Verwerkersovereenkomst

Riffle verwerkt persoonsgegevens uitsluitend om het Platform te leveren: werkbonnen, uren, e-mail en gesprekken verwerken, en gegevens uitwisselen met Syntess. Riffle verwerkt geen persoonsgegevens voor eigen doeleinden.

Riffle legt geen locatiegegevens van medewerkers vast. Bijzondere persoonsgegevens en BSN’s worden niet beoogd verwerkt. Klant zorgt dat die niet onnodig in het Platform terechtkomen. Klant is verantwoordelijk voor een geldige grondslag en voor het informeren van betrokkenen, bijvoorbeeld dat gesprekken worden verwerkt.

1. 1.Riffle verwerkt alleen op basis van de Overeenkomst en schriftelijke instructies van Klant. Vindt Riffle een instructie in strijd met de AVG, dan meldt zij dat direct.
2. 2.Iedereen die namens Riffle toegang heeft tot persoonsgegevens is tot geheimhouding verplicht.

Riffle neemt passende technische en organisatorische maatregelen (art. 32 AVG), waaronder:

• Versleuteling van gegevens tijdens transport (TLS) en in opslag
• Hosting en opslag binnen de EU
• Logische scheiding van gegevens per klant (row-level security)
• Toegang op need-to-know-basis, met tweestapsverificatie voor medewerkers van Riffle
• Dagelijkse back-ups en logging van toegang tot productiesystemen

Klant geeft algemene toestemming voor de inzet van onderstaande subverwerkers. Riffle meldt een nieuwe of vervangende subverwerker minimaal 30 dagen vooraf; Klant kan binnen die termijn bezwaar maken en de Overeenkomst opzeggen. Riffle legt subverwerkers dezelfde verplichtingen op als in deze bijlage.

Deze partijen hebben een moederbedrijf in de VS. Voor mogelijke doorgifte buiten de EER zorgt Riffle voor passende waarborgen, zoals het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie. Riffle gebruikt AI-diensten alleen onder zakelijke voorwaarden waarbij Klantdata niet wordt gebruikt om modellen te trainen.

Riffle helpt Klant, voor zover redelijk, bij verzoeken van betrokkenen (inzage, correctie, verwijdering) en bij een DPIA of voorafgaande raadpleging van de Autoriteit Persoonsgegevens. Verzoeken die rechtstreeks bij Riffle binnenkomen stuurt Riffle door naar Klant.

Riffle meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging, en uiterlijk binnen 48 uur na ontdekking, aan Klant. De melding bevat wat er bekend is over aard, omvang, betrokkenen, gevolgen en genomen maatregelen. Klant beslist over melding aan de Autoriteit Persoonsgegevens en betrokkenen.

Riffle geeft Klant op verzoek de informatie die nodig is om naleving aan te tonen. Klant mag maximaal 1 keer per jaar, met 30 dagen aankondiging en op eigen kosten, een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht.

1. 1.Tijdens de Overeenkomst bewaart Riffle persoonsgegevens zolang dat nodig is voor de dienst. Dat geldt ook voor voice notes, gespreksopnames en foto’s: die horen bij de werkbon waarvoor ze zijn gemaakt. Klant kan Riffle instrueren deze eerder te verwijderen.
2. 2.Na het einde van de Overeenkomst stelt Riffle gegevens op verzoek binnen 30 dagen beschikbaar voor export. Uiterlijk 60 dagen na het einde verwijdert Riffle alle persoonsgegevens, en uit back-ups binnen 90 dagen, tenzij een wettelijke plicht tot bewaren geldt.

Voor aansprakelijkheid onder deze bijlage geldt artikel 7 van de algemene voorwaarden.