Verwerkersovereenkomst

1. Partijen

Deze overeenkomst is gesloten tussen Kwamle Media (de “Verwerker”) en de Klant (de “Verwerkingsverantwoordelijke”) die het platform kwamlemedia.com / app.kwamlemedia.com gebruikt.

2. Definities

• “Persoonsgegevens”: alle informatie over een identificeerbare natuurlijke persoon.
• “Verwerking”: elke bewerking met persoonsgegevens (verzameling, opslag, gebruik, overdracht, verwijdering).
• “AVG”: de Algemene Verordening Gegevensbescherming van de EU (Verordening 2016/679).
• “CCPA”: de California Consumer Privacy Act.
• “Subverwerker”: elke derde partij die gegevens verwerkt namens Kwamle.

3. Reikwijdte van de verwerking

Kwamle verwerkt persoonsgegevens voor de volgende doeleinden:

• Het beheren van marketingautomatiseringsdiensten en slimme bots.
• Het beheren van Meta-pagina's en -accounts en interactie met het publiek van de klant.
• Het genereren van analyses en statistieken.
• Het uitvoeren van AI-aanroepen volgens de instellingen van de klant.

De gegevens omvatten: namen, telefoonnummers, e-mailadressen, Facebook-/Instagram-identificatoren, berichtinhoud en reacties.

4. Verplichtingen van Kwamle als verwerker

• Gegevens alleen verwerken op basis van de gedocumenteerde instructies van de klant.
• De vertrouwelijkheid van de gegevens te waarborgen onder alle medewerkers die er toegang toe hebben.
• Passende beveiligingsmaatregelen toepassen (artikel 32 AVG).
• De klant te helpen bij het reageren op verzoeken van betrokkenen.
• De klant binnen 72 uur op de hoogte te stellen van elke datalek.
• Geen subverwerker in te schakelen zonder toestemming van de klant.
• De gegevens van de klant te verwijderen of terug te geven wanneer de dienst eindigt.

5. Beveiligingsmaatregelen

• Versleuteling van gegevens tijdens verzending (TLS 1.3) en in rust (AES-256).
• Rolgebaseerde toegangscontrole (RBAC) en het principe van minste privilege.
• Auditlogboeken die 12 maanden worden bewaard.
• Jaarlijkse penetratietests door derden.
• Tweefactorauthenticatie voor medewerkers op productiesystemen.
• Versleutelde back-ups elke 24 uur op een andere geografische locatie.
• Een programma voor kwetsbaarheidsbeheer plus onmiddellijke beveiligingsupdates.

6. Huidige subverwerkers

De klant kan binnen 30 dagen na kennisgeving bezwaar maken tegen het toevoegen van een nieuwe subverwerker.

7. Internationale gegevensoverdrachten

Bij het overdragen van gegevens buiten de Europese Economische Ruimte vertrouwen we op:

• De nieuwe modelcontractbepalingen (SCC's 2021).
• Adequaatheidsbesluiten voor landen die zijn goedgekeurd door de Europese Commissie.
• Een Transfer Impact Assessment (TIA) voor elke relatie met een subverwerker.

8. Datalekken

Wanneer een inbreuk wordt vastgesteld:

• De klant binnen 72 uur op de hoogte te stellen met de details van het incident.
• Een uitgebreid rapport te leveren over de oorzaak, omvang en genomen maatregelen.
• Volledig mee te werken aan de respons en aan de melding bij toezichthouders.

9. Recht op audit

De klant heeft het recht om:

• Het jaarlijkse SOC 2 Type II-rapport op te vragen.
• Jaarlijks een audit uit te voeren met 30 dagen voorafgaande kennisgeving, op eigen kosten.
• Een samenvatting van de penetratietestresultaten te verkrijgen.

10. Gegevensverwijdering bij beëindiging van de dienst

• Bij beëindiging van de overeenkomst verwijdert Kwamle alle persoonsgegevens binnen 90 dagen.
• Factuurgegevens worden 7 jaar bewaard (een boekhoudkundige vereiste).
• Op verzoek ontvangt de klant vóór verwijdering een kopie van zijn gegevens in JSON/CSV-formaat.