Verwerkersovereenkomst

Deze verwerkersovereenkomst ("VWO") is van toepassing op grond van art. 28 lid 3 AVG telkens wanneer Ridoco persoonsgegevens verwerkt namens u in plaats van voor eigen doeleinden. Zij maakt deel uit van de algemene voorwaarden en wordt van kracht wanneer u de betreffende dienst begint te gebruiken. Een handtekening is niet nodig, al is een medeondertekend exemplaar op verzoek beschikbaar.

1. Wanneer dit van toepassing is

U bent de verwerkingsverantwoordelijke en Ridoco is de verwerker in deze situaties:

• Discord-bots op uw server. U nodigt een van de bots van Ridoco uit in een guild die u bezit of beheert. U bepaalt wat de bot daar doet en wie hem kan gebruiken.
• Gehoste software-instanties. Ridoco host een EclipseCP- of Clean-instantie voor u. (Zelf gehoste licenties scheppen geen verwerkersrelatie: Ridoco raakt die gegevens nooit aan.)
• Laetium-workspaces. Beheerst door de specifieke Laetium-VWO, die voor dat product voorrang heeft.
• Gehoste statuspagina's (EclipsePulse). Ridoco host een statuspagina voor u. U bepaalt welke diensten daarop staan en wat u daarover publiceert, en de mensen die zich erop abonneren zijn uw abonnees, niet die van Ridoco.
• Gehoste boekingspagina's (EclipseBook). Ridoco host een boekingspagina voor u. U bepaalt wat er geboekt kan worden en onder welke voorwaarden, en de mensen die bij u boeken zijn uw deelnemers, niet die van Ridoco. Ridoco bewaart wat zij invullen om de boeking voor u uit te voeren: hun naam, hun e-mailadres en de antwoorden op de intakevragen die u instelt.

Deze VWO dekt niet de gegevens die Ridoco als verwerkingsverantwoordelijke houdt, zoals uw eigen account, factuurgegevens en supporttickets. Die vallen onder de privacyverklaring.

2. Bijzonderheden van de verwerking

Onderwerp en duur: het leveren van de betreffende dienst, zo lang als u die gebruikt plus de bewaartermijnen in artikel 7.

Aard en doel: voor bots, het ontvangen van en reageren op berichten, moderatie, voortgangs- en economiefuncties, en het genereren van AI-antwoorden. Voor gehoste instanties, het exploiteren van de applicatie die u configureert. Voor gehoste statuspagina's, het bewaren van de adressen van mensen die zich op uw storingsmeldingen abonneren en het versturen daarvan. Voor gehoste boekingspagina's, het aannemen van boekingen namens u en het versturen van de bevestigingen en herinneringen die daarbij horen.

Categorieën van betrokkenen: leden van uw Discord-guild, de eindgebruikers van uw gehoste instantie, de mensen die zich op uw statuspagina abonneren, en de mensen die tijd bij u boeken.

Soorten persoonsgegevens: platformgebruikers-ID's, guild- of accountlidmaatschap, berichtinhoud en kanaalcontext die aan de bot worden doorgegeven, conversatiegeheugen, reactie- en sentimentgegevens, moderatiewaarschuwingen, voortgangs- en economiesaldi, alles wat uw gebruikers in een gehoste instantie invoeren, het e-mailadres van een abonnee op een statuspagina, en de naam, het e-mailadres en de intake-antwoorden van iemand die bij u boekt.

Bijzondere categorieën: de diensten zijn niet ontworpen voor gegevens als bedoeld in art. 9 AVG en u mag ze daar niet opzettelijk voor gebruiken. Vrije tekst van uw gebruikers kan die incidenteel bevatten, en u blijft daarvoor de verwerkingsverantwoordelijke.

3. Verplichtingen van Ridoco

• Ridoco verwerkt uitsluitend op uw gedocumenteerde instructies. Uw configuratie van de dienst is uw instructie. Verplicht de wet Ridoco verder te gaan, dan meldt Ridoco dit eerst, tenzij dat verboden is.
• Ridoco meldt het u als een instructie in strijd lijkt met de AVG, en kan die opschorten tot bevestiging.
• Iedereen met toegang is gebonden aan een blijvende geheimhoudingsplicht.
• Ridoco past de beveiligingsmaatregelen in artikel 6 toe, op grond van art. 32 AVG.
• Ridoco staat u bij met de art. 32 tot en met 36 AVG: beveiliging, melding van datalekken, gegevensbeschermingseffectbeoordelingen.
• Ridoco meldt u zonder onredelijke vertraging nadat Ridoco bekend is geworden met een inbreuk in verband met persoonsgegevens die uw gegevens raakt, tijdig genoeg om aan uw eigen 72-uursplicht onder art. 33 AVG te voldoen.

4. Subverwerkers

U geeft algemene toestemming voor de onderstaande subverwerkers. Ridoco geeft u ten minste 14 dagen van tevoren kennis voordat er een wordt toegevoegd of vervangen, en u kunt op redelijke gegevensbeschermingsgronden bezwaar maken.

• netcup GmbH, en de Anexia-groepsvennootschappen waarop het steunt. Hosting, databases en back-ups. Duitsland en Oostenrijk (EU).
• Discord. Het platform waarop de bots werken. Verenigde Staten.
• Externe AI-aanbieder (optioneel). Het genereren van AI-antwoorden, uitsluitend op het optionele externe niveau, dat standaard uit staat. Is dat ingeschakeld, dan worden antwoorden verwerkt door een externe AI-aanbieder, op dit moment Google Gemini. Standaard draait AI op de eigen servers van Ridoco en wordt niets naar buiten gestuurd. Verenigde Staten.
• Sentry. Fout- en crashrapportage. EU en Verenigde Staten.
• Google. Agendasynchronisatie voor EclipseBook, uitsluitend wanneer u uw Google Agenda aan een boekingspagina koppelt. De naam, het e-mailadres, het tijdstip en de toelichting van de persoon die bij u boekt worden als agenda-afspraak bij Google vastgelegd, met een Google Meet-link erbij bij een videogesprek. Verenigde Staten.

Stelt u zelf een webhook in op een statuspagina of een boekingspagina, dan stuurt Ridoco de melding naar het adres dat u opgeeft, in de praktijk Discord of Slack. U kiest die bestemming. Zij is geen subverwerker van Ridoco en valt onder uw eigen verantwoordelijkheid. Verstuurd worden de tekst van het incident of van de boeking, waaronder de naam en de opmerkingen die de boeker heeft opgegeven.

Ridoco legt aan elke subverwerker verplichtingen op die niet minder beschermend zijn dan deze, en blijft volledig aansprakelijk jegens u voor hun handelen.

5. Internationale doorgifte

Gegevens worden opgeslagen in de Europese Unie. Doorgifte aan de bovenstaande subverwerkers berust op het EU-VS Data Privacy Framework waar zij daaronder gecertificeerd zijn, of op de modelcontractbepalingen van de Europese Commissie met aanvullende technische maatregelen. Kopieën op verzoek beschikbaar.

6. Beveiligingsmaatregelen

• TLS voor alle gegevens tijdens het transport;
• isolatie per site via een apart besturingssysteemaccount op de productiehost;
• toegang tot productiegegevens beperkt tot de operator, onder geheimhouding;
• versleutelde back-ups die binnen de EU worden bewaard;
• geautomatiseerde nachtelijke opschoning van de botgegevensopslag;
• monitoring van afhankelijkheden en kwetsbaarheden, patches toegepast zodra zij worden uitgebracht.

7. Verzoeken van betrokkenen, verwijdering en teruggave

De bots bieden /privacy, /data-delete en /data-optout rechtstreeks aan uw leden aan, wat inzage, wissing en bezwaar dekt zonder dat een van beide partijen iets hoeft te doen. Neemt een betrokkene in plaats daarvan contact op met Ridoco, dan wordt die naar u verwezen en wordt het verzoek doorgestuurd.

Gegevens ouder dan de ingestelde bewaartermijn (standaard 365 dagen) worden nachtelijks opgeschoond. Verwijdert u de bot uit uw guild, of beëindigt u een gehoste instantie, dan verwijdert of retourneert Ridoco de gegevens naar uw keuze en verwijdert de overige kopieën, behalve waar de wet bewaring vereist. Back-upkopieën worden bij de gebruikelijke rotatie overschreven.

8. Audit

Ridoco verstrekt binnen 30 dagen na een schriftelijk verzoek de informatie die nodig is om naleving van art. 28 AVG aan te tonen. Is dat onvoldoende voor uw verplichtingen, dan mag u eenmaal per periode van 12 maanden een audit uitvoeren, met 30 dagen kennisgeving, tijdens kantooruren, onder geheimhouding en zonder onredelijke verstoring. U draagt de kosten, tenzij de audit een wezenlijke tekortkoming van Ridoco aan het licht brengt.

9. AI-verwerking

Botantwoorden worden gegenereerd door een groot taalmodel, niet door een persoon. Berichtinhoud en recente kanaalcontext worden naar dat model gestuurd. Standaard draait het model op de eigen infrastructuur van Ridoco en wordt niets naar buiten gestuurd. Een optioneel extern niveau staat standaard uit; is dat ingeschakeld, of stelt u uw eigen providersleutel in, dan worden antwoorden verwerkt door de externe AI-aanbieder genoemd in artikel 4. U bent ervoor verantwoordelijk uw leden te vertellen dat er een AI-systeem in gebruik is, wat het commando /privacy ook doet. AI-uitvoer kan onjuist zijn en mag niet worden gebruikt voor juridische, medische, financiële of veiligheidsbeslissingen.

10. Duur, voorrang en recht

Deze VWO duurt zo lang als Ridoco persoonsgegevens namens u verwerkt. Waar zij op een gegevensbeschermingspunt in strijd is met de algemene voorwaarden, gaat deze VWO voor. Niets hier beperkt de rechten van een betrokkene onder art. 82 AVG. Beheerst door het recht van Nederland.

11. Contact

Ridoco, KvK 95439609, Nederland
E-mail: contact@doombringerz.com