Verwerkersovereenkomst (DPA)

1. Toepassingsbereik, rollen en toepasselijk recht

Deze DPA is van toepassing wanneer Super44 namens de Verwerkingsverantwoordelijke persoonsgegevens verwerkt om Super44 of Superstaff te leveren. De Verwerkingsverantwoordelijke bepaalt de doeleinden en essentiële middelen; Super44 verwerkt uitsluitend zoals vastgelegd in de Overeenkomst en in de rechtmatige instructies van de Verwerkingsverantwoordelijke.

Voor verwerking in de EER verwijst AVG naar Verordening (EU) 2016/679. Voor verwerking in het VK wordt daarmee de UK GDPR en de Data Protection Act 2018 bedoeld. Onder beide regimes gelden dezelfde voorwaarden voor verwerkers uit artikel 28.

2. Details van de verwerking

Het onderwerp van de verwerking is het hosten en uitvoeren van de overeengekomen diensten voor bedrijfsassistentie, onkosten en personeelsbeheer. De verwerking duurt gedurende de looptijd van de Overeenkomst plus de hieronder beschreven verwijderings- en back-uptermijnen. De aard ervan omvat het verzamelen, vastleggen, structureren, opslaan, opvragen, analyseren, op aanwijzing van de Verwerkingsverantwoordelijke doorgeven, beperken, exporteren en verwijderen van gegevens. Het doel is de door de Verwerkingsverantwoordelijke gekozen diensten te leveren, beveiligen, ondersteunen en onderhouden.

• Betrokkenen: eigenaren en bevoegde gebruikers van de Verwerkingsverantwoordelijke; werknemers, waaronder jonge werknemers wanneer hun tewerkstelling rechtmatig is; medewerkers, opdrachtnemers, sollicitanten en voormalige personeelsleden die in Superstaff zijn ingevoerd; en klantcontacten in gekoppelde bedrijfsgegevens.
• Gegevenscategorieën: identificatie- en contactgegevens; geboortedatum; rollen, arbeidsclassificaties en rechtspositie; startdatum van het dienstverband; overeengekomen tarieven en wekelijkse uren; methode voor vakantiegeld, begin van het vakantiejaar en vakantieaanspraken; bewijs van het recht om te werken en naleving bij onboarding; beschikbaarheid; roosters; verlof-, afwezigheids- en ruilgegevens; prikklok-, kiosk-, urenstaat- en salarisexportgegevens; chatinstructies; kassa-, bon- en gekoppelde-servicegegevens; apparaat-, beveiligings- en ondersteuningstelemetrie.
• Bijzondere categorieën van persoonsgegevens zijn niet vereist. De Verwerkingsverantwoordelijke mag deze niet aanleveren, tenzij dat noodzakelijk en rechtmatig is en de dienst dit uitdrukkelijk ondersteunt. Een ziekmeldingsstatus kan gezondheidsinformatie onthullen; de Verwerkingsverantwoordelijke moet de details tot een minimum beperken en de passende rechtsgrond en waarborgen toepassen.

3. Verplichtingen en instructies van de Verantwoordelijke

De Verwerkingsverantwoordelijke is verantwoordelijk voor de rechtmatigheid, behoorlijkheid, transparantie en juistheid van persoonsgegevens en instructies; voor het verstrekken van kennisgevingen en het regelen van rechtsgronden, werknemersraadpleging en rechten; en voor de waarborg dat bevoegde gebruikers alleen gegevens invoeren die zij mogen verwerken. De Overeenkomst, productconfiguratie, gedocumenteerde supportverzoeken en rechtmatig gebruik van productbedieningen gelden als gedocumenteerde instructies.

Indien Super44 van oordeel is dat een instructie inbreuk maakt op de toepasselijke wetgeving inzake gegevensbescherming, stelt Super44 de Verantwoordelijke daarvan onmiddellijk in kennis en schort de uitvoering op tot nadere instructies.

4. Verplichtingen van de Verwerker

• Persoonsgegevens uitsluitend op gedocumenteerde instructies verwerken, ook bij internationale doorgiften, tenzij het recht van de Unie, een lidstaat of het VK anders voorschrijft; indien toegestaan, de Verwerkingsverantwoordelijke vóór die verwerking informeren.
• Waarborgen dat personen die bevoegd zijn om persoonsgegevens te verwerken zich tot geheimhouding hebben verbonden.
• Passende technische en organisatorische maatregelen treffen en handhaven overeenkomstig artikel 32 AVG.
• De voorwaarden voor het inschakelen van subverwerkers zoals uiteengezet in artikel 6 in acht nemen.
• Rekening houdend met de aard van de verwerking, de Verantwoordelijke bijstand verlenen bij het beantwoorden van verzoeken tot uitoefening van rechten van betrokkenen.
• De Verwerkingsverantwoordelijke bijstaan bij de verplichtingen uit de artikelen 32–36, waaronder beveiliging, reactie op inbreuken, effectbeoordelingen en raadpleging van toezichthouders, rekening houdend met de aard van de verwerking en de informatie waarover Super44 beschikt.
• Na afloop van de dienstverlening, naar keuze van de Verantwoordelijke, alle persoonsgegevens wissen of retourneren, behoudens wettelijke bewaarplichten.
• Alle nodige informatie verstrekken om de naleving van deze verplichtingen aan te tonen en audits mogelijk maken.

5. Beveiliging en incidenten

Super44 past risicogerichte maatregelen toe, waaronder toegang volgens het beginsel van minimale bevoegdheden, versleuteling tijdens verzending en in rust waar ondersteund, primaire hosting van de toepassing in een EU-regio, autorisatie per klant, logging en monitoring, beveiligde ontwikkeling en wijzigingsbeheer, back-ups, herstelprocedures, kwetsbaarheidsbeheer en incidentrespons. Voor modelinferentie kan Bedrock gebruikmaken van de beschermde regio-overschrijdende verwerking die in paragraaf 7 wordt beschreven. Maatregelen mogen veranderen zolang de totale bescherming niet wezenlijk afneemt.

Super44 stelt de Verwerkingsverantwoordelijke zonder onnodige vertraging op de hoogte nadat Super44 kennis heeft genomen van een inbreuk in verband met persoonsgegevens die diens gegevens raakt. De melding bevat de beschikbare informatie die de Verwerkingsverantwoordelijke nodig heeft om aan zijn verplichtingen te voldoen en wordt aangevuld naarmate feiten bekend worden. Super44 neemt redelijke maatregelen om het incident te beperken, onderzoeken en herstellen.

6. Subverwerkers

De Verwerkingsverantwoordelijke geeft algemene schriftelijke toestemming voor de onderstaande subverwerkers. Super44 legt hun wezenlijk gelijkwaardige gegevensbeschermingsverplichtingen op en blijft verantwoordelijk voor hun prestaties. Super44 geeft redelijk vooraf bericht van een nieuwe of vervangende subverwerker die persoonsgegevens van de Verwerkingsverantwoordelijke verwerkt. Deze kan op redelijke gegevensbeschermingsgronden bezwaar maken; partijen werken te goeder trouw aan een commercieel redelijk alternatief en elk van hen kan de betreffende dienst beëindigen als geen alternatief beschikbaar is.

• Amazon Web Services EMEA SARL / relevante AWS-gelieerde ondernemingen — primaire infrastructuur in de EU, databases, objectopslag en leveringsdiensten; verwerking van het Anthropic Claude-model via Amazon Bedrock gebruikt geconfigureerde EU- en wereldwijde cross-region-inferentieprofielen en kan beschermde verwerking buiten de EER of het VK omvatten; primaire applicatieregio: eu-central-1 (Frankfurt).
• Clerk — gebruikersauthenticatie en accountbeheer.
• Upstash — in de EU gehoste vectoropslag voor gespreksinhoud.
• Langfuse — gefilterde AI-monitoring en observatietraces.
• Vercel — webhosting, applicatielevering en serverlogs.
• Expo — updates van mobiele apps en pushnotificatiebezorging.
• Sentry — monitoring van applicatiefouten en prestaties.
• PostHog EU Cloud — productanalyses en telemetrie binnen de EU.
• Better Stack — logs, uptime-bewaking en operationele monitoring.
• Slack — beperkte ondersteunings- en operationele meldingen, waaronder functieactiveringen en begeleide migraties van personeelsgegevensbronnen.
• Twilio en Meta Platforms Ireland — optioneel WhatsApp-berichtentransport, webhooks en verwerking van aflevergegevens.
• Google — uitsluitend voor door de Verwerkingsverantwoordelijke ingeschakelde integraties met Google OAuth, Bedrijfsprofiel of Gmail.

7. Internationale doorgifte

Kerngegevens van de dienst worden hoofdzakelijk in de EER verwerkt. Voor vanuit het VK beperkte doorgiften naar de EER vertrouwen partijen op de huidige Britse adequaatheidsregels voor de EER zolang deze van toepassing zijn.

De geconfigureerde wereldwijde cross-region-inferentie van Amazon Bedrock en toekomstige doorgiften door Super44 of een subverwerker kunnen verwerking buiten de EER of het VK inhouden. Als een doorgifte niet onder een toepasselijk adequaatheidsbesluit of toepasselijke adequaatheidsregels valt, gebruiken partijen de relevante EU-modelcontractbepalingen, de Britse International Data Transfer Agreement of het Britse Addendum, of een ander rechtmatig doorgiftemechanisme, samen met aanvullende maatregelen waar vereist. Deze Verwerkersovereenkomst neemt die waarborgen op voor zover dat voor de doorgifte nodig is.

8. Rechten van betrokkenen

Super44 stuurt een rechtstreeks van een betrokkene ontvangen verzoek onmiddellijk door als Super44 de Verwerkingsverantwoordelijke kan identificeren en geeft geen inhoudelijk antwoord, behalve op instructie van de Verwerkingsverantwoordelijke of wanneer de wet dit vereist. Productfuncties en redelijke ondersteuning helpen de Verwerkingsverantwoordelijke gegevens in te zien, corrigeren, exporteren, beperken of verwijderen. Super44 kan redelijke, overeengekomen kosten rekenen voor uitzonderlijke ondersteuning buiten de standaardmogelijkheden van de dienst.

9. Informatieverstrekking en audits

Super44 stelt de informatie beschikbaar die redelijkerwijs nodig is om naleving aan te tonen. De Verwerkingsverantwoordelijke gebruikt eerst actuele beveiligingsdocumentatie, certificeringen en schriftelijke antwoorden. Als deze ontoereikend zijn, kan de Verwerkingsverantwoordelijke eenmaal per jaar een audit uitvoeren en aanvullende audits na een relevante inbreuk of op verzoek van een toezichthouder, met een redelijke aankondiging, tijdens kantooruren en onder geheimhouding en waarborgen voor andere klanten. De Verwerkingsverantwoordelijke draagt de auditkosten, tenzij de audit een wezenlijke tekortkoming van Super44 aan het licht brengt.

10. Teruggave, verwijdering en bewaring

Tijdens de looptijd van de dienst kan de Verwerkingsverantwoordelijke de beschikbare export- en verwijderfuncties gebruiken. Bij beëindiging of na een geldige instructie verwijdert of retourneert Super44 de persoonsgegevens van de Verwerkingsverantwoordelijke binnen de termijnen uit het Privacybeleid, behalve gegevens die Super44 op grond van toepasselijk recht moet bewaren. Persoonsgegevens in back-ups zijn geïsoleerd van normaal gebruik en verlopen binnen de vermelde back-upcyclus. Wettelijke gegevens die de Verwerkingsverantwoordelijke bewaart, blijven diens verantwoordelijkheid.

11. Rangorde en aansprakelijkheid

Als deze Verwerkersovereenkomst strijdig is met de Voorwaarden over de verwerking van persoonsgegevens namens de Verwerkingsverantwoordelijke, heeft deze Verwerkersovereenkomst voorrang. De aansprakelijkheidsbepalingen van de Voorwaarden zijn op deze Verwerkersovereenkomst van toepassing voor zover de toepasselijke gegevensbeschermingswetgeving dit toestaat. Wijzigingen van deze Verwerkersovereenkomst volgen de Voorwaarden, behalve dat een wijziging die nodig is om de wet te blijven naleven na kennisgeving van kracht kan worden. Voor een wezenlijke vermindering van bescherming is instemming van de Verwerkingsverantwoordelijke of een rechtmatig vervangend mechanisme nodig.

12. Contact

Vragen over gegevensbescherming, bijstand bij rechten, auditverzoeken en contact over incidenten moeten worden gestuurd naar hello@super44.ai. Het postadres van Super44 GmbH is Rheinwerkallee 6, 53227 Bonn, Duitsland.