Verwerkersovereenkomst

Summia verwerkt persoonsgegevens namens de klant, uitsluitend om de dienst Summia aan de klant te leveren. Deze overeenkomst legt de voorwaarden van die verwerking vast.

Deze overeenkomst geldt zolang de dienst wordt gebruikt. Ze eindigt wanneer dat gebruik eindigt, behoudens de verplichtingen die daarna blijven gelden: de verwijdering van de gegevens (artikel 9 van deze overeenkomst) en de vertrouwelijkheid.

Summia verwerkt de gegevens uitsluitend op basis van schriftelijke instructies van de klant. Het gebruik van de dienst, de instellingen ervan en deze overeenkomst vormen die instructies. Is Summia van mening dat een instructie in strijd is met de AVG, dan stelt Summia de klant daarvan in kennis.

De gegevens van de klant worden nooit gebruikt om een AI-model te trainen, niet door Summia en niet door zijn subverwerkers.

De personen die gemachtigd zijn om toegang te krijgen tot de gegevens, hebben zich ertoe verbonden de vertrouwelijkheid ervan in acht te nemen. Hun toegang is beperkt tot wat hun taak vereist.

Summia neemt technische en organisatorische maatregelen die op het risico zijn afgestemd, overeenkomstig artikel 32 van de AVG. Deze maatregelen worden beschreven in bijlage 1 en kunnen worden aangepast, mits het beschermingsniveau nooit wordt verlaagd.

De klant geeft Summia toestemming om de subverwerkers in te schakelen die worden vermeld op de pagina Subverwerkers.

• Summia informeert de klant ten minste 30 dagen van tevoren over elke toevoeging of vervanging van een subverwerker.
• De klant kan daartegen bezwaar maken om een gerechtvaardigde reden die verband houdt met gegevensbescherming. Komen de partijen niet tot overeenstemming, dan kan de klant zijn gebruik van de dienst beëindigen.
• Summia legt elke subverwerker verplichtingen op die ten minste gelijkwaardig zijn aan die van deze overeenkomst, en blijft tegenover de klant aansprakelijk voor de nakoming daarvan.

Summia helpt de klant voor zover mogelijk om:

• verzoeken te beantwoorden van betrokkenen die hun rechten uitoefenen (inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar);
• in voorkomend geval een gegevensbeschermingseffectbeoordeling uit te voeren;
• de toezichthoudende autoriteit te raadplegen wanneer dat nodig is.

Bij een inbreuk in verband met persoonsgegevens meldt Summia dit zonder onredelijke vertraging aan de klant, nadat Summia er kennis van heeft genomen. De melding beschrijft de aard van de inbreuk, de waarschijnlijke gevolgen ervan en de genomen of voorgestelde maatregelen.

Wanneer het gebruik van de dienst eindigt:

• verwijdert Summia de gegevens van de klant binnen 30 dagen;
• verdwijnen de kopieën in de back-ups uiterlijk 30 dagen daarna, naarmate die back-ups worden vervangen;
• kan de klant vóór de verwijdering vragen om zijn gegevens terug te krijgen.

Gegevens worden alleen langer bewaard als de wet dat vereist.

De gegevens worden gehost in Frankrijk. Wanneer een subverwerker gegevens buiten de Europese Unie verwerkt, berust die doorgifte op een adequaatheidsbesluit van de Europese Commissie of op haar modelcontractbepalingen. De lijst van subverwerkers vermeldt voor elk van hen de plaats van verwerking.

Summia stelt de klant de informatie ter beschikking die nodig is om aan te tonen dat deze overeenkomst wordt nageleefd. De klant kan op eigen kosten een audit laten uitvoeren, ten hoogste eenmaal per jaar en met een aankondigingstermijn van 30 dagen, door een auditor die tot geheimhouding verplicht is. De audit mag de beveiliging en de vertrouwelijkheid van de gegevens van andere klanten niet in gevaar brengen.

Op deze overeenkomst is het Franse recht van toepassing. Voor aansprakelijkheid en de bevoegde rechter gelden de regels van de gebruiksvoorwaarden.

Hosting

• De gegevens worden gehost in de regio Parijs, bij Scaleway, een Franse hostingprovider met ISO 27001-certificering.

Afscherming

• Elk account is binnen de database zelf afgeschermd.
• Toegang wordt alleen verleend als iets uitdrukkelijk is gedeeld, en wordt bij elk verzoek gecontroleerd.
• Bij twijfel wordt de toegang geweigerd.

Kunstmatige intelligentie

• Om een tabel te maken of te wijzigen, ontvangen de AI-modellen het verzoek, de structuur van het document en enkele voorbeeldwaarden per kolom.
• Om een vraag te beantwoorden, ontvangen ze ook de rijlabels en een beperkt aantal al berekende resultaten.
• Ten slotte ontvangen ze de afbeeldingen en pdf’s die bij een verzoek zijn gevoegd, en de opname van gedicteerde tekst.
• Er worden geen gegevens gebruikt voor training.

Versleuteling

• Het gegevensverkeer wordt tijdens het transport versleuteld.
• De back-ups zijn versleuteld.

Authenticatie

• Inloggen met een wachtwoord, een eenmalige code of een identiteitsprovider (Google, Microsoft).
• Codes zijn beperkt geldig en worden gehasht opgeslagen.
• Een wachtwoordwijziging sluit alle open sessies.

Traceerbaarheid

• Elke wijziging van een document krijgt een datum en wordt bewaard in een versiegeschiedenis die niet kan worden herschreven.
• Elke keer dat iets wordt gedeeld, wordt dat gelogd.

Beveiliging van de ontwikkeling

• De code wordt regelmatig geaudit volgens strenge beveiligingsregels.
• Elke wijziging doorloopt een uitgebreide reeks geautomatiseerde tests voordat ze live gaat.

Interne toegang

• Toegang tot de productiesystemen is uitsluitend voorbehouden aan de personen die deze nodig hebben.

De actuele lijst staat op de pagina Subverwerkers.