Verwerkersovereenkomst

Deze verwerkersovereenkomst ("VWO") is van toepassing op grond van art. 28 lid 3 AVG telkens wanneer Ridoco persoonsgegevens verwerkt namens u in plaats van voor eigen doeleinden. Zij maakt deel uit van de algemene voorwaarden en wordt van kracht wanneer u de betreffende dienst begint te gebruiken. Een handtekening is niet nodig, al is een medeondertekend exemplaar op verzoek beschikbaar.

1. Wanneer dit van toepassing is

U bent de verwerkingsverantwoordelijke en Ridoco is de verwerker in deze situaties:

• Discord-bots op uw server. U nodigt een van de bots van Ridoco uit in een guild die u bezit of beheert. U bepaalt wat de bot daar doet en wie hem kan gebruiken.
• Gehoste software-instanties. Ridoco host een EclipseCP- of Clean-instantie voor u. (Zelf gehoste licenties scheppen geen verwerkersrelatie: Ridoco raakt die gegevens nooit aan.)
• Laetium-workspaces. Beheerst door de specifieke Laetium-VWO, die voor dat product voorrang heeft.
• Gehoste statuspagina's (EclipsePulse). Ridoco host een statuspagina voor u. U bepaalt welke diensten daarop staan en wat u daarover publiceert, en de mensen die zich erop abonneren zijn uw abonnees, niet die van Ridoco.

Deze VWO dekt niet de gegevens die Ridoco als verwerkingsverantwoordelijke houdt, zoals uw eigen account, factuurgegevens en supporttickets. Die vallen onder de privacyverklaring.

2. Bijzonderheden van de verwerking

Onderwerp en duur: het leveren van de betreffende dienst, zo lang als u die gebruikt plus de bewaartermijnen in artikel 7.

Aard en doel: voor bots, het ontvangen van en reageren op berichten, moderatie, voortgangs- en economiefuncties, en het genereren van AI-antwoorden. Voor gehoste instanties, het exploiteren van de applicatie die u configureert.

Categorieën van betrokkenen: leden van uw Discord-guild, of de eindgebruikers van uw gehoste instantie.

Soorten persoonsgegevens: platformgebruikers-ID's, guild- of accountlidmaatschap, berichtinhoud en kanaalcontext die aan de bot worden doorgegeven, conversatiegeheugen, reactie- en sentimentgegevens, moderatiewaarschuwingen, voortgangs- en economiesaldi, en alles wat uw gebruikers in een gehoste instantie invoeren.

Bijzondere categorieën: de diensten zijn niet ontworpen voor gegevens als bedoeld in art. 9 AVG en u mag ze daar niet opzettelijk voor gebruiken. Vrije tekst van uw gebruikers kan die incidenteel bevatten, en u blijft daarvoor de verwerkingsverantwoordelijke.

3. Verplichtingen van Ridoco

• Ridoco verwerkt uitsluitend op uw gedocumenteerde instructies. Uw configuratie van de dienst is uw instructie. Verplicht de wet Ridoco verder te gaan, dan meldt Ridoco dit eerst, tenzij dat verboden is.
• Ridoco meldt het u als een instructie in strijd lijkt met de AVG, en kan die opschorten tot bevestiging.
• Iedereen met toegang is gebonden aan een blijvende geheimhoudingsplicht.
• Ridoco past de beveiligingsmaatregelen in artikel 6 toe, op grond van art. 32 AVG.
• Ridoco staat u bij met de art. 32 tot en met 36 AVG: beveiliging, melding van datalekken, gegevensbeschermingseffectbeoordelingen.
• Ridoco meldt u zonder onredelijke vertraging nadat Ridoco bekend is geworden met een inbreuk in verband met persoonsgegevens die uw gegevens raakt, tijdig genoeg om aan uw eigen 72-uursplicht onder art. 33 AVG te voldoen.

4. Subverwerkers

U geeft algemene toestemming voor de onderstaande subverwerkers. Ridoco geeft u ten minste 14 dagen van tevoren kennis voordat er een wordt toegevoegd of vervangen, en u kunt op redelijke gegevensbeschermingsgronden bezwaar maken.

• netcup GmbH, en de Anexia-groepsvennootschappen waarop het steunt. Hosting, databases en back-ups. Duitsland en Oostenrijk (EU).
• Discord. Het platform waarop de bots werken. Verenigde Staten.
• Externe AI-aanbieder (optioneel). Het genereren van AI-antwoorden, uitsluitend op het optionele externe niveau, dat standaard uit staat. Is dat ingeschakeld, dan worden antwoorden verwerkt door een externe AI-aanbieder, op dit moment Google Gemini. Standaard draait AI op de eigen servers van Ridoco en wordt niets naar buiten gestuurd. Verenigde Staten.
• Sentry. Fout- en crashrapportage. EU en Verenigde Staten.

Ridoco legt aan elke subverwerker verplichtingen op die niet minder beschermend zijn dan deze, en blijft volledig aansprakelijk jegens u voor hun handelen.

5. Internationale doorgifte

Gegevens worden opgeslagen in de Europese Unie. Doorgifte aan de bovenstaande subverwerkers berust op het EU-VS Data Privacy Framework waar zij daaronder gecertificeerd zijn, of op de modelcontractbepalingen van de Europese Commissie met aanvullende technische maatregelen. Kopieën op verzoek beschikbaar.

6. Beveiligingsmaatregelen

• TLS voor alle gegevens tijdens het transport;
• isolatie per site via een apart besturingssysteemaccount op de productiehost;
• toegang tot productiegegevens beperkt tot de operator, onder geheimhouding;
• versleutelde back-ups die binnen de EU worden bewaard;
• geautomatiseerde nachtelijke opschoning van de botgegevensopslag;
• monitoring van afhankelijkheden en kwetsbaarheden, patches toegepast zodra zij worden uitgebracht.

7. Verzoeken van betrokkenen, verwijdering en teruggave

De bots bieden /privacy, /data-delete en /data-optout rechtstreeks aan uw leden aan, wat inzage, wissing en bezwaar dekt zonder dat een van beide partijen iets hoeft te doen. Neemt een betrokkene in plaats daarvan contact op met Ridoco, dan wordt die naar u verwezen en wordt het verzoek doorgestuurd.

Gegevens ouder dan de ingestelde bewaartermijn (standaard 365 dagen) worden nachtelijks opgeschoond. Verwijdert u de bot uit uw guild, of beëindigt u een gehoste instantie, dan verwijdert of retourneert Ridoco de gegevens naar uw keuze en verwijdert de overige kopieën, behalve waar de wet bewaring vereist. Back-upkopieën worden bij de gebruikelijke rotatie overschreven.

8. Audit

Ridoco verstrekt binnen 30 dagen na een schriftelijk verzoek de informatie die nodig is om naleving van art. 28 AVG aan te tonen. Is dat onvoldoende voor uw verplichtingen, dan mag u eenmaal per periode van 12 maanden een audit uitvoeren, met 30 dagen kennisgeving, tijdens kantooruren, onder geheimhouding en zonder onredelijke verstoring. U draagt de kosten, tenzij de audit een wezenlijke tekortkoming van Ridoco aan het licht brengt.

9. AI-verwerking

Botantwoorden worden gegenereerd door een groot taalmodel, niet door een persoon. Berichtinhoud en recente kanaalcontext worden naar dat model gestuurd. Standaard draait het model op de eigen infrastructuur van Ridoco en wordt niets naar buiten gestuurd. Een optioneel extern niveau staat standaard uit; is dat ingeschakeld, of stelt u uw eigen providersleutel in, dan worden antwoorden verwerkt door de externe AI-aanbieder genoemd in artikel 4. U bent ervoor verantwoordelijk uw leden te vertellen dat er een AI-systeem in gebruik is, wat het commando /privacy ook doet. AI-uitvoer kan onjuist zijn en mag niet worden gebruikt voor juridische, medische, financiële of veiligheidsbeslissingen.

10. Duur, voorrang en recht

Deze VWO duurt zo lang als Ridoco persoonsgegevens namens u verwerkt. Waar zij op een gegevensbeschermingspunt in strijd is met de algemene voorwaarden, gaat deze VWO voor. Niets hier beperkt de rechten van een betrokkene onder art. 82 AVG. Beheerst door het recht van Nederland.

11. Contact

Ridoco, KvK 95439609, Nederland
E-mail: contact@doombringerz.com