Verwerkersovereenkomst

Bij verschillen tussen deze vertaling en de Engelse versie is de Engelse versie leidend.

Deze verwerkersovereenkomst (“Overeenkomst”) wordt gesloten tussen Propelos Technology S.L., een Spaanse besloten vennootschap met statutaire zetel op The Pool Marbella, El Corte Inglés El Capricho, 1 planta Avda. Bulevar Príncipe Alfonso de Hohenlohe 2, Marbella, 29602, Spanje (“Propelos”, “wij”), en het bedrijf dat onze algemene voorwaarden heeft geaccepteerd of met Propelos een contract voor de Diensten heeft gesloten (de “Klant”).

Ze geldt wanneer Propelos namens de Klant persoonsgegevens verwerkt bij het leveren van de AI-woningzoeker en bijbehorende diensten (de “Diensten”): de chat- en zoekwidgets op de website van de Klant, de gehoste zoekpagina en het vastleggen en afleveren van aanvragen aan de Klant. Ze maakt deel uit van de algemene voorwaarden en legt de bepalingen vast die artikel 28 AVG en artikel 33 LOPDGDD vereisen. Heeft de Klant een afzonderlijke verwerkersovereenkomst met Propelos ondertekend, dan gaat die voor.

“AVG” betekent Verordening (EU) 2016/679. “LOPDGDD” betekent de Spaanse organieke wet 3/2018 van 5 december inzake de bescherming van persoonsgegevens en de waarborging van digitale rechten. “Verwerkingsverantwoordelijke”, “verwerker”, “persoonsgegevens”, “verwerking”, “betrokkene” en “inbreuk in verband met persoonsgegevens” hebben de betekenis uit de AVG. Een “Koper” is iemand die de Woningzoeker op de website of gehoste zoekpagina van de Klant gebruikt.

Voor de persoonsgegevens in deze Overeenkomst is de Klant verwerkingsverantwoordelijke en Propelos verwerker. Propelos is alleen zelfstandig verwerkingsverantwoordelijke voor de accountgegevens van de Klant, zoals inloggegevens van medewerkers en factuurinformatie. Daarvoor geldt ons privacybeleid.

Het onderwerp is de verwerking van persoonsgegevens van Kopers zodat Propelos de Diensten aan de Klant kan leveren. De verwerking duurt zolang de Klant de Diensten gebruikt, plus de periode na beëindiging die in onderdeel 15 staat, totdat de gegevens zijn verwijderd.

Propelos verwerkt de persoonsgegevens uitsluitend om:

• met AI-modellen te begrijpen wat Kopers zoeken en te antwoorden met woningen uit het aanbod van de Klant;
• spraak van een Koper om te zetten naar tekst als de Klant spraakzoeken heeft ingeschakeld;
• aanvragen te verzamelen via het aanvraagformulier van de Woningzoeker, met eventuele toestemmingen van de Koper;
• aanvragen per e-mail aan de Klant te leveren en, als de Klant dit heeft ingesteld, aan zijn CRM, webhooks of API;
• aanvragen en gesprekken voor de Klant te bewaren en gebruiksstatistieken voor de Klant te maken;
• de Diensten veilig te houden, misbruik te voorkomen en fouten op te lossen.

Betrokkenen: Kopers (potentiële kopers en huurders die de Woningzoeker gebruiken), mensen die ermee een aanvraag sturen en medewerkers van de Klant van wie de Klant gegevens toevoegt aan de Diensten, zoals de makelaar die aanvragen ontvangt.

Persoonsgegevens:

• identiteits- en contactgegevens: naam, e-mailadres en telefoonnummer;
• berichten: wat Kopers tegen de Woningzoeker schrijven of zeggen en de gesprekssamenvatting die bij een aanvraag wordt gevoegd;
• zoekgedrag: zoekopdrachten, bekeken en aangeklikte woningen, budget, voorkeursgebieden en andere voorkeuren;
• toestemmingsregistraties: of de Koper akkoord ging met marketing en het privacybeleid van de Klant, en het adres van het getoonde beleid;
• technische gegevens: een sessie-identificatie, het uit het IP-adres afgeleide land, apparaat- en browsertype, de verwijzende pagina, landingspagina en campagneparameters.

De Diensten zijn niet ontworpen om bijzondere categorieën persoonsgegevens te verzamelen. Een Koper kan zulke gegevens toch vrijwillig in een bericht opnemen. Propelos verwerkt ze dan alleen als onderdeel van dat bericht.

• De Klant is verantwoordelijk voor een rechtsgrond voor de verwerking en voor het informeren van Kopers, met name via zijn eigen privacybeleid. De Woningzoeker kan naar het privacybeleid linken en toestemming vragen in het aanvraagformulier. Het instellen daarvan is de verantwoordelijkheid van de Klant.
• De instructies van de Klant moeten voldoen aan de gegevensbeschermingswetgeving.
• De Klant is verantwoordelijk voor de systemen waarnaar hij Propelos aanvragen laat sturen, zoals zijn CRM, e-mailadressen en webhook-endpoints.

Propelos verwerkt persoonsgegevens alleen volgens de gedocumenteerde instructies van de Klant. De algemene voorwaarden, deze Overeenkomst en de instellingen van de Klant in de Diensten vormen die instructies. Vereist EU-recht of het recht van een lidstaat een andere verwerking, dan informeert Propelos de Klant vooraf, tenzij die wet dat verbiedt. Propelos informeert de Klant als een instructie naar zijn oordeel in strijd is met gegevensbeschermingswetgeving.

Propelos zorgt ervoor dat iedereen die toestemming krijgt om persoonsgegevens te verwerken, contractueel of wettelijk tot geheimhouding is verplicht en alleen toegang heeft tot wat voor het werk nodig is.

Propelos past passende technische en organisatorische maatregelen toe op grond van artikel 32 AVG, waaronder:

• versleuteling tijdens verzending: de Diensten worden via HTTPS aangeboden en databaseverbindingen zijn met TLS versleuteld;
• CRM-inloggegevens en geheime sleutels voor webhook-ondertekening worden opgeslagen met AES-256-GCM-versleuteling, met een sleutel die apart van de database wordt bewaard;
• wachtwoorden worden alleen als bcrypt-hashes opgeslagen en inlogsessies alleen als hashes van het sessietoken; sessies verlopen na 24 uur;
• toegangscontrole: gebruikers van elke klant hebben alleen toegang tot de gegevens van die klant, omdat het account wordt bepaald uit de inlogsessie op onze server en nooit uit het verzoek; beheerderstoegang is beperkt tot bevoegde Propelos-medewerkers;
• toegangstokens van de widget zijn ondertekend, gekoppeld aan het websiteadres van de Klant en verlopen na 24 uur;
• verzoeklimieten op openbare endpoints en bij het inloggen;
• foutrapporten worden gefilterd om contactgegevens en berichtinhoud te verwijderen voordat ze onze servers verlaten.

Propelos kan deze maatregelen bijwerken zolang het algemene beveiligingsniveau niet daalt.

De Klant geeft Propelos algemene toestemming om subverwerkers in te schakelen. Propelos gebruikt de volgende subverwerkers voor de Diensten:

• Replit (Verenigde Staten): host de applicatie op Google Cloud en stuurt onze verzoeken door naar OpenAI en OpenRouter
• Neon (Verenigde Staten): beheert onze database, geleverd via Replit op Amazon Web Services (us-east-1)
• OpenAI (Verenigde Staten): AI-modellen die zoekopdrachten begrijpen, antwoorden en samenvattingen van aanvragen schrijven, spraak omzetten naar tekst en plaatsen opzoeken die een koper noemt; ook gebruikt voor AI-zichtbaarheidsrapporten
• OpenRouter (Verenigde Staten): stuurt sommige AI-verzoeken door naar de Gemini-modellen van Google en het Jev-model van TypeSafe AI
• Google (Verenigde Staten): Gemini AI-modellen, benaderd via OpenRouter (en rechtstreeks voor AI-zichtbaarheidsrapporten), en Google Maps Platform, dat alleen de naam ontvangt van een plaats die een koper noemt
• TypeSafe AI (Verenigde Staten): het Jev AI-model, benaderd via OpenRouter, dat zoekresultaten rangschikt en classificeert
• Resend (Verenigde Staten): verstuurt onze e-mails, waaronder accountmails en meldingen van aanvragen aan makelaarskantoren
• Sentry (Duitsland, EU): foutmonitoring; contactgegevens en berichtinhoud worden weggefilterd voordat een foutrapport wordt verstuurd

Propelos informeert de Klant per e-mail minimaal 30 dagen voordat een subverwerker wordt toegevoegd of vervangen. De Klant kan binnen die termijn op redelijke gegevensbeschermingsgronden bezwaar maken. Kunnen we het bezwaar niet oplossen, dan kan de Klant opzeggen voordat de wijziging ingaat. Propelos legt elke subverwerker schriftelijk dezelfde gegevensbeschermingsverplichtingen op als in deze Overeenkomst en blijft tegenover de Klant verantwoordelijk voor de uitvoering daarvan.

Sommige subverwerkers verwerken persoonsgegevens buiten de Europese Economische Ruimte, vooral in de Verenigde Staten. Propelos geeft deze gegevens alleen door met een waarborg die de AVG erkent: de standaardcontractbepalingen van de Europese Commissie (Besluit (EU) 2021/914) of, als de ontvanger gecertificeerd is, het EU-US Data Privacy Framework. De Klant geeft toestemming voor deze doorgiften.

• Rekening houdend met de aard van de verwerking helpt Propelos de Klant bij het beantwoorden van verzoeken van Kopers die hun rechten uitoefenen: inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar. Neemt een Koper rechtstreeks contact op met Propelos, dan sturen we het verzoek zonder onredelijke vertraging door naar de Klant. We beantwoorden het niet zelf, tenzij de Klant daarom vraagt.
• Propelos helpt de Klant bij zijn verplichtingen rond beveiliging, melding van inbreuken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van de toezichthouder, rekening houdend met de informatie waarover Propelos beschikt.

Propelos informeert de Klant zonder onredelijke vertraging nadat het kennis heeft gekregen van een inbreuk in verband met persoonsgegevens die de gegevens van de Klant raakt. Het streeft ernaar dit binnen 72 uur te doen. De melding beschrijft, voor zover op dat moment bekend: de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en gegevensbestanden, de waarschijnlijke gevolgen, getroffen of voorgestelde maatregelen en een contactpunt. Propelos vult de informatie aan zodra deze beschikbaar komt.

Als het abonnement van de Klant eindigt, bewaart Propelos de persoonsgegevens 90 dagen zodat de Klant de Diensten kan hervatten of een kopie kan opvragen. Daarna worden ze verwijderd, tenzij EU- of Spaanse wetgeving bewaring vereist. Tijdens die 90 dagen kan de Klant vragen om zijn aanvragen terug te krijgen in een gangbaar formaat (CSV) of om de gegevens eerder te verwijderen. Kopieën in back-upsystemen van onze dienstverleners worden verwijderd wanneer die back-ups verlopen.

Propelos stelt de Klant de informatie beschikbaar die nodig is om naleving van artikel 28 AVG aan te tonen en maakt audits, waaronder inspecties, mogelijk door de Klant of een door hem aangewezen auditor. De Klant kondigt dit minimaal 30 dagen vooraf schriftelijk aan. Audits vinden plaats tijdens kantooruren, maximaal eenmaal per jaar, tenzij een toezichthouder dit vereist of er een inbreuk in verband met persoonsgegevens is geweest. Ze vallen onder geheimhouding en zijn voor rekening van de Klant. Propelos kan eerst documentatie verstrekken als dat voldoende is om naleving aan te tonen.

De aansprakelijkheid van elke partij onder deze Overeenkomst is onderworpen aan de beperkingen in de algemene voorwaarden, behalve waar de wet beperking niet toestaat. Bij strijd tussen deze Overeenkomst en de algemene voorwaarden over de verwerking van persoonsgegevens gaat deze Overeenkomst voor.

Op deze Overeenkomst is Spaans recht van toepassing. Geschillen die eruit voortvloeien of ermee verband houden, vallen onder de exclusieve bevoegdheid van de rechtbanken van Málaga, Spanje.

Voor vragen over deze Overeenkomst of om de rechten van de Klant uit te oefenen: privacy@propelos.com

Adres: Propelos Technology S.L., The Pool Marbella, El Corte Inglés El Capricho, 1 planta Avda. Bulevar Príncipe Alfonso de Hohenlohe 2, Marbella, 29602, Spanje

Fiscaal nummer (NIF): B27624980

Ingeschreven in het handelsregister van Málaga, blad MA-197845 (elektronisch deel en folio), IRUS 1000471597682