Verwerkersovereenkomst

Deze verwerkersovereenkomst hoort bij elk abonnement op Lofster. De klant (de ondernemer) is verwerkingsverantwoordelijke; [Bedrijfsnaam] is verwerker, zoals bedoeld in artikel 28 AVG.

1. Onderwerp

• Gegevens: namen en telefoonnummers van klanten van de ondernemer (review-aanvragen), reviews op Google en aanbevelingen op Facebook met de naam van de schrijver, reacties onder posts op Facebook en Instagram met naam of gebruikersnaam.
• Betrokkenen: klanten en volgers van de ondernemer.
• Doel: uitsluitend het leveren van Lofster: review-aanvragen versturen, reviews en reacties beantwoorden, en (Tekstenstudio) woordkeus uit positieve reviews gebruiken voor teksten van de ondernemer, zonder namen van reviewers.
• Duur: zolang het abonnement loopt.

2. Verplichtingen van de verwerker

• We verwerken alleen op instructie van de klant, zoals vastgelegd in de instellingen van Lofster.
• Medewerkers met toegang hebben een geheimhoudingsplicht.
• We nemen passende beveiligingsmaatregelen: versleutelde verbindingen en opslag van tokens, scheiding per klant (row level security), toegang op need-to-know-basis.
• We helpen de klant bij verzoeken van betrokkenen en bij een DPIA waar nodig.
• Een datalek melden we zonder onredelijke vertraging, uiterlijk binnen 48 uur na ontdekking.

3. Subverwerkers

De klant geeft toestemming voor de inzet van: Supabase (database), Vercel (hosting), Anthropic en Voyage AI (tekstverwerking), Twilio (sms en WhatsApp). Google en Meta zijn geen subverwerkers: het zijn de platforms die de klant zelf koppelt en waarop de gegevens al staan. Een nieuwe subverwerker melden we minstens 30 dagen vooraf; de klant kan dan bezwaar maken of opzeggen. Doorgifte buiten de EER gebeurt alleen met een geldige grondslag, zoals de standaardcontractbepalingen.

4. Verplichtingen van de klant

De klant zorgt dat er een grondslag is voor het versturen van review-aanvragen, in het bijzonder toestemming van de ontvanger, en dat ontvangers worden geïnformeerd.

5. Einde

Na afloop van het abonnement verwijderen we de persoonsgegevens binnen 30 dagen, tenzij een wettelijke plicht anders vereist. Op verzoek leveren we ze eerst terug in een gangbaar formaat.

6. Audit

De klant mag eenmaal per jaar, op eigen kosten en met redelijke aankondiging, informatie opvragen om naleving te controleren.