Verwerkersovereenkomst Casey AI

Versie 1.0 — 25 oktober 2026

1. Partijen en definities

1.1 Partijen zijn: (a) de klant die met Arslan & Partners B.V. een overeenkomst over Casey AI heeft gesloten (“Verwerkingsverantwoordelijke” of “Klant”), en (b) Arslan & Partners B.V., gevestigd aan de Schiedamsedijk 60 A, 3011 EH Rotterdam, ingeschreven in het handelsregister van de Kamer van Koophandel onder nummer 65641922 (“Verwerker”).

1.2 Begrippen uit de Algemene verordening gegevensbescherming (“AVG”), zoals persoonsgegevens, verwerking, betrokkene, inbreuk in verband met persoonsgegevens en subverwerker, hebben in deze overeenkomst dezelfde betekenis als in de AVG. “Hoofdovereenkomst” is de overeenkomst over het gebruik van Casey AI, inclusief de algemene voorwaarden. “Dienst” en “Content” hebben de betekenis uit de algemene voorwaarden.

2. Onderwerp en duur

2.1 Verwerker verwerkt persoonsgegevens in opdracht van Verwerkingsverantwoordelijke om de Dienst te leveren zoals omschreven in de Hoofdovereenkomst.

2.2 Deze overeenkomst geldt zolang Verwerker persoonsgegevens in opdracht van Verwerkingsverantwoordelijke verwerkt, en eindigt niet eerder dan nadat die persoonsgegevens volgens artikel 11 zijn verwijderd of teruggegeven.

3. Aard, doel en omvang van de verwerking

3.1 Verwerkingsverantwoordelijke bepaalt welke persoonsgegevens hij in de Dienst invoert en beperkt die tot wat voor het doel nodig is. Verwerkingsverantwoordelijke staat ervoor in dat hij een geldige grondslag heeft voor de verwerking en dat het gebruik van de Dienst verenigbaar is met zijn geheimhoudingsplicht en beroepsregels.

3.2 De persoonsgegevens blijven eigendom van, of onder zeggenschap van, Verwerkingsverantwoordelijke. Verwerker gebruikt ze niet voor eigen doeleinden en gebruikt ze niet om AI-modellen te trainen, en laat dat ook niet door subverwerkers doen.

4. Verplichtingen van Verwerker

4.1 Verwerker verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van Verwerkingsverantwoordelijke. De Hoofdovereenkomst, deze overeenkomst en het gebruik van de functies van de Dienst door Verwerkingsverantwoordelijke en zijn gebruikers gelden als zulke instructies. Verwerker verwerkt persoonsgegevens alleen anders als een op Verwerker toepasselijke wettelijke bepaling hem daartoe verplicht; in dat geval informeert Verwerker Verwerkingsverantwoordelijke vooraf, tenzij de wet dat verbiedt.

4.2 Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk in kennis als een instructie naar zijn oordeel inbreuk maakt op de AVG of op andere bepalingen over gegevensbescherming.

4.3 Verwerker verwerkt de persoonsgegevens behoorlijk, zorgvuldig en in overeenstemming met de AVG en de overige toepasselijke regelgeving.

5. Geheimhouding

5.1 Verwerker zorgt ervoor dat alle personen die onder zijn gezag de persoonsgegevens kunnen verwerken, zich schriftelijk tot geheimhouding hebben verbonden of aan een wettelijke geheimhoudingsplicht zijn gebonden.

5.2 Verwerker erkent dat de persoonsgegevens onder het beroepsgeheim van Verwerkingsverantwoordelijke kunnen vallen. Toegang tot Content door medewerkers van Verwerker vindt alleen plaats als dat nodig is voor de levering, beveiliging of ondersteuning van de Dienst of op verzoek van Verwerkingsverantwoordelijke, en wordt beperkt tot wat daarvoor noodzakelijk is.

6. Beveiliging

6.1 Verwerker neemt passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG om de persoonsgegevens te beveiligen tegen verlies en onrechtmatige verwerking, rekening houdend met de stand van de techniek, de uitvoeringskosten, de aard van de gegevens en de risico’s voor betrokkenen.

6.2 Die maatregelen omvatten in elk geval: versleuteling van gegevens tijdens transport en van opgeslagen bestanden; logische scheiding van gegevens per organisatie; toegangsbeheer op basis van rollen, met tweestapsverificatie of passkeys; het waar mogelijk afschermen van namen en andere herkenbare persoonsgegevens voordat gegevens door AI-dienstverleners worden verwerkt; het vastleggen van beveiligingsrelevante gebeurtenissen; regelmatige back-ups; en het tijdig bijwerken van systemen.

6.3 Verwerker evalueert de maatregelen periodiek en past ze aan als dat nodig is. Een beschrijving van de maatregelen op hoofdlijnen is op verzoek verkrijgbaar. Verwerker mag de maatregelen wijzigen, mits het beveiligingsniveau niet afneemt.

7. Subverwerkers

7.1 Verwerkingsverantwoordelijke geeft Verwerker algemene schriftelijke toestemming om subverwerkers in te schakelen. Op dit moment zijn dat dienstverleners in de volgende categorieën:

7.2 Een actuele lijst van subverwerkers, met naam en vestigingsland, is op verzoek verkrijgbaar via privacy@caseyai.nl.

7.3 Verwerker informeert Verwerkingsverantwoordelijke ten minste 30 dagen vooraf over een voorgenomen toevoeging of vervanging van een subverwerker. Verwerkingsverantwoordelijke kan binnen die termijn op redelijke gronden schriftelijk bezwaar maken. Partijen overleggen dan over een oplossing. Komen zij daar niet uit, dan mag Verwerkingsverantwoordelijke de Hoofdovereenkomst opzeggen tegen de datum waarop de wijziging ingaat, zonder dat Verwerker kosten in rekening brengt. Is een wijziging dringend nodig voor de continuïteit of beveiliging van de Dienst, dan kan de termijn korter zijn; Verwerker informeert Verwerkingsverantwoordelijke dan zo snel mogelijk.

7.4 Verwerker legt aan elke subverwerker schriftelijk ten minste dezelfde verplichtingen op als in deze overeenkomst, waaronder passende beveiliging en het niet gebruiken van de gegevens voor eigen doeleinden of voor het trainen van AI-modellen. Verwerker blijft tegenover Verwerkingsverantwoordelijke verantwoordelijk voor de nakoming door subverwerkers.

8. Doorgifte buiten de Europese Economische Ruimte

8.1 Verwerker slaat de persoonsgegevens op binnen de Europese Unie. Bij gebruik van subverwerkers buiten de Europese Economische Ruimte kunnen persoonsgegevens daarheen worden doorgegeven.

8.2 Doorgifte vindt alleen plaats met passende waarborgen als bedoeld in hoofdstuk V AVG: een adequaatheidsbesluit van de Europese Commissie (voor de Verenigde Staten het EU-VS Data Privacy Framework, voor zover de ontvanger daaronder is gecertificeerd) of de standaardcontractbepalingen van de Europese Commissie, zo nodig met aanvullende maatregelen. Verwerker schermt namen en andere herkenbare persoonsgegevens waar mogelijk af vóór doorgifte. Verwerkingsverantwoordelijke geeft hierbij toestemming voor doorgifte onder deze voorwaarden.

9. Bijstand aan Verwerkingsverantwoordelijke

9.1 Verwerker helpt Verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking, door middel van passende maatregelen bij het nakomen van zijn plicht om verzoeken van betrokkenen te beantwoorden (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar). Ontvangt Verwerker zo’n verzoek rechtstreeks, dan stuurt hij het onverwijld door aan Verwerkingsverantwoordelijke en beantwoordt hij het niet zelf, tenzij Verwerkingsverantwoordelijke daartoe opdracht geeft.

9.2 Verwerker verleent, op basis van de informatie waarover hij beschikt, redelijke bijstand bij gegevensbeschermingseffectbeoordelingen (DPIA’s), voorafgaande raadplegingen van de toezichthouder en het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG.

9.3 Verwerker kan voor bijstand die verder gaat dan wat redelijkerwijs bij de Dienst hoort, vooraf aangekondigde redelijke kosten in rekening brengen.

10. Inbreuken in verband met persoonsgegevens (datalekken)

10.1 Verwerker informeert Verwerkingsverantwoordelijke zonder onredelijke vertraging, en uiterlijk binnen 48 uur nadat hij daarvan kennis heeft genomen, over een inbreuk in verband met persoonsgegevens die de door Verwerker verwerkte persoonsgegevens van Verwerkingsverantwoordelijke betreft.

10.2 De melding bevat, voor zover bekend: de aard van de inbreuk, de categorieën en het (geschatte) aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen om de inbreuk te beëindigen en de gevolgen te beperken, en een contactpersoon. Informatie die nog niet beschikbaar is, verstrekt Verwerker zodra die beschikbaar komt.

10.3 Verwerker neemt onverwijld redelijke maatregelen om de inbreuk te beëindigen en de gevolgen te beperken, en verleent Verwerkingsverantwoordelijke de redelijke medewerking die nodig is voor een melding aan de Autoriteit Persoonsgegevens of aan betrokkenen. Het besluit om te melden ligt bij Verwerkingsverantwoordelijke; Verwerker meldt niet zelf namens Verwerkingsverantwoordelijke, tenzij de wet dat vereist.

10.4 Verwerker houdt een register bij van inbreuken die Verwerkingsverantwoordelijke betreffen.

11. Verwijderen en teruggeven

11.1 Tot het einde van de Hoofdovereenkomst kan Verwerkingsverantwoordelijke Content met de exportfuncties van de Dienst exporteren of verwijderen. Op verzoek helpt Verwerker bij het teruggeven van persoonsgegevens in een gangbaar formaat.

11.2 Binnen 30 dagen na het einde van de Hoofdovereenkomst verwijdert Verwerker de persoonsgegevens die hij in opdracht van Verwerkingsverantwoordelijke verwerkt, en zorgt hij ervoor dat subverwerkers dat ook doen, tenzij een wettelijke bewaarplicht opslag vereist. Gegevens in back-ups worden volgens de vaste back-upcyclus overschreven en tot dan niet meer actief verwerkt. Op verzoek bevestigt Verwerker de verwijdering schriftelijk.

12. Informatie en audits

12.1 Verwerker stelt alle informatie beschikbaar die nodig is om de nakoming van deze overeenkomst en artikel 28 AVG aan te tonen.

12.2 Verwerkingsverantwoordelijke mag de nakoming eenmaal per jaar, of vaker bij een concreet vermoeden van niet-nakoming of op aanwijzing van een toezichthouder, laten controleren door een onafhankelijke deskundige die aan geheimhouding is gebonden. De audit wordt ten minste 30 dagen vooraf schriftelijk aangekondigd, vindt plaats tijdens kantooruren, verstoort de bedrijfsvoering niet onredelijk en raakt niet aan de gegevens van andere klanten. Verwerker kan in plaats daarvan of voorafgaand daaraan een recent auditrapport, een certificering of een ingevulde beveiligingsvragenlijst verstrekken.

12.3 De kosten van een audit komen voor rekening van Verwerkingsverantwoordelijke, tenzij uit de audit blijkt dat Verwerker deze overeenkomst op wezenlijke punten niet nakomt. Verwerker herstelt geconstateerde tekortkomingen zo snel als redelijkerwijs mogelijk.

13. Aansprakelijkheid

13.1 Voor de aansprakelijkheid van partijen in verband met deze overeenkomst geldt de regeling in de algemene voorwaarden (artikel 15), onverminderd artikel 82 AVG. De beperkingen daarin gelden niet bij opzet of bewuste roekeloosheid van de leidinggevenden van Verwerker.

13.2 Elke partij is jegens de andere aansprakelijk voor boetes en schade die het gevolg zijn van haar eigen tekortkoming in de nakoming van de AVG of deze overeenkomst.

14. Slotbepalingen

14.1 Bij strijdigheid tussen deze overeenkomst en de Hoofdovereenkomst gaat deze overeenkomst voor voor zover het de verwerking van persoonsgegevens betreft.

14.2 Verwerker kan deze overeenkomst wijzigen op dezelfde wijze als de algemene voorwaarden (artikel 18), met dien verstande dat een wijziging het beschermingsniveau voor de persoonsgegevens niet mag verlagen. Wijzigingen die wettelijk verplicht zijn, gaan in op het moment dat de wet dat vereist.

14.3 Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de rechter die in de Hoofdovereenkomst is aangewezen.

14.4 Contact over deze overeenkomst, verzoeken van betrokkenen en meldingen: privacy@caseyai.nl.

Arslan & Partners B.V. · Schiedamsedijk 60 A, 3011 EH Rotterdam · KvK 65641922 · support@caseyai.nl · privacy@caseyai.nl