Verwerkersovereenkomst

• Toepasselijke wetgeving inzake gegevensbescherming betekent alle wetgeving die van toepassing is op de verwerking van Persoonsgegevens van de Klant onder de Overeenkomst, waaronder mogelijk de AVG, de Britse AVG, de Zwitserse federale wet inzake gegevensbescherming en privacywetten van Amerikaanse staten, zoals de California Consumer Privacy Act.
• Persoonsgegevens van de Klant betekent persoonsgegevens in Klantinhoud die Zurelay namens de Klant verwerkt om de Diensten te leveren.
• Subverwerker betekent een door Zurelay ingeschakelde derde partij die Persoonsgegevens van de Klant verwerkt, waaronder Infrastructuuraanbieders.
• Inbreuk in verband met persoonsgegevens betekent een beveiligingsinbreuk in systemen onder beheer van Zurelay die leidt tot de onbedoelde van onrechtmatige vernietiging, het verlies, de wijziging, de ongeoorloofde verstrekking van of toegang tot Persoonsgegevens van de Klant.
• SCC's betekent de standaardcontractbepalingen die de Europese Commissie heeft goedgekeurd in Besluit (EU) 2021/914.
• Verwerkingsverantwoordelijke, verwerker, betrokkene, persoonsgegevens, verwerking, bedrijf en dienstverlener hebben de betekenis die daaraan wordt gegeven in de Toepasselijke wetgeving inzake gegevensbescherming.

Voor Persoonsgegevens van de Klant is de Klant de verwerkingsverantwoordelijke (of een verwerker die namens eigen klanten handelt) en is Zurelay een verwerker (of subverwerker). Deze DPA is niet van toepassing op persoonsgegevens die Zurelay als zelfstandig verwerkingsverantwoordelijke verwerkt, zoals account-, facturatie-, support-, beveiligings- en websitegegevens. Die vallen onder ons Privacybeleid.

3.1 Instructies. Zurelay verwerkt Persoonsgegevens van de Klant uitsluitend om de Diensten te leveren, te beveiligen en te ondersteunen overeenkomstig de Overeenkomst, deze DPA en het gebruik en de configuratie van de Diensten door de Klant, die samen de volledige gedocumenteerde instructies van de Klant vormen, en voor zover wettelijk vereist. Als de wet verwerking buiten die instructies vereist, stelt Zurelay de Klant vooraf op de hoogte, tenzij de wet dit verbiedt.

3.2 Routering is een instructie. De Klant geeft Zurelay de instructie om Klantinhoud te versturen naar door Zurelay gekozen Infrastructuuraanbieders en verzoeken bij hen opnieuw te proberen, om te leiden van naar een andere aanbieder over te schakelen, voor zover nodig om Uitvoer te genereren.

3.3 Onrechtmatige instructies. Zurelay stelt de Klant op de hoogte als een instructie naar zijn oordeel in strijd is met de Toepasselijke wetgeving inzake gegevensbescherming. Zurelay is niet verplicht de instructies van de Klant juridisch te toetsen.

De Klant is verantwoordelijk voor een geldige rechtsgrond voor de verwerking van Persoonsgegevens van de Klant onder de Overeenkomst, voor het verstrekken van alle vereiste informatie en voor het verkrijgen van alle vereiste toestemmingen. De Klant verstuurt geen Gegevens met beperkingen, waaronder bijzondere categorieën persoonsgegevens en persoonsgegevens van kinderen, tenzij de partijen een afzonderlijke schriftelijke overeenkomst hebben ondertekend die dit toestaat. De Klant is verantwoordelijk voor het beperken van de persoonsgegevens in Invoer tot wat nodig is voor het gebruik van de Diensten, en voor het beoordelen van de Diensten geschikt zijn voor zijn gegevens, met inbegrip van de verwerking door Infrastructuuraanbieders waarvan Zurelay de identiteit niet bekendmaakt, onder hun eigen voorwaarden zoals beschreven in Artikel 7.

Zurelay zorgt ervoor dat de personen die het machtigt om Persoonsgegevens van de Klant te verwerken, gebonden zijn aan passende geheimhoudingsverplichtingen en deze gegevens alleen inzien voor zover dat nodig is om de Diensten te leveren.

Zurelay treft en onderhoudt de technische en organisatorische maatregelen die in Bijlage II zijn beschreven en die bedoeld zijn om Persoonsgegevens van de Klant te beschermen in systemen die Zurelay beheert. Zurelay mag deze maatregelen bijwerken zolang het algehele beschermingsniveau niet wezenlijk wordt verlaagd.

7.1 Algemene toestemming. De Klant geeft Zurelay algemene toestemming om Subverwerkers in te schakelen in de volgende categorieën: (a) aanbieders van hosting, databases, opslag en netwerkdiensten; (b) aanbieders van betaal-, e-mail- en ondersteuningsdiensten, voor zover zij Persoonsgegevens van de Klant verwerken; en (c) Infrastructuuraanbieders die Modellen beschikbaar stellen, waaronder Modelontwikkelaars, cloudplatforms, onafhankelijke wederverkopers en andere aanbieders van modelcapaciteit.

7.2 Identiteit van Infrastructuuraanbieders. De identiteit van de Infrastructuuraanbieders van Zurelay is vertrouwelijke bedrijfsinformatie en wordt niet door Zurelay bekendgemaakt. De toestemming van de Klant in Artikel 7.1 omvat Infrastructuuraanbieders per categorie, zonder dat hun identiteit wordt bekendgemaakt. Op schriftelijk verzoek verstrekt Zurelay de Klant een lijst van de overige huidige Subverwerkers, waarop de geheimhoudingsverplichtingen van de Klant uit de Overeenkomst van toepassing zijn. Als de wettelijke verplichtingen van de Klant vereisen dat de identiteit van elke Subverwerker bekend is voordat persoonsgegevens aan die Subverwerker worden verzonden, mag de Klant dergelijke persoonsgegevens niet opnemen in Klantinhoud.

7.3 Wijzigingen. Om de Diensten beschikbaar te houden, mag Zurelay op elk moment Infrastructuuraanbieders toevoegen, verwijderen en vervangen. Zurelay stelt de Klant op de hoogte van elke nieuwe categorie Subverwerkers door deze DPA bij te werken. Als de Klant op redelijke gronden met betrekking tot gegevensbescherming bezwaar maakt, bespreken de partijen het bezwaar te goeder trouw; als het niet kan worden opgelost, is de enige verhaalsmogelijkheid voor de Klant om het gebruik van de betreffende Diensten te staken en de Overeenkomst te beëindigen.

7.4 Voorwaarden voor Subverwerkers. Waar Zurelay kan onderhandelen over de voorwaarden van een Subverwerker, zal het verplichtingen inzake gegevensbescherming eisen die inhoudelijk niet minder bescherming bieden dan die in deze DPA, voor zover relevant voor de diensten die de Subverwerker levert. Sommige Infrastructuuraanbieders stellen hun diensten uitsluitend beschikbaar onder hun standaardvoorwaarden. De Klant erkent dat voor die aanbieders hun standaardvoorwaarden van toepassing zijn op de verwerking van Klantinhoud en dat Zurelay mogelijk geen aanvullende toezeggingen van hen kan verkrijgen.

7.5 Verantwoordelijkheid. Zurelay blijft verantwoordelijk voor zijn Subverwerkers voor zover vereist door de Toepasselijke Wetgeving inzake Gegevensbescherming, met inachtneming van de aansprakelijkheidsbeperkingen in de Overeenkomst.

Rekening houdend met de aard van de verwerking biedt Zurelay de Klant redelijke ondersteuning bij het beantwoorden van verzoeken van betrokkenen om hun rechten uit te oefenen. Als Zurelay een dergelijk verzoek over Persoonsgegevens van de Klant ontvangt, verwijst het de verzoeker door naar de Klant als het de Klant kan identificeren, en beantwoordt het het verzoek niet zelf, behalve om de doorverwijzing te bevestigen van wanneer de wet dit vereist. De Klant betaalt de redelijke kosten van Zurelay voor ondersteuning die verder gaat dan wat via de Diensten beschikbaar is.

Zurelay stelt de Klant zonder onredelijke vertraging op de hoogte nadat het kennis heeft genomen van een Inbreuk in verband met Persoonsgegevens en verstrekt de redelijkerwijs beschikbare informatie die de Klant nodig heeft om aan zijn eigen meldplichten te voldoen. Zurelay neemt redelijke maatregelen om de inbreuk te beperken en te onderzoeken. Een melding houdt geen erkenning van schuld van aansprakelijkheid in. De Klant is verantwoordelijk voor het informeren van toezichthouders en betrokkenen waar dat vereist is. Als een Infrastructuuraanbieder Zurelay op de hoogte stelt van een beveiligingsincident dat gevolgen heeft voor Persoonsgegevens van de Klant, geeft Zurelay de relevante ontvangen informatie door.

10.1 Ondersteuning. Rekening houdend met de aard van de verwerking en de beschikbare informatie biedt Zurelay de Klant redelijke ondersteuning bij gegevensbeschermingseffectbeoordelingen en voorafgaande raadplegingen van toezichthouders wanneer de Toepasselijke Wetgeving inzake Gegevensbescherming deze vereist, op kosten van de Klant wanneer de ondersteuning meer dan minimaal is.

10.2 Informatie. Op schriftelijk verzoek, maximaal eenmaal per periode van 12 maanden, verstrekt Zurelay schriftelijke antwoorden op een redelijke vragenlijst over beveiliging en privacy, en andere informatie die redelijkerwijs nodig is om naleving van deze DPA aan te tonen.

10.3 Audits. Als de Toepasselijke Wetgeving inzake Gegevensbescherming een audit vereist die verder gaat dan die informatie, mag de Klant op eigen kosten een audit uitvoeren, maximaal eenmaal per periode van 12 maanden, met een schriftelijke aankondiging van ten minste 30 dagen vooraf, tijdens normale kantooruren, onder passende geheimhoudingsverplichtingen en door een auditor die niet met Zurelay concurreert. Audits geven geen toegang tot gegevens van andere klanten, tot systemen van Infrastructuuraanbieders van tot de identiteit van Infrastructuuraanbieders, tenzij een rechtbank of toezichthouder met bevoegdheid over Zurelay dit vereist.

Zurelay slaat de inhoud van chat- en tekstverzoeken die via de API worden verstuurd niet op nadat ze zijn afgehandeld. Playground-chats worden zonder bijgevoegde bestanden bewaard voor de persoon die ze heeft gevoerd totdat die ze verwijdert (de nieuwste 300 per werkruimte). Afbeeldingen die in de Playground worden toegevoegd, worden voor de werkruimte bewaard en na 30 dagen verwijderd. Gegenereerde afbeeldingen en video's, de bijbehorende prompts en referentieafbeeldingen en foutdetails van mislukte pogingen worden na 30 dagen verwijderd. Binnen 90 dagen na het einde van de Overeenkomst verwijdert Zurelay alle resterende Persoonsgegevens van de Klant uit systemen die het beheert, behalve kopieën die het wettelijk moet bewaren en kopieën in back-ups, die volgens het gebruikelijke schema worden verwijderd. Persoonsgegevens van de Klant die door Infrastructuuraanbieders worden verwerkt, worden bewaard volgens hun eigen voorwaarden.

12.1 Toestemming. De Klant geeft Zurelay en zijn Subverwerkers toestemming om Persoonsgegevens van de Klant door te geven naar en te verwerken in de Verenigde Staten en andere landen waar zij actief zijn.

12.2 Europese doorgiften. Voor zover Persoonsgegevens van de Klant onder de GDPR vallen en worden doorgegeven naar een land zonder adequaatheidsbesluit, maken de SCCs als volgt deel uit van deze DPA: Module Twee is van toepassing wanneer de Klant verwerkingsverantwoordelijke is en Module Drie wanneer de Klant verwerker is; de optionele toetredingsbepaling in Bepaling 7 is van toepassing; in Bepaling 9 is Optie 2 van toepassing, met de kennisgeving beschreven in Artikel 7.3; de optionele tekst in Bepaling 11 is niet van toepassing; in Bepaling 17 worden de SCCs beheerst door het recht van Ierland; en in Bepaling 18 zijn de rechtbanken van Ierland bevoegd. Bijlagen I en II van deze DPA vullen de overeenkomstige bijlagen van de SCCs aan.

12.3 Verenigd Koninkrijk en Zwitserland. Voor persoonsgegevens die onder de UK GDPR vallen, gelden de SCCs zoals gewijzigd door het International Data Transfer Addendum van de UK Information Commissioner. Voor persoonsgegevens die onder Zwitsers recht vallen, gelden de SCCs met verwijzingen die zijn aangepast aan de Zwitserse federale wet inzake gegevensbescherming, en is de Zwitserse federale commissaris voor gegevensbescherming en informatie de bevoegde autoriteit.

12.4 Voorrang. Als de SCCs in strijd zijn met deze DPA, hebben de SCCs voorrang voor zover er sprake is van strijdigheid.

Voor zover de privacywetgeving van Amerikaanse staten van toepassing is, is Zurelay de dienstverlener van verwerker van de Klant voor Persoonsgegevens van de Klant. Zurelay zal Persoonsgegevens van de Klant niet verkopen of delen; zal deze niet bewaren, gebruiken of verstrekken voor andere doeleinden dan de zakelijke doeleinden die in de Overeenkomst zijn vastgelegd of buiten de directe zakelijke relatie tussen Zurelay en de Klant; en zal deze niet combineren met persoonsgegevens uit andere bronnen, behalve voor zover die wetgeving dat toestaat. Zurelay zal voldoen aan de toepasselijke verplichtingen uit die wetgeving, de Klant informeren als het daar niet meer aan kan voldoen en de Klant het recht geven om redelijke stappen te nemen om ongeoorloofd gebruik van Persoonsgegevens van de Klant te stoppen en te verhelpen.

Deze DPA heeft voorrang op de Voorwaarden wat betreft de bescherming van Persoonsgegevens van de Klant. Voor het overige zijn de Voorwaarden van toepassing, inclusief de bepalingen over aansprakelijkheidsbeperkingen, toepasselijk recht en geschillenbeslechting, tenzij de Toepasselijke Wetgeving inzake Gegevensbescherming van de SCCs anders vereisen. Zurelay kan deze DPA bijwerken om wijzigingen in de wetgeving, de Diensten of zijn Subverwerkers te verwerken en zal de Klant op de hoogte stellen van wezenlijke wijzigingen. Deze DPA eindigt wanneer de Overeenkomst eindigt, behalve voor verplichtingen die naar hun aard blijven gelden.

• Versleuteling: TLS voor gegevens tijdens de overdracht van en naar de Diensten; versleuteling van opgeslagen gegevens door de hostingproviders van Zurelay.
• Toegangsgegevens: API-sleutels worden alleen als eenrichtingshashes opgeslagen; inloggen met eenmalige codes; werkruimterollen bepalen wie sleutels en facturering kan beheren.
• Toegangsbeheer: toegang tot productiesystemen en gegevens is beperkt tot medewerkers die deze nodig hebben.
• Gegevensminimalisatie: chat- en tekstinhoud die via de API wordt verstuurd, wordt in het geheugen verwerkt en niet opgeslagen; Playground-chats worden alleen bewaard voor de persoon die ze heeft gevoerd, zonder bijgevoegde bestanden; afbeeldingen die in de Playground worden toegevoegd, worden na 30 dagen verwijderd; gegenereerde bestanden, de bijbehorende prompts en foutdetails worden na 30 dagen verwijderd; identificatiegegevens van eindgebruikers van de klant worden uit verzoeken verwijderd voordat deze naar Infrastructuuraanbieders worden verstuurd.
• Monitoring: doorlopende monitoring van de beschikbaarheid en het gedrag van de Diensten en van Infrastructuuraanbieders, waarbij incidenten worden vastgelegd en onderzocht.
• Veerkracht: automatische herhaalpogingen en failover tussen Infrastructuuraanbieders.
• Incidentrespons: onderzoek, beheersing en kennisgeving aan klanten bij Inbreuken in verband met Persoonsgegevens zoals beschreven in Artikel 9.
• Toezicht op leveranciers: Infrastructuuraanbieders vóór en tijdens het gebruik testen, bijvoorbeeld van ze het gevraagde Model leveren en hoe betrouwbaar ze dat doen, en aanbieders verwijderen die niet door de controles van Zurelay komen. Deze controles betreffen de kwaliteit van de dienstverlening, niet de eigen beveiliging van Infrastructuuraanbieders, die zij onder hun eigen voorwaarden beheren.