Verwerkersovereenkomst
Wanneer je als Accounthouder van Funnelmapper gegevens van anderen in de dienst opslaat, bijvoorbeeld cijfers over jouw klanten of e-mailadressen van mensen die je uitnodigt, ben jij voor die gegevens de verwerkingsverantwoordelijke in de zin van de AVG en treedt Funnelmapper op als verwerker. Deze verwerkersovereenkomst legt vast hoe Funnelmapper in die rol met die persoonsgegevens omgaat.
Artikel 1. Definities en partijen
1.1 In deze verwerkersovereenkomst hebben begrippen als persoonsgegevens, verwerken, verwerkingsverantwoordelijke, verwerker en betrokkene de betekenis die de Algemene Verordening Gegevensbescherming (AVG) daaraan geeft. Begrippen met een hoofdletter die hier niet worden gedefinieerd, waaronder Accounthouder, Gebruiker, Genodigde en Teamlid, hebben de betekenis uit de algemene voorwaarden.
1.2 Partijen zijn: de Accounthouder (verwerkingsverantwoordelijke) en Tamara Stroop, gevestigd te Wageningen, KvK 69185565, handelend onder de naam Funnelmapper (verwerker, hierna: "Funnelmapper"). Handelingen die een Gebruiker binnen het account van de Accounthouder verricht, gelden voor deze verwerkersovereenkomst als handelingen van de Accounthouder.
Artikel 2. Onderwerp en duur
2.1 Deze verwerkersovereenkomst is van toepassing op alle persoonsgegevens van derden die de Accounthouder in het kader van de Dienst laat verwerken, zoals nader omschreven in Bijlage 1.
2.2 Deze verwerkersovereenkomst geldt zolang Funnelmapper persoonsgegevens onder de verantwoordelijkheid van de Accounthouder verwerkt. Zij blijft dus ook gelden wanneer het Abonnement is geëindigd maar het account en de daarin opgeslagen gegevens blijven bestaan, en eindigt pas wanneer die gegevens zijn verwijderd. Bepalingen die naar hun aard voortduren, zoals artikel 9 over teruggave en verwijdering, blijven daarna van kracht.
Artikel 3. Verwerking volgens instructies
3.1 Funnelmapper verwerkt de persoonsgegevens uitsluitend om de Dienst aan de Accounthouder te leveren en uitsluitend volgens de schriftelijke instructies van de Accounthouder. Het gebruik van de functies van de Dienst (zoals opslaan, delen en de AI-functies) geldt als zodanige instructie.
3.2 Funnelmapper gebruikt de persoonsgegevens niet voor eigen doeleinden, verkoopt ze niet en gebruikt ze niet voor het trainen van AI-modellen. Om de AI-assistent te verbeteren legt Funnelmapper uitsluitend de vorm van een voorstel vast (het soort funnelblok, de soort cijferwaarde en of het voorstel is overgenomen), zonder titels, teksten of ingevulde cijfers; die vastlegging bevat geen persoonsgegevens waarvoor de Accounthouder verwerkingsverantwoordelijke is.
3.3 Indien Funnelmapper op grond van een wettelijke verplichting gegevens moet verwerken of verstrekken, informeert Funnelmapper de Accounthouder daarover voorafgaand aan de verwerking, tenzij die wetgeving dit verbiedt.
3.4 Meent Funnelmapper dat een instructie van de Accounthouder in strijd is met de AVG of met andere gegevensbeschermingsregels, dan stelt Funnelmapper de Accounthouder daarvan onverwijld op de hoogte.
3.5 De Accounthouder staat ervoor in dat hij gerechtigd is de persoonsgegevens waarop deze verwerkersovereenkomst betrekking heeft door Funnelmapper te laten verwerken en dat voor deze verwerking een geldige grondslag bestaat.
Artikel 4. Geheimhouding
4.1 Funnelmapper houdt de persoonsgegevens geheim en verstrekt ze niet aan derden, behalve aan de in Bijlage 2 genoemde subverwerkers of wanneer een wettelijke verplichting daartoe dwingt.
4.2 Personen die onder verantwoordelijkheid van Funnelmapper toegang hebben tot de persoonsgegevens, waaronder personen die in opdracht van Funnelmapper werken zoals een assistent of een technisch dienstverlener, zijn gebonden aan geheimhouding en krijgen uitsluitend toegang tot de gegevens die zij voor hun taak nodig hebben.
Artikel 5. Beveiliging
5.1 Funnelmapper treft passende technische en organisatorische maatregelen zoals bedoeld in artikel 32 AVG. De actuele maatregelen staan in Bijlage 3.
5.2 Funnelmapper mag de beveiligingsmaatregelen aanpassen zolang het beschermingsniveau ten minste gelijkwaardig blijft.
Artikel 6. Subverwerkers
6.1 De Accounthouder geeft Funnelmapper algemene toestemming om subverwerkers in te schakelen. De actuele lijst staat in Bijlage 2 en in de privacyverklaring.
6.2 Funnelmapper legt aan subverwerkers verplichtingen op die ten minste gelijkwaardig zijn aan de verplichtingen in deze verwerkersovereenkomst.
6.3 Bij een voorgenomen toevoeging of vervanging van een subverwerker informeert Funnelmapper de Accounthouder ten minste 14 dagen vooraf (via e-mail of via de applicatie). Heeft de Accounthouder redelijke bezwaren, dan treden partijen in overleg; leidt dat niet tot een oplossing, dan kan de Accounthouder de overeenkomst opzeggen conform de algemene voorwaarden.
6.4 Wanneer een onmiddellijke vervanging noodzakelijk is voor de veiligheid, de beschikbaarheid of de continuïteit van de Dienst, bijvoorbeeld bij het wegvallen of het niet langer AVG-conform zijn van een leverancier, mag Funnelmapper de wisseling eerder doorvoeren. Funnelmapper informeert de Accounthouder in dat geval zo spoedig mogelijk daarna, met opgaaf van reden; het recht van de Accounthouder om bezwaar te maken en op te zeggen blijft onverkort gelden.
6.5 Bij doorgifte van persoonsgegevens naar landen buiten de Europese Economische Ruimte zorgt Funnelmapper voor een geldige grondslag als bedoeld in hoofdstuk V AVG: een adequaatheidsbesluit van de Europese Commissie, of, wanneer dat er voor de betreffende partij niet is, passende waarborgen als bedoeld in artikel 46 AVG, waaronder standaard contractbepalingen (SCC's). Welke grondslag per subverwerker geldt, staat in de privacyverklaring.
Artikel 7. Bijstand bij rechten van betrokkenen en verplichtingen
7.1 Funnelmapper helpt de Accounthouder, voor zover redelijkerwijs mogelijk, bij het beantwoorden van verzoeken van betrokkenen (zoals inzage, rectificatie of verwijdering). In de praktijk kan de Accounthouder de meeste verzoeken zelf afhandelen, omdat de Accounthouder de gegevens in de Dienst zelf kan inzien, aanpassen en verwijderen.
7.2 Ontvangt Funnelmapper rechtstreeks een verzoek van een betrokkene dat de gegevens van de Accounthouder betreft, dan stuurt Funnelmapper dit verzoek door aan de Accounthouder en handelt het niet zelfstandig af.
7.3 Funnelmapper verleent redelijke medewerking aan de Accounthouder bij de naleving van de verplichtingen uit de artikelen 32 tot en met 36 AVG (beveiliging, meldplicht datalekken en gegevensbeschermingseffectbeoordelingen), rekening houdend met de aard van de verwerking en de informatie waarover Funnelmapper beschikt.
Artikel 8. Datalekken
8.1 Bij een inbreuk in verband met persoonsgegevens die de gegevens van de Accounthouder betreft, informeert Funnelmapper de Accounthouder zonder onredelijke vertraging na het bekend worden daarvan, zoals bedoeld in artikel 33 lid 2 AVG, via het bij het account bekende e-mailadres. Funnelmapper doet dat zo tijdig dat de Accounthouder de eigen meldtermijn van 72 uur kan halen.
8.2 Funnelmapper verstrekt daarbij de informatie die de Accounthouder redelijkerwijs nodig heeft voor een eventuele melding aan de Autoriteit Persoonsgegevens of aan betrokkenen: de aard van de inbreuk, de (vermoedelijk) getroffen gegevens, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen.
8.3 De beoordeling of een inbreuk gemeld moet worden aan de toezichthouder of aan betrokkenen ligt bij de Accounthouder als verwerkingsverantwoordelijke.
Artikel 9. Teruggave en verwijdering
9.1 De Accounthouder kan de eigen gegevens gedurende de looptijd op elk moment zelf inzien, als afbeelding exporteren en funnels verwijderen. Daarnaast kan de Accounthouder op verzoek een export van de gegevens ontvangen in een gestructureerd, gangbaar en machineleesbaar bestandsformaat. Het account kan de Accounthouder zelf laten verwijderen, via het account of door een verzoek te sturen aan support@funnelmapper.nl.
9.2 Het einde van een Abonnement leidt niet onmiddellijk tot verwijdering: de gegevens blijven daarna nog twaalf maanden bewaard, zoals beschreven in artikel 8.3 van de algemene voorwaarden, en worden na afloop van die termijn definitief verwijderd. Verwijdering vindt eerder plaats wanneer de Accounthouder het account laat verwijderen of daar afzonderlijk om verzoekt.
9.3 Bij verwijdering van het account wist Funnelmapper de persoonsgegevens conform de keuze die de Accounthouder daarbij maakt (direct definitief, of na een bewaarperiode van twaalf maanden), behalve voor zover een wettelijke bewaarplicht zich daartegen verzet. De bewaartermijnen staan in de privacyverklaring.
9.4 Wil de Accounthouder persoonsgegevens verwijderen zonder het account op te heffen, dan kan hij of zij de betreffende funnels, blokken, teksten, uitnodigingen en teamleden zelf verwijderen; dat is de aangewezen weg, omdat de Accounthouder zelf weet welke gegevens het betreft. Lukt dat niet, dan verleent Funnelmapper op verzoek redelijke hulp bij het gericht verwijderen ervan.
Artikel 10. Controle en verantwoording
10.1 Funnelmapper stelt op verzoek de informatie beschikbaar die redelijkerwijs nodig is om aan te tonen dat aan de verplichtingen uit deze verwerkersovereenkomst wordt voldaan, zoals een beschrijving van de beveiligingsmaatregelen en de relevante verklaringen of certificeringen van subverwerkers.
10.2 Als die informatie aantoonbaar onvoldoende is, mag de Accounthouder maximaal eenmaal per jaar een audit laten uitvoeren door een onafhankelijke deskundige, op eigen kosten, na een aankondiging van ten minste 30 dagen en zonder onnodige verstoring van de bedrijfsvoering van Funnelmapper.
Artikel 11. Vrijwaring
11.1 De Accounthouder informeert Funnelmapper onverwijld wanneer een betrokkene of een toezichthouder een aanspraak of maatregel tegen Funnelmapper instelt of aankondigt die verband houdt met de verwerking waarvoor de Accounthouder verantwoordelijke is, en verleent redelijke medewerking aan het verweer daartegen.
11.2 De Accounthouder vrijwaart Funnelmapper tegen aanspraken van derden, waaronder betrokkenen, en tegen maatregelen van toezichthouders, voor zover die voortkomen uit:
- een instructie van de Accounthouder die in strijd is met de AVG of met andere gegevensbeschermingsregels;
- het laten verwerken van persoonsgegevens waarvoor de Accounthouder geen geldige grondslag had;
- toegang die de Accounthouder onrechtmatig aan anderen heeft verleend; of
- een andere schending van de AVG door de Accounthouder als verwerkingsverantwoordelijke.
De vrijwaring omvat de redelijke en aantoonbare kosten van juridisch verweer.
11.3 De vrijwaring geldt niet voor zover de aanspraak of maatregel voortkomt uit een tekortkoming van Funnelmapper in de nakoming van deze verwerkersovereenkomst of uit verwerking buiten de rechtmatige instructies van de Accounthouder.
11.4 Partijen overleggen over de wijze van verweer; een schikking die gevolgen heeft voor de andere partij wordt niet getroffen dan na overleg met die partij.
Artikel 12. Aansprakelijkheid en slotbepalingen
12.1 Op deze verwerkersovereenkomst is de aansprakelijkheidsregeling uit artikel 13 van de algemene voorwaarden van toepassing.
12.2 Bij strijdigheid tussen deze verwerkersovereenkomst en de algemene voorwaarden gaat deze verwerkersovereenkomst voor wat betreft de verwerking van persoonsgegevens.
12.3 Op deze verwerkersovereenkomst is Nederlands recht van toepassing; geschillen worden voorgelegd aan de bevoegde rechter zoals bepaald in de algemene voorwaarden.
Bijlage 1. Omschrijving van de verwerking
| Onderdeel | Invulling |
|---|---|
| Aard en doel van de verwerking | Het opslaan, tonen, delen en analyseren van funnelinformatie die de Accounthouder in de Dienst plaatst, inclusief verwerking via de AI-functies. De AI-verwerking vindt uitsluitend plaats op het moment dat een Gebruiker de AI-assistent aanspreekt; er draait geen analyse op de achtergrond. Naar de AI-leverancier gaan van het board uitsluitend het type en de titel van de blokken, de ingevulde cijfers, de daaruit berekende percentages en totalen en welke blokken met een pijl verbonden zijn; notities, tekstvakken, labels, de tekst bij een pijl en board-afbeeldingen gaan niet mee |
| Soorten persoonsgegevens | Gegevens die in funnels worden geplaatst (zoals namen, cijfers of omschrijvingen die tot personen herleidbaar zijn), afbeeldingen die op het board worden gezet (zoals schermafbeeldingen die namen of gegevens van personen kunnen bevatten), berichten aan de AI-assistent en de daarbij meegestuurde bestanden (die na verwerking niet worden bewaard), en e-mailadressen van personen die de Accounthouder uitnodigt om mee te kijken of mee te bewerken of die de Accounthouder als teamlid aan het account toevoegt. Gesprekken met de AI-assistent worden per funnelboard bewaard, per Gebruiker gescheiden, binnen de grenzen die in de privacyverklaring staan |
| Categorieën betrokkenen | Klanten, leads en zakelijke contacten van de Accounthouder; door de Accounthouder uitgenodigde personen en teamleden van de Accounthouder |
| Bijzondere categorieën | De Dienst is niet bedoeld voor bijzondere categorieën van persoonsgegevens (zoals gezondheidsgegevens); de Accounthouder plaatst deze niet in de Dienst |
| Duur | Gedurende de looptijd van het account, met verwijdering conform artikel 9 |
Bijlage 2. Subverwerkers
De actuele lijst, inclusief rol per partij, locatie en doorgiftegrondslag, staat in hoofdstuk 04 (deel A) van de privacyverklaring en geldt als onderdeel van deze bijlage. Voor de verwerking van persoonsgegevens waarvoor de Accounthouder verantwoordelijke is, zijn in de praktijk alleen Supabase, Vercel en Anthropic relevant; de overige partijen verwerken uitsluitend gegevens waarvoor Funnelmapper zelf verwerkingsverantwoordelijke is.
Bijlage 3. Beveiligingsmaatregelen
- Versleutelde verbindingen (HTTPS) voor de volledige applicatie
- Wachtwoorden uitsluitend versleuteld (gehasht) opgeslagen, met controle op gelekte wachtwoorden bij registratie
- Toegangsregels op databaseniveau (row level security), zodat gebruikers uitsluitend hun eigen gegevens en de expliciet met hen gedeelde gegevens kunnen inzien en bewerken; toegang wordt per persoon verleend en is per persoon intrekbaar, behalve bij een openbare kijklink, die de Accounthouder in zijn geheel weer kan uitzetten
- Serverzijdige afdwinging van rechten en limieten (niet alleen in de gebruikersinterface)
- AI-verwerking uitsluitend server-side via beveiligde functies; API-sleutels staan nooit in de browser
- Tweefactorauthenticatie op de beheeromgevingen die Funnelmapper zelf gebruikt voor het beheer van de Dienst
- Gebruik van subverwerkers die aantoonbaar aan de AVG voldoen, met verwerkersovereenkomsten of DPA's