Verwerkersovereenkomst

1.1 Deze verwerkersovereenkomst is gesloten tussen Sales-Surge B.V., Professor W.H. Keesomlaan 12, 1183 DJ Amstelveen, KvK 99261758 ("Sales Surge", de verwerker), en de klant die een overeenkomst over Lumo heeft gesloten ("de klant", de verwerkingsverantwoordelijke).

1.2 De klant bepaalt het doel en de middelen van de verwerking van persoonsgegevens in zijn werkruimte. Sales Surge verwerkt die gegevens alleen ten behoeve van de klant.

1.3 Waar Sales Surge zelf doel en middelen bepaalt, zoals voor de accountgegevens van gebruikers, de facturatie en de beveiliging van Lumo, is Sales Surge zelf verantwoordelijke. Die verwerkingen staan in de privacyverklaring en vallen niet onder deze overeenkomst.

1.4 Deze overeenkomst vult artikel 9 van de Algemene Voorwaarden van Sales-Surge B.V. aan. Bij strijd geldt de rangorde uit artikel 2.3 van de Algemene Voorwaarden. Begrippen uit de AVG hebben hier de betekenis die de AVG eraan geeft.

2.1 Het onderwerp van de verwerking is het leveren van Lumo, een CRM voor B2B-teams, aan de klant als SaaS.

2.2 Deze overeenkomst geldt zolang de overeenkomst over Lumo loopt, en daarna zolang Sales Surge nog persoonsgegevens van de klant verwerkt. Dat is tot ze zijn verwijderd, ook uit back-ups.

3.1 Sales Surge verwerkt persoonsgegevens om Lumo te leveren, te beveiligen en te ondersteunen. Dat omvat:

• opslaan, ordenen en tonen van gegevens in de werkruimte
• versturen van mail en berichten die de klant in Lumo opstelt of instelt
• synchroniseren met diensten die de klant of een gebruiker koppelt, zoals Gmail, Google Agenda, Outlook en de agenda van Microsoft 365, Pipedrive of leadformulieren van Facebook en Instagram
• uitvoeren van AI-functies, als de klant die aanzet
• maken van back-ups en herstellen van gegevens
• ondersteuning op verzoek van de klant

3.2 Sales Surge gebruikt deze gegevens niet voor eigen doeleinden en verkoopt ze niet.

4.1 De klant bepaalt welke gegevens hij in Lumo zet. Gewoonlijk gaat het om:

• contactgegevens, zoals naam, e-mailadres, telefoonnummer, functie en organisatie
• gegevens over deals, offertes, activiteiten, notities en bestanden
• mail en agenda-afspraken uit gekoppelde accounts
• tickets, chatberichten en berichten in het klantportaal
• inzendingen van webformulieren
• toestemmingen en afmeldingen, en interactie met campagnes, zoals opens en kliks
• gegevens over gebruikers van de klant en hun handelingen in het logboek

4.2 De betrokkenen zijn gewoonlijk de relaties van de klant (prospects, klanten, leveranciers en hun contactpersonen), bezoekers van de website van de klant die de chatwidget of een formulier gebruiken, ontvangers van campagnes, gebruikers van het klantportaal en de medewerkers van de klant die Lumo gebruiken.

4.3 Lumo is niet bedoeld voor bijzondere persoonsgegevens. Zet de klant die toch in Lumo, dan is hij daar zelf verantwoordelijk voor.

5.1 Sales Surge verwerkt de persoonsgegevens alleen op gedocumenteerde instructie van de klant, ook als het gaat om doorgifte naar een derde land. Dat geldt niet als een wettelijke plicht Sales Surge tot verwerking dwingt. Dan meldt Sales Surge dat vooraf aan de klant, tenzij de wet die melding verbiedt.

5.2 De overeenkomst over Lumo, deze verwerkersovereenkomst en de instellingen die de klant in Lumo kiest, vormen samen de instructies van de klant.

5.3 Vindt Sales Surge dat een instructie in strijd is met de AVG, dan meldt ze dat direct aan de klant.

6.1 Sales Surge zorgt dat iedereen die namens haar toegang heeft tot de persoonsgegevens tot geheimhouding verplicht is, door een afspraak of door de wet.

6.2 Toegang krijgen alleen de mensen die haar nodig hebben voor hun werk aan Lumo.

7.1 Sales Surge neemt passende technische en organisatorische maatregelen, zoals artikel 32 AVG vraagt. Ze houdt daarbij rekening met de stand van de techniek, de kosten en de risico's van de verwerking.

7.2 De belangrijkste maatregelen op de datum van deze overeenkomst zijn:

• versleuteling van verbindingen (in transit)
• scheiding per werkruimte in de database, met beveiliging per rij (row-level security)
• tweestapsverificatie, die de klant voor beheerders verplicht kan maken
• toegang op basis van rollen: Eigenaar, Beheerder, Lid en Lezer
• een logboek van wijzigingen en gebeurtenissen, waar alleen regels bij komen
• elke dag een back-up van de database

7.3 Een uitgebreidere beschrijving staat op de pagina beveiliging en privacy. Sales Surge mag maatregelen aanpassen, zolang het niveau van beveiliging niet daalt.

8.1 De klant geeft Sales Surge algemene toestemming om subverwerkers in te schakelen, zoals artikel 9.3 van de Algemene Voorwaarden beschrijft. De actuele lijst, met doel, locatie en waarborg, staat op de pagina subverwerkers.

8.2 Sales Surge informeert de klant over een voorgenomen toevoeging of vervanging van een subverwerker. De klant kan binnen 14 dagen op redelijke, onderbouwde gronden bezwaar maken.

8.3 Sales Surge legt elke subverwerker bij overeenkomst dezelfde verplichtingen op als in deze verwerkersovereenkomst, zoals artikel 28 lid 4 AVG vraagt.

8.4 Een aantal subverwerkers ontvangt alleen gegevens als een functie aan staat, zoals de AI-functies. Dat staat per partij op de lijst. Voor de AI-functies laat Lumo alleen de Claude API van Anthropic en de betaalde Gemini API van Google toe. Onder hun voorwaarden gebruiken die aanbieders de invoer niet om modellen te trainen.

8.5 Koppelt de klant of een gebruiker een eigen account bij een andere dienst, zoals Gmail, Google Agenda, Outlook en de agenda van Microsoft 365, Pipedrive, leadformulieren van Meta, Apollo of ProspectPro, dan wisselt Sales Surge op instructie van de klant gegevens uit met die dienst. Die dienst is dan geen subverwerker van Sales Surge. De klant of gebruiker heeft daarvoor zijn eigen overeenkomst met die dienst.

9.1 Lumo heeft hulpmiddelen om gegevens over een persoon te exporteren, te anonimiseren en te wissen. Daarmee kan de klant verzoeken van betrokkenen zelf afhandelen.

9.2 Komt een betrokkene met een verzoek over gegevens in de werkruimte van de klant bij Sales Surge, dan stuurt Sales Surge het verzoek door naar de klant. Sales Surge beantwoordt het niet inhoudelijk zonder instructie van de klant.

9.3 Waar de klant daarnaast hulp nodig heeft, helpt Sales Surge, rekening houdend met de aard van de verwerking.

10.1 Sales Surge meldt een inbreuk in verband met persoonsgegevens zonder onnodige vertraging aan de klant, en in elk geval binnen 48 uur nadat ze er kennis van heeft. Zo kan de klant zijn eigen termijn van 72 uur uit artikel 33 AVG halen. Dat sluit aan bij artikel 9.6 van de Algemene Voorwaarden.

10.2 De melding beschrijft, voor zover bekend, de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en registraties, de waarschijnlijke gevolgen en de maatregelen die zijn of worden genomen. Is nog niet alles bekend, dan vult Sales Surge de melding aan zodra dat kan.

10.3 De klant beslist of hij de inbreuk meldt aan de Autoriteit Persoonsgegevens en aan betrokkenen.

10.4 Sales Surge helpt de klant bij een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging, zoals bedoeld in de artikelen 35 en 36 AVG, met de informatie waarover ze beschikt.

11.1 De klant kan tijdens de looptijd zijn gegevens exporteren met de exportfuncties in Lumo. Zo heeft hij bij het einde van de overeenkomst een eigen kopie.

11.2 Na het einde van de overeenkomst verwijdert Sales Surge de persoonsgegevens van de klant op verzoek van de klant, tenzij de wet opslag voorschrijft.

11.3 Gegevens in back-ups worden bewaard volgens het schema van de databaseaanbieder en verdwijnen als die back-ups uit de rotatie vallen. Tot dat moment blijft deze overeenkomst op die gegevens van toepassing.

11.4 Tijdens de looptijd past Lumo bewaartermijnen toe op persoonsgegevens met een bewaarinstelling: formulierantwoorden, afgesloten gesprekken, mail die niet aan een relatie hangt en losse bestanden. De standaardtermijn is 2 jaar (730 dagen). De klant kan die termijn per soort aanpassen. Het logboek is alleen-toevoegen en blijft bewaard, zodat de klant kan aantonen wie wat deed.

12.1 Sales Surge geeft de klant de informatie die nodig is om aan te tonen dat de verplichtingen uit artikel 28 AVG worden nagekomen.

12.2 Op verzoek van de klant werkt Sales Surge mee aan een audit, door de klant of door een onafhankelijke auditor die tot geheimhouding verplicht is. De klant kondigt een audit met een redelijke termijn aan. De audit vindt plaats op een manier die de bedrijfsvoering van Sales Surge niet onredelijk verstoort.

13.1 De database en de bestandsopslag van Lumo staan in Londen, in het Verenigd Koninkrijk. Het Verenigd Koninkrijk heeft een adequaatheidsbesluit van de Europese Commissie uit juni 2021.

13.2 Een aantal subverwerkers verwerkt gegevens buiten de EU en het Verenigd Koninkrijk, vooral in de Verenigde Staten, onder meer voor de AI-functies. Bij de Gemini API kiest Google de locatie. Die doorgifte gebeurt op basis van het EU-US Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie (Uitvoeringsbesluit (EU) 2021/914). De waarborg per partij staat op de pagina subverwerkers.

14.1 Voor de aansprakelijkheid onder deze overeenkomst geldt artikel 10 van de Algemene Voorwaarden. Die beperking geldt niet voor aansprakelijkheid die volgens dwingend recht niet kan worden beperkt, zoals de aansprakelijkheid tegenover betrokkenen uit artikel 82 AVG.

14.2 Bepalingen die naar hun aard na het einde moeten blijven gelden, zoals geheimhouding en wissen, blijven van kracht.

14.3 Op deze overeenkomst is Nederlands recht van toepassing.

14.4 Contact over deze overeenkomst: info@sales-surge.nl, +31 6 5350 9843. Zie ook de gebruiksvoorwaarden.