Verwerkersovereenkomst

1. Wie en waarom

Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van Summeo en geldt zodra je bedrijf zich aanmeldt. Jouw bedrijf is de verwerkingsverantwoordelijke voor de persoonsgegevens die het in Summeo zet. De AI-Brouwerij (KvK 34384848, Nieuwendammerkade 52, 1025 LZ Amsterdam) is de verwerker: wij verwerken die gegevens alleen om Summeo voor je te laten werken.

Voor de gegevens van jou als klant (je account, je abonnement) zijn wij zelf verantwoordelijk; dat staat in het privacybeleid.

2. Welke gegevens, van wie en waarvoor

• Je klanten en opdrachtgevers: naam, adres, e-mail en telefoon, project- en werkadressen, offertes, facturen, betalingen en wat ze via het klantportaal doen (akkoord geven, meerwerk aanvragen).
• Contactpersonen van leveranciers en onderaannemers: naam, e-mail en telefoon, inkooporders en inkoopfacturen.
• Je medewerkers: naam, contactgegevens, functie en vaardigheden, uren, verlof, planning, kilometers, werkbonnen, foto's en wat ze via de werkvloerassistent doorgeven. Bel je met de assistent, dan ook de opname en het transcript, zolang de bewaartermijn die je bedrijf instelt.
• Documenten die je uploadt: tekeningen, bestekken, prijslijsten en foto's, met de persoonsgegevens die daarin staan.

Doel: offertes, calculaties, projecten, planning, inkoop, facturatie en de AI-functies die je gebruikt. Summeo is niet bedoeld voor bijzondere persoonsgegevens (zoals gezondheid) of het burgerservicenummer; zet die er niet in.

3. Alleen op jouw instructie

Wij verwerken de gegevens alleen voor het leveren van Summeo en zoals jij Summeo instelt en gebruikt; dat geldt als jouw instructie. We gebruiken ze niet voor eigen doeleinden, verkopen ze niet en laten er geen AI-modellen mee trainen. Moeten we gegevens wettelijk aan een overheidsinstantie geven, dan laten we je dat vooraf weten, tenzij de wet dat verbiedt.

4. Geheimhouding

Iedereen bij ons die bij de gegevens kan, heeft een geheimhoudingsplicht. Support kijkt alleen mee als je daarom vraagt, standaard alleen-lezen, en elke keer staat met naam en tijd in het auditlog van je bedrijf.

5. Beveiliging

• Alle verbindingen gaan over HTTPS. Wachtwoorden worden alleen versleuteld (gehasht) opgeslagen.
• De gegevens van elk bedrijf zijn in de database van elkaar gescheiden (row level security): een bedrijf kan nooit bij de gegevens van een ander.
• Inloggen kan met tweestapsverificatie; na herhaalde mislukte pogingen wordt inloggen tijdelijk geblokkeerd. Voor het beheer van Summeo is tweestapsverificatie verplicht.
• Wijzigingen komen in een auditlog. Elke gebruiker heeft een rol die bepaalt wat hij mag zien en doen.
• We maken back-ups en houden de server en de software up-to-date.

6. Subverwerkers

Je geeft ons toestemming om deze partijen in te schakelen. Met elk van hen hebben we afspraken die minstens zo streng zijn als deze overeenkomst.

• Hostinger: de server waarop de database en je bestanden staan, in het Verenigd Koninkrijk.
• Supabase (Verenigde Staten, opslag in Ierland): de back-up buiten de server, met een versleutelde kopie van de database en een kopie van je bestanden.
• Anthropic (Verenigde Staten): de AI-functies. Alleen de gegevens die een functie nodig heeft, zoals de tekst van een aanvraag of een prijslijst.
• Voyage AI (Verenigde Staten): de zoekindex van je artikelen en recepten.
• Resend (Verenigde Staten): het versturen van e-mail vanuit Summeo.
• Mollie (Nederland): online betalen van facturen, als je dat aanzet.
• LiveKit en Deepgram (Verenigde Staten): alleen als je bedrijf bellen met de werkvloerassistent gebruikt.

Een nieuwe subverwerker melden we ten minste 30 dagen van tevoren per e-mail. Ben je het er niet mee eens, dan kun je je abonnement opzeggen voordat de wijziging ingaat. Koppel je zelf Exact Online, SnelStart of je eigen Mollie-account, dan gaan gegevens naar die partij op jouw verzoek en onder jouw eigen overeenkomst met hen.

7. Gegevens buiten de EER

Voor het Verenigd Koninkrijk geldt een adequaatheidsbesluit van de Europese Commissie. Gaan gegevens naar de Verenigde Staten, dan gebeurt dat op basis van het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie.

8. Datalekken

Ontdekken we een beveiligingsincident waarbij jouw gegevens betrokken zijn, dan melden we dat zonder onnodige vertraging en uiterlijk binnen 48 uur aan de eigenaar van je account. We vertellen wat er is gebeurd, welke gegevens het betreft, wat de gevolgen kunnen zijn en wat we doen om het op te lossen. Zo kun je zelf beoordelen of je het binnen 72 uur moet melden bij de Autoriteit Persoonsgegevens en aan de betrokkenen.

9. Rechten van betrokkenen en andere hulp

Vraagt iemand om inzage, correctie of verwijdering van zijn gegevens, dan doe je dat in de meeste gevallen zelf in Summeo. Lukt dat niet, dan helpen we je. Komt zo'n verzoek bij ons binnen, dan sturen we het naar je door. We helpen je ook als je een gegevensbeschermingseffectbeoordeling doet of vragen krijgt van de Autoriteit Persoonsgegevens.

10. Controle

Op verzoek geven we je de informatie die je nodig hebt om te laten zien dat deze overeenkomst wordt nageleefd. Wil je een audit laten doen door een onafhankelijke deskundige, dan kan dat één keer per jaar, met 30 dagen vooraankondiging en op jouw kosten. De auditor tekent een geheimhoudingsverklaring en ziet geen gegevens van andere bedrijven.

11. Duur en einde

Deze overeenkomst loopt zolang je bedrijf Summeo gebruikt. Na opzeggen kun je je gegevens nog 30 dagen bekijken en exporteren. Daarna verwijderen we ze. Uit de back-ups verdwijnen ze vanzelf binnen 30 dagen daarna. Wat we wettelijk langer moeten bewaren, zoals onze facturen aan jou, bewaren we zo lang als nodig.

12. Aansprakelijkheid en recht

Voor aansprakelijkheid geldt artikel 8 van de algemene voorwaarden. Spreken deze overeenkomst en de voorwaarden elkaar tegen over persoonsgegevens, dan gaat deze overeenkomst voor. Op deze overeenkomst is Nederlands recht van toepassing. Vragen stel je via joey@summeo.nl.