Verwerkersovereenkomst CRM op maat

1. Partijen en rollen

Deze overeenkomst geldt tussen jou, de klant die CRM op maat afneemt, en CRM Force B.V. In de zin van de Algemene verordening gegevensbescherming (AVG) ben jij de verwerkingsverantwoordelijke en is CRM Force de verwerker.

Jij bepaalt welke gegevens in het CRM komen en waarvoor ze worden gebruikt. Jij zorgt ook dat je die gegevens mag verwerken, bijvoorbeeld op grond van een overeenkomst met je klant of een gerechtvaardigd belang.

2. Onderwerp, duur en doel

CRM Force verwerkt persoonsgegevens voor zover dat nodig is om jouw CRM te bouwen, te hosten, te beheren en door te ontwikkelen, zoals afgesproken in de voorwaarden van CRM op maat en het wensendocument uit de intake.

De verwerking duurt zolang het abonnement loopt, plus de periode die nodig is om na beëindiging je data aan te leveren en de omgeving te verwijderen (artikel 11).

3. Welke gegevens en van wie

Het gaat om de gegevens die jij en je medewerkers in het CRM invoeren of laten invoeren: namen, contactgegevens, functies, correspondentie, notities, documenten en de stappen van een dossier. Wat er precies in staat, bepaal jij.

De betrokkenen zijn de mensen op wie die gegevens betrekking hebben: je klanten en hun contactpersonen, je medewerkers, je partners en leveranciers, en mensen die via een portaal bij jouw CRM inloggen.

Bijzondere persoonsgegevens (zoals gezondheid, strafrechtelijk verleden of burgerservicenummers) horen niet standaard in het CRM. Wil je die toch verwerken, dan spreken we vooraf af welke extra maatregelen daarbij horen.

4. Alleen op jouw instructie

CRM Force verwerkt de gegevens alleen op jouw instructie. Die instructie is deze overeenkomst, de voorwaarden van CRM op maat en wat je daarna aanvullend vraagt, bijvoorbeeld via de feedbackmodule. Gegevens worden nooit voor eigen doeleinden van CRM Force gebruikt, niet verkocht en niet gebruikt om AI-modellen te trainen.

Vraag je iets waarvan CRM Force denkt dat het in strijd is met de AVG, dan hoor je dat voordat het wordt uitgevoerd.

Moet CRM Force gegevens verstrekken op grond van een wettelijke verplichting, dan word je daarover vooraf geïnformeerd, tenzij de wet dat verbiedt.

5. Subverwerkers

CRM Force bouwt en host het CRM niet alleen. De partijen hieronder verwerken gegevens namens CRM Force. Je stemt met het accepteren van deze overeenkomst in met hun inzet.

Anthropic staat er in twee rollen. De tekst-AI in de applicatie stuurt de inhoud van documenten en gesprekken naar Anthropic om ze uit te lezen of samen te vatten. Daarnaast bouwt en beheert CRM Force de applicatie met Claude Code, een ontwikkelgereedschap van Anthropic. Bij het oplossen van een fout of het bouwen van een wijziging kan dat gereedschap gegevens uit jouw omgeving raadplegen. In beide gevallen gelden de zakelijke voorwaarden van Anthropic: de gegevens worden niet gebruikt om modellen te trainen.

Beeld- en videogeneratie zit niet standaard in het CRM. Zet je die aan, dan komt daar een aanbieder bij; die wordt in overleg toegevoegd en in deze lijst opgenomen.

Met elke subverwerker is een verwerkersovereenkomst gesloten met ten minste dezelfde verplichtingen als hier. Voor partijen buiten de Europese Economische Ruimte gelden de standaardcontractbepalingen van de Europese Commissie of een ander geldig doorgiftemechanisme.

Wil CRM Force een nieuwe subverwerker inzetten of een bestaande vervangen, dan hoor je dat minstens een maand van tevoren. Heb je een gegronde reden om bezwaar te maken, dan zoeken we samen een oplossing; lukt dat niet, dan mag je het abonnement per de ingangsdatum van de wijziging opzeggen.

6. Beveiliging

Je CRM draait in een eigen omgeving: een eigen database, eigen bestandsopslag en een eigen hostingproject, in Frankfurt (eu-central-1). Er is geen gedeelde database met andere klanten.

Toegang tot gegevens loopt alleen via de server, met afscherming per rij in de database op basis van de rol van de gebruiker. Sleutels en wachtwoorden staan buiten de code, in de beveiligde omgeving van de hosting. Verbindingen zijn versleuteld.

Er wordt dagelijks een back-up gemaakt. Afhankelijkheden en beveiligingsupdates worden bijgehouden als onderdeel van het beheer.

Accounts van CRM Force op de hosting, de database en het ontwikkelgereedschap zijn beveiligd met tweestapsverificatie. Toegang tot jouw omgeving is beperkt tot wie die voor bouw of beheer nodig heeft.

7. Datalekken

Ontdekt CRM Force een inbreuk op de beveiliging waarbij jouw gegevens betrokken zijn of kunnen zijn, dan hoor je dat zonder onnodige vertraging en uiterlijk binnen 48 uur na ontdekking. Je krijgt wat er op dat moment bekend is: wat er is gebeurd, welke gegevens en betrokkenen het raakt, wat er is gedaan en wat er nog gebeurt.

De melding aan de Autoriteit Persoonsgegevens en aan betrokkenen is jouw verantwoordelijkheid. CRM Force levert de informatie die je daarvoor nodig hebt.

8. Rechten van betrokkenen

Vraagt iemand om inzage, correctie of verwijdering van gegevens, dan kun je dat meestal zelf in het CRM afhandelen. Lukt dat niet, dan helpt CRM Force binnen redelijke termijn.

Komt zo’n verzoek rechtstreeks bij CRM Force binnen, dan wordt het naar jou doorgestuurd en niet zelfstandig beantwoord.

Heb je voor een verwerking een gegevensbeschermingseffectbeoordeling (DPIA) nodig, dan levert CRM Force de technische informatie daarvoor.

9. Geheimhouding

Iedereen die namens CRM Force toegang heeft tot jouw gegevens is gebonden aan geheimhouding, ook na het einde van de samenwerking. Gegevens worden niet verder gedeeld dan voor het werk nodig is.

10. Controle

Wil je weten hoe de beveiliging is ingericht of welke subverwerkers er zijn, dan krijg je die informatie op verzoek.

Wil je een audit laten uitvoeren, dan kan dat eens per jaar, na aankondiging van minstens een maand, op werkdagen en op jouw kosten. De auditor tekent voor geheimhouding en krijgt geen toegang tot gegevens van andere klanten.

11. Na het einde van het abonnement

Stopt het abonnement, dan krijg je je gegevens volledig aangeleverd: een export van de database plus de bestanden. Daarna verwijdert CRM Force de omgeving binnen 30 dagen, tenzij een wettelijke bewaarplicht anders vraagt.

Back-ups verdwijnen binnen de bewaartermijn van de hostingpartij, uiterlijk 30 dagen na het verwijderen van de omgeving. Tot dat moment blijven ze beveiligd en worden ze niet gebruikt.

Heb je de broncode afgekocht en loopt de samenwerking door als beheerovereenkomst, dan blijft deze verwerkersovereenkomst gelden zolang CRM Force toegang heeft.

12. Rangorde en versie

Gaat het om persoonsgegevens en spreekt deze overeenkomst de voorwaarden van CRM op maat tegen, dan gaat deze overeenkomst voor. Voor al het andere gelden de voorwaarden.

Deze overeenkomst kan worden gewijzigd, bijvoorbeeld omdat de wet of een subverwerker dat vraagt. Een wijziging wordt minstens een maand van tevoren per mail aangekondigd.

Elke versie heeft een nummer en een datum. Bij je akkoord wordt vastgelegd welke versie je hebt geaccepteerd en wanneer; dat is terug te vinden in je onboarding.

Op deze overeenkomst is Nederlands recht van toepassing.