Verwerkersovereenkomst

1. Twee rollen, en het verschil doet ertoe

Bij één bestelling verwerken wij twee soorten gegevens, en de AVG geeft ons daarbij twee verschillende rollen. Dat klinkt als een formaliteit en is het niet: het bepaalt wie beslist, wie een datalek aan de toezichthouder meldt, en bij wie een betrokkene terechtkan.

• Jouw eigen gegevens — je naam, je bedrijfsgegevens, je e-mailadres, je btw-nummer, je berichten. Daarvoor zijn wij verwerkingsverantwoordelijke: wij bepalen zelf waarom we ze nodig hebben en hoe lang we ze houden. Dat staat in ons privacybeleid en niet in dit document.
• Het beeldmateriaal dat jij aanlevert, voor zover daar personen op staan — in de praktijk vooral de draagfoto die wij vragen voor de pasvorm. De persoon op die foto is een betrokkene van jou: jij hebt hem gefotografeerd, jij hebt de afspraak met hem, jij bepaalt waarvoor het beeld dient. Wij verwerken het uitsluitend op jouw opdracht. Daarvoor zijn wij verwerker en ben jij verwerkingsverantwoordelijke — en dáárover gaat dit document.

Deze overeenkomst geldt automatisch zodra je een bestelling plaatst, als onlosmakelijk onderdeel van de algemene voorwaarden. Je hoeft niets te ondertekenen. Wil je een ondertekend exemplaar voor je eigen administratie, dan mail je hello@visuails.com en krijg je het.

2. Partijen

Verwerker: VISUAILS, handelsnaam van Lucas Snuverink, Vaarwerkhorst 17, 7531 HK Enschede, Nederland. KVK 99742993 · btw NL005407575B96 · hello@visuails.com. Dit is een post- en vestigingsadres en geen bezoekadres.

Verwerkingsverantwoordelijke: jij — de onderneming die de bestelling plaatst, zoals opgegeven bij het bestellen.

3. Onderwerp, aard, doel en duur

Onderwerp en doel. Het maken van productbeelden en video uit het materiaal dat jij aanlevert, en het leveren daarvan aan jou. Er is geen ander doel. Wij gebruiken jouw materiaal niet voor onze eigen portfolio, niet voor advertenties en niet om er iets van te leren, tenzij je ons daar per bestelling afzonderlijk en aantoonbaar toestemming voor geeft.

Aard van de verwerking. Ontvangen, opslaan, doorgeven aan de subverwerkers in §8, bekijken en beoordelen door een mens, en verwijderen. Er wordt niets geprofileerd en er wordt niets geautomatiseerd besloten.

Duur. Deze overeenkomst begint bij je eerste bestelling en eindigt zodra het laatste gegeven waarop zij betrekking heeft is verwijderd — zie §12. Zij eindigt dus later dan de opdracht zelf, en dat is de bedoeling.

4. Soort persoonsgegevens en categorieën betrokkenen

Soort persoonsgegevens. Afbeeldingen van natuurlijke personen in het door jou aangeleverde materiaal, plus wat daar zichtbaar of in de bestandsgegevens bij zit — een gezicht, een lichaam, soms een naam op een label of een locatie in de EXIF-gegevens.

Categorieën betrokkenen. De personen die op dat materiaal staan: doorgaans een model, een medewerker, of jij zelf.

Wat er niet in hoort. Wij vragen nooit om bijzondere persoonsgegevens in de zin van art. 9 AVG, en niet om beeld van kinderen. Lever je materiaal aan waarop dat toch voorkomt, dan verwerken wij het niet op grond van deze overeenkomst en nemen wij contact met je op. Een gezicht op een foto is trouwens niet automatisch een biometrisch gegeven: dat wordt het pas bij verwerking die gericht is op unieke identificatie, en dat doen wij niet.

5. Wij verwerken alleen op jouw instructie

Wij verwerken de persoonsgegevens uitsluitend op jouw gedocumenteerde instructie, en niet voor eigen doeleinden. Jouw bestelling — het formulier, de briefing en de correspondentie erover — is die instructie. Er is geen andere.

Dat geldt ook voor doorgifte naar landen buiten de Europese Economische Ruimte: wij geven niets door buiten wat in §8 en §11 staat, tenzij jij het ons opdraagt of het Unierecht of Nederlands recht het van ons eist. Moeten wij van de wet iets doen wat hiervan afwijkt, dan laten wij je dat weten vóórdat wij het doen, tenzij die wet dat verbiedt.

Denken wij dat een instructie van jou in strijd is met de AVG, dan zeggen wij dat en voeren wij hem niet uit voordat het is opgehelderd. Dat is geen dienstweigering maar art. 28 lid 3, laatste alinea.

6. Geheimhouding

VISUAILS is een eenmanszaak. In de praktijk betekent dat: er is één persoon met toegang, en dat is Lucas Snuverink. Schakelen wij ooit iemand in — een vaste medewerker, een freelancer voor de nabewerking — dan gebeurt dat pas nadat die persoon zich schriftelijk tot geheimhouding heeft verbonden, en die verbintenis loopt door na het einde van de samenwerking. Wij houden de geheimhouding aan ook zonder dat je erom vraagt en ook zonder aparte NDA.

7. Beveiliging

Hieronder staat wat er werkelijk is, en niets meer. Wij zijn niet ISO-gecertificeerd, er is geen pentest uitgevoerd en er is geen managementsysteem voor informatiebeveiliging. Een beveiligingsparagraaf die meer belooft dan er staat, is de paragraaf die bij een incident tegen ons wordt gebruikt.

• Onderweg en in rust versleuteld. Al het verkeer loopt over TLS. Het materiaal staat in Cloudflare R2 en de bestelgegevens in Cloudflare D1, beide versleuteld in rust.
• Niet te raden adressen. Aangeleverd materiaal staat onder een sleutel met een willekeurige component; er is geen doorlopende nummering waarmee iemand langs andermans bestanden kan lopen.
• Toegang achter een eigen slot. Het adminportaal werkt met een gehasht wachtwoord en sessietokens die zelf gehasht worden opgeslagen. Jouw eigen portaal werkt met een eenmalige inloglink of code, met cookies die HttpOnly en Secure zijn en beperkt tot het pad van je dashboard.
• Eigendomscontrole bij elk bestand. Elke download loopt langs een controle die aan de bestelling hangt en niet aan het webadres. Dat is met opzet zo gebouwd en het wordt bij elke wijziging getest door een test die de controle bewust probeert te ondermijnen.
• Snelheidslimieten op het bestellen, het uploaden, het inloggen en het opvragen van bestanden, zodat een script niet ongelimiteerd kan proberen.
• Geen ruwe ip-adressen. Waar wij verkeer moeten tellen, bewaren wij een gezouten hash en niet het adres zelf.
• De bewaartermijnen worden uitgevoerd en niet alleen beloofd. Een taak verwijdert elke nacht wat verlopen is, uit de opslag én uit de database, en legt op de tijdlijn van de bestelling vast wat er weg is. Dat is het verschil tussen een termijn in een document en een termijn in de werkelijkheid.
• Een wekelijkse kopie van de database op een schijf die wij zelf beheren, zodat verlies van het platform geen verlies van jouw bestelling betekent. Die kopie bevat persoonsgegevens. Hij gaat niet naar een clouddienst, staat niet in een gedeelde map en niet in de versiebeheergeschiedenis van de broncode. Een taak controleert elke nacht of die kopie niet ouder is dan tien dagen en waarschuwt ons als dat wel zo is — een back-up waarvan niemand merkt dat hij is gestopt, is geen back-up.

Wij beoordelen deze maatregelen opnieuw wanneer er iets wezenlijk verandert in wat wij verwerken, en in ieder geval één keer per jaar.

8. Subverwerkers

Wij schakelen andere partijen in. Je geeft ons hierbij een algemene schriftelijke toestemming daarvoor, in de zin van art. 28 lid 2 AVG, onder drie voorwaarden: deze lijst is actueel, wij melden een toevoeging of vervanging minstens 30 dagen vooraf per e-mail, en je mag er in die periode bezwaar tegen maken. Doe je dat, dan zoeken wij een alternatief of mag je de opdracht kosteloos beëindigen voor het deel dat nog niet is uitgevoerd.

Met elke partij hieronder hebben wij een verwerkersovereenkomst die dezelfde verplichtingen doorlegt die wij aan jou hebben (art. 28 lid 4). Wij blijven jegens jou aansprakelijk voor wat zij doen.

Over het genereren zelf. Freepik biedt op zijn platform een groot aantal modellen aan van verschillende makers. Welke wij op een bepaald moment gebruiken, wisselt — wij werken met wat op dat moment het beste resultaat geeft, en dat is onderdeel van hoe wij ons werk doen. De partij die jouw materiaal ontvangt blijft dezelfde en staat hierboven; dat is wat deze paragraaf moet vastleggen. Freepik verklaart in zijn eigen voorwaarden uitdrukkelijk: "Under no circumstances will we use your images or voices, or those of third parties that you upload to our platform, to train or improve our artificial intelligence models or those of third-party providers", en dat het aangeleverde beeld direct na het genereren wordt verwijderd. Voor doorgifte naar modelaanbieders buiten de EER sluit Freepik standaardcontractbepalingen (art. 46 lid 2 sub c AVG).

De nabewerking gebeurt op onze eigen machine. Retoucheren en monteren doen wij in Photoshop en in DaVinci Resolve, lokaal. Die programma’s sturen jouw beeld niet naar een clouddienst: het bestand staat op de schijf, wordt daar bewerkt en gaat daar weer weg volgens de termijnen van §3. Adobe en Blackmagic Design staan daarom niet in de lijst hierboven — zij ontvangen jouw materiaal niet. Adobe schrijft over lokaal opgeslagen materiaal in zijn eigen voorwaarden: "For Content stored locally on your device, we do not scan or review your Content." Software die op onze machine draait verwerkt niets namens ons; een dienst die het bestand ontvangt doet dat wel. Dat onderscheid bepaalt wie er in de lijst hoort. Zouden wij ooit naar een clouddienst gaan voor de nabewerking — Adobe’s eigen cloudopslag daaronder begrepen — dan is dat een toevoeging aan die lijst, met de melding van 30 dagen vooraf die hierboven staat.

Wat hier niet staat, en waarom. Onze betaalprovider en de partijen rond reviews staan niet in deze lijst. Zij raken jouw beeldmateriaal niet; zij verwerken alleen gegevens waarvoor wij zelf verwerkingsverantwoordelijke zijn. Die staan in het privacybeleid.

9. Rechten van betrokkenen

Wendt de persoon op het beeld zich tot ons met een verzoek — inzage, verwijdering, bezwaar — dan beantwoorden wij dat niet zelf. Dat verzoek hoort bij jou, want jij bent de verantwoordelijke. Wij sturen het binnen drie werkdagen naar je door en helpen je vervolgens met wat er technisch voor nodig is: wij zoeken op waar het beeld zit, leveren het aan of verwijderen het, en bevestigen schriftelijk wat er is gebeurd. Die hulp is bij het normale gebruik van de dienst gratis.

10. Datalekken

Ontdekken wij een inbreuk op de beveiliging die jouw persoonsgegevens raakt, dan melden wij dat aan jou en niet aan de Autoriteit Persoonsgegevens. Dat is geen keuze: als verwerker is dat precies onze rol (art. 33 lid 2 AVG). Jij beslist daarna of er gemeld moet worden — en de klok van 72 uur voor jouw melding begint te lopen zodra wij het bij jou hebben neergelegd. Daarom leggen wij het snel neer: binnen 24 uur nadat wij het weten, ook als het beeld dan nog niet compleet is.

Wat er in die melding staat: wat er is gebeurd, wanneer, welk soort gegevens en welke betrokkenen het waarschijnlijk raakt, wat wij al hebben gedaan om het te beperken, en wat wij nog niet weten. Dat laatste staat er ook. Wij vullen het aan zodra wij meer weten, en wij houden een eigen registratie van elk incident bij — ook van de incidenten die niet gemeld hoeven te worden.

Wij helpen je verder met wat art. 32 tot en met 36 AVG van je vraagt, waaronder een gegevensbeschermingseffectbeoordeling als je die voor jouw gebruik nodig hebt.

11. Doorgifte buiten de Europese Economische Ruimte

Het genereren gebeurt bij een partij in Spanje, dus binnen de EU. Waar een subverwerker uit §8 buiten de EER is gevestigd, rust de doorgifte op standaardcontractbepalingen van de Europese Commissie (art. 46 lid 2 sub c AVG). Wij geven persoonsgegevens niet door aan een land of partij buiten die lijst zonder je vooraf te informeren.

Eén ding dat wij eerlijker opschrijven dan gebruikelijk: bij het maken van de beelden wordt materiaal door een mens vanuit onze omgeving in het gereedschap van de subverwerker geplaatst. Dat is dus geen automatische koppeling maar een handeling, en zij valt onder dezelfde afspraken als de rest van deze overeenkomst.

12. Teruggave en verwijdering

De termijnen hieronder zijn dezelfde als in §7 van de voorwaarden en §6 van het privacybeleid. Ze worden uitgevoerd door een nachtelijke taak en niet met de hand.

• Het materiaal dat jij aanlevert: 90 dagen na de bestelling, daarna verwijderd.
• De beelden die wij leveren: 90 dagen in VISUAILS Studio, zodat je ze in die tijd opnieuw kunt ophalen; een kopie kan zonder garantie in ons eigen archief blijven.

Wil je het eerder weg, dan mail je ons en verwijderen wij het — tenzij een wettelijke bewaarplicht in de weg staat, en dan zeggen wij welke. Bij het einde van de overeenkomst verwijderen wij alles wat onder deze overeenkomst valt, inclusief kopieën, of geven wij het aan je terug als je dat liever hebt. Wat om die reden moet blijven staan, blijft alleen daarvoor staan en wordt niet meer gebruikt.

De gegevens die wij als verwerkingsverantwoordelijke hebben — je factuur, je bedrijfsgegevens — vallen hier niet onder. Daarvoor geldt de fiscale bewaarplicht van zeven jaar, en dat staat in het privacybeleid.

13. Audit, aansprakelijkheid en slot

Audit. Je mag één keer per jaar, en verder na een datalek dat jouw gegevens raakt, opvragen wat je nodig hebt om vast te stellen dat wij ons aan deze overeenkomst houden. Wij antwoorden binnen twee weken. Wil je een controle door een onafhankelijke deskundige, dan werken wij daaraan mee; de kosten daarvan zijn voor jou, tenzij er iets uitkomt wat wij hadden moeten oplossen.

Aansprakelijkheid. Voor schade die voortkomt uit een verwerking in strijd met de AVG geldt art. 82 AVG. De aansprakelijkheidsbeperking in §11 van de voorwaarden geldt niet voor boetes of schade op grond van de AVG die het gevolg zijn van iets wat aan ons is toe te rekenen. Dat is een bewuste keuze: een privacyclausule die de eigen aansprakelijkheid tot het orderbedrag beperkt, is geen afspraak maar een uitweg.

Slot. Wijkt deze overeenkomst af van de algemene voorwaarden, dan gaat deze overeenkomst voor, maar alleen voor de verwerking van persoonsgegevens. Nederlands recht is van toepassing; de rechtbank Overijssel is bevoegd. Wijzigt de AVG of komt er dwingende regelgeving bij, dan passen wij deze tekst aan en melden wij dat langs dezelfde weg als een wijziging in §8.

14. Vragen

Over deze overeenkomst, over een verzoek van een betrokkene of over een ondertekend exemplaar: hello@visuails.com. Eén persoon leest die mailbox, en dat is dezelfde persoon die de verwerking uitvoert.

Deze pagina is opgesteld tegen de tekst van artikel 28 AVG en dekt de onderdelen van lid 3 sub a tot en met h. Hij is nog niet door een jurist beoordeeld. Voor jouw eigen situatie — zeker als je zelf in een keten met meerdere verantwoordelijken zit — laat je dit door je eigen adviseur nakijken.