Verwerkersovereenkomst
Gebruik je onze AI-chat, opvolging of CRM, dan verwerken wij gegevens van jouw klanten in jouw opdracht. Deze overeenkomst legt vast hoe we dat doen.
Partijen en uitgangspunt
Deze verwerkersovereenkomst hoort bij de overeenkomst tussen de Klant en Mova XL, handelend onder de naam Viva67, Stadhouderslaan 12D, 6171 KL Stein, Nederland (KvK 42106567), en bij onze algemene voorwaarden.
De Klant is de verwerkingsverantwoordelijke. Viva67 is de verwerker in de zin van artikel 28 van de Algemene verordening gegevensbescherming (AVG). Dat betekent: de Klant bepaalt waarom en waarvoor de gegevens van zijn klanten worden verwerkt, en Viva67 verwerkt ze in opdracht van de Klant.
Begrippen in deze overeenkomst, zoals persoonsgegevens, verwerking, betrokkene en inbreuk in verband met persoonsgegevens, hebben de betekenis die de AVG eraan geeft. De begrippen Dienst en Eindgebruikers hebben de betekenis uit de algemene voorwaarden.
1. Onderwerp en duur
Viva67 verwerkt persoonsgegevens voor de Klant om de Dienst te leveren. Deze overeenkomst geldt zolang Viva67 persoonsgegevens voor de Klant verwerkt, ook als de hoofdovereenkomst al is geëindigd en de gegevens nog niet zijn verwijderd.
2. Aard en doel van de verwerking
Viva67 verwerkt de gegevens om:
- vragen van Eindgebruikers via de AI-chat te beantwoorden;
- aanvragen en gesprekken in het CRM vast te leggen;
- afspraken in te plannen;
- automatische opvolgberichten te versturen per e-mail.
Viva67 gebruikt de gegevens niet voor eigen doeleinden. Viva67 verkoopt de gegevens niet, deelt ze niet met adverteerders en gebruikt ze niet om AI-modellen te trainen.
3. Soorten gegevens en betrokkenen
Gegevens
Naam, contactgegevens (e-mailadres, telefoonnummer), berichten en chatgesprekken, afspraakgegevens, notities in het CRM, een globale locatie (plaats en land op basis van het IP-adres) en technische gegevens die nodig zijn om de Dienst te laten werken.
Betrokkenen
Bezoekers van de website van de Klant, (potentiële) klanten van de Klant en medewerkers van de Klant die het CRM gebruiken.
Geen bijzondere gegevens
De Klant zorgt ervoor dat er via de Dienst geen bijzondere persoonsgegevens worden gevraagd, zoals gezondheidsgegevens, of gegevens over geloof, afkomst of strafrechtelijke zaken. Dat kan alleen als dat vooraf schriftelijk is afgesproken en er extra maatregelen zijn genomen.
4. Verantwoordelijkheden van de Klant
De Klant staat ervoor in dat hij een geldige grondslag heeft om de gegevens te laten verwerken, en dat hij zijn Eindgebruikers goed informeert, bijvoorbeeld in zijn eigen privacyverklaring. De Klant vermeldt daarin dat hij Viva67 als verwerker gebruikt voor de chat, het CRM en de opvolging. De Klant is verantwoordelijk voor de inhoud die hij aanlevert en voor de berichten die hij via de Dienst laat versturen.
5. Instructies van de Klant
Viva67 verwerkt de gegevens alleen op basis van de overeenkomst en de schriftelijke instructies van de Klant, tenzij de wet Viva67 tot verwerking verplicht. In dat geval laat Viva67 de Klant dat vooraf weten, tenzij de wet dat verbiedt. Vindt Viva67 dat een instructie in strijd is met de AVG, dan laat zij dat de Klant direct weten.
6. Geheimhouding
Iedereen die namens Viva67 toegang heeft tot de gegevens, is tot geheimhouding verplicht. Die toegang is beperkt tot de mensen die de gegevens nodig hebben voor hun werk aan de Dienst.
7. Beveiliging
Viva67 neemt passende technische en organisatorische maatregelen om de gegevens te beschermen tegen verlies en onrechtmatige verwerking, zoals bedoeld in artikel 32 AVG. Daarbij houdt Viva67 rekening met de stand van de techniek, de kosten en de risico's voor de betrokkenen. De belangrijkste maatregelen zijn:
- versleutelde verbindingen (HTTPS) voor de website, de chat en het CRM;
- versleutelde opslag van de database;
- toegang tot het CRM alleen met een persoonlijk account;
- zo min mogelijk gegevens verzamelen en niet langer bewaren dan nodig;
- zorgvuldig gekozen leveranciers met vastgelegde afspraken.
Een uitgebreidere uitleg staat op de pagina Beveiliging en AI.
8. Subverwerkers
De Klant geeft Viva67 toestemming om de volgende subverwerkers in te schakelen:
- Vercel Inc. (Verenigde Staten): hosting van het CRM, de chat en de formulierverwerking.
- Google (Firebase en Cloud Firestore): database en inloggen, met opslag in Nederland (europe-west4).
- OpenRouter Inc. (Verenigde Staten), met het AI-model Claude van Anthropic (Verenigde Staten): het opstellen van antwoorden en berichten.
- Resend: het versturen van e-mails, via de EU-regio (Ierland).
- Upstash (QStash): het inplannen van opvolgberichten, in de EU-regio (Frankfurt).
- Hostinger: de e-mailbox van Viva67, voor contact met de Klant en zijn Eindgebruikers.
- ipapi.co: het omzetten van een IP-adres naar plaats en land.
Viva67 legt aan subverwerkers vergelijkbare verplichtingen op als in deze overeenkomst. Wil Viva67 een subverwerker toevoegen of vervangen, dan meldt zij dat minimaal 30 dagen vooraf per e-mail. De Klant kan daar met redenen bezwaar tegen maken. Komen we er samen niet uit, dan mag de Klant de overeenkomst opzeggen tegen de datum waarop de wijziging ingaat.
9. Doorgifte buiten de EER
Worden gegevens buiten de Europese Economische Ruimte verwerkt, dan gebeurt dat alleen op basis van het EU-VS Data Privacy Framework (als de subverwerker daaronder is gecertificeerd) of op basis van de standaardcontractbepalingen van de Europese Commissie. Waar het kan, kiest Viva67 voor een Europese regio.
10. Rechten van betrokkenen
Eindgebruikers hebben op grond van de AVG onder meer recht op inzage, correctie, verwijdering, beperking van de verwerking, bezwaar en overdraagbaarheid van hun gegevens. De Klant handelt die verzoeken af. Viva67 helpt daarbij, voor zover redelijk, bijvoorbeeld door gegevens op te zoeken, te exporteren of te verwijderen in het CRM.
Krijgt Viva67 zelf een verzoek van een betrokkene, dan stuurt zij dat binnen vijf werkdagen door naar de Klant en beantwoordt zij het verzoek niet zelf, tenzij de Klant daarom vraagt.
11. Overige hulp aan de Klant
Viva67 helpt de Klant, voor zover redelijk, bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij een eventuele voorafgaande raadpleging van de toezichthouder. Kost die hulp meer dan een paar uur werk, dan spreken we vooraf af wat de kosten zijn.
12. Datalekken
Ontdekt Viva67 een inbreuk in verband met persoonsgegevens, dan meldt zij dat de Klant zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking. Viva67 geeft daarbij alle informatie die de Klant nodig heeft om de inbreuk zo nodig binnen 72 uur bij de Autoriteit Persoonsgegevens te melden en betrokkenen te informeren, zoals:
- wat er is gebeurd en wanneer;
- om welke gegevens en hoeveel betrokkenen het ongeveer gaat;
- wat de mogelijke gevolgen zijn;
- welke maatregelen Viva67 heeft genomen of voorstelt.
Viva67 neemt direct maatregelen om de gevolgen te beperken en houdt de Klant op de hoogte. De Klant beslist of de inbreuk bij de toezichthouder en de betrokkenen wordt gemeld.
13. Controle
Viva67 geeft de Klant alle informatie die nodig is om aan te tonen dat zij deze overeenkomst naleeft. De Klant mag maximaal eenmaal per jaar, na een aankondiging van 30 dagen, een audit laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding is verplicht. De kosten daarvan zijn voor de Klant, tenzij uit de audit blijkt dat Viva67 deze overeenkomst op belangrijke punten niet naleeft.
14. Einde en teruggave van gegevens
Na het einde van de overeenkomst geeft Viva67 de gegevens aan de Klant vrij zodra alle openstaande bedragen uit de hoofdovereenkomst zijn betaald, zoals beschreven in artikel 16 van de algemene voorwaarden. Na het vrijgeven kan de Klant zijn gegevens binnen 30 dagen exporteren.
Daarna, en in elk geval uiterlijk 90 dagen na het einde van de overeenkomst, verwijdert Viva67 de gegevens, ook bij subverwerkers, tenzij de wet bewaring verplicht. Tot die tijd blijven de gegevens beveiligd en gebruikt Viva67 ze nergens voor. Op verzoek bevestigt Viva67 schriftelijk dat de gegevens zijn verwijderd.
15. Aansprakelijkheid en overige bepalingen
Voor de aansprakelijkheid geldt wat in de algemene voorwaarden staat. Bij strijdigheid tussen deze verwerkersovereenkomst en de algemene voorwaarden gaat deze verwerkersovereenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.
Wijzigingen in deze overeenkomst kondigt Viva67 minimaal 30 dagen vooraf aan. Op deze overeenkomst is Nederlands recht van toepassing. Bij verschillen tussen vertalingen geldt de Nederlandse tekst.
Versie 1.1, 12 oktober 2026.