Verwerkersovereenkomst

Deze verwerkersovereenkomst regelt de verwerking van persoonsgegevens door Avantwerk Legal AI namens het afnemend kantoor, op grond van artikel 28 AVG. Zij maakt deel uit van de algemene voorwaarden.

1. Partijen en hoedanigheid

Deze verwerkersovereenkomst wordt gesloten tussen:

1. Het kantoor — het advocatenkantoor dat een abonnement op de dienst neemt, dat optreedt als verwerkingsverantwoordelijke voor de persoonsgegevens die het in zijn rechtspraktijk verwerkt; en
2. Bennovate spółka z ograniczoną odpowiedzialnością, ul. Christiana Andersena 25, 94-118 Łódź, Polen (KRS 0000597272, NIP 7272799328, REGON 363700466), handelend onder de naam Avantwerk Legal AI, die voor de in bijlage 1 genoemde verwerkingen optreedt als verwerker.

Deze overeenkomst is een verwerkersovereenkomst in de zin van artikel 28 lid 3 AVG.

2. Onderwerp en reikwijdte

De verwerker verwerkt persoonsgegevens uitsluitend voor het leveren en in stand houden van de dienst: het beheren van accounts, het verlenen van toegang onder het abonnement, het opmaken van facturen en het bieden van ondersteuning. Het onderwerp, de aard, het doel en de duur van de verwerking, de soorten persoonsgegevens en de categorieën betrokkenen zijn omschreven in bijlage 1.

2.1 Wat buiten deze overeenkomst valt — local-first

De dossierinhoud van het kantoor (cliëntdossiers, onder de geheimhouding vallende stukken, correspondentie, processtukken en ander werkproduct) blijft op de eigen computer en schijf van het kantoor en verlaat die nooit. Dossierinhoud passeert de servers van de verwerker niet. De verwerker komt op geen enkel moment in het bezit van dossierinhoud. Daarom:

1. valt dossierinhoud buiten de werkingssfeer van deze verwerkersovereenkomst, omdat de verwerker die niet verwerkt;
2. is het kantoor zelf verantwoordelijk voor de beveiliging van dossierinhoud op zijn eigen apparaat en opslag;
3. geldt: schakelt het kantoor de functie met de eigen sleutel (BYOK) in, dan is de gekozen AI-aanbieder de eigen verwerker van het kantoor — geen subverwerker van Bennovate (zie hoofdstuk 6).

3. Instructies van de verwerkingsverantwoordelijke

De verwerker verwerkt de persoonsgegevens uitsluitend op schriftelijke, gedocumenteerde instructie van het kantoor, ook ten aanzien van doorgifte naar een derde land, tenzij een wettelijke bepaling de verwerker tot verwerking verplicht. In dat geval stelt de verwerker het kantoor vóór de verwerking van die verplichting in kennis, tenzij de wet die kennisgeving verbiedt (artikel 28 lid 3 sub a AVG). Deze overeenkomst, de algemene voorwaarden en het normale gebruik van de dienst gelden als de volledige instructie van het kantoor.

De verwerker stelt het kantoor onmiddellijk in kennis indien naar zijn oordeel een instructie inbreuk maakt op de AVG of op andere gegevensbeschermingsbepalingen (artikel 28 lid 3, slotzin AVG).

4. Geheimhouding

De verwerker waarborgt dat de personen die gemachtigd zijn om de persoonsgegevens te verwerken, zich tot geheimhouding hebben verbonden of door een passende wettelijke verplichting tot geheimhouding zijn gebonden (artikel 28 lid 3 sub b AVG). De geheimhouding blijft van kracht na het einde van deze overeenkomst.

5. Beveiligingsmaatregelen (artikel 32 AVG)

De verwerker treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, waaronder waar passend:

• versleuteling tijdens transport met TLS 1.2/1.3 en HSTS;
• versleuteling van de BYOK-sleutel in rust in de IndexedDB van de browser; de sleutel verlaat het apparaat van het kantoor niet;
• toegangscontrole aan de serverzijde, op het principe van minimale rechten, en logregistratie op accountgegevens;
• bescherming tegen aanvallen met brute kracht (fail2ban);
• maatregelen die de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de systemen waarborgen;
• periodieke controle van afhankelijkheden, het scannen op kwetsbaarheden en het testen en beoordelen van de doeltreffendheid van de maatregelen.

De local-first-architectuur is zelf een structurele maatregel van gegevensbescherming door ontwerp (artikel 25 AVG): de meest gevoelige gegevens — de dossierinhoud — bereiken de infrastructuur van de verwerker nooit.

6. Subverwerkers

Het kantoor verleent de verwerker een algemene toestemming om subverwerkers in te schakelen (artikel 28 lid 2 AVG). De verwerker legt elke subverwerker bij overeenkomst dezelfde gegevensbeschermingsverplichtingen op als in deze overeenkomst, en blijft jegens het kantoor volledig aansprakelijk voor de nakoming door de subverwerker (artikel 28 lid 4 AVG). De ingeschakelde subverwerkers op het moment van het sluiten van de overeenkomst zijn:

De verwerker stelt het kantoor ten minste 30 dagen vooraf op de hoogte van een voorgenomen wijziging in de subverwerkers, zodat het kantoor bezwaar kan maken. Maakt het kantoor op redelijke gronden bezwaar, dan treden partijen in overleg; komen zij er niet uit, dan kan het kantoor het abonnement voor het betrokken onderdeel beëindigen.

De AI-aanbieder is geen subverwerker. Schakelt het kantoor de eigen sleutel (BYOK) in, dan is de gekozen AI-aanbieder de eigen verwerker van het kantoor, onder de eigen overeenkomst van het kantoor. Dossierinhoud bereikt Bennovate daarbij nooit; de AI-aanbieder staat daarom niet in dit subverwerkersregister.

7. Bijstand aan het kantoor

De verwerker verleent het kantoor, rekening houdend met de aard van de verwerking en de hem ter beschikking staande informatie, redelijke bijstand bij:

1. het beantwoorden van verzoeken van betrokkenen die hun rechten uitoefenen (hoofdstuk III AVG), door passende technische en organisatorische maatregelen (artikel 28 lid 3 sub e AVG);
2. het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG — beveiliging, melding van inbreuken, gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging (artikel 28 lid 3 sub f AVG).

8. Melding van inbreuken in verband met persoonsgegevens

De verwerker stelt het kantoor zonder onredelijke vertraging in kennis nadat hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens (artikel 33 lid 2 AVG), met de informatie die het kantoor redelijkerwijs nodig heeft om aan zijn eigen meldplicht jegens de toezichthouder en de betrokkenen te voldoen.

9. Audits

De verwerker stelt het kantoor alle informatie ter beschikking die nodig is om de nakoming van de verplichtingen uit artikel 28 AVG aan te tonen, en maakt audits — waaronder inspecties — door het kantoor of een door het kantoor gemachtigde controleur mogelijk en draagt daaraan bij (artikel 28 lid 3 sub h AVG). Audits vinden plaats binnen kantoortijden, na redelijke aankondiging en op zodanige wijze dat de bedrijfsvoering en de geheimhoudingsverplichtingen van de verwerker zo min mogelijk worden verstoord.

10. Verwijdering of teruggave na afloop

Na afloop van de dienstverlening verwijdert de verwerker, naar keuze van het kantoor, alle persoonsgegevens of geeft hij die aan het kantoor terug, en verwijdert hij bestaande kopieën, tenzij een wettelijke bepaling de opslag van de persoonsgegevens voorschrijft (artikel 28 lid 3 sub g AVG).

Voor dossierinhoud geldt deze verplichting niet, omdat die op het apparaat van het kantoor blijft en de verwerker die nooit onder zich heeft gehad; het kantoor beheert die gegevens zelf.

11. Duur en toepasselijk recht

Deze verwerkersovereenkomst geldt voor de duur van het abonnement op de dienst. Op deze overeenkomst is Nederlands recht van toepassing, in samenhang met de algemene voorwaarden. Geschillen worden voorgelegd aan de bevoegde rechter zoals bepaald in de algemene voorwaarden.

Bijlage 1 — Omschrijving van de verwerking