Data Processing Addendum

2.1 Toepasselijkheid

Deze verwerkersovereenkomst is van toepassing op alle verwerkingen van Klantpersoonsgegevens die plaatsvinden in het kader van de Diensten. De overeenkomst heeft geen betrekking op verwerkingen die Klant uitvoert buiten het Cusmato-platform.

2.2 Rolverdeling

Klant treedt op als Verwerkingsverantwoordelijke in de zin van de AVG. Cusmato treedt op als Verwerker en handelt uitsluitend op basis van gedocumenteerde instructies van Klant. Cusmato verwerkt Klantpersoonsgegevens nooit als zelfstandige verwerkingsverantwoordelijke en nooit voor eigen commerciële doeleinden, profilering of productontwikkeling, tenzij Klant hiertoe uitdrukkelijk en schriftelijk toestemming verleent. Voor zover Cusmato Accountgegevens verwerkt — zijnde registratie- en facturatiegegevens van Klant zelf (waaronder naam, e-mailadres en betalingsgegevens van de contractspartij) die noodzakelijk zijn voor de uitvoering van de MSA — treedt Cusmato op als zelfstandige Verwerkingsverantwoordelijke conform het Cusmato Privacybeleid (raadpleegbaar via https://www.cusmato.app/docs). Deze DPA heeft geen betrekking op die verwerkingen.

2.3 Verplichtingen Klant

Klant garandeert dat: (a) de verwerking van Klantpersoonsgegevens via de Diensten berust op een rechtmatige grondslag als bedoeld in artikel 6 AVG; (b) betrokkenen adequaat zijn geïnformeerd over de verwerking, inclusief het gebruik van AI-gestuurde klantenservice; (c) de Klant AI Workspace uitsluitend wordt gevuld met data waarvoor de noodzakelijke verwerkingsgrondslag aanwezig is.

3.1 Instructievereiste

Cusmato verwerkt Klantpersoonsgegevens uitsluitend op basis van gedocumenteerde instructies van Klant. De MSA (Cusmato Master Subscription Agreement), deze overeenkomst en de bijlagen vormen de primaire verwerkingsinstructie. Aanvullende instructies dienen schriftelijk te worden verstrekt.

3.2 Strijdigheid met toepasselijk recht

Indien een instructie van Klant naar het oordeel van Cusmato in strijd is met de AVG of enige andere toepasselijke gegevensbeschermingswetgeving, stelt Cusmato Klant hiervan onverwijld schriftelijk in kennis en schort de uitvoering van die instructie op totdat Klant een gewijzigde, rechtmatige instructie verstrekt. Indien de instructie naar het oordeel van Cusmato kennelijk onrechtmatig is — in het bijzonder indien uitvoering een strafbaar feit of een ernstige schending van de rechten van betrokkenen zou opleveren — is Cusmato gerechtigd de instructie te weigeren, zulks conform artikel 28 lid 3 onder h AVG. Indien Klant binnen tien (10) Werkdagen geen rechtmatige vervangende instructie verstrekt, is Cusmato gerechtigd de betreffende verwerkingsactiviteit te staken en, bij voortdurende niet-naleving, de MSA per direct te beëindigen zonder schadeplichtigheid.

3.3 Audittrail

Cusmato bewaart een audittrail van alle gedocumenteerde verwerkingsinstructies en wijzigingen daarop, beschikbaar voor Klant op verzoek binnen vijf werkdagen.

4.1 Geheimhoudingsplicht

Cusmato zorgt ervoor dat alle medewerkers, contractors en andere personen die toegang hebben tot Klantpersoonsgegevens gebonden zijn aan een afdwingbare geheimhoudingsverplichting, hetzij contractueel, hetzij van rechtswege.

4.2 Toegangsbeheer

Toegang tot Klantpersoonsgegevens is beperkt op basis van het need-to-know beginsel via Role-Based Access Control (RBAC). Toegang door Cusmato-medewerkers vindt uitsluitend plaats voor (i) het leveren van support aan Klant, (ii) onderhoud en beveiliging van de Diensten, of (iii) incidentonderzoek, en wordt gelogd.

4.3 Training

Cusmato zorgt ervoor dat alle medewerkers met toegang tot Klantpersoonsgegevens jaarlijks een bewustzijnstraining ontvangen op het gebied van gegevensbescherming en informatiebeveiliging.

5.1 Beveiligingsstandaard

Cusmato implementeert en handhaaft passende technische en organisatorische maatregelen ter beveiliging van Klantpersoonsgegevens conform artikel 32 AVG. De volledige specificatie is opgenomen in Bijlage B en raadpleegbaar via https://www.cusmato.app/security-privacy.

5.2 Minimale vereisten

De TOMs omvatten ten minste: (a) AES-256 encryptie voor data in rust; TLS 1.3 voor data in transit; (b) multi-factor authenticatie verplicht voor alle interne toegang tot productiesystemen; (c) jaarlijkse penetratietests door een onafhankelijke gecertificeerde derde; (d) logische tenant-isolatie op databaseniveau; (e) gescheiden productie- en testomgevingen; (f) back-ups meerdere keren per dag met een RTO van maximaal 24 uur en een RPO van maximaal 4 uur.

5.3 Actualisering

Cusmato evalueert en actualiseert de TOMs minimaal jaarlijks. Materiële verlagingen van het beveiligingsniveau worden Klant vooraf schriftelijk meegedeeld.

6.1 Eerste melding

Cusmato stelt Klant zonder onredelijke vertraging en, waar redelijkerwijs mogelijk, in beginsel binnen 48 uur na constatering van een (vermoedelijk) Datalek schriftelijk in kennis. Contact: privacy@cusmato.app. De eerste melding bevat ten minste: de aard van het Datalek; de categorieën en het geschatte aantal betrokkenen; de contactgegevens van het verantwoordelijke contactpunt bij Cusmato; de waarschijnlijke gevolgen; en de reeds genomen of voorgestelde maatregelen.

6.2 Volledig rapport binnen 72 uur

Cusmato verstrekt Klant uiterlijk 72 uur na de initiële melding een volledig incidentrapport. Indien volledige informatie niet tijdig beschikbaar is, wordt de initiële melding in fasen aangevuld.

6.3 Forensisch onderzoeksrecht

Bij een bevestigd Datalek dat Klantpersoonsgegevens betreft, heeft Klant het recht een eigen forensisch onderzoek te (laten) uitvoeren, op basis van een vooraf overeengekomen scope en planning.

6.4 Melding aan autoriteiten

Het melden van Datalekken aan de bevoegde toezichthoudende autoriteit conform artikel 33 en 34 AVG berust bij Klant als Verwerkingsverantwoordelijke. Cusmato verleent alle redelijke bijstand.

7.1 Autorisatie en register

Klant verleent Cusmato hierbij algemene autorisatie om subverwerkers in te schakelen. De actuele, juridisch bindende subverwerkerlijst is te allen tijde raadpleegbaar via https://www.cusmato.app/security-privacy.

7.2 Geen externe LLM-providers

Cusmato schakelt geen externe Large Language Model-providers — waaronder maar niet beperkt tot OpenAI, Anthropic en Google DeepMind — in als subverwerker voor de verwerking van Klantpersoonsgegevens. De LLM-laag draait uitsluitend op Cusmato's eigen infrastructuur bij Hetzner Online GmbH (Duitsland, EU).

7.3 Kennisgeving bij wijziging

Cusmato stelt Klant ten minste 30 kalenderdagen voor de beoogde inzet van een nieuwe subverwerker schriftelijk in kennis per e-mail en via bijwerking van de lijst op https://www.cusmato.app/security-privacy.

7.4 Bezwaarprocedure

Klant heeft het recht binnen 30 kalenderdagen na kennisgeving gemotiveerd bezwaar te maken. Indien partijen geen overeenstemming bereiken, heeft Klant het recht de MSA kosteloos te beëindigen met betrekking tot de geraakte Dienst(en).

7.5 Doorstroming van verplichtingen

Cusmato legt alle subverwerkers contractuele verplichtingen op die ten minste gelijkwaardig zijn aan de verplichtingen van deze overeenkomst. Cusmato is jegens Klant aansprakelijk voor het handelen of nalaten van subverwerkers.

7.6 Dataresidentie

Klantpersoonsgegevens worden opgeslagen op servers gelegen in de Europese Economische Ruimte, primair bij Hetzner Online GmbH in Duitsland.

8.1 Bijstandsplicht

Cusmato verleent Klant alle redelijke technische en organisatorische bijstand bij de nakoming van diens verplichtingen ingevolge de artikelen 12 tot en met 23 AVG.

8.2 Doorsturen van verzoeken

Indien een betrokkene een verzoek rechtstreeks bij Cusmato indient, stuurt Cusmato dit binnen 48 uur door aan Klant.

8.3 Technische hulpmiddelen

Cusmato stelt binnen het platform geautomatiseerde export- en verwijderingsfuncties beschikbaar ter ondersteuning van rechten van betrokkenen.

9.1 Niveau 1 — Documentaire audit

Op schriftelijk verzoek stelt Cusmato zijn meest recente compliancedocumentatie beschikbaar, waaronder beschikbare certificerings- of auditrapportages. Cusmato beantwoordt jaarlijks maximaal één schriftelijke vragenlijst binnen 20 werkdagen. Indien Cusmato beschikt over een actueel ISO 27001-certificaat of een SOC 2 Type II-rapport dat de relevante verwerkingen dekt, geldt het overleggen daarvan als voldoende vervulling van een verzoek op Niveau 1 voor het betreffende auditjaar.

9.2 Niveau 2 — Remote interview

Bij gegrond vermoeden van materiële non-compliance heeft Klant het recht een remote audit te (laten) uitvoeren, met 14 kalenderdagen vooraankondiging.

9.3 Niveau 3 — On-site audit

Uitsluitend toegestaan bij: (a) bevestigd materieel Datalek; (b) vereiste van de toezichthoudende autoriteit; of (c) aantoonbaar onvoldoende resultaat van Niveau 1 en 2. Vooraankondiging: 21 kalenderdagen. Kosten voor rekening van Klant, tenzij materiële non-compliance wordt vastgesteld.

9.4 Frequentie

Audits op Niveau 2 en 3 worden niet vaker dan eenmaal per kalenderjaar uitgevoerd, tenzij een bevestigd Datalek aanleiding geeft tot aanvullend verzoek.

10.1 Dataresidentie EU/EER

Klantpersoonsgegevens worden standaard opgeslagen op servers gelegen in de EER, primair bij Hetzner Online GmbH in Duitsland. Cusmato verplaatst Klantpersoonsgegevens niet buiten de EER zonder toepassing van een passend doorgiftemechanisme.

10.2 Doorgiftemechanismen

Voor zover een subverwerker is gevestigd buiten de EER in een land zonder geldig adequaatheidsbesluit, past Cusmato de SCC's toe conform Uitvoeringsbesluit (EU) 2021/914, Module 3. Voor doorgiften naar het Verenigd Koninkrijk wordt het UK International Data Transfer Addendum toegepast.

11.1 Bewaarperioden

De bewaarperioden per categorie Klantpersoonsgegevens zijn opgenomen in Bijlage A.

11.2 Verwijdering en export na beëindiging

Na beëindiging van de MSA verwijdert Cusmato alle Klantpersoonsgegevens uit productieomgevingen uiterlijk 30 kalenderdagen na de einddatum. Klant heeft gedurende deze termijn het recht zijn data in machineleesbaar formaat (CSV/JSON) te exporteren. Op verzoek verstrekt Cusmato een verwijderingscertificaat. Back-upkopieën die op de einddatum reeds bestaan worden niet actief overschreven maar verlopen conform het reguliere back-upretentiebeleid van Cusmato, met een maximale aanvullende retentieperiode van zestig (60) kalenderdagen na de einddatum, waarna ook back-upkopieën aantoonbaar zijn gewist. Cusmato neemt geen nieuwe back-ups van Klantpersoonsgegevens na de bevestigde einddatum.

11.3 AI Logs

AI Logs worden bewaard gedurende de looptijd van de MSA en gedurende maximaal 90 dagen na beëindiging, tenzij schriftelijk anders is overeengekomen of een langere bewaartermijn noodzakelijk is voor wettelijke verplichtingen.

12.1 Bijstand

Op schriftelijk verzoek van Klant verleent Cusmato bijstand bij het uitvoeren van een DPIA als bedoeld in artikel 35 AVG, door beschikbaarstelling van: (i) een beschrijving van de verwerkingsactiviteiten; (ii) een overzicht van de TOMs; (iii) informatie over de relevante systeemarchitectuur; en (iv) een beknopt AI-systeemoverzicht.

13.1 Toepasselijkheid

Voor zover Klantpersoonsgegevens persoonsgegevens omvatten van inwoners van Californië (VS) in de zin van de CCPA/CPRA, verklaart Cusmato uitdrukkelijk dat Klantpersoonsgegevens uitsluitend worden ontvangen ten behoeve van de uitvoering van de Diensten als omschreven in de MSA en deze overeenkomst; dat Cusmato Klantpersoonsgegevens niet verkoopt, deelt of openbaart voor commerciële doeleinden buiten de beschreven dienstverlening; en dat Cusmato bijstand verleent bij de afhandeling van opt-out- en verwijderingsverzoeken van Californische consumenten.

14.1 Geen externe LLM-doorgifte

Cusmato schakelt geen externe generatieve AI/LLM-aanbieders in voor de verwerking van Klantpersoonsgegevens. AI-inferentie vindt plaats op Cusmato's eigen infrastructuur binnen de EU/EER.

14.2 Geen training op Klantpersoonsgegevens

Cusmato gebruikt Klantpersoonsgegevens niet voor het trainen, fine-tunen of evalueren van zijn AI-modellen, tenzij Klant hiervoor uitdrukkelijk schriftelijk toestemming geeft in een aparte overeenkomst (opt-in).

14.3 Menselijke controle

De Dienst is ontworpen voor ondersteuning en (waar door Klant geactiveerd) gecontroleerde automatisering. Klant behoudt de verantwoordelijkheid voor configuratie en kan menselijke tussenkomst/override toepassen, conform artikel 4 van de MSA.

14.4 EU AI Act

Cusmato draagt zorg dat de transparantieverplichtingen conform artikel 52 van Verordening (EU) 2024/1689 (EU AI Act) worden nageleefd voor zover van toepassing op de Diensten. Klant is verantwoordelijk voor de naleving van eventuele aanvullende transparantieverplichtingen jegens zijn eindklanten op grond van de EU AI Act. Cusmato bevestigt dat het Cusmato AI Systeem naar zijn huidige beoordeling niet is geclassificeerd als een "hoog-risico AI-systeem" in de zin van artikel 6 en Bijlage III van de EU AI Act. Mocht een toekomstige uitbreiding van de Diensten leiden tot een andere risicoklasse, stelt Cusmato Klant daarvan schriftelijk in kennis conform artikel 16.1. Als gebruiker (deployer) van het Cusmato AI Systeem in de zin van artikel 26 EU AI Act is Klant verantwoordelijk voor: (a) het waarborgen van menselijk toezicht conform de door Cusmato geboden Conceptmodus; (b) het informeren van zijn eigen betrokkenen over de inzet van AI in de klantenservice conform artikel 50 EU AI Act; en (c) het bijhouden van eigen gebruikslogboeken voor zover vereist onder artikel 26 lid 6 EU AI Act.

15.1 Aansprakelijkheidsbeperking

De aansprakelijkheid van Cusmato voor schade voortvloeiend uit een schending van deze overeenkomst is beperkt tot het totaalbedrag dat Klant aan Cusmato heeft betaald in de zes (6) maanden voorafgaand aan de schadeoorzaak, tenzij de schending het gevolg is van opzet of grove nalatigheid van Cusmato. Artikel 82 AVG is onverminderd van toepassing.

15.2 Vrijwaring door Klant

Klant vrijwaart Cusmato voor aanspraken van derden voor zover die aanspraken het gevolg zijn van: (a) onrechtmatige verwerkingsinstructies van Klant; (b) het ontbreken van een rechtmatige grondslag voor de verwerking; (c) schending door Klant van zijn verplichtingen als Verwerkingsverantwoordelijke; (d) onrechtmatige instructies of data in de Klant AI Workspace.

16.1 Wijzigingen

Cusmato behoudt zich het recht voor deze overeenkomst te wijzigen om te voldoen aan wijzigingen in toepasselijke wet- en regelgeving of materiële wijzigingen in de architectuur of dienstverlening. Wijzigingen worden Klant ten minste 30 kalenderdagen voor inwerkingtreding schriftelijk meegedeeld.

16.2 Bezwaar

Indien een wijziging materieel nadelig is voor Klant vanuit gegevensbeschermingsperspectief, heeft Klant het recht de MSA kosteloos te beëindigen met een opzegtermijn van 30 kalenderdagen, mits het bezwaar schriftelijk en gemotiveerd wordt ingediend binnen 15 werkdagen na de wijzigingskennisgeving.

16.3 Versioning

Alle versies van de verwerkersovereenkomst zijn gearchiveerd en raadpleegbaar via https://www.cusmato.app/docs.

16.4 Looptijd

Deze overeenkomst treedt in werking zodra Klant (i) de MSA/Algemene Voorwaarden accepteert of (ii) de Diensten gebruikt, welk moment eerst plaatsvindt, en eindigt van rechtswege bij beëindiging van de MSA, met inachtneming van verplichtingen die door hun aard na beëindiging voortduren.

17.1 Toepasselijk recht

Op deze overeenkomst is uitsluitend Nederlands recht van toepassing.

17.2 Bevoegde rechter

Alle geschillen die voortvloeien uit of verband houden met deze overeenkomst worden in eerste aanleg voorgelegd aan de bevoegde rechter te Amsterdam, onverminderd het recht van een partij om spoedeisende maatregelen te vorderen.