Verwerkersovereenkomst

Atelyr B.V.
Versie: 1
Geldig vanaf: 1 mei 2026

1. Partijen

Deze Verwerkersovereenkomst (hierna: "VOK") wordt gesloten tussen:

1.1 Verwerkingsverantwoordelijke

De Partner of Eindklant die de Hoofdovereenkomst met Atelyr heeft gesloten en daarbij de toepasselijke voorwaarden heeft aanvaard, en persoonsgegevens laat verwerken door Atelyr (hierna: "Verwerkingsverantwoordelijke"). De identiteit van de Verwerkingsverantwoordelijke blijkt uit de accountregistratie bij Atelyr.

1.2 Verwerker

Atelyr B.V.
Dorpsstraat 324A, 1531 HW Wormer, Nederland
KvK-nummer: 99674327
E-mail: [email protected]
Website: www.atelyr.ai

(hierna: "Atelyr" of "Verwerker")

Voor privacygerelateerde vragen in het kader van deze VOK kan Verwerkingsverantwoordelijke tevens contact opnemen met de Functionaris Gegevensbescherming van Atelyr:

Functionaris Gegevensbescherming
E-mail: [email protected]
Post: Atelyr B.V., T.a.v. Functionaris Gegevensbescherming, Dorpsstraat 324A, 1531 HW Wormer, Nederland

Verwerkingsverantwoordelijke en Verwerker worden gezamenlijk aangeduid als "partijen".

1.3 Contactpunt Verwerkingsverantwoordelijke

Verwerkingsverantwoordelijke wijst een contactpersoon aan voor privacygerelateerde communicatie in het kader van deze VOK en deelt diens contactgegevens mee aan Atelyr via [email protected].

Verwerkingsverantwoordelijke is verantwoordelijk voor het actueel houden van deze gegevens. Bij gebreke van een aangewezen contactpersoon gelden alle Gebruikers met de rol "admin" of "owner" binnen de Software als aanspreekpunt, ieder afzonderlijk en gezamenlijk, zodat contact met één van hen volstaat.

2. Overwegingen

2.1 Partijen hebben een Overeenkomst gesloten op grond waarvan Atelyr de Software beschikbaar stelt aan Verwerkingsverantwoordelijke (de "Hoofdovereenkomst").

2.2 Bij de uitvoering van de Hoofdovereenkomst verwerkt Atelyr persoonsgegevens namens en ten behoeve van Verwerkingsverantwoordelijke, in de zin van artikel 28 van de Algemene Verordening Gegevensbescherming (AVG).

2.3 Partijen leggen in deze VOK de voorwaarden vast waaronder Atelyr persoonsgegevens verwerkt namens Verwerkingsverantwoordelijke.

2.4 Deze VOK maakt onderdeel uit van de Hoofdovereenkomst en is daarop van aanvulling. Bij strijdigheid prevaleert deze VOK voor zover het de verwerking van persoonsgegevens betreft.

3. Definities

In deze VOK hebben de volgende begrippen de volgende betekenis:

• AI-aanbieder: een derde aanbieder van generatieve AI-diensten die binnen de Software wordt ingezet, hetzij door Atelyr geselecteerd en geconfigureerd, hetzij zelfstandig door Verwerkingsverantwoordelijke gekozen.
• AVG: Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 (Algemene Verordening Gegevensbescherming).
• Betrokkene: de natuurlijke persoon op wie de persoonsgegevens betrekking hebben.
• Datalek: een inbreuk in verband met persoonsgegevens als bedoeld in artikel 4 lid 12 AVG.
• Eindgebruiker: de natuurlijke persoon die via de Software een interactie aangaat met een door Verwerkingsverantwoordelijke ingezette AI-agent, waaronder maar niet beperkt tot een voice agent, chatbot of andere geautomatiseerde gesprekstoepassing, en wiens persoonsgegevens (waaronder stem, gespreksinhoud en metadata) in dat kader worden verwerkt. De Eindgebruiker is geen contractspartij van Atelyr.
• Gebruiker: de natuurlijke persoon die namens Verwerkingsverantwoordelijke toegang heeft tot de Software of het Partnerportaal, zoals een medewerker of freelancer.
• Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, als bedoeld in artikel 4 lid 1 AVG.
• Sub-verwerker: een derde die door Atelyr wordt ingeschakeld om namens Verwerkingsverantwoordelijke persoonsgegevens te verwerken.
• Software: het platform en de applicaties van Atelyr die Verwerkingsverantwoordelijke op grond van de Hoofdovereenkomst gebruikt.
• Verwerking: elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens, als bedoeld in artikel 4 lid 2 AVG.

4. Voorwerp en Duur

4.1 Atelyr verwerkt persoonsgegevens uitsluitend ten behoeve van de uitvoering van de Hoofdovereenkomst en overeenkomstig de gedocumenteerde instructies van Verwerkingsverantwoordelijke, tenzij een wettelijke verplichting anders vereist.

4.2 De aard en het doel van de verwerkingen, de categorieën betrokkenen en de categorieën persoonsgegevens zijn opgenomen in Bijlage A bij deze VOK.

4.3 Deze VOK treedt in werking op het moment dat Verwerkingsverantwoordelijke de toepasselijke voorwaarden aanvaardt bij het afsluiten van de Hoofdovereenkomst, en blijft van kracht zolang Atelyr persoonsgegevens verwerkt namens Verwerkingsverantwoordelijke, doch uiterlijk tot beëindiging van de Hoofdovereenkomst.

4.4 Indien een wettelijke verplichting Atelyr verplicht persoonsgegevens te verwerken buiten de instructies van Verwerkingsverantwoordelijke om, stelt Atelyr Verwerkingsverantwoordelijke hiervan vooraf in kennis, tenzij de wet dit verbiedt.

5. Verplichtingen Atelyr

5.1 Atelyr verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van Verwerkingsverantwoordelijke, tenzij een op Atelyr van toepassing zijnde Unierechtelijke of lidstaatrechtelijke bepaling haar tot verwerking verplicht. In het kader van deze VOK gelden de configuratie en het gebruik van de Software door Verwerkingsverantwoordelijke als diens gedocumenteerde instructies. Verwerkingsverantwoordelijke kan uitsluitend instructies geven via de daartoe beschikbare functionaliteiten binnen de Software.

5.2 Atelyr waarborgt dat de tot de verwerking van persoonsgegevens gemachtigde personen zich ertoe hebben verbonden de vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting zijn gebonden. Deze vertrouwelijkheidsverplichting blijft van kracht na beëindiging van het dienstverband of de opdracht van de betreffende persoon.

5.3 Atelyr past maatregelen toe die zijn afgestemd op de aard en het risico van de betreffende verwerking. Deze maatregelen kunnen onder meer omvatten:

• versleuteling van persoonsgegevens;
• toegangscontrole en authenticatie;
• monitoring en logging;
• back-up en herstel;
• periodieke beveiligingsaudits;
• incidentbeheer; en
• bewustwording en training van medewerkers.

Bij het bepalen en beoordelen van deze maatregelen houdt Atelyr rekening met de stand van de techniek, de aard en omvang van de verwerking, en de waarschijnlijkheid en ernst van de risico's voor betrokkenen. Atelyr past de maatregelen zo nodig aan in het licht van technologische ontwikkelingen en veranderende risico's.

5.4 Atelyr verleent Verwerkingsverantwoordelijke redelijke medewerking bij het nakomen van diens verplichtingen als bedoeld in de artikelen 32 tot en met 36 AVG, rekening houdend met de aard van de verwerking en de bij Atelyr beschikbare informatie.

5.5 Atelyr stelt Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de nakoming van de in artikel 28 AVG neergelegde verplichtingen aan te tonen, en draagt bij aan audits als bedoeld in artikel 10 van deze VOK.

5.6 Atelyr gebruikt de gespreksinhoud, audio-opnames en direct identificeerbare Eindgebruikersgegevens niet voor commerciële doeleinden, profilering of enig ander doel dan de uitvoering van de Hoofdovereenkomst. Atelyr gebruikt geen spraakopnames om personen te identificeren op basis van de unieke kenmerken van hun stem.

6. Geautomatiseerde Besluitvorming

6.1 Atelyr past geen volledig geautomatiseerde besluitvorming toe, waaronder profilering, die rechtsgevolgen heeft voor betrokkenen of hen anderszins in aanmerkelijke mate treft in de zin van artikel 22 AVG.

6.2 De Software maakt gebruik van kunstmatige intelligentie voor de verwerking van gespreksinhoud en het genereren van uitkomsten. Deze technologie wordt uitsluitend ingezet als ondersteunend hulpmiddel ten behoeve van de dienstverlening. Door AI gegenereerde uitkomsten vormen geen grondslag voor geautomatiseerde besluiten met rechtsgevolgen en worden niet gebruikt voor profilering van betrokkenen.

6.3 Indien de wijze waarop Verwerkingsverantwoordelijke de Software inzet leidt tot beslissingen die betrokkenen aanzienlijk beïnvloeden, is Verwerkingsverantwoordelijke zelf verantwoordelijk voor de naleving van artikel 22 AVG en de daaruit voortvloeiende verplichtingen, waaronder het verstrekken van begrijpelijke informatie over de wijze waarop de beslissing tot stand komt, het mogelijk maken van menselijke tussenkomst op verzoek, en het bieden van het recht aan de betrokkene om de beslissing aan te vechten.

7. Verplichtingen Verwerkingsverantwoordelijke

7.1 Verwerkingsverantwoordelijke staat er jegens Atelyr voor in dat de verwerking van persoonsgegevens, waartoe opdracht wordt gegeven, niet onrechtmatig is en geen inbreuk maakt op de rechten van betrokkenen.

7.2 Verwerkingsverantwoordelijke draagt zorg voor een rechtsgeldige grondslag voor de verwerking van de persoonsgegevens die aan Atelyr worden verstrekt of door Atelyr worden verwerkt in opdracht van Verwerkingsverantwoordelijke. Dit omvat mede het informeren van Eindgebruikers over de verwerking van hun persoonsgegevens via de Software.

7.3 Indien Verwerkingsverantwoordelijke de Software inzet in een context waarbij regelmatig gevoelige persoonsgegevens ter sprake kunnen komen, waaronder gegevens over gezondheid, religie, politieke overtuigingen of vakbondslidmaatschap, is Verwerkingsverantwoordelijke verantwoordelijk voor het beschikken over een geldige rechtsgrond voor de verwerking van dergelijke gegevens en voor het informeren van Eindgebruikers daarover.

7.4 Indien Verwerkingsverantwoordelijke de Software inzet in een context waarbij minderjarigen (personen onder de 16 jaar) betrokken kunnen zijn, is Verwerkingsverantwoordelijke zelf verantwoordelijk voor het verkrijgen van de vereiste toestemming van de ouder of wettelijk vertegenwoordiger en voor naleving van de toepasselijke wet- en regelgeving ter bescherming van minderjarigen.

7.5 Verwerkingsverantwoordelijke vrijwaart Atelyr voor aanspraken van betrokkenen of derden die voortvloeien uit een tekortkoming van Verwerkingsverantwoordelijke in de naleving van deze VOK of de AVG.

8. Sub-verwerkers

8.1 Verwerkingsverantwoordelijke verleent Atelyr hierbij een algemene schriftelijke toestemming voor het inschakelen van sub-verwerkers. Atelyr informeert Verwerkingsverantwoordelijke over beoogde wijzigingen inzake de toevoeging of vervanging van sub-verwerkers, zodat Verwerkingsverantwoordelijke de mogelijkheid heeft bezwaar te maken.

8.2 Atelyr legt aan sub-verwerkers dezelfde verplichtingen inzake gegevensbescherming op als die welke zijn vastgelegd in deze VOK, in het bijzonder door middel van een schriftelijke overeenkomst. Indien een sub-verwerker zijn verplichtingen niet nakomt, blijft Atelyr volledig aansprakelijk jegens Verwerkingsverantwoordelijke.

8.3 Een actueel overzicht van de door Atelyr ingeschakelde sub-verwerkers is beschikbaar via docs.atelyr.ai. Dit overzicht wordt regelmatig bijgewerkt.

8.4 Voor AI-aanbieders die Verwerkingsverantwoordelijke zelfstandig selecteert en configureert binnen de Software, treedt Atelyr op als contractspartner en sluit zij namens Verwerkingsverantwoordelijke een verwerkersovereenkomst af met de gekozen AI-aanbieder. De selectie en configuratie van een AI-aanbieder via de Software geldt als een gedocumenteerde instructie van Verwerkingsverantwoordelijke in de zin van artikel 5.1. Door zijn expliciete keuze draagt Verwerkingsverantwoordelijke alle verantwoordelijkheden die voortvloeien uit de verwerking door die aanbieder. Atelyr faciliteert uitsluitend de technische verbinding en heeft geen zeggenschap over, noch inzicht in, de verwerkingsactiviteiten die door de betreffende AI-aanbieder worden uitgevoerd.

8.5 Atelyr stelt voor elke beschikbare AI-aanbieder de beveiligings- en compliance-informatie beschikbaar die door die aanbieder openbaar wordt gemaakt, waaronder certificeringen, gegevenslocatie en AVG-status. Deze informatie is van informatieve aard en wordt door Atelyr verstrekt zoals aangeleverd door de betreffende aanbieder. Atelyr staat niet in voor de volledigheid of juistheid ervan. Verwerkingsverantwoordelijke is zelf verantwoordelijk voor het beoordelen van die informatie en voor het selecteren van een aanbieder die voldoet aan zijn eigen beveiligings- en compliance-behoeften.

9. Doorgifte buiten de EER

9.1 Atelyr geeft persoonsgegevens slechts door aan een land buiten de Europese Economische Ruimte (EER) indien dit noodzakelijk is voor de uitvoering van de Hoofdovereenkomst en er sprake is van een van de volgende passende waarborgen:

• een adequaatheidsbesluit van de Europese Commissie voor het betreffende land, inclusief het EU-VS Data Privacy Framework wanneer de ontvanger daaronder gecertificeerd is;
• Standaard Contractbepalingen (SCC's) zoals vastgesteld door de Europese Commissie, samen met een beoordeling van de doorgifte en eventuele aanvullende maatregelen die nodig zijn om de gegevens te beschermen; of
• een andere door de AVG erkende doorgifte-grondslag, waaronder de uitzonderingsgronden voor incidentele doorgifte.

9.2 Voor zover Eindgebruikersgegevens worden verwerkt via sub-verwerkers die door Atelyr zijn geselecteerd en geconfigureerd, draagt Atelyr er zorg voor dat deze verwerking uitsluitend plaatsvindt binnen de EER.

9.3 Indien Verwerkingsverantwoordelijke een AI-aanbieder selecteert die buiten de EER is gevestigd of buiten de EER verwerkt, sluit Atelyr namens Verwerkingsverantwoordelijke een verwerkersovereenkomst met die aanbieder af, inclusief de toepasselijke doorgifte-waarborgen als bedoeld in artikel 9.1. Verwerkingsverantwoordelijke bepaalt hoe die aanbieder de gegevens verwerkt en treedt op als verwerkingsverantwoordelijke ten aanzien van die verwerking.

9.4 Op verzoek verstrekt Atelyr informatie over de specifieke doorgifte-waarborgen die van toepassing zijn. Verzoeken kunnen worden gericht aan [email protected].

9.5 Indien Verwerkingsverantwoordelijke zelf buiten de EER is gevestigd of de persoonsgegevens die via de Software worden verwerkt vanuit een locatie buiten de EER benadert, is Verwerkingsverantwoordelijke zelf verantwoordelijk voor het waarborgen van een geldige doorgifte-grondslag als bedoeld in artikel 9.1. Atelyr verleent op verzoek medewerking aan het vaststellen van de benodigde waarborgen, maar draagt geen verantwoordelijkheid voor de naleving van doorgifteregels aan de zijde van Verwerkingsverantwoordelijke.

10. Audits en Inspectie

10.1 Verwerkingsverantwoordelijke heeft het recht de naleving van deze VOK door Atelyr te controleren, dan wel te laten controleren door een onafhankelijke auditor die gebonden is aan een geheimhoudingsplicht.

10.2 Verwerkingsverantwoordelijke kondigt een audit minimaal 30 dagen van tevoren schriftelijk aan. Audits worden uitgevoerd op werkdagen tijdens kantooruren en mogen de normale bedrijfsvoering van Atelyr niet onevenredig verstoren.

10.3 De kosten van een audit komen voor rekening van Verwerkingsverantwoordelijke. Atelyr is gerechtigd een redelijke vergoeding in rekening te brengen voor de aan de audit bestede tijd en middelen. Het toepasselijke tarief wordt voorafgaand aan de audit schriftelijk aan Verwerkingsverantwoordelijke gecommuniceerd. Indien de audit een wezenlijke tekortkoming van Atelyr aan het licht brengt, worden de door Atelyr in rekening gebrachte kosten gecrediteerd.

10.4 Atelyr kan voldoen aan haar auditverplichting door het overleggen van een actueel certificaat van een erkende onafhankelijke auditor (bijv. ISO 27001 of SOC 2), tenzij Verwerkingsverantwoordelijke aantoont dat een aanvullende audit noodzakelijk is.

11. Rechten van Betrokkenen

11.1 Atelyr verleent Verwerkingsverantwoordelijke medewerking bij het afhandelen van verzoeken van betrokkenen tot uitoefening van hun rechten op grond van de AVG, voor zover dit redelijkerwijs van Atelyr kan worden verlangd.

11.2 Verzoeken van betrokkenen die rechtstreeks bij Atelyr worden ingediend, worden door Atelyr zo spoedig mogelijk, doch uiterlijk binnen vijf werkdagen, doorgestuurd naar Verwerkingsverantwoordelijke, tenzij Verwerkingsverantwoordelijke Atelyr schriftelijk heeft gemachtigd deze verzoeken zelfstandig af te handelen.

12. Datalekken

12.1 Atelyr stelt Verwerkingsverantwoordelijke onverwijld en uiterlijk binnen 48 uur na ontdekking in kennis van een Datalek dat betrekking heeft op de persoonsgegevens die Atelyr namens Verwerkingsverantwoordelijke verwerkt.

12.2 De kennisgeving bevat ten minste: de aard van het Datalek, de categorieën en het geschatte aantal betrokken personen en persoonsgegevens, de mogelijke gevolgen en de maatregelen die Atelyr heeft genomen of voorstelt te nemen.

12.3 Verwerkingsverantwoordelijke is verantwoordelijk voor het beoordelen of melding bij de Autoriteit Persoonsgegevens en/of betrokkenen vereist is op grond van de artikelen 33 en 34 AVG. Atelyr verleent hieraan de benodigde medewerking.

12.4 Atelyr legt alle Datalekken intern vast, ongeacht of melding vereist is.

13. Geheimhouding

13.1 Atelyr behandelt alle persoonsgegevens die zij in het kader van deze VOK verwerkt als vertrouwelijk en verstrekt deze niet aan derden, tenzij dit noodzakelijk is voor de uitvoering van de Hoofdovereenkomst, wettelijk verplicht is, of Verwerkingsverantwoordelijke hiervoor schriftelijk toestemming heeft gegeven.

13.2 De geheimhoudingsverplichting geldt tijdens de looptijd van deze VOK en blijft van kracht na beëindiging ervan.

14. Beëindiging en Teruggave of Verwijdering van Gegevens

14.1 Na beëindiging van de Hoofdovereenkomst verwijdert Atelyr alle persoonsgegevens die zij namens Verwerkingsverantwoordelijke verwerkt, tenzij een wettelijke verplichting bewaring vereist.

14.2 Indien Verwerkingsverantwoordelijke teruggave van persoonsgegevens wenst, dient hij dit uitdrukkelijk en uiterlijk binnen 30 dagen na beëindiging van de Hoofdovereenkomst schriftelijk aan Atelyr kenbaar te maken. Teruggave vindt plaats voor zover technisch uitvoerbaar binnen de mogelijkheden van de Software. Voor zover teruggave niet of niet volledig mogelijk is, gaat Atelyr over tot verwijdering.

14.3 Bij gebreke van een tijdig verzoek tot teruggave als bedoeld in artikel 14.2 gaat Atelyr over tot verwijdering.

14.4 Indien verwijdering technisch niet onmiddellijk mogelijk is, bijvoorbeeld in back-ups, draagt Atelyr er zorg voor dat de betreffende gegevens niet langer worden verwerkt en worden verwijderd zodra dat technisch mogelijk is. Op verzoek van Verwerkingsverantwoordelijke bevestigt Atelyr de verwijdering schriftelijk, tenzij de wet archivering vereist.

15. Aansprakelijkheid

15.1 De aansprakelijkheidsregeling uit de Hoofdovereenkomst is van toepassing op deze VOK, met dien verstande dat beide partijen aansprakelijk kunnen zijn jegens betrokkenen op grond van artikel 82 AVG.

15.2 Atelyr is niet aansprakelijk voor schade die voortvloeit uit verwerkingen die Atelyr heeft uitgevoerd in overeenstemming met de instructies van Verwerkingsverantwoordelijke.

15.3 Atelyr is niet aansprakelijk voor schade die voortvloeit uit de verwerking door een AI-aanbieder die Verwerkingsverantwoordelijke zelfstandig heeft geselecteerd en geconfigureerd binnen de Software. Verwerkingsverantwoordelijke draagt alle verantwoordelijkheid en aansprakelijkheid die voortvloeit uit de verwerking door die aanbieder, ook jegens betrokkenen op grond van artikel 82 AVG.

16. Wijzigingen

16.1 Atelyr behoudt zich het recht voor deze VOK te wijzigen. Wijzigingen worden ten minste 30 dagen voor de beoogde inwerkingtreding aangekondigd aan Verwerkingsverantwoordelijke, schriftelijk, per e-mail, of via een melding of notificatie binnen de Software. De aankondiging vermeldt de aard van de wijziging en of het een wezenlijke wijziging betreft als bedoeld in artikel 16.2.

16.2 Een wijziging is wezenlijk indien zij de rechten van betrokkenen materieel beperkt, de verplichtingen van Verwerkingsverantwoordelijke onder deze VOK verzwaart, of de doeleinden dan wel categorieën van verwerking uit Bijlage A ingrijpend wijzigt. Bij een wezenlijke wijziging heeft Verwerkingsverantwoordelijke het recht de Hoofdovereenkomst schriftelijk te beëindigen met ingang van de datum waarop de wijziging van kracht wordt. Voortgezet gebruik van de Software na die datum geldt als aanvaarding van de gewijzigde VOK.

16.3 Niet-wezenlijke wijzigingen, waaronder redactionele aanpassingen, verduidelijkingen en administratieve updates, treden in werking op de in de aankondiging vermelde datum. Voortgezet gebruik van de Software na die datum geldt als aanvaarding.

16.4 Wijzigingen die uitsluitend voortvloeien uit gewijzigde wet- of regelgeving of een bindend besluit van een toezichthoudende autoriteit, worden zo spoedig mogelijk doorgevoerd en treden in werking op de door de wet- of regelgeving bepaalde datum, ook indien de aankondigingstermijn van 30 dagen niet in acht kan worden genomen. Dergelijke wijzigingen geven geen recht op tussentijdse beëindiging van de Hoofdovereenkomst.

17. Overige Bepalingen

17.1 Op deze VOK is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Noord-Holland.

17.2 Indien een bepaling van deze VOK nietig of vernietigbaar is, laat dit de geldigheid van de overige bepalingen onverlet. Partijen treden in overleg om de nietige of vernietigbare bepaling te vervangen door een geldige bepaling met zoveel mogelijk dezelfde strekking.

17.3 Voor vragen over deze VOK kunt u contact opnemen via [email protected].

Bijlage A - Verwerkingsactiviteiten

Onderstaand overzicht beschrijft de verwerkingen die Atelyr uitvoert namens Verwerkingsverantwoordelijke in het kader van de Hoofdovereenkomst.

Dit overzicht is indicatief. De feitelijke verwerkingen worden mede bepaald door het gebruik dat Verwerkingsverantwoordelijke maakt van de Software en de AI-aanbieders die Verwerkingsverantwoordelijke daarbinnen configureert. Atelyr houdt een verwerkingsregister bij conform artikel 30 lid 2 AVG.