Addendum gegevensverwerking

Voor de doeleinden van deze Gegevensverwerkingsovereenkomst hebben termen met een hoofdletter die hierin niet zijn gedefinieerd, de betekenis die eraan wordt gegeven in de Servicevoorwaarden van AI92. Termen met een hoofdletter voor gegevensbescherming hebben de betekenis die eraan wordt gegeven in de toepasselijke wetgeving inzake gegevensbescherming zoals gedefinieerd in dit artikel.

Toepasselijke wetgeving inzake gegevensbescherming. "Toepasselijke wetgeving inzake gegevensbescherming" betekent alle wetgeving inzake gegevensbescherming, privacy en soortgelijke wetgeving die van toepassing is op de verwerking van persoonsgegevens onder deze DPA, zoals deze van tijd tot tijd kan worden gewijzigd of vervangen, inclusief maar niet beperkt tot:

Europa. De Algemene Verordening Gegevensbescherming van de Europese Unie (Verordening (EU) 2016/679, "AVG"), de Algemene Verordening Gegevensbescherming van het Verenigd Koninkrijk, gelezen in samenhang met de Data Protection Act 2018, de Zwitserse federale wet op de gegevensbescherming ("FADP"), de Noorse wet op persoonsgegevens, de IJslandse wet 90/2018, de Liechtensteinse wet op de gegevensbescherming en de uitvoeringswetten inzake gegevensbescherming van elke lidstaat van de Europese Economische Ruimte.

Noord-Amerika. In de Verenigde Staten: de California Consumer Privacy Act, zoals gewijzigd door de California Privacy Rights Act ("CCPA/CPRA"), de Virginia Consumer Data Protection Act, de Colorado Privacy Act, de Connecticut Data Privacy Act, de Utah Consumer Privacy Act, de Texas Data Privacy and Security Act, de Oregon Consumer Privacy Act en analoge privacywetten op staatsniveau wanneer deze in werking treden. In Canada: de Personal Information Protection and Electronic Documents Act ("PIPEDA"), Quebec's Law 25, Alberta's Personal Information Protection Act, British Columbia's Personal Information Protection Act en de Privacy Act.

Latijns-Amerika en het Caribisch gebied. De Braziliaanse algemene wet op de gegevensbescherming ("LGPD", wet 13.709), de Mexicaanse federale wet op de bescherming van persoonsgegevens in het bezit van particulieren ("LFPDPPP"), de Argentijnse wet op de bescherming van persoonsgegevens 25.326, de Colombiaanse wet 1581 van 2012, de Chileense wet 19.628, de Peruaanse wet 29733, de Uruguayaanse wet 18.331, de Ecuadoriaanse organieke wet op de bescherming van persoonsgegevens, de Costa Ricaanse wet 8968, de Dominicaanse wet 172-13, de Panamese wet 81 van 2019, de Paraguayaanse wet 6534/2020 en de analoge wetten van elk ander land in de regio.

Afrika. De Zuid-Afrikaanse wet op de bescherming van persoonlijke informatie ("POPIA"), de Nigeriaanse Nigeria Data Protection Act 2023 ("NDPA") en de Nigeria Data Protection Regulation 2019, de Keniaanse Data Protection Act 2019, de Egyptische wet op de bescherming van persoonsgegevens (wet 151 van 2020), de Ghanese Data Protection Act 2012, de Marokkaanse wet 09-08, de Tunesische organieke wet 2004-63, de Mauritiaanse Data Protection Act 2017, de Senegalese wet 2008-12, de Ivoriaanse wet 2013-450, de Rwandese wet 058/2021, de Oegandese Data Protection and Privacy Act 2019, de Tanzaniaanse Personal Data Protection Act 2022, de Zimbabwaanse Cyber and Data Protection Act 5 van 2021, de Algerijnse wet 18-07, de Madagaskische wet 2014-038, het Verdrag van de Afrikaanse Unie inzake cyberbeveiliging en bescherming van persoonsgegevens ("Malabo-verdrag"), de aanvullende ECOWAS-wet inzake bescherming van persoonsgegevens en de analoge wetten van elke andere Afrikaanse natie.

Azië-Pacific. De Australische Privacy Act 1988, de Nieuw-Zeelandse Privacy Act 2020, de Japanse wet op de bescherming van persoonlijke informatie ("APPI"), de Zuid-Koreaanse wet op de bescherming van persoonlijke informatie ("PIPA"), de Singaporese Personal Data Protection Act 2012 ("PDPA"), de Thaise Personal Data Protection Act B.E. 2562 (2019), het Vietnamese Personal Data Protection Decree 13/2023, de Filipijnse Data Privacy Act van 2012, de Indonesische Personal Data Protection Law 27/2022, de Maleisische Personal Data Protection Act 2010, de Indiase Digital Personal Data Protection Act 2023 ("DPDPA"), de Chinese Personal Information Protection Law ("PIPL"), de Taiwanese Personal Data Protection Act, de Hong Kongse Personal Data (Privacy) Ordinance, de Macause Personal Data Protection Act en de analoge wetten van elke andere jurisdictie in Azië-Pacific.

Midden-Oosten. Het federale decreet-wet 45 van 2021 van de Verenigde Arabische Emiraten inzake de bescherming van persoonsgegevens en de Data Protection Law van het Dubai International Financial Centre, de Saoedi-Arabische Personal Data Protection Law, de Israëlische Privacy Protection Law 5741-1981 en de uitvoeringsvoorschriften daarvan, de Qatarese Personal Data Privacy Protection Law (wet 13/2016) en de QFC Data Protection Regulations, de Bahreinse Personal Data Protection Law (wet 30/2018), de Omaanse Personal Data Protection Law (koninklijk decreet 6/2022), de Jordaanse Personal Data Protection Law van 2023, de Turkse wet op de bescherming van persoonsgegevens ("KVKK", wet 6698) en de analoge wetten van elke andere jurisdictie in het Midden-Oosten.

Eurazië en andere regio's. De federale wet van de Russische Federatie inzake persoonsgegevens (nr. 152-FZ), de Kazachstaanse wet op persoonsgegevens en de bescherming ervan, de Oezbeekse wet op persoonsgegevens en de analoge wetten van elke andere jurisdictie waarin AI92 of de klant persoonsgegevens verwerkt.

Allesomvattend. Elke andere wet inzake gegevensbescherming, privacy, vertrouwelijkheid van telecommunicatie, sectorale of soortgelijke wet van een jurisdictie die van toepassing is op AI92 of de klant in verband met de verwerking van persoonlijke klantgegevens onder deze DPA. AI92 houdt wereldwijd toezicht op de ontwikkelingen op het gebied van regelgeving en werkt deze lijst (en de praktijken die deze implementeren) bij wanneer nieuwe wetten van kracht worden.

Waar deze regimes verschillende terminologie gebruiken voor analoge concepten, gebruikt deze DPA de AVG-terminologie en behandelt de equivalenten onder andere toepasselijke wetgeving inzake gegevensbescherming als compatibele termen. Waar een regime verplichte aanvullende vereisten oplegt (zoals registratie bij een toezichthoudende autoriteit, aanwijzing van een lokale vertegenwoordiger of specifieke contractuele clausules), komen AI92 en de klant overeen om aan dergelijke vereisten gevolg te geven via de standaard contractuele clausules, de UK Addendum of een regimespecifieke rider zoals uiteengezet in het artikel Internationale gegevensoverdrachten.

Verwerkingsverantwoordelijke betekent de partij die de doeleinden en middelen voor de verwerking van persoonsgegevens vaststelt.

Verwerker betekent een partij die persoonsgegevens verwerkt namens de verwerkingsverantwoordelijke.

Persoonlijke klantgegevens betekent alle persoonsgegevens die zijn opgenomen in de klantinput of die zijn gegenereerd in verband met het gebruik van de API-services door de klant.

Subverwerker betekent elke verwerker die door AI92 is ingeschakeld om persoonlijke klantgegevens namens de klant te verwerken, inclusief de hostingproviders, betalingsverwerker en downstream serviceproviders van AI92.

In de relatie die wordt beheerst door de Voorwaarden en deze DPA, is Klant de Verwerkingsverantwoordelijke van Persoonsgegevens van de Klant en is AI92 een Verwerker. AI92 wordt beheerd door Masada Gateway Ltd. Integraties met Meta-platforms (Facebook, Instagram en Threads) worden geleverd via Koloxo West Africa Ltd, de geregistreerde ontwikkelaar van onze Meta-applicaties, die optreedt als verwerker voor die integraties namens Masada Gateway Ltd.

AI92 kan ook bepaalde persoonsgegevens verwerken als een afzonderlijke Verwerkingsverantwoordelijke, inclusief gegevens die nodig zijn om de activiteiten van AI92 uit te voeren (gegevens over klantrelaties, factuurgegevens, authenticatiegegevens, auditgegevens). De voorwaarden die van toepassing zijn op dergelijke Verwerkingsverantwoordelijke-verwerking worden beschreven in het Privacybeleid van AI92 op ai92.ai/privacy-policy.

AI92 zal Persoonsgegevens van de klant alleen verwerken op basis van de gedocumenteerde instructies van de Klant, zoals uiteengezet in de Voorwaarden en deze DPA, of zoals vereist door de toepasselijke wetgeving.

Als AI92 op grond van de toepasselijke wetgeving verplicht is om Persoonsgegevens van de klant anders te verwerken dan op instructie van de Klant, zal AI92 (waar wettelijk toegestaan) de Klant op de hoogte stellen van die vereiste voordat de verwerking plaatsvindt.

AI92 zal ervoor zorgen dat personeel dat bevoegd is om Persoonsgegevens van de klant te verwerken, onderworpen is aan vertrouwelijkheidsverplichtingen die niet minder beschermend zijn dan die uiteengezet in de Servicevoorwaarden.

AI92 implementeert passende technische en organisatorische maatregelen om een beveiligingsniveau te garanderen dat is afgestemd op het risico dat wordt gevormd door de verwerking van Persoonsgegevens van de Klant, waaronder:

(a) pseudonimisering en versleuteling van persoonsgegevens in rust en tijdens transport;

(b) de mogelijkheid om de voortdurende vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van verwerkingssystemen te waarborgen;

(c) de mogelijkheid om de beschikbaarheid van en toegang tot persoonsgegevens tijdig te herstellen in geval van een fysiek of technisch incident;

(d) een proces voor het regelmatig testen, beoordelen en evalueren van de effectiviteit van deze maatregelen.

De huidige implementatie van deze maatregelen wordt beschreven in de beveiligingsdocumentatie van AI92. De SOC 2-auditrapporten van AI92 zijn op verzoek beschikbaar voor de Klant onder geheimhoudingsvoorwaarden.

Klant machtigt AI92 om Subverwerkers in te schakelen om Persoonsgegevens van de Klant te verwerken, onder de volgende voorwaarden:

(a) AI92 onderhoudt een actuele lijst van Subverwerkers op ai92.ai/sub-processors;

(b) AI92 geeft de Klant ten minste dertig (30) dagen van tevoren kennis van elke toevoeging of vervanging van een Subverwerker;

(c) Klant kan binnen vijftien (15) dagen na kennisgeving bezwaar maken tegen een nieuwe Sub-verwerker op redelijke gronden – indien het bezwaar van Klant niet kan worden opgelost, kan Klant de betreffende API Services beëindigen en een pro-rata terugbetaling ontvangen van eventuele vooruitbetaalde kosten;

(d) AI92 legt aan elke Subverwerker verplichtingen op het gebied van gegevensbescherming op die niet minder beschermend zijn dan die in deze DPA.

Initiële Sub-verwerkers omvatten de hostingproviders van AI92 (Amazon Web Services, Microsoft Azure, Google Cloud Platform - voor de regio's en diensten gedocumenteerd op ai92.ai/sub-processors), de betalingsverwerker (Stripe, Inc.), en de documentatiehost (Mintlify, Inc.). De lijst op ai92.ai/sub-processors is de gezaghebbende actuele registratie.

De verwerking van persoonlijke klantgegevens door AI92 kan de overdracht van die gegevens buiten het land waarin de klant of de betrokkenen wonen, omvatten. Voor zover een dergelijke overdracht wordt beperkt door de toepasselijke wetgeving inzake gegevensbescherming, implementeert AI92 het mechanisme voor grensoverschrijdende overdracht dat vereist is door, of erkend wordt onder, de wetgeving van de jurisdictie van herkomst. De mechanismen in dit artikel zijn van toepassing per jurisdictie en AI92 kan vertrouwen op meer dan één mechanisme voor een bepaalde overdracht.

Europa en het Verenigd Koninkrijk. Voor overdrachten die worden beheerst door de GDPR of de UK GDPR, nemen de partijen de Standaard Contractuele Clausules van de Europese Commissie (Uitvoeringsbesluit 2021/914/EU, Module 2 - Verwerkingsverantwoordelijke-naar-Verwerker) over, die door verwijzing zijn opgenomen en als volgt zijn ingevuld: (i) de termijnen in Clausules 9 en 14 van de SCC's worden ingevuld in overeenstemming met de toepasselijke drempels van de GDPR; (ii) de dockingclausule is niet van toepassing op aanvullende partijen zonder de toestemming van de Klant; (iii) Bijlage I (Lijst van Partijen) wordt ingevuld met de identificatiegegevens van de Klant uit de registratie en AI92 als gegevensimporteur; (iv) Bijlage II (Technische en Organisatorische Maatregelen) verwijst naar de beveiligingsdocumentatie van AI92; en (v) Bijlage III (Sub-verwerkers) verwijst naar de lijst van Sub-verwerkers die door AI92 wordt bijgehouden. Voor overdrachten onder de UK GDPR nemen de partijen bovendien het UK Information Commissioner's International Data Transfer Addendum bij de SCC's over. Waar AI92 een huidige certificering heeft onder het EU–US Data Privacy Framework, het Swiss–US Data Privacy Framework, of de UK Extension to the EU–US Data Privacy Framework, kunnen de partijen ook op die certificering vertrouwen voor overdrachten naar de infrastructuur van AI92 in de Verenigde Staten.

Zwitserland. Voor overdrachten die worden beheerst door de Zwitserse FADP, nemen de partijen de SCC's over zoals erkend door de Zwitserse federale commissaris voor gegevensbescherming en informatie ("FDPIC"), met de aanpassingen die door de FDPIC zijn gepubliceerd voor de Zwitserse juridische context.

Latijns-Amerika. Voor overdrachten die worden beheerst door de Braziliaanse LGPD, geven de partijen gevolg aan het regime voor grensoverschrijdende overdracht onder de artikelen 33 tot en met 36 LGPD, inclusief het vertrouwen (indien van toepassing) op standaard contractuele clausules die zijn aangenomen door de Braziliaanse Autoridade Nacional de Proteção de Dados ("ANPD") onder Resolutie 19/2024, en elke specifieke autorisatie die door ANPD is afgegeven indien vereist. Voor overdrachten die worden beheerst door de Mexicaanse LFPDPPP, verstrekt AI92 de klant de informatie die vereist is door artikel 36 LFPDPPP en de uitvoeringsverordening, en verkrijgt de klant de vereiste toestemming van de betrokkenen. Voor overdrachten die worden beheerst door de Argentijnse wet 25.326, de Colombiaanse wet 1581, de Chileense wet 19.628, de Peruaanse wet 29733 of andere LATAM-regimes, implementeert AI92 de standaard contractuele clausules of een ander mechanisme dat wordt erkend door de toezichthoudende autoriteit van de relevante jurisdictie.

Afrika. Voor overdrachten die worden beheerst door de Zuid-Afrikaanse POPIA, zorgt AI92 voor naleving van sectie 72 POPIA en verkrijgt het toestemming van de betrokkene of vertrouwt het op een toepasselijke wettelijke basis. Voor overdrachten die worden beheerst door de Nigeriaanse NDPA, de Keniaanse Data Protection Act of andere Afrikaanse regimes, zorgt AI92 voor naleving van de vereisten voor grensoverschrijdende overdracht die worden opgelegd door de relevante toezichthoudende autoriteit (inclusief de Nigeria Data Protection Commission, het Office of the Data Protection Commissioner of Kenya, de South African Information Regulator en andere gelijkwaardige toezichthouders) en implementeert het de standaard contractuele clausules, certificering of een ander mechanisme dat door die autoriteit wordt erkend. AI92 zal, indien vereist, een lokale vertegenwoordiger registreren of aanwijzen en binnen de toepasselijke termijnen reageren op vragen van de lokale toezichthouder.

Azië-Pacific. Voor overdrachten die worden beheerst door de Chinese PIPL, nemen de partijen het standaardcontract over voor de uitgaande grensoverschrijdende overdracht van persoonlijke informatie dat is uitgegeven door de Cyberspace Administration of China, voltooien ze een beveiligingsbeoordeling met de CAC wanneer de overdrachtsdrempels worden overschreden, of vertrouwen ze op een certificering die wordt erkend onder de PIPL, indien van toepassing. Voor overdrachten die worden beheerst door de Indiase DPDPA, beperkt AI92 overdrachten tot jurisdicties die zijn toegestaan door de kennisgevingen die zijn uitgegeven onder sectie 16 DPDPA en voldoet het aan alle specifieke voorwaarden die door de regels worden opgelegd. Voor overdrachten die worden beheerst door de Australische Privacy Act, neemt AI92 redelijke stappen onder Australian Privacy Principle 8 om ervoor te zorgen dat de buitenlandse ontvanger de persoonlijke informatie consistent met de APP's behandelt. Voor overdrachten die worden beheerst door de Japanse APPI, de Zuid-Koreaanse PIPA, de Singaporese PDPA, de Thaise PDPA, de Vietnamese PDPD, de Filipijnse DPA, de Indonesische PDP Law, de Maleisische PDPA, de Taiwanese PDPA, de Hong Kongse PDPO of andere Azië-Pacific-regimes, implementeert AI92 de standaard contractuele clausules, certificering, adequacy-mechanisme tussen overheden of een ander overdrachtsmechanisme dat wordt erkend door de toezichthoudende autoriteit van de relevante jurisdictie.

Midden-Oosten. Voor overdrachten die worden beheerst door de UAE PDPL, de Dubai International Financial Centre Data Protection Law, de Saoedi-Arabische PDPL, de Israëlische Privacy Protection Law, de Qatarese PDPPL, de Bahreinse PDPL, de Omaanse PDPL, de Jordaanse PDPL, de Turkse KVKK of andere regimes in het Midden-Oosten, implementeert AI92 de standaard contractuele clausules, adequacy-besluit of een ander mechanisme dat wordt erkend door de toezichthoudende autoriteit van de relevante jurisdictie, en registreert of wijst het een lokale vertegenwoordiger aan waar vereist.

Eurazië en andere regio's. Voor overdrachten die worden beheerst door de federale wet 152-FZ van de Russische Federatie, voldoet AI92 aan de lokalisatievereisten van artikel 18(5) en verkrijgt het indien nodig schriftelijke toestemming van de betrokkene. Voor overdrachten die worden beheerst door de Kazachstaanse wet op persoonsgegevens, de Oezbeekse wet op persoonsgegevens of enige andere toepasselijke wetgeving inzake gegevensbescherming, implementeert AI92 het mechanisme voor grensoverschrijdende overdracht dat vereist is door, of erkend wordt onder, de wetgeving van de jurisdictie van herkomst.

Algemeen. Wanneer de toepasselijke wetgeving inzake gegevensbescherming van de jurisdictie van een klant een specifiek overdrachtsmechanisme, contractuele clausules of wettelijke indiening vereist die niet uitdrukkelijk hierboven wordt vermeld, zal AI92, op redelijk verzoek van de klant en op kosten van de klant (indien van toepassing), de aanvullende documentatie uitvoeren of implementeren die redelijkerwijs vereist is om aan dat mechanisme gevolg te geven. AI92 houdt wereldwijd toezicht op de ontwikkelingen op het gebied van regelgeving en werkt de bovenstaande overdrachtsmechanismen bij wanneer nieuwe vereisten van kracht worden.

AI92 stelt de Klant, voor zover wettelijk toegestaan, onmiddellijk op de hoogte als AI92 een verzoek ontvangt van een betrokkene om toegang, rectificatie, verwijdering, beperking van de verwerking, overdraagbaarheid of bezwaar (een Verzoek van betrokkene). AI92 reageert niet op een dergelijk Verzoek van betrokkene, behalve op instructie van de Klant, tenzij vereist door de toepasselijke wetgeving.

AI92 verstrekt de Klant dergelijke informatie en redelijke assistentie als de Klant nodig heeft om de Klant in staat te stellen te reageren op een Verzoek van betrokkene, inclusief door het verstrekken of faciliteren van de verstrekking van gegevensexport.

AI92 stelt de Klant zonder onnodige vertraging, en in ieder geval binnen tweeënzeventig (72) uur nadat AI92 op de hoogte is geraakt, op de hoogte van elke inbreuk in verband met persoonsgegevens die van invloed is op Persoonsgegevens van de Klant.

De melding omvat, voor zover dan bekend: (a) een beschrijving van de aard van de inbreuk, inclusief de categorieën persoonsgegevens en het geschatte aantal betrokkenen dat is getroffen; (b) de waarschijnlijke gevolgen; (c) de maatregelen die zijn genomen of voorgesteld om de inbreuk aan te pakken; en (d) de naam en contactgegevens van de functionaris voor gegevensbescherming of een ander contactpunt voor verdere informatie.

Op verzoek verleent AI92 redelijke assistentie aan de Klant bij elke gegevensbeschermingseffectbeoordeling of voorafgaande raadpleging van toezichthoudende autoriteiten die de Klant moet uitvoeren op grond van artikel 35 van de AVG of analoge bepalingen van de LATAM-wetgeving inzake gegevensbescherming.

Bij beëindiging van de Voorwaarden zal AI92, naar keuze van de Klant, Persoonsgegevens van de Klant retourneren of verwijderen, met inachtneming van de bewaring zoals vereist door de toepasselijke wetgeving en zoals toegestaan door deze DPA.

AI92 mag Persoonsgegevens van de Klant alleen bewaren zoals vereist door de toepasselijke wetgeving (inclusief verplichtingen met betrekking tot belastinggegevens), of zoals toegestaan door deze DPA, voor de bewaarperiode van het auditlogboek zoals uiteengezet in het Privacybeleid, of voor de bewaarperiode van het kredietregister zoals uiteengezet in het Privacybeleid.

De Klant (of een onafhankelijke externe auditor die redelijkerwijs acceptabel is voor AI92 en gebonden is aan geheimhoudingsverplichtingen) kan de naleving van deze DPA door AI92 niet meer dan één keer per periode van twaalf maanden auditen, met een schriftelijke kennisgeving van ten minste dertig (30) dagen voorafgaand aan de audit, tijdens de normale kantooruren van AI92 en op kosten van de Klant.

In plaats van een audit ter plaatse kan AI92 de Klant zijn dan geldende SOC 2-auditrapporten, penetratietestrapporten en andere relevante attesten van derden verstrekken. De Klant aanvaardt deze als zijnde voldoende om aan zijn auditrechten te voldoen, tenzij ze geen betrekking hebben op de redelijke zorgen van de Klant.

Op deze DPA is hetzelfde recht van toepassing als op de Servicevoorwaarden, behalve wanneer dwingende wetgeving inzake gegevensbescherming een ander toepasselijk recht vereist.

In geval van strijd tussen de Voorwaarden en deze DPA, prevaleert deze DPA met betrekking tot de verwerking van persoonsgegevens.

Als u een Enterprise-klant bent met een Master Services Agreement (MSA), kunnen de DPA-voorwaarden worden gewijzigd door uw MSA. In geval van strijd prevaleert de MSA.

Als u vragen hebt over dit Addendum gegevensverwerking, neem dan contact met ons op:

• Voor algemene vragen: [email protected]
• Voor vragen over gegevensbescherming en privacy: [email protected]
• Voor juridische zaken: [email protected]