Verwerkersovereenkomst

• Verwerkingsverantwoordelijke: de Klant die SUUS opdracht geeft persoonsgegevens te verwerken.
• Verwerker: SUUS IQ B.V., gevestigd te Amsterdam, KvK 42050357, btw-identificatienummer NL869478783B01.
• Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon zoals bedoeld in artikel 4 AVG.
• Verwerking: elke bewerking op persoonsgegevens als omschreven in artikel 4(2) AVG.
• Betrokkene: de natuurlijke persoon op wie de persoonsgegevens betrekking hebben.
• Inbreuk in verband met persoonsgegevens: een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van of toegang tot persoonsgegevens.

SUUS verwerkt persoonsgegevens uitsluitend ten behoeve van de levering van het Field Sales Intelligence System zoals omschreven in de Algemene Voorwaarden. De verwerking omvat:

• Categorieën betrokkenen: klanten, prospects en zakelijke contacten van de Verwerkingsverantwoordelijke
• Categorieën persoonsgegevens: naam, functietitel, e-mailadres, telefoonnummer, bedrijfsnaam, bezoekhistorie, gespreksnotities, voice-transcripties
• Aard van de verwerking: opslaan, structureren, raadplegen, wijzigen, verwijderen
• Doel: het bijhouden van een CRM-systeem en het automatiseren van field sales workflows

De VOK loopt parallel aan de onderliggende dienstverleningsovereenkomst en eindigt automatisch bij beëindiging daarvan.

SUUS verbindt zich tot het volgende:

• Persoonsgegevens uitsluitend verwerken op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke, tenzij een wettelijke verplichting dit vereist.
• Waarborgen dat personen die bevoegd zijn persoonsgegevens te verwerken, zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen.
• Passende technische en organisatorische maatregelen treffen ter beveiliging van persoonsgegevens overeenkomstig artikel 32 AVG.
• Alleen een beroep doen op andere verwerkers (sub-verwerkers) zoals bepaald in artikel 6.
• De Verwerkingsverantwoordelijke bijstaan bij het nakomen van diens verplichtingen ten aanzien van rechten van betrokkenen.
• Op verzoek alle informatie verstrekken die noodzakelijk is om de naleving van de verplichtingen uit de AVG aan te tonen.
• Na afloop van de dienstverlening, naar keuze van de Verwerkingsverantwoordelijke, alle persoonsgegevens wissen of terugbezorgen en bestaande kopieën verwijderen, tenzij een wettelijke bewaarverplichting geldt. Teruggeven gebeurt in een machineleesbaar formaat (JSON, bestanden in hun oorspronkelijke formaat) via een beveiligde downloadlink; de gegevens blijven ten minste 30 dagen op te halen. Daarna wist SUUS ze, back-ups lopen binnen zeven dagen af, en SUUS bevestigt het wissen per e-mail. Zie de pagina Overstappen en export.

SUUS implementeert passende technische en organisatorische maatregelen, waaronder:

• Versleuteling van gegevens tijdens transport (TLS 1.2 of hoger) en in opslag (AES-256)
• Toegangscontrole op basis van rollen en het “need-to-know”-principe; gegevens van verschillende klanten zijn per organisatie van elkaar gescheiden
• Tweefactorauthenticatie voor beheerderstoegang tot de applicatie en de systemen
• Dagelijkse automatische back-ups van de database, die zeven dagen worden bewaard
• Een auditlog van belangrijke handelingen, zoals exports van gegevens
• Tijdig doorvoeren van beveiligingsupdates van de gebruikte software

Bij een inbreuk in verband met persoonsgegevens informeert SUUS de Verwerkingsverantwoordelijke onverwijld en uiterlijk binnen 72 uur na ontdekking. De melding bevat minimaal:

• De aard van de inbreuk, inclusief categorieën en geschat aantal betrokkenen en persoonsgegevens
• De naam en contactgegevens van de functionaris voor gegevensbescherming of contactpersoon
• De waarschijnlijke gevolgen van de inbreuk
• De maatregelen die zijn of worden getroffen

SUUS verleent alle medewerking die nodig is voor melding bij de Autoriteit Persoonsgegevens.

De Verwerkingsverantwoordelijke geeft SUUS algemene schriftelijke toestemming om sub-verwerkers in te schakelen, onder de voorwaarden van dit artikel. SUUS schakelt de volgende sub-verwerkers in (stand 6 oktober 2026):

• Supabase, Supabase Pte. Ltd. (Singapore) — Database, inloggen en bestandsopslag. Locatie: EU (Ierland, AWS eu-west-1).
• Vercel, Vercel Inc. (VS) — Hosting van de app en de API. Locatie: Servers in de EU (Frankfurt); Vercel verwerkt daarnaast in de VS.
• Upstash, Upstash, Inc. (VS) — Tijdelijke opslag: cache, rate limiting en de status van lopende gesprekken. Locatie: EU (Frankfurt, AWS eu-central-1).
• Trigger.dev, API Hero Ltd, handelend als Trigger.dev (VK) — Achtergrondtaken: verrijken, samenvatten, synchroniseren en dagoverzichten. Locatie: Uitvoering in de EU (Frankfurt); taakgegevens en logs in de VS (AWS us-east-1).
• Sentry, Functional Software, Inc., handelend als Sentry (VS) — Foutmeldingen en prestatiebewaking. Locatie: EU (Duitsland); account- en organisatiegegevens in de VS.
• Resend, Plus Five Five, Inc., handelend als Resend (VS) — Transactionele e-mail: uitnodigingen, meldingen, dagoverzichten en contracten. Locatie: Verzending vanuit de EU (Ierland); opslag in de VS.
• LiveKit Cloud, LiveKit Incorporated (VS) — Audioverbinding van voice-gesprekken en hosting van de voice-agent. Locatie: Voice-agent in de EU (Frankfurt); live-audio via de dichtstbijzijnde LiveKit-server (voor gebruikers in Nederland en België in de EU); sessiegegevens en logs in de VS. Gespreksopnames en transcripten slaat LiveKit niet op.
• Deepgram, Deepgram, Inc. (VS) — Realtime spraakherkenning tijdens voice-gesprekken. Locatie: EU (EU-endpoint van Deepgram).
• Speechmatics, Cantab Research Ltd, handelend als Speechmatics (VK) — Spraakherkenning van bedrijfsnamen tijdens voice-gesprekken. Locatie: EU (EU1-endpoint, verwerking binnen de EER).
• OpenAI, OpenAI Ireland Ltd. (Ierland) — AI-verwerking: gesprekken begrijpen, samenvatten, transcriberen en assistent-antwoorden. Locatie: VS.
• Cartesia, Cartesia AI, Inc. (VS) — De stem van de voice-agent (tekst naar spraak). Locatie: VS.
• Nylas, Nylas, Inc. (VS) — Agendakoppeling met Google Workspace en Microsoft 365. Locatie: Verenigd Koninkrijk (Londen).
• Meta (WhatsApp Business Platform), WhatsApp Ireland Limited (Ierland) — WhatsApp-berichten met leads en terugkoppeling van de uitkomst van lead-aanvragen. Locatie: EU (Ierland) en VS.
• Apify, Apify Technologies s.r.o. (Tsjechië) — Signalen verzamelen uit openbare bronnen, met scrapers die de klant zelf kiest. Locatie: VS (Amazon Web Services en MongoDB Atlas).
• Higgsfield, Higgsfield Inc. (VS) — Advertentiebeelden maken voor lead gen-campagnes. Locatie: VS.
• Twilio, Twilio Ireland Limited (Ierland) — Telefoonlijn van de voice-assistent (inkomende en uitgaande gesprekken), sms-verificatie (inlogcodes), sms naar leads en WhatsApp-herinneringen. Locatie: VS.
• Google Workspace, Google Cloud EMEA Limited (Ierland) — Zakelijke e-mail en documenten van SUUS IQ: support en contracten. Locatie: Wereldwijd (datacenters van Google).
• Anthropic, Anthropic Ireland, Limited (Ierland) — AI-assistentie (Claude) bij support en foutanalyse. Locatie: VS.

Het actuele overzicht staat op onze sub-processors pagina, met per sub-verwerker de gegevens en de locatie en, zodra die is gesloten, de verwerkersovereenkomst en de grondslag voor doorgifte buiten de EER.

SUUS legt elke sub-verwerker schriftelijk in wezen dezelfde verplichtingen op als die in deze VOK, in het bijzonder voldoende garanties voor passende technische en organisatorische maatregelen. SUUS blijft tegenover de Verwerkingsverantwoordelijke aansprakelijk voor de nakoming daarvan, met inachtneming van artikel 10.

Wil SUUS een sub-verwerker toevoegen of vervangen, dan meldt SUUS dat minimaal 14 dagen van tevoren per e-mail aan de Verwerkingsverantwoordelijke en op de sub-processors pagina. De Verwerkingsverantwoordelijke kan binnen die 14 dagen met redenen bezwaar maken via info@suusiq.com. SUUS zoekt dan te goeder trouw naar een oplossing. Lukt dat niet vóór de ingangsdatum, dan kan de Verwerkingsverantwoordelijke de overeenkomst kosteloos opzeggen tegen die datum; wat vooruit is betaald voor de periode daarna, betaalt SUUS naar rato terug.

De sub-verwerkers die de sub-verwerkers van SUUS zelf inschakelen, vallen niet onder de termijn van 14 dagen. Die maken zij bekend volgens hun eigen verwerkersovereenkomst.

Persoonsgegevens kunnen worden doorgegeven aan landen buiten de Europese Economische Ruimte (EER). SUUS waarborgt dat dergelijke doorgifte plaatsvindt op basis van een adequaatheidsbesluit van de Europese Commissie (zoals het EU-VS Data Privacy Framework en het besluit voor het Verenigd Koninkrijk), standaardcontractbepalingen (Uitvoeringsbesluit EU 2021/914) of bindende bedrijfsvoorschriften (BCR). Per sub-verwerker staat de grondslag op de sub-processors pagina.

Bij een verzoek van een betrokkene (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid of bezwaar) informeert SUUS de Verwerkingsverantwoordelijke tijdig en verleent technische bijstand om aan het verzoek te voldoen. SUUS handelt niet zelfstandig op verzoeken van betrokkenen, tenzij wettelijk verplicht.

De Verwerkingsverantwoordelijke heeft het recht de naleving van deze VOK te controleren door middel van een audit, uitgevoerd door een onafhankelijke auditor onder geheimhoudingsplicht. Een dergelijke audit vindt niet vaker dan eenmaal per jaar plaats, na minimaal 30 dagen schriftelijke aankondiging, en op kosten van de Verwerkingsverantwoordelijke.

SUUS kan aan de auditverplichting voldoen door overlegging van geldige certificeringen (ISO 27001, SOC 2 of vergelijkbaar).

Iedere partij is aansprakelijk voor schade die de andere partij of betrokkenen lijden als gevolg van de niet-naleving van deze VOK. De aansprakelijkheid van SUUS als Verwerker is beperkt tot het bedrag dat de Klant in de twaalf maanden voorafgaand aan de schadeveroorzakende gebeurtenis heeft betaald, met hetzelfde bedrag als maximum per kalenderjaar, zoals in artikel 13 van de algemene voorwaarden. De beperking geldt niet bij opzet of grove schuld van SUUS of haar leidinggevenden.

Op deze VOK is Nederlands recht van toepassing. Geschillen worden bij uitsluiting voorgelegd aan de bevoegde rechter te Amsterdam.

Deze VOK treedt automatisch in werking bij aanvaarding van de Algemene Voorwaarden van SUUS. Voor organisaties die een ondertekende versie vereisen, neem contact op via info@suusiq.com. Wij sturen dan een door beide partijen te ondertekenen exemplaar toe.