VERWERKERSOVEREENKOMST

Laatst bijgewerkt: 6 oktober 2026

Deze Verwerkersovereenkomst maakt deel uit van de Servicevoorwaarden (de "Overeenkomst") tussen Acira AI LLC ("Verwerker", "wij", "ons") en de gebruiker van de Diensten ("Verwerkingsverantwoordelijke", "u") en vult de Overeenkomst aan met betrekking tot de verwerking van persoonsgegevens.

Deze Verwerkersovereenkomst is van toepassing wanneer u de Diensten gebruikt om websites te maken, te hosten en te publiceren die persoonsgegevens verzamelen of verwerken van personen die zich in de Europese Economische Ruimte ("EER"), het Verenigd Koninkrijk ("VK") of Zwitserland bevinden, of wanneer toepasselijke wetgeving inzake gegevensbescherming dat anderszins vereist.

Deze Verwerkersovereenkomst kan voor uw gemak in andere talen worden vertaald. Bij enig conflict of enige inconsistentie tussen de Engelse versie en een vertaalde versie prevaleert de Engelse versie, behalve wanneer toepasselijk recht vereist dat de vertaalde versie van toepassing is of prevaleert, of dat een inconsistentie in uw voordeel wordt uitgelegd. Voor gebruikers in Québec is de Franse versie leidend.

INHOUDSOPGAVE

1. DEFINITIES
2. REIKWIJDTE EN ROLLEN
3. DETAILS VAN DE GEGEVENSVERWERKING
4. VERPLICHTINGEN VAN DE VERWERKER
5. VERPLICHTINGEN VAN DE VERWERKINGSVERANTWOORDELIJKE
6. SUBVERWERKERS
7. INTERNATIONALE DOORGIFTEN VAN GEGEVENS
8. RECHTEN VAN BETROKKENEN
9. GEGEVENSBEVEILIGING
10. MELDING VAN INBREUKEN IN VERBAND MET PERSOONSGEGEVENS
11. AUDITS EN VERIFICATIE VAN NALEVING
12. BEWARING EN VERWIJDERING VAN GEGEVENS
13. LOOPTIJD EN BEËINDIGING
14. BEPERKING VAN AANSPRAKELIJKHEID
15. CONTACT

1. DEFINITIES

"Toepasselijk gegevensbeschermingsrecht" betekent alle wet- en regelgeving die van toepassing is op de verwerking van persoonsgegevens op grond van deze Verwerkersovereenkomst, waaronder (voor zover van toepassing) de Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679, "AVG"), de UK GDPR, de Swiss Federal Act on Data Protection ("FADP") en de California Consumer Privacy Act ("CCPA").

"Verwerkingsverantwoordelijke" betekent de natuurlijke persoon of rechtspersoon die het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt — in deze context u, de gebruiker van de Diensten die via het platform een website exploiteert.

"Betrokkene" betekent een geïdentificeerde of identificeerbare natuurlijke persoon wiens persoonsgegevens worden verwerkt.

"Persoonsgegevens" betekent alle informatie over een Betrokkene die via de Diensten wordt verwerkt.

"Verwerking" betekent elke bewerking die op persoonsgegevens wordt uitgevoerd, waaronder het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken, verspreiden, afschermen, wissen of vernietigen.

"Verwerker" betekent een natuurlijke persoon of rechtspersoon die ten behoeve van de Verwerkingsverantwoordelijke persoonsgegevens verwerkt — in deze context Acira AI LLC.

"Subverwerker" betekent elke derde die door de Verwerker wordt ingeschakeld om ten behoeve van de Verwerkingsverantwoordelijke persoonsgegevens te verwerken.

"Standaardcontractbepalingen" of "SCC's" betekent de door de Europese Commissie vastgestelde standaardcontractbepalingen voor de doorgifte van persoonsgegevens aan derde landen, in de modules die op grond van deze Verwerkersovereenkomst van toepassing zijn (zie de artikelen 2.7 en 7.1).

2. REIKWIJDTE EN ROLLEN

2.1 Verwerkingsrelatie

Wanneer u de Diensten gebruikt om een website te maken en te exploiteren die persoonsgegevens van uw websitebezoekers verzamelt (via formulieren, gebruikersaccounts, opmerkingen, beoordelingen of andere interactieve functies), treedt u op als Verwerkingsverantwoordelijke en treden wij op als Verwerker van die persoonsgegevens van bezoekers.

2.2 Onze rol als verwerkingsverantwoordelijke

Wij treden op als zelfstandige Verwerkingsverantwoordelijke voor persoonsgegevens die wij voor onze eigen doeleinden verzamelen, waaronder: uw accountgegevens, factureringsgegevens, gebruiksstatistieken, algemene kenmerken van websites die zijn afgeleid van uw website-inhoud (zoals sector of type bedrijf) en gegevens over de werking van het platform. De verwerking van dergelijke gegevens wordt beheerst door ons Privacybeleid en valt buiten de reikwijdte van deze Verwerkersovereenkomst.

Betalingsaanbieder (Merchant of Record). Betalingen voor betaalde Diensten worden afgehandeld door een externe betalingsaanbieder die voor uw transactie optreedt als Merchant of Record — de verkoper (seller of record) — momenteel Sold through Link, LLC ("Link"), een gelieerde onderneming van Stripe. In die hoedanigheid bepaalt de aanbieder het doel van en de middelen voor de verwerking van de betalingsgegevens die u bij het afrekenen verstrekt, en treedt hij daarom zelf op als zelfstandige verwerkingsverantwoordelijke, niet als onze subverwerker. Zijn verwerking wordt beheerst door zijn eigen voorwaarden en privacyverklaring en valt buiten de reikwijdte van deze Verwerkersovereenkomst. Wij ontvangen van hem alleen beperkte transactie- en factureringsgegevens, die wij verwerken als zelfstandige Verwerkingsverantwoordelijke zoals hierboven beschreven.

2.3 Platformstatistieken

Wij verzamelen eenvoudige, privacyvriendelijke statistieken over websitebezoekers (zoals beschreven in de Overeenkomst). Voor statistiekgegevens treden wij samen met u op als gezamenlijke verwerkingsverantwoordelijke. Wij hebben onze statistieken zo ontworpen dat de verzameling van persoonsgegevens tot een minimum wordt beperkt — wij slaan geen onbewerkte IP-adressen op, en identificatiecodes van bezoekers zijn gepseudonimiseerd (zie artikel 3.3). De respectieve verantwoordelijkheden van elke gezamenlijke verwerkingsverantwoordelijke zijn als volgt:

• Acira AI (gezamenlijke verwerkingsverantwoordelijke): Bepaalt de technische middelen voor het verzamelen van statistieken, waaronder welke datapunten worden verzameld, hoe identificatiecodes van bezoekers worden berekend en hoe gegevens worden geaggregeerd. Wij zijn verantwoordelijk voor de beveiliging en integriteit van de statistiekinfrastructuur en voor het beantwoorden van algemene vragen over hoe statistieken op het platform werken.
• U (gezamenlijke verwerkingsverantwoordelijke): Exploiteert de website waarop statistiekgegevens worden verzameld (statistieken worden op alle gehoste websites verstrekt als integraal onderdeel van de Diensten). U bent verantwoordelijk voor het vermelden van het verzamelen van statistiekgegevens in het privacybeleid van uw website en voor het beantwoorden van verzoeken van Betrokkenen onder uw websitebezoekers met betrekking tot hun statistiekgegevens.
• Contactpunt voor Betrokkenen: Betrokkenen kunnen contact opnemen met u (de website-eigenaar) over statistiekgegevens die op uw website worden verzameld. Indien wij van een Betrokkene een verzoek ontvangen met betrekking tot statistiekgegevens, verwijzen wij deze naar u door, tenzij u ons anders opdraagt. Voor algemene vragen over het platform kunnen Betrokkenen contact met ons opnemen via legal@acira.ai.

2.4 Wezenlijke inhoud van de regeling tussen gezamenlijke verwerkingsverantwoordelijken

Overeenkomstig artikel 26, lid 2, van de AVG is de wezenlijke inhoud van deze regeling tussen gezamenlijke verwerkingsverantwoordelijken voor statistiekgegevens als volgt: wij (Acira AI) bepalen de technische middelen en de verzamelde datapunten; u (de website-exploitant) exploiteert de website waarop statistiekgegevens worden verzameld en bent verantwoordelijk voor het vermelden van die verzameling aan uw bezoekers. Ieder van ons is verantwoordelijk voor zijn respectieve verplichtingen op grond van het Toepasselijk gegevensbeschermingsrecht. U bent het primaire contactpunt voor uw websitebezoekers met betrekking tot statistiekgegevens. Een samenvatting van deze regeling wordt aan Betrokkenen beschikbaar gesteld via deze Verwerkersovereenkomst en op https://www.acira.ai/dpa.

2.5 Aanwijzing als service provider op grond van de CCPA

Voor zover wij namens u persoonsgegevens verwerken die onder de California Consumer Privacy Act ("CCPA") vallen, zijn wij uw "service provider" zoals gedefinieerd in Cal. Civ. Code § 1798.140(ag). Wij zullen niet:

• Persoonsgegevens die u aan ons verstrekt verkopen of delen (zoals die termen in de CCPA zijn gedefinieerd);
• Persoonsgegevens bewaren, gebruiken of openbaar maken voor enig ander doel dan de zakelijke doeleinden die in deze Verwerkersovereenkomst en de Overeenkomst zijn gespecificeerd, of zoals anderszins toegestaan door de CCPA;
• Persoonsgegevens bewaren, gebruiken of openbaar maken buiten de directe zakelijke relatie tussen u en ons;
• Persoonsgegevens die wij van u ontvangen combineren met persoonsgegevens die wij van of namens een andere persoon ontvangen of die wij verzamelen uit onze eigen interacties met consumenten, behalve voor zover toegestaan door de CCPA.

Wij kunnen uit uw website-inhoud algemene, niet-identificerende bedrijfskenmerken (zoals een sectorclassificatie) afleiden om relevante productaanbevelingen te doen, zoals beschreven in artikel 2.2. Dit beperkte gebruik vormt geen verkoop, delen of combineren van persoonsgegevens in de zin van de CCPA.

Wij verklaren dat wij deze beperkingen begrijpen en zullen naleven.

2.6 Aanwijzing van vertegenwoordigers

Wij wijzen een vertegenwoordiger voor gegevensbescherming aan in elk rechtsgebied waar toepasselijk recht ons daartoe verplicht, en wij vermelden een dergelijke vertegenwoordiger in ons Privacybeleid. Wij toetsen onze verwerkingsactiviteiten aan de drempels voor de aanwijzing van een vertegenwoordiger in de rechtsgebieden die relevant zijn voor onze Diensten — waaronder artikel 14 van de Swiss Federal Act on Data Protection (FADP).

2.7 Door bureaus beheerde websites

Wanneer een website via ons Bureauprogramma wordt gemaakt of geëxploiteerd, gebruikt een bureau ("Bureau") de Diensten om de website te bouwen en te beheren namens zijn eigen klant ("Eindklant"). In die regeling:

• Is de Eindklant (of, wanneer het Bureau de website voor zijn eigen doeleinden exploiteert, het Bureau) de Verwerkingsverantwoordelijke voor persoonsgegevens van bezoekers die via de beheerde website worden verzameld.
• Wanneer het Bureau optreedt als verwerker voor zijn Eindklant, treden wij op als door het Bureau ingeschakelde subverwerker, en zijn op die schakel de standaardcontractbepalingen van verwerker aan subverwerker (Module Drie) van toepassing, naast de in artikel 7 beschreven modules. Wanneer het Bureau zelf de Verwerkingsverantwoordelijke is, treden wij op als zijn Verwerker zoals beschreven in deze Verwerkersovereenkomst.
• Is het Bureau verantwoordelijk voor het sluiten van een verwerkersovereenkomst met elke Eindklant op voorwaarden die in overeenstemming zijn met deze Verwerkersovereenkomst, en ervoor dat het bevoegd is ons namens de Eindklant instructies te geven.
• Kunnen medewerkers van het Bureau aan wie toegang tot een beheerde website is verleend, toegang krijgen tot persoonsgegevens van bezoekers die voor die website zijn opgeslagen (waaronder formulierinzendingen, sessiegegevens en records in gebruikerstabellen) om de website te bouwen, te beheren en te exploiteren. Het Bureau is verantwoordelijk voor het beperken van en het toezicht op dergelijke toegang in overeenstemming met het Toepasselijk gegevensbeschermingsrecht.

De voorwaarden van het Bureauprogramma, waaronder de verplichtingen van het Bureau, zijn vastgelegd in de Voorwaarden voor bureaus van Acira AI op https://www.acira.ai/agency-terms.

3. DETAILS VAN DE GEGEVENSVERWERKING

3.1 Onderwerp en duur

De verwerking van persoonsgegevens op grond van deze Verwerkersovereenkomst vindt plaats om de Diensten te leveren zoals beschreven in de Overeenkomst en duurt voort zolang de Overeenkomst loopt.

3.2 Aard en doel van de verwerking

Wij verwerken persoonsgegevens om:

• Uw website-inhoud te hosten en aan te bieden
• Gegevens op te slaan en te beheren die via de formulieren en interactieve functies van uw website worden ingediend
• Gebruikersaccounts en sessies voor de beveiligde gedeelten van uw website bij te houden
• E-mailcommunicatie namens u te bezorgen
• E-mails door te sturen die worden ontvangen op e-mailadressen van uw eigen domein
• AI-inferentie uit te voeren waarom de eigen code van uw website verzoekt (verzoeken en antwoorden worden niet bewaard)
• Door AI aangedreven beschrijvingen en metadata voor geüploade bestanden te genereren
• Geüploade bestanden om te zetten naar voor het web geoptimaliseerde formaten
• Bezoekersstatistieken te verstrekken
• De records van uw website met de AI-assistent te verwerken wanneer u deze vraagt ze te lezen of ermee aan de slag te gaan
• Pdf-documenten te genereren op basis van de sjablonen van uw website
• Achtergrondtaken, geplande taken en automatiseringen uit te voeren die u configureert
• Uitgaande netwerkverzoeken uit te voeren die worden geïnitieerd door de eigen code van uw website (zoals webhooks en aanroepen van externe API's)
• Schermafbeeldingen te maken van de pagina's van uw website voor ontwerpbeoordeling en handhaving van het inhoudsbeleid
• Spam en misbruik te detecteren en te voorkomen (waaronder geautomatiseerde botbescherming)
• Contentmoderatie uit te voeren op geüploade bestanden
• Website-inhoud tijdens publicatie te beoordelen op naleving van het inhoudsbeleid van het platform
• Afmeldvoorkeuren voor e-mail te beheren voor de e-mailontvangers van uw website
• Realtime communicatie via kanalen op uw website mogelijk te maken via WebSocket-verbindingen (berichten zijn vluchtig en worden niet bewaard)
• Programmatische toegang te bieden tot uw website-inhoud en -gegevens via de opdrachtregelinterface (CLI) en andere programmatische API's, op uw aanwijzing (met inbegrip van het ophalen en exporteren van inhoud naar uw lokale omgeving)
• Fout- en diagnostische logboeken bij te houden voor de betrouwbaarheid van het platform en probleemoplossing (foutlogboeken van het platform kunnen IP-adressen en metadata van verzoeken bevatten; de bewaring is vastgelegd in artikel 12.1)

3.3 Soorten persoonsgegevens

Welke soorten persoonsgegevens worden verwerkt, hangt af van wat u via uw website verzamelt, en kan omvatten:

• Namen en contactgegevens
• E-mailadressen
• Berichten en formulierinzendingen
• Bestanden die door websitebezoekers worden geüpload (zoals afbeeldingen en documenten)
• Inloggegevens van gebruikersaccounts (opgeslagen in gehashte vorm)
• Sessiegegevens
• IP-adressen (niet opgeslagen: een adres wordt tijdens de overdracht gebruikt om het verzoek te routeren, land en regio te bepalen en voor botbescherming. Wanneer een identificatiecode moet blijven bestaan — voor statistieken en snelheidsbeperking — wordt alleen een met een sleutel versleutelde hash per website bewaard, en identificatiecodes voor statistieken wisselen dagelijks. Formulierinzendingen leggen land en regio vast, niet het adres. Uw eigen paginacode kan het IP-adres van een bezoeker lezen; alles wat u besluit op te slaan, is uw eigen verzameling, waarvoor u de verwerkingsverantwoordelijke bent)
• Browser- en apparaatgegevens
• Locatiegegevens (op land- en regioniveau, afgeleid van het IP-adres)
• Registraties van afmeldingen voor e-mail (het e-mailadres van de ontvanger en waarvoor deze zich heeft afgemeld, beschikbaar voor u zodat u de afmeldlijst van uw website kunt respecteren en beheren)
• Resultaten van spamclassificatie (of een inzending als spam is aangemerkt)
• Gegevens uit fout- en diagnostische logboeken (aanvraagpaden, foutdetails en, in foutlogboeken van het platform, IP-adressen; de bewaring is vastgelegd in artikel 12.1)

3.4 Categorieën betrokkenen

• Uw websitebezoekers
• Gebruikers die accounts aanmaken op uw website
• Gebruikers die formulieren indienen op uw website
• Gebruikers die opmerkingen, beoordelingen of andere bijdragen plaatsen op uw website

4. VERPLICHTINGEN VAN DE VERWERKER

Wij zullen:

1. Persoonsgegevens uitsluitend verwerken op basis van uw schriftelijke instructies, tenzij wij daartoe verplicht zijn op grond van toepasselijk recht (in welk geval wij u vóór de verwerking van dat wettelijk voorschrift in kennis stellen, tenzij de wet dat verbiedt);
2. Ervoor zorgen dat de personen die gemachtigd zijn om persoonsgegevens te verwerken zich tot geheimhouding hebben verbonden of door een passende wettelijke verplichting tot geheimhouding zijn gebonden;
3. Passende technische en organisatorische beveiligingsmaatregelen treffen zoals beschreven in artikel 9;
4. De voorwaarden voor het inschakelen van subverwerkers naleven zoals vastgelegd in artikel 6;
5. U, rekening houdend met de aard van de verwerking, bijstand verlenen bij het beantwoorden van verzoeken van Betrokkenen die hun rechten op grond van het Toepasselijk gegevensbeschermingsrecht uitoefenen;
6. U bijstand verlenen bij het doen nakomen van uw verplichtingen op grond van de artikelen 32 tot en met 36 van de AVG (beveiliging, melding van inbreuken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging), rekening houdend met de aard van de verwerking en de informatie waarover wij beschikken. Wanneer uw gebruik van de Diensten een verwerking met een hoog risico inhoudt waarvoor mogelijk een gegevensbeschermingseffectbeoordeling (DPIA) vereist is, verstrekken wij u informatie over onze verwerkingsactiviteiten, technische en organisatorische maatregelen en subverwerkers ter ondersteuning van uw beoordeling;
7. U bijstand verlenen bij het nakomen van uw verplichtingen op grond van artikel 22 van de AVG (geautomatiseerde individuele besluitvorming) door informatie te verstrekken over elke geautomatiseerde verwerking die namens u wordt uitgevoerd, waaronder contentmoderatie, spamdetectie en botbescherming, en door op verzoek een menselijke beoordeling van geautomatiseerde besluiten mogelijk te maken;
8. U in kennis stellen indien een instructie van u naar ons oordeel inbreuk maakt op het Toepasselijk gegevensbeschermingsrecht;
9. Naar uw keuze alle persoonsgegevens na afloop van de dienstverlening wissen of aan u terugbezorgen, en bestaande kopieën verwijderen, tenzij opslag op grond van toepasselijk recht vereist is;
10. U alle informatie ter beschikking stellen die nodig is om de nakoming van de in deze Verwerkersovereenkomst neergelegde verplichtingen aan te tonen, en audits, waaronder inspecties, mogelijk maken en daaraan bijdragen, zoals beschreven in artikel 11.

5. VERPLICHTINGEN VAN DE VERWERKINGSVERANTWOORDELIJKE

U zult:

1. Ervoor zorgen dat uw verzameling en verwerking van persoonsgegevens via uw website voldoet aan het Toepasselijk gegevensbeschermingsrecht;
2. Uw websitebezoekers passende privacyverklaringen verstrekken waarin uw praktijken voor gegevensverzameling worden beschreven, met inbegrip van vermelding van de statistieken op platformniveau, spamdetectie en botbescherming;
3. Alle noodzakelijke toestemmingen verkrijgen of een andere rechtsgrond vaststellen voor de verwerking van persoonsgegevens via uw website;
4. Ervoor zorgen dat uw instructies aan ons met betrekking tot de verwerking van persoonsgegevens voldoen aan het Toepasselijk gegevensbeschermingsrecht;
5. Verantwoordelijk zijn voor de juistheid, kwaliteit en rechtmatigheid van de persoonsgegevens die via uw website aan ons worden verstrekt.

Door de Diensten te gebruiken, geeft u ons de instructie om namens u de volgende verwerkingsactiviteiten uit te voeren als onderdeel van de standaardwerking van het platform: contentmoderatie van geüploade bestanden, beoordeling van gepubliceerde website-inhoud aan de hand van het inhoudsbeleid, spamdetectie bij formulierinzendingen (met inbegrip van op AI gebaseerde screening van de inhoud ervan, tenzij u deze uitschakelt) en geautomatiseerde botbescherming. Deze activiteiten zijn schriftelijke instructies in de zin van artikel 28, lid 3, onder a), van de AVG.

6. SUBVERWERKERS

6.1 Toegestane subverwerkers

U verleent ons een algemene toestemming om subverwerkers in te schakelen die helpen bij het leveren van de Diensten. Onze huidige subverwerkers staan hieronder vermeld en op https://www.acira.ai/dpa.

6.2 Actuele lijst van subverwerkers

Betalingsverwerking wordt uitgevoerd door onze Merchant of Record (Link, een gelieerde onderneming van Stripe), die optreedt als zelfstandige verwerkingsverantwoordelijke en niet als subverwerker, en daarom hierboven niet is vermeld; zie artikel 2.2.

6.3 Wijzigingen in subverwerkers

Wijzigingen in de lijst van subverwerkers worden uitsluitend aangebracht op grond van dit artikel 6.3; het zijn geen wijzigingen van deze Verwerkersovereenkomst op grond van artikel 13. Wij stellen u ten minste vijftien (15) dagen voordat de nieuwe subverwerker persoonsgegevens gaat verwerken in kennis van elke voorgenomen wijziging in de lijst van subverwerkers voor Diensten die u op dat moment gebruikt, door de lijst van subverwerkers op https://www.acira.ai/dpa bij te werken en, indien u zich hebt aangemeld voor meldingen over subverwerkers, per e-mail. U kunt zich aanmelden voor meldingen over wijzigingen in subverwerkers door te e-mailen naar legal@acira.ai met als onderwerpregel "Subprocessor Notifications". Wanneer wij nieuwe functies of diensten introduceren waarbij aanvullende subverwerkers betrokken zijn, worden die subverwerkers bekendgemaakt op het moment dat de functie of dienst beschikbaar komt; uw gebruik van de nieuwe functie of dienst geldt als aanvaarding van de bekendgemaakte subverwerkers daarvan. Wanneer wij een subverwerker om redenen van beveiliging of continuïteit dringend moeten vervangen, stellen wij u daarvan zo snel als praktisch mogelijk in kennis. Indien u een redelijk bezwaar hebt tegen een nieuwe subverwerker die gegevens verwerkt voor bestaande Diensten, kunt u ons dat binnen vijftien (15) dagen na de kennisgeving schriftelijk laten weten. Wij zullen te goeder trouw met u samenwerken om uw bezwaren weg te nemen. Indien wij het bezwaar niet naar uw redelijke tevredenheid kunnen oplossen, kunt u de Overeenkomst beëindigen door middel van een schriftelijke kennisgeving.

6.4 Verplichtingen van subverwerkers

Wij sluiten met elke subverwerker schriftelijke overeenkomsten die verplichtingen inzake gegevensbescherming opleggen die niet minder beschermend zijn dan die in deze Verwerkersovereenkomst. Wij blijven aansprakelijk voor het handelen en nalaten van onze subverwerkers in dezelfde mate als waarin wij aansprakelijk zouden zijn indien wij de diensten zelf uitvoerden.

7. INTERNATIONALE DOORGIFTEN VAN GEGEVENS

7.1 Doorgiftemechanismen

De Diensten worden voornamelijk gehost in de Verenigde Staten. Persoonsgegevens die via de Diensten worden verwerkt, kunnen worden doorgegeven aan en verwerkt in de Verenigde Staten en andere landen waar onze subverwerkers actief zijn. Onze aanbieders van AI-inferentie (Fireworks AI en xAI) en onze aanbieder van bestandsconversie (CloudConvert) verwerken gegevens in de Verenigde Staten, en onze aanbieders van AI-inferentie kunnen ook gegevens verwerken op andere locaties waar zij actief zijn. BrightData kan gegevens verwerken in Israël en op andere locaties wereldwijd. Cloudflare verwerkt gegevens op edgelocaties wereldwijd.

Gegevensopslag in de EU: Voor websites waarvan het land van exploitatie, dat wordt vastgelegd wanneer de website wordt gemaakt en voordat deze live gaat, een lidstaat van de Europese Unie is ("in de EU gevestigde website-exploitanten"; andere EER-landen, het Verenigd Koninkrijk en Zwitserland vallen hier niet onder), passen wij de volgende maatregelen voor gegevensopslag toe om doorgiften van persoonsgegevens van bezoekers buiten de Europese Unie tot een minimum te beperken:

• Opslag: Bezoekersgegevens in persistente edgeopslag — waaronder formulierinzendingen, sessiegegevens en gegevens in gebruikerstabellen — zijn jurisdictioneel beperkt tot, en worden opgeslagen in, de Europese Unie.
• Geautomatiseerde verwerking gericht op bezoekers: Bewerkingen die automatisch worden geactiveerd door activiteit van bezoekers — waaronder meldingen over nieuwe records in de websitedatabase, de bezorging van transactionele e-mails en de machinevertaling van inhoud van de websitedatabase naar de aanvullende talen van de website — worden verwerkt in de Europese Unie (Stockholm).
• Beheertoegang via het platform: Wanneer u de bezoekersgegevens van uw website opent via het dashboard van het platform, de conversationele interface (onder meer wanneer u de AI-assistent vraagt de records van uw website te lezen of ermee aan de slag te gaan, die dan worden verwerkt door onze aanbieder van AI-inferentie, Fireworks AI, in de Verenigde Staten), of de opdrachtregelinterface (CLI) of andere programmatische API's (bijvoorbeeld het bekijken van formulierinzendingen, het beheren van gebruikersrecords of het exporteren van inhoud naar uw lokale omgeving), kunnen deze gegevens via onze in de VS gevestigde infrastructuur worden verwerkt om aan uw verzoek te voldoen, en kunnen zij — wanneer u de CLI of een programmatische interface gebruikt — worden doorgegeven aan en opgeslagen in de omgeving waarin u die hulpmiddelen gebruikt. Deze doorgiften vinden plaats op verzoek, worden door u (de Verwerkingsverantwoordelijke) geïnitieerd en worden beschermd door de hieronder beschreven doorgiftemechanismen en aanvullende maatregelen, voor zover de gegevens binnen onze infrastructuur blijven. Zodra u persoonsgegevens exporteert of ophaalt naar uw eigen omgeving (zoals een lokale computer of een ontwikkelhulpmiddel van een derde), bent u verantwoordelijk voor de beveiliging en rechtmatige behandeling daarvan; onze maatregelen voor jurisdictionele gegevensopslag en andere technische maatregelen strekken zich niet uit tot persoonsgegevens nadat deze onze infrastructuur hebben verlaten.
• Diagnostische logboeken: Fout- en consolelogboeken die door uw website worden geproduceerd — de diagnostische uitvoer die u op de pagina Logboeken van het platform te zien krijgt — worden gedurende de in artikel 12.1 vastgelegde termijn bewaard op onze in de VS gevestigde infrastructuur. Dit zijn operationele registraties die worden bijgehouden voor uw eigen inzage en die niet bedoeld zijn om persoonsgegevens van bezoekers te bevatten; u bepaalt zelf wat de eigen code van uw website erin schrijft.
• AI-inferentie waarom uw website verzoekt: Wanneer de eigen code van uw website om AI-inferentie verzoekt, gaat het verzoek via onze infrastructuur in de Europese Unie (Stockholm) en wordt het in de Verenigde Staten verwerkt door onze aanbieder van AI-inferentie, Fireworks AI; voor deze functie is geen tot de EU beperkte verwerking beschikbaar. U bepaalt wat de code van uw website verstuurt, met inbegrip van eventuele persoonsgegevens van bezoekers, en deze doorgiften zijn onderworpen aan de hieronder beschreven doorgiftemechanismen.
• Andere verwerking buiten de EU: Statistiekgegevens en gegevens die door onze in de VS gevestigde cloudinfrastructuur worden verwerkt voor contentmoderatie en AI-inferentie, kunnen nog steeds naar de Verenigde Staten worden doorgegeven, en bestandsconversie wordt uitgevoerd in de Verenigde Staten. Op AI gebaseerde spamclassificatie van formulierinzendingen wordt uitgevoerd op het wereldwijde netwerk van Cloudflare en is niet beperkt tot de EU. Deze doorgiften zijn onderworpen aan de hieronder beschreven doorgiftemechanismen.

Voor doorgiften van persoonsgegevens vanuit de EER, het VK of Zwitserland naar landen waarvan niet is erkend dat zij een passend niveau van gegevensbescherming bieden, baseren wij ons op:

1. Standaardcontractbepalingen (SCC's): Wij nemen de standaardcontractbepalingen van de Europese Commissie door verwijzing op in deze Verwerkersovereenkomst: Module Eén (verwerkingsverantwoordelijke aan verwerkingsverantwoordelijke) voor statistiekgegevens waarvoor wij optreden als gezamenlijke verwerkingsverantwoordelijke (zie artikel 2.3), en Module Twee (verwerkingsverantwoordelijke aan verwerker) voor alle andere persoonsgegevens die namens u worden verwerkt. De SCC's zijn beschikbaar op https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_en.
2. UK International Data Transfer Addendum: Voor doorgiften vanuit het VK is het UK Addendum bij de EU-SCC's van toepassing.
3. Zwitserse doorgiftemechanismen: Voor doorgiften vanuit Zwitserland zijn de SCC's van toepassing met de wijzigingen die de Zwitserse FADP vereist.

Voor de toepassing van de SCC's komen de partijen overeen dat: (a) u de gegevensexporteur bent en Acira AI LLC de gegevensimporteur; (b) bijlage I.B (beschrijving van de doorgifte) wordt ingevuld door artikel 3 van deze Verwerkersovereenkomst; (c) bijlage II (technische en organisatorische maatregelen) wordt ingevuld door de artikelen 7.2 en 9 van deze Verwerkersovereenkomst; (d) voor clausule 9 optie 2 (algemene schriftelijke toestemming) van toepassing is, met de in artikel 6.3 vastgelegde kennisgevingstermijn; (e) de facultatieve koppelingsclausule (clausule 7) niet wordt gebruikt; (f) voor clausule 17 (toepasselijk recht) en clausule 18 (forumkeuze) de SCC's worden beheerst door het recht van Ierland en geschillen die daaruit voortvloeien worden beslecht door de rechter van Ierland; en (g) de bevoegde toezichthoudende autoriteit in bijlage I.C wordt bepaald overeenkomstig clausule 13 van de SCC's. Voor de toepassing van het UK International Data Transfer Addendum worden de tabellen 1 tot en met 3 geacht te zijn ingevuld met de overeenkomstige informatie die in deze Verwerkersovereenkomst en de bovenstaande keuzes voor de SCC's is vastgelegd, en kan voor tabel 4 geen van beide partijen het UK Addendum beëindigen zoals bepaald in Section 19 van het UK Addendum.

7.2 Aanvullende maatregelen

Wij treffen de volgende aanvullende maatregelen om doorgegeven persoonsgegevens te beschermen:

• Versleuteling van gegevens tijdens de overdracht (TLS/SSL) en in opgeslagen toestand
• Toegangscontroles en authenticatiemechanismen
• Periodieke evaluatie van onze beveiligingsmaatregelen en van de beveiligingsdocumentatie van onze aanbieders
• Praktijken voor gegevensminimalisatie (bijv. gepseudonimiseerde identificatiecodes van bezoekers in plaats van opslag van onbewerkte IP-adressen)
• Jurisdictionele gegevensopslag voor in de EU gevestigde website-exploitanten (persistente opslag en geautomatiseerde verwerking gericht op bezoekers beperkt tot de EU)
• In de EU gevestigde reken- en e-mailinfrastructuur voor geautomatiseerde bewerkingen gericht op bezoekers (meldingen over nieuwe records in de websitedatabase en de bezorging van transactionele e-mails worden voor in de EU gevestigde website-exploitanten verwerkt in de Europese Unie)

7.3 Beoordeling van de gevolgen van doorgiften

Deze aanvullende maatregelen zijn gebaseerd op onze beoordeling van de wetgeving en praktijken van de landen van bestemming, rekening houdend met de aard van de doorgegeven gegevens, het doorgiftemechanisme waarop wordt gesteund en de getroffen technische en organisatorische waarborgen. Wij hebben vastgesteld dat de hierboven beschreven aanvullende maatregelen, samen met de toezeggingen in de SCC's, een passend beschermingsniveau bieden voor de doorgegeven persoonsgegevens. Onze beoordeling van de gevolgen van doorgiften (transfer impact assessment) is op verzoek verkrijgbaar via legal@acira.ai, en wij stellen deze op verzoek ter beschikking van een bevoegde toezichthoudende autoriteit.

7.4 Doorgiften van gegevens vanuit Canada

Voor doorgiften van persoonsgegevens vanuit Canada baseren wij ons op de volgende waarborgen om ervoor te zorgen dat persoonsgegevens die buiten Canada worden doorgegeven een vergelijkbaar beschermingsniveau genieten zoals vereist op grond van de Personal Information Protection and Electronic Documents Act (PIPEDA) en toepasselijke provinciale privacywetgeving (waaronder de PIPA van Alberta, de PIPA van British Columbia en de Loi sur la protection des renseignements personnels dans le secteur privé van Québec):

1. Contractuele bescherming: Schriftelijke verwerkersovereenkomsten met elke subverwerker die verplichtingen opleggen om persoonsgegevens te beschermen volgens een norm die in overeenstemming is met de Canadese privacywetgeving, met inbegrip van vereisten voor passende beveiligingswaarborgen, gebruiksbeperkingen, melding van inbreuken en inzage door betrokkenen.
2. Technische waarborgen: Dezelfde maatregelen voor versleuteling, pseudonimisering, toegangscontrole en gegevensminimalisatie die in artikel 7.2 zijn beschreven, zijn van toepassing op doorgiften van gegevens vanuit Canada.
3. Organisatorische waarborgen: Zorgvuldigheidsonderzoek naar subverwerkers, geheimhoudingsverplichtingen voor personeel en gedocumenteerde procedures voor incidentrespons zoals beschreven in deze Verwerkersovereenkomst.

8. RECHTEN VAN BETROKKENEN

8.1 Bijstand bij verzoeken

Wij verlenen u bijstand bij het beantwoorden van verzoeken van Betrokkenen die hun rechten op grond van het Toepasselijk gegevensbeschermingsrecht uitoefenen, waaronder het recht op inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar.

8.2 Kennisgeving

Indien wij rechtstreeks van een Betrokkene een verzoek of een klacht over gegevensbescherming ontvangen met betrekking tot persoonsgegevens die namens u worden verwerkt, leggen wij dit onverwijld aan u voor en zullen wij het verzoek of de klacht niet zonder uw instructies beantwoorden, tenzij toepasselijk recht dat vereist. Als Verwerkingsverantwoordelijke bent u verantwoordelijk voor de behandeling en beantwoording van dergelijke klachten van Betrokkenen, met inbegrip van eventuele verplichtingen inzake klachtbehandeling die op grond van het Toepasselijk gegevensbeschermingsrecht op u van toepassing zijn (zoals section 164A van de UK Data Protection Act 2018).

8.3 Platformhulpmiddelen

Wij bieden binnen de Diensten hulpmiddelen om u te helpen verzoeken van Betrokkenen af te handelen, waaronder:

• Toegang tot en beheer van gegevens die in de databases van uw website zijn opgeslagen
• Verwijdering van afzonderlijke records uit de databases van uw website
• Op verzoek kunnen wij gegevensexports in een gestructureerd, machineleesbaar formaat verstrekken om te helpen bij het nakomen van verplichtingen inzake gegevensoverdraagbaarheid

9. GEGEVENSBEVEILIGING

9.1 Beveiligingsmaatregelen

Wij treffen en handhaven passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging. Deze maatregelen omvatten:

• Versleuteling: Gegevens worden tijdens de overdracht versleuteld via TLS/SSL en in opgeslagen toestand met versleuteling volgens de industriestandaard
• Toegangscontrole: Op rollen gebaseerde toegangscontroles, beleid van minimale toegangsrechten en verplichte authenticatie voor alle account- en beheertoegang
• Beveiliging van infrastructuur: Beheerde cloudinfrastructuur met geautomatiseerde beveiligingspatches en DDoS-bescherming aan de rand van het netwerk
• Gegevensisolatie: Isolatie van gegevens per website door middel van toegewezen opslaginstanties
• Monitoring: Geautomatiseerde monitoring en waarschuwingen met gestructureerde logboekregistratie
• Beveiliging van inloggegevens: Alle API-sleutels en geheimen worden opgeslagen in speciale diensten voor geheimenbeheer; wachtwoorden van gebruikers worden gehasht met sterke cryptografische algoritmen met een salt per gebruiker
• Botbescherming: Geautomatiseerde botbescherming om geautomatiseerd misbruik te voorkomen

9.2 Vertrouwelijkheid

Wij zorgen ervoor dat alle personeelsleden die gemachtigd zijn om persoonsgegevens te verwerken, gebonden zijn aan geheimhoudingsverplichtingen.

10. MELDING VAN INBREUKEN IN VERBAND MET PERSOONSGEGEVENS

10.1 Melding aan de verwerkingsverantwoordelijke

Wij stellen u zonder onredelijke vertraging in kennis nadat wij kennis hebben genomen van een inbreuk in verband met persoonsgegevens die van invloed is op persoonsgegevens die namens u worden verwerkt. De melding wordt gestuurd naar de contactgegevens die aan uw account zijn gekoppeld.

10.2 Inhoud van de melding

Onze melding van een inbreuk bevat, voor zover beschikbaar:

1. Een beschrijving van de aard van de inbreuk, met inbegrip van de categorieën en het geschatte aantal betrokken Betrokkenen en registraties;
2. De naam en contactgegevens van ons contactpunt voor gegevensbescherming;
3. Een beschrijving van de waarschijnlijke gevolgen van de inbreuk;
4. Een beschrijving van de maatregelen die zijn genomen of worden voorgesteld om de inbreuk aan te pakken en de gevolgen ervan te beperken.

10.3 Uw verplichtingen

U bent verantwoordelijk voor het melden van een inbreuk in verband met persoonsgegevens aan de betreffende toezichthoudende autoriteit en aan de getroffen Betrokkenen, zoals vereist door het Toepasselijk gegevensbeschermingsrecht. Wij werken met u samen en verlenen redelijke bijstand om u te helpen uw meldingsverplichtingen bij inbreuken na te komen.

11. AUDITS EN VERIFICATIE VAN NALEVING

11.1 Documentatie van naleving

Om aan te tonen dat wij deze Verwerkersovereenkomst naleven, stellen wij u op redelijk schriftelijk verzoek (maximaal eenmaal per jaar) het volgende ter beschikking:

1. Relevante auditrapporten van derden, certificeringen of samenvattingen van beveiligingsbeoordelingen;
2. Een samenvatting van onze huidige technische en organisatorische beveiligingsmaatregelen;
3. Informatie over onze verwerkingsactiviteiten, subverwerkers en praktijken op het gebied van gegevensbescherming.

Wanneer wij gebruikmaken van externe infrastructuuraanbieders (zoals AWS en Cloudflare), zijn hun beveiligingscertificeringen en nalevingsdocumentatie beschikbaar via hun respectieve trust- en complianceprogramma's.

11.2 Aanvullende vragen

Indien de op grond van artikel 11.1 verstrekte documentatie uw zorgen over naleving redelijkerwijs niet wegneemt, kunt u specifieke schriftelijke vragen stellen over onze praktijken op het gebied van gegevensbescherming, die wij binnen een redelijke termijn zullen beantwoorden.

11.3 Audits en inspecties

Wanneer de op grond van de artikelen 11.1 en 11.2 verstrekte documentatie onvoldoende is om aan te tonen dat wij deze Verwerkersovereenkomst naleven, of wanneer een audit door een toezichthoudende autoriteit of door het Toepasselijk gegevensbeschermingsrecht wordt vereist, mag u (of een onafhankelijke auditor die aan geheimhoudingsverplichtingen is gebonden en geen concurrent van ons is) onze naleving van deze Verwerkersovereenkomst auditen, onder meer door middel van inspectie. Voor audits geldt een voorafgaande schriftelijke kennisgeving van ten minste dertig (30) dagen; zij mogen niet vaker dan eenmaal per jaar plaatsvinden (tenzij vereist door een toezichthoudende autoriteit of na een inbreuk in verband met persoonsgegevens die uw gegevens treft), worden op uw kosten uitgevoerd tijdens normale kantooruren op een wijze die verstoring tot een minimum beperkt, en omvatten geen toegang tot gegevens van andere klanten of tot de faciliteiten van onze subverwerkers, waarvoor wij in plaats daarvan de eigen auditrapporten en certificeringen van de subverwerkers verstrekken.

12. BEWARING EN VERWIJDERING VAN GEGEVENS

12.1 Tijdens de looptijd van de Overeenkomst

Wij bewaren persoonsgegevens die namens u worden verwerkt zolang de Overeenkomst loopt en in overeenstemming met de instructies die u via de Diensten geeft. Specifieke bewaartermijnen voor bezoekersgegevens zijn onder meer:

• Records in de websitedatabase (zoals formulierinzendingen en andere door gebruikers gegenereerde inhoud): Bewaard zolang de bijbehorende website bestaat, tenzij u ze eerder verwijdert met de platformhulpmiddelen.
• Sessiegegevens van uw websitebezoekers: Automatisch verwijderd na 30 dagen inactiviteit.
• Verwijderde bezoekersinhoud (records in de websitedatabase, zoals formulierinzendingen, opmerkingen en andere door gebruikers gegenereerde inhoud): Wanneer u bezoekersinhoud verwijdert met de platformhulpmiddelen, wordt deze in een voorlopig verwijderde status geplaatst en maximaal dertig (30) dagen bewaard om herstel mogelijk te maken. Na deze termijn wordt voorlopig verwijderde inhoud uit de gegevens van uw website verwijderd.
• Herstelgeschiedenis naar een eerder tijdstip: Wijzigingen in de opgeslagen gegevens van uw website, met inbegrip van verwijderingen, worden maximaal dertig (30) dagen bewaard in de herstelgeschiedenis van de website. Wanneer u uw website naar een eerder tijdstip herstelt, worden de gegevens hersteld zoals zij op dat tijdstip waren, met inbegrip van records die sindsdien zijn verwijderd; afmeldingen voor e-mail blijven bij elk herstel behouden.
• Meldingsgeschiedenis: Wanneer de Diensten u op de hoogte stellen van nieuwe records in de databases van uw website, wordt de melding ook maximaal zes (6) maanden bewaard in uw meldingsgeschiedenis in de app. Voor in de EU gevestigde website-exploitanten bevat deze een samenvatting zonder de inhoud van het record.
• Registraties voor snelheidsbeperking voor uw website: De in artikel 3.3 beschreven met een sleutel versleutelde hashes per bezoeker, die maximaal drie (3) dagen worden bewaard en daarna automatisch worden gewist.
• Fout- en diagnostische logboeken: Foutlogboeken van het platform (die IP-adressen kunnen bevatten) en het eigen diagnostische logboek van uw website, weergegeven op de pagina Logboeken daarvan, worden maximaal negentig (90) dagen bewaard, ook nadat de website is verwijderd, en daarna automatisch gewist.
• Registraties van afmeldingen voor e-mail op uw website: Bewaard zolang de bijbehorende website bestaat, tenzij de ontvanger zich opnieuw aanmeldt. Registraties van afmeldingen worden verwijderd wanneer de website wordt verwijderd.
• Statistiekgegevens: Bewaard zolang de bijbehorende website bestaat. Bewaarlimieten per abonnement, beschreven op onze prijzenpagina, bepalen hoeveel historische statistiekgegevens weergegeven en toegankelijk blijven.

12.2 Bij beëindiging

Bij beëindiging van de Overeenkomst, of op uw verzoek, verwijderen wij persoonsgegevens die namens u worden verwerkt in overeenstemming met de in de Overeenkomst beschreven bewaarpraktijken (met inbegrip van de daar beschreven respijtperiode voor de verwijdering van accounts en websites). Na de respijtperiode is de verwijdering definitief en onomkeerbaar.

12.3 Uitzonderingen

Wij kunnen persoonsgegevens bewaren voor zover toepasselijk recht dat vereist, of wanneer gegevens zijn geanonimiseerd en niet langer aan een Betrokkene kunnen worden gekoppeld.

13. LOOPTIJD EN BEËINDIGING

Deze Verwerkersovereenkomst treedt in werking op de datum waarop u de Overeenkomst aanvaardt en blijft van kracht zolang wij namens u persoonsgegevens verwerken. De in deze Verwerkersovereenkomst neergelegde verplichtingen inzake geheimhouding en gegevensbescherming blijven na beëindiging van de Overeenkomst van kracht.

Wijzigingen in deze Verwerkersovereenkomst. Wij kunnen deze Verwerkersovereenkomst op dezelfde wijze wijzigen als de Overeenkomst (zie "Wijzigingen in deze Servicevoorwaarden" in de Overeenkomst): wij sturen ten minste dertig (30) dagen vóór de inwerkingtreding een samenvatting van een wezenlijke wijziging per e-mail naar het adres dat aan uw account is gekoppeld, behalve wanneer een wijziging wettelijk vereist is of dringend nodig is om redenen van beveiliging, fraude of misbruik, en niet-wezenlijke wijzigingen treden in werking bij publicatie. Voor wijzigingen in de lijst van subverwerkers geldt in plaats daarvan artikel 6.3. Geen enkele wijziging van deze Verwerkersovereenkomst wijzigt de standaardcontractbepalingen, die ongewijzigd zijn opgenomen, of vermindert de bescherming die zij bieden.

Een ondertekend (medeondertekend) exemplaar van deze Verwerkersovereenkomst, met inbegrip van de door verwijzing opgenomen standaardcontractbepalingen, is op schriftelijk verzoek verkrijgbaar via legal@acira.ai.

14. BEPERKING VAN AANSPRAKELIJKHEID

De aansprakelijkheid van elke partij op grond van deze Verwerkersovereenkomst is onderworpen aan de beperkingen van aansprakelijkheid die in de Overeenkomst zijn vastgelegd.

15. CONTACT

Voor vragen over deze Verwerkersovereenkomst of om uw rechten uit te oefenen, kunt u contact met ons opnemen via:

Acira AI LLC
T.a.v.: Data Protection
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
Verenigde Staten

Telefoon: 888-389-1189
E-mail: legal@acira.ai