensbescherming en Informatie is de bevoegde autoriteit; verwijzingen naar de GDPR omvatten de Zwitserse wet; de plaats van jurisdictie voor vorderingen van personen in Zwitserland is Zwitserland; en "lidstaat" verhindert niet dat een persoon in Zwitserland een rechtsvordering instelt bij zijn of haar gewone verblijfplaats.

Als nerix voor de doorgifte is gecertificeerd onder het EU-VS Data Privacy Framework, vormt die certificering de belangrijkste waarborg en gelden de SCC's als terugvaloptie als het kader niet langer geldig is. Een verzoek om toegang door een overheid wordt behandeld zoals de SCC's bepalen: nerix betwist verzoeken die onrechtmatig zijn, verstrekt zo weinig als mogelijk en stelt de klant op de hoogte, tenzij de wet dat verbiedt.

Als een persoon nerix vraagt naar gegevens die nerix voor de klant bewaart, beantwoordt nerix het verzoek niet inhoudelijk en stuurt zij het zonder onredelijke vertraging door naar de klant (binnen vijf werkdagen). nerix biedt de klant hulpmiddelen: export van een werkruimte en van de eigen accountgegevens van één persoon, verwijdering, correctie en de audittrail. Daarnaast helpt nerix met redelijke inspanning en zonder kosten wanneer het om een kleine taak gaat.

nerix stelt de eigenaar van elke getroffen werkruimte zonder onnodige vertraging en uiterlijk 24 uur nadat nerix op de hoogte is geraakt van een datalek dat de gegevens van de klant raakt, in kennis, in het product en per e-mail. De melding bevat wat bekend is: wat er is gebeurd, welke gegevens en ongeveer hoeveel personen het betreft, de waarschijnlijke gevolgen, wat nerix heeft gedaan en wat nerix de klant adviseert te doen. Verdere feiten volgen zodra ze bekend zijn. nerix houdt een register van datalekken bij en verstrekt de klant wat nodig is voor zijn eigen melding aan de autoriteit (artikel 33) en aan de betrokkenen (artikel 34).

nerix helpt de klant bij beveiliging, datalekmeldingen, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging, rekening houdend met wat nerix kan zien. nerix verstrekt op verzoek een samenvatting van zijn gegevensbeschermingseffectbeoordeling van de AI-functies.

De klant kan de hele werkruimte op elk moment kosteloos exporteren via Instellingen (documenten in hun oorspronkelijke bestanden, gesprekken, Sheets, registraties, auditlog), en kan gegevens en de werkruimte zelf verwijderen. Wanneer het contract eindigt, bewaart nerix de werkruimte nog ten minste 30 dagen zodat de klant deze kan exporteren, en verwijdert daarna de persoonsgegevens, inclusief back-ups, binnen nog eens 30 dagen, tenzij de wet nerix verplicht ze te bewaren. nerix bevestigt de verwijdering op verzoek.

nerix geeft de klant de informatie die nodig is om aan te tonen dat aan artikel 28 is voldaan, en stelt de klant of een door de klant aangewezen auditor in staat inspectie uit te voeren, na 30 dagen voorafgaande kennisgeving, tijdens kantooruren, onder geheimhouding, niet vaker dan één keer per jaar tenzij een datalek of een autoriteit meer vereist, en op kosten van de klant. nerix kan hieraan in eerste instantie voldoen met actuele onafhankelijke rapporten en zijn antwoorden op de beveiligingsvragenlijst van de klant.

De aansprakelijkheid onder deze overeenkomst volgt de Voorwaarden, met dien verstande dat niets de aansprakelijkheid beperkt die wettelijk niet kan worden beperkt en dat de SCC's, voor zover van toepassing, voorgaan op al het overige. Op deze overeenkomst is voor de SCC's het recht van de Republiek Ierland van toepassing; voor het overige zijn de Voorwaarden van toepassing.

De klant aanvaardt deze overeenkomst in het product: de eigenaar van de werkruimte bevestigt dit en nerix legt de datum, de versie en de persoon die heeft aanvaard vast. Een nieuwe versie wordt aan de eigenaar getoond met wat er is gewijzigd, en geldt zodra deze is aanvaard; de aanvaarde versie blijft zichtbaar in Instellingen. Enterprise-klanten kunnen een exemplaar met handtekeningregels aanvragen. Vragen: info@nerix.ai.

De openbare lijst op nerix.ai/legal/subprocessors is de actuele lijst. Op de datum van deze versie:

Deze maatregelen zijn vandaag in het product aanwezig.

• Scheiding van klanten: elk record is voorzien van zijn werkruimte, en elke query in de code moet de werkruimte vermelden, anders mislukt deze; bestanden worden per werkruimte opgeslagen.
• Versleuteling: verbindingen gebruiken TLS. Providersleutels en opgeslagen inloggegevens van klanten worden versleuteld met envelopversleuteling; de hoofdsleutel staat buiten de database in een bestand dat alleen de dienst kan lezen.
• Toegang: aanmelden met een wachtwoord, passkeys of Google of GitHub; tweestapsaanmelding; rollen voor eigenaar, beheerder, lid en kijker; sessies kunnen worden weergegeven en beëindigd; API-sleutels kunnen direct worden ingetrokken.
• Toegang door medewerkers: een aparte medewerkersidentiteit met eigen aanmelding en tweede stap; medewerkers zien een gesprek van een klant alleen met een vastgelegde reden en elke inzage wordt naar het auditlog van de klant geschreven; impersonatie wordt aan de klant getoond in het auditlog.
• Auditlog: een log waaraan alleen kan worden toegevoegd en die vastlegt wie wat in de werkruimte heeft gedaan, met exports; bewaard gedurende de bewaartermijn die de eigenaar instelt.
• AI-veiligheid: namen van personen en klanten en persoonsgegevens zoals e-mailadressen en telefoon- en rekeningnummers kunnen worden vervangen door codes voordat tekst een model bereikt en in het antwoord worden teruggezet; eigenaren kunnen deze instelling vergrendelen; een modelprovider mag nooit trainen op klantgegevens; de AI-regio kan worden beperkt tot alleen de EU of tot modellen op onze eigen servers.
• Bewaring en verwijdering: de eigenaar kan instellen hoe lang documenten en gesprekken worden bewaard; daarna verwijdert de dienst ze; verwijdering haalt bestanden van de schijf, niet alleen rijen; het verwijderen van een werkruimte gebeurt na een respijtperiode van 30 dagen.
• Back-ups: bewaard in de EU; verwijderde gegevens verdwijnen binnen 30 dagen uit back-ups.
• Veerkracht: afzonderlijke processen voor het web, het achtergrondwerk en de AI-hub, gezondheidscontroles en herstarts zonder taken te verliezen; wijzigingen worden getest voordat ze worden uitgebracht.
• Datalekprocedure: een geschreven draaiboek, een register, melding aan getroffen eigenaren binnen 24 uur en een beveiligingsmelding in het product.
• Mensen: een geheimhoudingsplicht en toegang alleen wanneer het werk dat vereist.