Verwerkersovereenkomst

1) Reikwijdte

Deze overeenkomst is van toepassing wanneer Polzy via de dienst persoonsgegevens verwerkt namens een klant, en voldoet aan artikel 28 AVG. De klant is verwerkingsverantwoordelijke; Polzy B.V. is verwerker. Zij maakt deel uit van de Servicevoorwaarden en gaat daaraan voor in alles wat persoonsgegevens betreft. Zij geldt zolang Polzy persoonsgegevens voor de klant verwerkt.

2) Gegevens over de verwerking

• Onderwerp en doel: het leveren van Polzy aan de klant — feedback verzamelen via enquêtes en berichten, die analyseren met scores, thema’s en samenvattingen, en de acties, workflows en rapporten die daarop voortbouwen.
• Aard: hosting, opslag, analyse (ook met AI), het versturen van berichten, export en verwijdering.
• Betrokkenen: de personen die de klant uitnodigt of toevoegt — medewerkers, klanten, bezoekers van evenementen, andere respondenten — en de eigen gebruikers van de klant.
• Persoonsgegevens: namen, e-mailadressen en telefoonnummers; de velden die de klant vastlegt, zoals afdeling of abonnement; antwoorden en opmerkingen; berichten en hun bezorgrecords; inlog- en gebruiksregistraties. De klant bepaalt of een enquête anoniem is.
• Bijzondere persoonsgegevens: de dienst heeft ze niet nodig, met één uitzondering die de klant zelf beheert: staan veiligheidssignalen aan, dan kan een opmerking van een respondent zelf gegevens over gezondheid of seksueel leven onthullen (art. 9 AVG) — bijvoorbeeld over zelfbeschadiging of seksueel misbruik. Polzy verwerkt zo’n opmerking alleen om haar naar de door de klant benoemde beoordelaars te sturen, in opdracht van de klant en op de rechtsgrond van de klant (meestal art. 9, lid 2, onder b, c of g). Vraagt de klant in een enquête toch om bijzondere persoonsgegevens, dan is hij verantwoordelijk voor de rechtsgrond en voor het informeren van respondenten.

3) Instructies

Polzy verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de klant — de Servicevoorwaarden, deze overeenkomst en het gebruik dat de klant maakt van de instellingen van het product — tenzij Unierecht of lidstatelijk recht anders voorschrijft; in dat geval laten wij de klant dat eerst weten, tenzij die wet dat verbiedt. Lijkt een instructie in strijd met het gegevensbeschermingsrecht, dan zeggen wij dat voordat wij haar uitvoeren.

4) Vertrouwelijkheid

Iedereen bij Polzy die toegang heeft tot klantgegevens is tot geheimhouding verplicht, en de toegang is beperkt tot wat zijn of haar rol vereist. Opent een medewerker van Polzy de werkruimte van een klant om te helpen, dan wordt die sessie vastgelegd in het auditlog van de klant.

5) Beveiligingsmaatregelen

Polzy handhaaft de technische en organisatorische maatregelen uit de bijlage hieronder en van de pagina Beveiliging, en evalueert ze regelmatig. Wij mogen ze verbeteren, maar verlagen het totale beschermingsniveau nooit.

6) Subverwerkers

De klant geeft algemene toestemming voor de subverwerkers in het register van subverwerkers. Voordat wij er een toevoegen of vervangen, laten wij dat ten minste 30 dagen van tevoren per e-mail weten. Binnen die termijn kan de klant op redelijke gronden van gegevensbescherming bezwaar maken; kunnen wij het bezwaar niet wegnemen, dan kan de klant de betrokken dienst beëindigen en betalen wij het ongebruikte deel van een vooruitbetaalde periode terug. Elke subverwerker is gebonden aan verplichtingen die minstens even beschermend zijn als deze, en Polzy blijft tegenover de klant verantwoordelijk voor de nakoming door haar subverwerkers.

7) Bijstand

Met het product kunnen klanten persoonsgegevens zelf exporteren, corrigeren en verwijderen, en kunnen respondenten hun eigen antwoorden op een niet-anonieme enquête verwijderen via de privacyverklaring van de enquête. Waar een verzoek niet zo kan worden afgehandeld, helpen wij binnen 30 dagen. Ook geven wij de klant de informatie die hij redelijkerwijs nodig heeft voor een gegevensbeschermingseffectbeoordeling, een voorafgaande raadpleging van een toezichthouder of zijn eigen beveiligingsverplichtingen.

8) Inbreuken in verband met persoonsgegevens

Wij melden een inbreuk die de gegevens van de klant raakt zonder onredelijke vertraging, en in elk geval binnen 48 uur nadat wij ervan op de hoogte zijn, aan het e-mailadres van de eigenaar van de organisatie. De melding vermeldt wat er is gebeurd, de categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, en wat wij hebben gedaan en voorstellen te doen; wat nog niet bekend is, volgt zodra het bekend is. Wij melden niet namens de klant aan toezichthouders of betrokkenen, tenzij hij ons daarom vraagt.

9) Internationale doorgifte

Klantgegevens worden gehost in de Europese Unie (Fly.io, Amsterdam). Verwerkt een subverwerker gegevens buiten de EER, dan valt die doorgifte onder de modelcontractbepalingen van de Europese Commissie of het EU-VS Data Privacy Framework, zoals vermeld in het register van subverwerkers, met aanvullende maatregelen waar een doorgiftetoets daarom vraagt.

10) Verwijdering en teruggave

De klant kan zijn gegevens op elk moment exporteren en vanuit Instellingen een werkruimte verwijderen of zijn organisatie sluiten. De werkruimte is dan 14 dagen alleen-lezen — alles kan nog worden geopend en geëxporteerd, en de verwijdering kan worden geannuleerd — en wordt daarna met alle inhoud verwijderd. Het abonnement van een gesloten organisatie stopt aan het einde van de al betaalde periode, en haar account wordt verwijderd zodra haar laatste werkruimte weg is. Uitgereikte facturen, en de aankopen waarop ze berusten, worden bewaard zolang de belastingwet vereist. Kopieën in back-ups verdwijnen wanneer de back-ups worden vervangen, binnen 35 dagen (nog te bevestigen: de back-uptaak is gebouwd maar draait nog niet in productie). Het auditlog van wat er in de werkruimtes van de klant is gedaan, wordt als beveiligingsbewijs bewaard tot de eigen termijn van 400 dagen van elke gebeurtenis voorbij is, en daarna verwijderd. Op verzoek bevestigen wij de verwijdering schriftelijk.

11) Audits

Wij stellen de informatie beschikbaar die nodig is om naleving van deze overeenkomst aan te tonen, en beantwoorden redelijke beveiligingsvragenlijsten van de klant. Is dat niet voldoende, dan mag de klant, of een onafhankelijke auditor die hij onder geheimhoudingsplicht aanwijst, Polzy auditen met een aankondiging van ten minste 30 dagen, tijdens kantooruren en hoogstens eenmaal per jaar — vaker als een toezichthouder dat vereist of na een inbreuk. Elke partij draagt haar eigen kosten, tenzij de audit een wezenlijke tekortkoming van Polzy aantoont.

12) Aansprakelijkheid

Op de aansprakelijkheid onder deze overeenkomst is het onderdeel aansprakelijkheid van de Servicevoorwaarden van toepassing.

13) Bijlage: technische en organisatorische maatregelen

• Hosting en scheiding: de applicatie, de database en de takenwachtrij draaien in de EU (Fly.io, Amsterdam) op een privénetwerk. Elke query is beperkt tot de werkruimte waarin hij draait, en elk verzoek passeert een tenantcontrole die door geautomatiseerde tests wordt gedekt.
• Versleuteling: TLS voor al het verkeer; opslagvolumes versleuteld in rust (nog te bevestigen voor het databasevolume); inloggegevens van gekoppelde systemen en geheimen voor tweestapsverificatie vóór opslag nogmaals versleuteld, met een sleutel die buiten de database wordt bewaard; wachtwoorden alleen als hash opgeslagen.
• Toegangsbeheer: rollen binnen elke werkruimte; tweestapsverificatie met een authenticator-app en eenmalige herstelcodes, die een organisatie voor alle beheerders verplicht kan stellen; een sessieduur en de e-maildomeinen waaruit leden mogen komen, ingesteld door elke organisatie; herhaalde mislukte inlogpogingen blokkeren het account tijdelijk.
• Anonimiteit door ontwerp: anonieme antwoorden worden opgeslagen zonder naam, e-mailadres, IP-adres, browser of uitnodiging; gegroepeerde resultaten onder de privacygrens worden onderdrukt in de query die ze berekent, bij elk filter, elke export en elke API-aanroep.
• Veiligheidssignalen (art. 9 AVG): een opmerking die bijzondere persoonsgegevens kan onthullen, wordt vóór opslag nogmaals versleuteld met een sleutel buiten de database; alleen de door de klant benoemde beoordelaars lezen haar — nooit de hiërarchische lijn van de schrijver en nooit medewerkers van Polzy namens een klant — en elke lezing staat in het auditlog; een respondent die om contact vraagt, kiest of de beoordelaars zijn naam zien, en die naam en elk adres worden op dezelfde manier versleuteld; afgewezen signalen worden na 90 dagen verwijderd en bevestigde 12 maanden na sluiting, tenzij de klant een andere termijn instelt. Vragen: privacy@polzy.ai.
• Logging en monitoring: een onveranderlijk auditlog van beheerhandelingen en van elke toegang door medewerkers van Polzy, 400 dagen bewaard; foutregistratie in de EU; doorlopende monitoring en een openbare statuspagina.
• Beschikbaarheid en back-ups: dagelijkse back-ups van de database, versleuteld voordat ze de server verlaten, 35 dagen bewaard, met elk kwartaal een hersteltest (nog te bevestigen: gebouwd en getest, maar nog niet in productie).
• Dataminimalisatie en bewaartermijnen: antwoorden worden ’s nachts verwijderd zodra de bewaartermijn van de werkruimte voorbij is; tekst, links en adressen van berichten worden na 30 tot 365 dagen verwijderd; een werkruimte wordt verwijderd na 14 dagen alleen-lezen.
• Mensen en leveranciers: geheimhouding voor iedereen met toegang, toegang beperkt tot wat elke rol nodig heeft, subverwerkers gebonden aan verwerkersovereenkomsten.
• Incidenten en kwetsbaarheden: inbreuken gemeld binnen 48 uur; kwetsbaarheden gemeld aan security@polzy.ai worden binnen twee werkdagen beantwoord.