MERCURIUS OS

Verwerkersovereenkomst — Mercurius OS

Onderdeel van de Overeenkomst tussen Incapital B.V. (handelend onder de naam Mercurius OS, KvK 62844768, hierna: "Verwerker") en Klant (hierna: "Verwerkingsverantwoordelijke"), zoals bedoeld in artikel 28 AVG.

1. Rollen en onderwerp

• 1. Klant bepaalt doel en middelen van de verwerking en is Verwerkingsverantwoordelijke; Mercurius verwerkt persoonsgegevens uitsluitend in opdracht van Klant voor het leveren van de Dienst.
• 2. Mercurius verwerkt de persoonsgegevens niet voor eigen doeleinden en niet om AI-modellen van derden te trainen.

2. Welke verwerkingen

(Zodra de module klantcontact/inbox live gaat, wordt deze tabel uitgebreid met berichten van klanten van Klant; dat vraagt een herziene versie.)

3. Instructies

• 1. Mercurius verwerkt alleen op basis van schriftelijke instructies van Klant (waaronder: de werking van de Dienst zoals overeengekomen).
• 2. Als een instructie naar het oordeel van Mercurius in strijd is met de AVG, meldt Mercurius dit direct.

4. Geheimhouding

Personen die onder gezag van Mercurius persoonsgegevens verwerken, zijn tot geheimhouding verplicht.

5. Beveiliging

Mercurius treft passende technische en organisatorische maatregelen, waaronder:

• versleutelde verbindingen (TLS) en versleutelde opslag bij de hostingpartijen;
• strikte scheiding van klantgegevens (row level security per klant);
• toegangsbeheer met persoonlijke accounts en inloglinks zonder gedeelde wachtwoorden;
• tokens en sleutels uitsluitend server-side, nooit in de browser;
• logging van handelingen in een auditlog;
• dagelijkse geautomatiseerde bewaking van koppelingen en publicaties.

6. Subverwerkers

• 1. Klant geeft algemene toestemming voor het inschakelen van subverwerkers. Mercurius informeert Klant over wijzigingen; Klant kan binnen 14 dagen gemotiveerd bezwaar maken.
• 2. Huidige subverwerkers:

• 3. Mercurius legt aan subverwerkers verplichtingen op die gelijkwaardig zijn aan deze overeenkomst.

7. Doorgifte buiten de EER

Doorgifte naar landen buiten de EER vindt alleen plaats met passende waarborgen (EU-VS Data Privacy Framework en/of EU-standaardcontractbepalingen).

8. Datalekken

• 1. Mercurius informeert Klant zonder onredelijke vertraging, uiterlijk binnen 48 uur na ontdekking van een inbreuk in verband met persoonsgegevens, met de informatie die Klant nodig heeft voor een eventuele melding aan de Autoriteit Persoonsgegevens en betrokkenen.
• 2. De melding aan toezichthouder en betrokkenen is aan Klant; Mercurius verleent daarbij alle redelijke medewerking.

9. Rechten van betrokkenen

Mercurius helpt Klant, voor zover mogelijk, bij verzoeken van betrokkenen (inzage, rectificatie, verwijdering, bezwaar) en stuurt rechtstreeks ontvangen verzoeken onverwijld door aan Klant.

10. Audit

• 1. Mercurius stelt op verzoek informatie beschikbaar waarmee Klant kan controleren dat deze overeenkomst wordt nageleefd.
• 2. Maximaal eenmaal per jaar mag Klant (of een onafhankelijke auditor) een audit uitvoeren, na redelijke aankondiging en op eigen kosten.

11. Duur en einde

• 1. Deze overeenkomst geldt zolang de Dienst wordt geleverd.
• 2. Na beëindiging verwijdert Mercurius alle persoonsgegevens van Klant binnen 30 dagen, of retourneert deze op verzoek eerst als export — behoudens wettelijke bewaarplichten.

12. Aansprakelijkheid en rangorde

• 1. De aansprakelijkheidsregeling uit de Algemene Voorwaarden geldt ook voor deze overeenkomst.
• 2. Bij strijd tussen deze overeenkomst en de Algemene Voorwaarden gaat deze overeenkomst voor wat betreft de verwerking van persoonsgegevens.