Verwerkersovereenkomst

Deze pagina is een vertaling. Als ze afwijkt van de Engelse versie, geldt de Engelse versie. Lees de Engelse versie

Wat dit omvat

Deze overeenkomst geldt tussen Personade en jou, de klant. Jij bent de verwerkingsverantwoordelijke voor de persoonsgegevens in je werkruimte: de mensen op je lijsten en in je campagnes, de gesprekken die ze met je voeren, het LinkedIn-account dat je koppelt en, als je gepersonaliseerde video afneemt, de persoon die de opname maakt. Wij zijn je verwerker.

Ze maakt deel uit van onze gebruiksvoorwaarden en is automatisch van toepassing vanaf het moment dat je een werkruimte aanmaakt. Je hoeft niets te ondertekenen. Heeft je juridische of privacyteam een exemplaar nodig, dan is deze pagina dat exemplaar. Stuur ze gerust de link.

Ze omvat niet de gegevens die we over jou als klant bewaren, zoals je naam, login en facturen. Daarvoor zijn wij de verwerkingsverantwoordelijke en geldt ons privacybeleid.

Begrippen

• Persoonsgegevens: informatie over een levende persoon.
• Verwerking: alles wat ermee wordt gedaan, waaronder verzamelen, opslaan, versturen en verwijderen.
• Verwerkingsverantwoordelijke: wie bepaalt waarom en hoe gegevens worden gebruikt. Voor de gegevens in je werkruimte ben dat jij.
• Verwerker: wie het werk doet op instructie van de verwerkingsverantwoordelijke. Dat zijn wij.
• Subverwerker: een bedrijf dat we inschakelen om ons daarbij te helpen.
• Privacywetgeving: de UK GDPR, de AVG en elke andere privacywet die op jou of op ons van toepassing is.

Wie waarvoor verantwoordelijk is

Jij bent de verwerkingsverantwoordelijke. Jij bepaalt wie op een lijst komt, wat een reeks zegt en wanneer die loopt. Jij bent verantwoordelijk voor een rechtmatige grondslag om elke persoon te benaderen, voor het honoreren van hun bezwaren en voor de berichten die je verstuurt. Elk bericht gaat uit vanaf je eigen LinkedIn-account en jij bent de afzender. Niets daarvan kunnen wij voor je doen.

Wij zijn de verwerker. We gebruiken de gegevens in je werkruimte alleen om je campagnes uit te voeren, je leads te vinden en te verrijken, je campagnegesprekken te synchroniseren en de video’s te maken die je bestelt. We gebruiken ze niet om modellen te trainen, om een eigen product of eigen database op te bouwen, om aan wie dan ook te marketen, of voor enig eigen doel. We verkopen geen persoonsgegevens en zullen dat nooit doen.

Moeten we je gegevens ooit om eigen redenen verwerken, bijvoorbeeld om aan een wet te voldoen, dan worden we voor dat beperkte doel verwerkingsverantwoordelijke en laten we je dat weten.

Je instructies

Een LinkedIn-account koppelen, een lijst importeren, een reeks bouwen, je limieten en werktijden instellen, een campagne starten, een antwoord schrijven in de inbox en, voor video, ons je opname sturen en voorbeelden goedkeuren: dat zijn je instructies aan ons. Bijlage 1 legt vast wat die instructies omvatten. Voor alles daarbuiten is een schriftelijke instructie van jou nodig, en die mogen we weigeren.

Denken we dat een instructie in strijd is met de privacywetgeving, dan laten we je dat weten, en kunnen we de uitvoering pauzeren in plaats van die uit te voeren.

Wat we niet doen

We gebruiken je lijsten en je gesprekken nergens voor behalve voor je werkruimte: niet om modellen te trainen, niet om een eigen database op te bouwen, niet om zelf contact op te nemen met iemand die erop staat, en nooit om te verkopen.

We lezen of bewaren geen enkel deel van je LinkedIn-inbox buiten de gesprekken die je campagnes zijn gestart. We plaatsen niets, schrijven geen opmerkingen en wijzigen niets aan je profiel. We verhogen je limieten niet boven de maxima die het product afdwingt, wie er ook om vraagt.

Voor video gebruiken we een stemmodel niet voor de video’s van iemand anders, maken we er alleen een op basis van een opname die is gemaakt met de schriftelijke toestemming van de spreker, en verwijderen we het op verzoek.

Geheimhouding

Alleen de mensen die toegang nodig hebben om de dienst te laten werken, hebben die, en elk van hen logt individueel in. Iedereen met toegang heeft een geheimhoudingsplicht die ook na zijn of haar vertrek blijft gelden.

We geven je gegevens aan niemand anders door, behalve zoals beschreven in Bijlage 3 of waar de wet dat vereist. Vereist de wet het, dan laten we je dat weten, tenzij het ons verboden is.

Beveiliging

We treffen passende technische en organisatorische maatregelen, die in Bijlage 2 staan. Beveiliging verandert in de loop van de tijd, dus we kunnen die maatregelen verbeteren, maar we verlagen het totale beschermingsniveau niet.

Subverwerkers

Je gaat ermee akkoord dat we de subverwerkers uit Bijlage 3 inzetten. Met elk van hen hebben we een schriftelijk contract met privacyvoorwaarden die minstens zo streng zijn als deze. Schiet een subverwerker tekort, dan zijn wij daarvoor tegenover jou verantwoordelijk, niet de subverwerker.

Willen we er een toevoegen of vervangen, dan passen we Bijlage 3 aan en laten we het klanten minstens 30 dagen van tevoren weten. Maak je binnen die 30 dagen op redelijke gronden bezwaar vanuit het oogpunt van gegevensbescherming, dan proberen we een oplossing te vinden. Lukt dat niet, dan mag je het betrokken deel van de dienst opzeggen en betalen we het ongebruikte deel van wat je hebt betaald terug.

Als iemand vragen heeft over zijn gegevens

Iemand die je hebt benaderd, kan vragen zijn of haar gegevens in te zien, te corrigeren of te verwijderen, of bezwaar maken tegen het gebruik ervan. Die verzoeken zijn aan jou gericht, omdat jij de verwerkingsverantwoordelijke bent. Het product geeft je een blokkeerlijst, een stop bij antwoord en verwijdering per lead, zodat je ze kunt afhandelen.

Komt er per vergissing een bij ons binnen, dan beantwoorden we die niet namens jou. We sturen hem zonder onnodige vertraging aan je door en helpen je hem te beantwoorden.

Vraagt iemand ons rechtstreeks een videopagina over hem of haar offline te halen, dan laten we je dat weten en halen we de pagina offline.

Als er iets misgaat

Ontdekken we een inbreuk in verband met persoonsgegevens die je gegevens raakt, waaronder elk ongeoorloofd gebruik van een opgeslagen LinkedIn-sessie, dan laten we je dat zonder onnodige vertraging weten, en in elk geval binnen 48 uur nadat we ervan op de hoogte zijn geraakt.

We vertellen je wat er is gebeurd, welke categorieën gegevens en ongeveer hoeveel mensen zijn getroffen, wat de waarschijnlijke gevolgen zijn en wat we eraan doen. Hebben we dat in eerste instantie niet allemaal, dan sturen we wat we hebben en vullen we het later aan.

We melden het niet namens jou bij je toezichthouder of bij de getroffen mensen. Die beslissing is aan jou, en je eigen meldtermijn begint te lopen vanaf het moment dat wij het jou laten weten.

Verwijdering

LinkedIn-sessie. Wordt verwijderd als je het account ontkoppelt, zeven dagen nadat je abonnement is afgelopen, of drie dagen na een proefperiode waarvoor nooit is betaald. Het wachtwoord en een eventuele verificatiecode worden uiterlijk dertig minuten nadat je ze hebt ingevoerd verwijderd.

Al het andere. Je lijsten, campagnes, gesprekken, opnames, video’s en stemmodellen worden verwijderd als je je werkruimte in de app verwijdert, en uit back-ups gehaald naarmate die worden overschreven, binnen 30 dagen daarna. Je kunt op elk moment afzonderlijke leads en hun gesprekken verwijderen. Zeg je op maar houd je je account, dan blijven de gegevens bewaard zodat alles terugkomt als je opnieuw een abonnement neemt; vraag het ons en we verwijderen ze eerder.

Op verzoek. Vraag je ons ze geheel of gedeeltelijk te verwijderen, of ze eerst aan je terug te sturen, dan doen we dat binnen 30 dagen na het verzoek. Een kopie van de gegevens van je werkruimte kun je op elk moment downloaden in de app. We bewaren alleen wat we van een wet moeten bewaren, en alleen zo lang als die wet vereist.

Registers en audits

We houden een register bij van wat we voor je verwerken en stellen dat op verzoek beschikbaar.

Eist je toezichthouder een audit, of heb je een gegronde reden om aan te nemen dat deze voorwaarden niet worden nageleefd, dan werken we mee aan een redelijke audit. Eén keer per jaar, tenzij de wet of een incident meer vereist, met een redelijke aankondigingstermijn, tijdens werktijden en zonder andere klanten te hinderen. Elke partij draagt haar eigen kosten.

Gegevens buiten het VK en de EU

Onze applicatieservers en database staan in het Verenigd Koninkrijk. Een deel van onze subverwerkers zit buiten het VK en de EER, onder meer in de Verenigde Staten. Bijlage 3 vermeldt voor welke categorieën dat geldt.

Als we je gegevens buiten het VK of de EER doorgeven, baseren we ons op de modelcontractbepalingen (Standard Contractual Clauses) van de Europese Commissie en, voor gegevens uit het VK, het UK International Data Transfer Addendum, of op de certificering van de ontvanger onder een adequaatheidsbesluit. Die bepalingen maken deel uit van deze overeenkomst, waarbij Personade optreedt als gegevensexporteur of -importeur, al naargelang het geval, en deze overeenkomst de gegevens levert waar de bijlagen ervan om vragen.

Aansprakelijkheid

De aansprakelijkheid van elke partij onder deze overeenkomst valt onder de beperkingen in onze gebruiksvoorwaarden.

Looptijd

Deze overeenkomst geldt zolang we persoonsgegevens voor je verwerken. De verplichtingen die daarna moeten blijven gelden, blijven gelden, waaronder geheimhouding en verwijdering.

Bij tegenstrijdigheid

Zijn deze overeenkomst en onze gebruiksvoorwaarden met elkaar in strijd over iets wat persoonsgegevens betreft, dan gaat deze overeenkomst voor.

Bijlage 1. Wat we verwerken

Waarom: om je outreachcampagnes vanaf je LinkedIn-account uit te voeren, om de mensen te vinden en te verrijken die je wilt bereiken, om je de gesprekken te tonen die daaruit voortkomen en, waar besteld, om voor elke persoon op een lijst een gepersonaliseerde video te maken en te leveren. Alles op jouw instructie.

Van wie: de mensen op je lijsten en in je campagnes; de eigenaar van elk LinkedIn-account dat je koppelt; en, voor video, de persoon die de opname maakt.

Over de mensen die je benadert:

• Wat je importeert: naam, kopregel, functie, bedrijf, locatie, LinkedIn-profiel-URL, foto, en eventuele CSV-kolommen of velden die je toevoegt.
• Hun openbare LinkedIn-profiel, gelezen vanaf je account wanneer een stap het opent: info, ervaring, opleiding, vaardigheden, aantal volgers en connecties, en recente posts wanneer een stap iets met een post doet. De LinkedIn-pagina van hun bedrijf, één keer per bedrijf gelezen.
• Contactgegevens die LinkedIn je laat zien zodra je verbonden bent: e-mail, telefoon, websites en andere velden in hun contactgegevens.
• E-mailadressen die via Find email zijn gevonden of geraden, apart opgeslagen en als zodanig gelabeld.
• Gesprekken die je campagnes zijn gestart: berichten in beide richtingen, tijdstempels en bijlagen. Niets uit de rest van je inbox.
• Campagnegeschiedenis: bereikte stap, datums van uitnodiging, acceptatie en antwoord, tags, je notities en niet-benaderenstatus.
• Als je Suggested leads gebruikt: tot 25 openbare profielen die een leverancier van leadzoekopdrachten teruggeeft voor het kopersprofiel dat je hebt goedgekeurd.

Over het LinkedIn-account dat je koppelt: het e-mailadres; het wachtwoord en een eventuele verificatiecode, maximaal dertig minuten; de cookies van de ingelogde sessie, versleuteld; de inloggegevens voor het vaste residentiële adres dat eraan is toegewezen, versleuteld; het scherm, de taal, het besturingssysteem en de tijdzone van de computer waarmee je koppelde; en de naam, kopregel en foto van het account.

Voor gepersonaliseerde video: de opname van de persoon voor de camera; het stemmodel dat daarvan met diens schriftelijke toestemming is gemaakt, en het toestemmingsbewijs (tijdstip, tekst en, waar beschikbaar, IP-adres); het script per persoon en de gerenderde video en pagina; en kijkstatistieken per pagina (geopend, afgespeeld, hoe ver, op de knop geklikt). Er wordt geen IP-adres, browser of locatie van de kijker opgeslagen.

Wat we niet verwerken: je e-mailinbox, je CRM, en de delen van je LinkedIn-inbox die niets met je campagnes te maken hebben. We versturen geen e-mail namens jou.

Bijzondere categorieën van persoonsgegevens: die zijn niet nodig, en je lijsten horen ze niet te bevatten. Contactgegevens die van LinkedIn worden gelezen, kunnen een geboortedatum bevatten als de persoon die heeft gepubliceerd; we slaan op wat LinkedIn toont, en jij hoort die niet te gebruiken. Het stemmodel is een persoonsgegeven van de spreker, gemaakt met diens toestemming, alleen gebruikt voor je video’s en nooit gebruikt om iemand te identificeren.

Hoe lang: zolang je werkruimte bestaat, en daarna zoals hierboven beschreven onder Verwijdering.

Bijlage 2. Beveiligingsmaatregelen

• Versleuteling tijdens transport met TLS op elke verbinding.
• Versleuteling in rust voor de database en voor opgeslagen bestanden en video.
• Cookies van LinkedIn-sessies, proxy-inloggegevens en elk token van derden worden daarnaast versleuteld met AES-256-GCM, met een sleutel die alleen op onze servers staat, en worden nooit meegestuurd in iets wat naar een browser gaat.
• LinkedIn-wachtwoorden en verificatiecodes worden alleen voor het inloggen bewaard en uiterlijk dertig minuten na invoer gewist.
• Elk gekoppeld LinkedIn-account loopt via één vast residentieel adres, altijd hetzelfde, dat geen ander Personade-account op hetzelfde moment gebruikt, in een browsersessie die per account is afgeschermd.
• Alleen gesprekken met campagneleads worden opgeslagen; andere inboxinhoud wordt in het geheugen weggegooid.
• Toegang tot productiegegevens is beperkt tot de mensen die die nodig hebben, en verloopt via individuele authenticatie.
• Gerenderde video’s worden aangeboden via onraadbare URL’s, zijn uitgesloten van zoekmachines en worden samen met de rest van je gegevens verwijderd.
• Wijzigingen in productie worden vóór release beoordeeld.
• Back-ups zijn versleuteld en vallen onder de verwijderingsvoorwaarden hierboven.
• Iedereen die aan Personade werkt, heeft schriftelijke geheimhoudingsverplichtingen.

We hebben op dit moment geen SOC 2- of ISO 27001-certificering. We zeggen dat liever eerlijk dan dat we iets anders suggereren, en we passen deze pagina aan als dat verandert.

Bijlage 3. Subverwerkers

We gebruiken een klein aantal subverwerkers om de dienst te laten werken, voor:

• applicatiehosting (Verenigd Koninkrijk)
• de servers waarop de LinkedIn-browsersessies draaien (Verenigd Koninkrijk)
• database (Verenigd Koninkrijk)
• opslag van bestanden, bijlagen en video
• residentiële proxyadressen, waar het verkeer van je LinkedIn-account doorheen gaat; de provider ziet het verkeer, niet je opgeslagen gegevens
• een leverancier van leadzoekopdrachten, die het kopersprofiel ontvangt dat je goedkeurt en openbare LinkedIn-profielen teruggeeft; die ontvangt nooit je lijsten of gesprekken
• een aanbieder van AI-modellen, die de tekst van de homepage van je bedrijf ontvangt om je kopersprofiel op te stellen en, voor video, de voornaam, het bedrijf en de functie van een lead om de gesproken zin te schrijven en te controleren
• het maken van stemmodellen en spraaksynthese, die de opname en de woorden ontvangen die elke video uitspreekt; en het renderen van video, dat de beelden en de afgewerkte video ontvangt (alleen bij video-opdrachten)
• transactionele e-mail, die je eigen e-mailadres ontvangt voor meldingen en overzichten en nooit iets over je leads
• facturering, die niets over je leads ontvangt
• productanalytics, die gebeurtenissen ontvangt over hoe je de app gebruikt en nooit de inhoud van een lead, een bericht of een video

Een deel hiervan zit in de Verenigde Staten. Geen enkele subverwerker ontvangt over een persoon op je lijst meer dan in Bijlage 1 staat, en de leveranciers voor spraak en rendering ontvangen alleen de velden die het script uitspreekt.

De actuele lijst met namen, inclusief de rol en locatie van elk, kun je opvragen. Mail naar privacy@personade.com, dan sturen we hem toe. We verstrekken hem aan klanten en hun adviseurs op het gebied van gegevensbescherming, en we vragen hem niet te publiceren.

Met elke subverwerker hebben we een schriftelijk contract met privacyvoorwaarden die minstens zo streng zijn als deze. Voegen we er een toe of vervangen we er een, dan laten we het klanten minstens 30 dagen van tevoren weten, en heb je het recht om bezwaar te maken zoals hierboven beschreven.