Verwerkersovereenkomst Hey Harvey

1Partijen en totstandkoming

Deze verwerkersovereenkomst is gesloten tussen:

• de klant: de organisatie of ondernemer die een account en abonnement op Hey Harvey afneemt, hierna “verwerkingsverantwoordelijke” of “jij”; en
• We Compare B.V., handelend onder de naam Hey Harvey, gevestigd aan Spoetnik 40 in Amersfoort en ingeschreven bij de Kamer van Koophandel onder nummer 77732758, hierna “verwerker”, “wij” of “ons”.

Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van Hey Harvey en maakt daar deel van uit. Zij komt tot stand op het moment dat je akkoord gaat met de algemene voorwaarden, bijvoorbeeld bij het afsluiten van een abonnement of het starten van een proefperiode. Een afzonderlijke ondertekening is niet nodig. Heb je als organisatie een eigen verwerkersovereenkomst nodig, neem dan contact met ons op.

2Definities

Begrippen in deze overeenkomst hebben de betekenis die de AVG eraan geeft, zoals “persoonsgegevens”, “verwerking”, “betrokkene”, “verwerkingsverantwoordelijke”, “verwerker” en “inbreuk in verband met persoonsgegevens” (datalek). Daarnaast geldt:

• Dienst: Hey Harvey, inclusief de app, de webapp, de agents en bijbehorende koppelingen, zoals omschreven in de algemene voorwaarden.
• Agent: een AI-assistent binnen Hey Harvey die taken uitvoert voor de klant.
• Klantgegevens: de persoonsgegevens die wij in het kader van de dienst namens jou verwerken, zoals beschreven in Bijlage 1.
• Gekoppelde dienst: een systeem of account van jou dat je aan Hey Harvey koppelt, zoals een mailbox, agenda, documentopslag of API van een derde.
• Sub-verwerker: een derde die wij inschakelen en die klantgegevens namens ons verwerkt.

3Onderwerp en reikwijdte

1. Wij verwerken klantgegevens uitsluitend om de dienst aan jou te leveren: het uitvoeren van opdrachten, het beantwoorden van vragen, het draaien van automatiseringen en het werken in gekoppelde diensten op jouw instructie. De aard, doeleinden, categorieën gegevens en betrokkenen staan in Bijlage 1.
2. Voor je account-, facturatie- en gebruiksgegevens zijn wij zelf verwerkingsverantwoordelijke. Die verwerking valt niet onder deze overeenkomst; daarvoor geldt ons privacybeleid.
3. Wij verwerken klantgegevens niet voor eigen doeleinden. Wij gebruiken klantgegevens niet om zelf AI-modellen te trainen en verkopen ze niet aan derden. Geanonimiseerde, niet tot personen herleidbare gebruiksstatistieken (zoals aantallen taken en foutpercentages) mogen wij gebruiken om de dienst te verbeteren.

4Instructies van de verwerkingsverantwoordelijke

1. Wij verwerken klantgegevens alleen op basis van jouw schriftelijke of gedocumenteerde instructies. De opdrachten die jij of je gebruikers via de dienst aan een agent geven, de automatiseringen die je instelt of goedkeurt en de koppelingen die je maakt, gelden als zulke instructies. Ook deze overeenkomst en de algemene voorwaarden gelden als instructie.
2. Wij mogen van een instructie afwijken als een wettelijke verplichting ons daartoe dwingt. In dat geval informeren wij je vooraf, tenzij de wet dat verbiedt.
3. Vinden wij dat een instructie in strijd is met de AVG of andere privacywetgeving, dan laten wij je dat direct weten. Wij mogen de uitvoering van die instructie dan opschorten totdat je haar hebt bevestigd of aangepast.
4. Een agent voert handelingen met impact buiten je eigen omgeving (zoals het versturen van een mail of het inplannen van een afspraak) alleen uit op jouw opdracht of binnen een automatisering die je zelf hebt goedgekeurd.

5Verantwoordelijkheid van de klant

1. Jij bepaalt welke persoonsgegevens via Hey Harvey worden verwerkt en met welk doel. Je staat ervoor in dat die verwerking rechtmatig is, dat je een geldige grondslag hebt en dat betrokkenen worden geïnformeerd wanneer de AVG dat vereist.
2. Je koppelt alleen diensten en accounts waarvoor je bevoegd bent, en geeft agents alleen toegang tot gegevens die nodig zijn voor de taken die je ze geeft.
3. Je verwerkt via Hey Harvey niet gericht bijzondere categorieën persoonsgegevens (zoals gezondheidsgegevens) of strafrechtelijke gegevens, tenzij je daarvoor een grondslag hebt en de risico’s hebt beoordeeld.
4. Je kiest zelf welk AI-modelabonnement je koppelt (bijvoorbeeld een zakelijk of een consumentenabonnement). De voorwaarden van die aanbieder, waaronder instellingen voor training op jouw gegevens, zijn mede jouw verantwoordelijkheid.

6Geheimhouding

Iedereen die bij ons of onze sub-verwerkers toegang heeft tot klantgegevens, is tot geheimhouding verplicht, op grond van een arbeidsovereenkomst, een geheimhoudingsverklaring of de wet. Toegang is beperkt tot medewerkers die die toegang nodig hebben voor de levering, het onderhoud of de ondersteuning van de dienst.

7Beveiliging

1. Wij nemen passende technische en organisatorische maatregelen om klantgegevens te beveiligen tegen verlies en tegen onrechtmatige verwerking, rekening houdend met de stand van de techniek, de kosten en de risico’s. De maatregelen staan in Bijlage 3.
2. Wij evalueren deze maatregelen regelmatig en passen ze aan waar nodig. Wij mogen maatregelen wijzigen, zolang het beschermingsniveau niet daalt.
3. Geen enkel systeem is volledig veilig. Wij garanderen dat de maatregelen passend zijn, niet dat beveiliging onder alle omstandigheden doeltreffend is.

8Sub-verwerkers

1. Je geeft ons algemene schriftelijke toestemming om sub-verwerkers in te schakelen. De sub-verwerkers die wij nu inzetten, staan in Bijlage 2.
2. Wij leggen sub-verwerkers schriftelijk ten minste dezelfde verplichtingen op als die in deze overeenkomst, voor zover die op hun verwerking van toepassing zijn. Wij blijven tegenover jou aansprakelijk voor de nakoming door onze sub-verwerkers.
3. Een nieuwe of vervangende sub-verwerker maken wij minimaal 30 dagen vooraf bekend, via deze pagina en in de app of per e-mail. Je kunt binnen die termijn gemotiveerd bezwaar maken via privacy@heyharvey.ai. Komen we er samen niet uit, dan kun je het abonnement opzeggen tegen de datum waarop de nieuwe sub-verwerker wordt ingezet.
4. Gekoppelde diensten die jij zelf kiest (zoals je eigen mailprovider, agenda of een AI-modelabonnement dat je zelf afsluit) zijn geen sub-verwerkers van ons. Met die partijen heb jij een eigen overeenkomst; wij benaderen ze alleen op jouw instructie.

9Doorgifte buiten de EER

1. Wij hosten de dienst, je account, gesprekken en de kluis met inloggegevens binnen de Europese Unie, bij Hetzner in Duitsland.
2. Voor het uitvoeren van opdrachten stuurt een agent de benodigde informatie naar een AI-modelaanbieder. Deze aanbieders kunnen gegevens buiten de Europese Economische Ruimte (EER) verwerken, met name in de Verenigde Staten. Wij geven klantgegevens alleen door naar een land buiten de EER als daarvoor een geldig doorgiftemechanisme geldt, zoals een adequaatheidsbesluit (waaronder het EU-VS Data Privacy Framework) of de standaardcontractbepalingen van de Europese Commissie.
3. Koppel je zelf een AI-modelabonnement, dan gelden voor die doorgifte de voorwaarden en waarborgen van die aanbieder.

10Rechten van betrokkenen

Ontvangen wij rechtstreeks een verzoek van een betrokkene over klantgegevens (bijvoorbeeld om inzage of verwijdering), dan sturen wij dat door naar jou en handelen wij het niet zelf af, tenzij je ons daartoe opdracht geeft. Wij helpen je, voor zover redelijk en met passende technische en organisatorische maatregelen, om aan zulke verzoeken te voldoen. Bijstand die verder gaat dan wat de dienst standaard biedt, mogen wij tegen redelijke kosten in rekening brengen.

11Datalekken

1. Wij melden een inbreuk in verband met persoonsgegevens die klantgegevens betreft zonder onredelijke vertraging, en uiterlijk binnen 48 uur nadat wij die hebben ontdekt, aan de eigenaar van het account.
2. Wij geven daarbij, voor zover bekend: de aard van de inbreuk, de betrokken categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de maatregelen die wij hebben genomen of voorstellen, en een contactpersoon. Informatie die nog niet bekend is, leveren wij zo snel mogelijk na.
3. Jij beslist of de inbreuk wordt gemeld bij de Autoriteit Persoonsgegevens en aan betrokkenen. Wij melden niet zelf namens jou, tenzij de wet ons daartoe verplicht. Wij helpen je bij de melding en nemen redelijke maatregelen om de gevolgen te beperken.
4. Wij houden een overzicht bij van alle inbreuken op klantgegevens, met de feiten, de gevolgen en de genomen maatregelen.

12Bijstand en DPIA

Wij helpen je, rekening houdend met de aard van de verwerking en de informatie waarover wij beschikken, bij het nakomen van je verplichtingen op grond van de artikelen 32 tot en met 36 AVG: beveiliging, het melden van datalekken, een gegevensbeschermingseffectbeoordeling (DPIA) en een eventuele voorafgaande raadpleging van de Autoriteit Persoonsgegevens. Wij leveren daarvoor de relevante informatie over de dienst. Uitgebreide of maatwerkondersteuning mogen wij tegen redelijke kosten in rekening brengen.

13Informatie en audit

1. Wij stellen alle informatie beschikbaar die redelijkerwijs nodig is om aan te tonen dat wij deze overeenkomst en artikel 28 AVG naleven.
2. Je mag maximaal eenmaal per jaar, of vaker bij een concreet vermoeden van niet-naleving, een audit laten uitvoeren door een onafhankelijke, tot geheimhouding verplichte deskundige. Je kondigt een audit minimaal 30 dagen vooraf aan. De audit vindt plaats tijdens kantooruren, zonder onnodige verstoring van onze bedrijfsvoering, en raakt geen gegevens van andere klanten.
3. De kosten van de audit komen voor jouw rekening, tenzij blijkt dat wij deze overeenkomst op wezenlijke punten niet nakomen. Tekortkomingen herstellen wij binnen een redelijke termijn.

14Duur, beëindiging en teruggave

1. Deze overeenkomst geldt zolang wij klantgegevens voor jou verwerken. Zij eindigt automatisch wanneer de overeenkomst over de dienst eindigt en alle klantgegevens zijn verwijderd.
2. Na beëindiging van je abonnement bewaren wij je account en klantgegevens nog maximaal zes maanden, zodat je je account kunt heractiveren, zoals beschreven in het privacybeleid. Daarna verwijderen wij de klantgegevens, inclusief kopieën, tenzij de wet ons verplicht ze langer te bewaren. Back-ups worden verwijderd volgens de vaste rotatie van onze back-ups.
3. Wil je de gegevens eerder laten verwijderen of een kopie ontvangen in een gangbaar formaat, dan kun je dat vóór of binnen die termijn aanvragen via privacy@heyharvey.ai.
4. Inloggegevens in de kluis verwijderen wij zodra je de betreffende koppeling verwijdert.
5. Verplichtingen die naar hun aard ook na beëindiging blijven gelden, zoals geheimhouding, blijven van kracht.

15Aansprakelijkheid

Voor de aansprakelijkheid van partijen onder deze overeenkomst gelden de bepalingen over aansprakelijkheid in de algemene voorwaarden. Dit laat de aansprakelijkheid die de AVG rechtstreeks aan een verwerker of verwerkingsverantwoordelijke toekent tegenover betrokkenen of de toezichthouder onverlet.

16Slotbepalingen

1. Bij strijd tussen deze verwerkersovereenkomst en de algemene voorwaarden gaat deze verwerkersovereenkomst voor, voor zover het de verwerking van klantgegevens betreft.
2. Wij mogen deze overeenkomst wijzigen, bijvoorbeeld als de wet of de dienst daartoe aanleiding geeft. Belangrijke wijzigingen maken wij minimaal 30 dagen vooraf bekend in de app of per e-mail. Ben je het er niet mee eens, dan kun je opzeggen tegen de ingangsdatum.
3. Op deze overeenkomst is Nederlands recht van toepassing. Geschillen leggen we voor aan de bevoegde rechter in het arrondissement Midden-Nederland.

B1Bijlage 1 — Beschrijving van de verwerking

Aard en doel

Het leveren van Hey Harvey: AI-agents die op instructie van de klant opdrachten uitvoeren, vragen beantwoorden, kennis over het bedrijf van de klant bijhouden en terugkerend werk automatiseren. Agents werken daarbij met gekoppelde diensten zoals mailboxen, agenda’s, documentopslag en API’s van derden: ze lezen, samenvatten, opstellen, versturen en inplannen voor zover de opdracht dat vraagt. Verwerkingen omvatten onder meer ontvangen, opslaan, raadplegen, analyseren (ook met AI-modellen), structureren, doorzenden en verwijderen.

Categorieën betrokkenen

• De klant en zijn gebruikers (medewerkers, eigenaren).
• Contactpersonen van de klant: klanten, prospects, leveranciers, partners, sollicitanten en andere personen van wie gegevens in gekoppelde diensten of in gesprekken voorkomen.

Categorieën persoonsgegevens

• Identificatie- en contactgegevens, zoals naam, e-mailadres, telefoonnummer, functie en bedrijfsnaam.
• Inhoud van communicatie: e-mails, berichten, spraakberichten en transcripties, agenda-afspraken en documenten.
• Gesprekken met agents, opdrachten, taken, automatiseringen en de bedrijfskennis die agents opbouwen (geheugen).
• Gegevens uit gekoppelde systemen en API’s, voor zover nodig voor een opdracht.
• Inloggegevens en tokens voor gekoppelde diensten (versleuteld in de kluis; niet zichtbaar voor het AI-model).
• Technische gegevens en logbestanden die bij het uitvoeren van opdrachten ontstaan.

Bijzondere categorieën persoonsgegevens worden niet gericht verwerkt, maar kunnen incidenteel voorkomen in mails of documenten die de klant laat verwerken.

Duur

Zolang de overeenkomst over de dienst loopt, plus de bewaartermijn van maximaal zes maanden na beëindiging (zie artikel 14).

Locatie

Hosting en opslag binnen de EU (Duitsland). Verwerking door AI-modelaanbieders kan buiten de EER plaatsvinden, met de waarborgen uit artikel 9.

B2Bijlage 2 — Sub-verwerkers

Stripe verwerkt hoofdzakelijk account- en betaalgegevens waarvoor wij zelf verwerkingsverantwoordelijke zijn; Stripe staat hier voor de volledigheid vermeld. Koppel je zelf een AI-abonnement (zoals ChatGPT of Claude), dan is die aanbieder geen sub-verwerker van ons maar een partij waarmee jij zelf een overeenkomst hebt (zie artikel 8.4).

B3Bijlage 3 — Beveiligingsmaatregelen

• Versleuteling. Al het verkeer tussen jou, Hey Harvey en gekoppelde diensten loopt via versleutelde verbindingen (TLS).
• Kluis voor inloggegevens. Wachtwoorden, tokens en API-sleutels worden versleuteld opgeslagen in een aparte kluis, gescheiden van gesprekken en AI-verwerking. Het AI-model krijgt ze niet te zien; inloggen gebeurt via de kluis.
• OAuth waar mogelijk. Waar een dienst dat ondersteunt, koppelen we via officieel geautoriseerde koppelingen (OAuth) in plaats van wachtwoorden. Je kunt koppelingen op elk moment verwijderen.
• Scheiding tussen klanten. Elke organisatie en agent draait in een eigen, afgeschermde omgeving.
• Toegangsbeheer. Toegang tot productiesystemen is beperkt tot geautoriseerde medewerkers, op basis van noodzaak, met persoonlijke accounts en sterke authenticatie.
• Logging en monitoring. Wij loggen en monitoren de dienst om storingen, afwijkingen en misbruik snel te signaleren.
• Back-ups en continuïteit. Wij maken regelmatig back-ups binnen de EU om gegevensverlies te beperken.
• Dataminimalisatie. Agents gebruiken uit gekoppelde diensten alleen wat nodig is voor de opdracht en bewaren die gegevens niet apart, behalve wat een door jou ingestelde automatisering nodig heeft.
• Menselijke controle. Handelingen met impact buiten je eigen omgeving voert een agent alleen uit op jouw opdracht of binnen een door jou goedgekeurde automatisering; je kunt kiezen voor vooraf akkoord.
• Updates en kwetsbaarheden. Wij houden software en afhankelijkheden actueel en verhelpen bekende kwetsbaarheden met voorrang.

We Compare B.V. (handelend onder de naam Hey Harvey)
Spoetnik 40, Amersfoort
KvK 77732758
E-mail: privacy@heyharvey.ai