QR Code AI verwerkersovereenkomst

VERWERKERSOVEREENKOMST (DPA)

Laatst bijgewerkt op 2 maart 2026

Deze verwerkersovereenkomst ("DPA") maakt deel uit van de Servicevoorwaarden (de "Overeenkomst") tussen Supernovae, een in Frankrijk geregistreerde onderneming op het adres 27 Rue Wurtz, Juvisy-sur-Orge 91260, btw-nummer FR67948452891 (de "Verwerker", "wij", "ons"), en de entiteit die met deze DPA instemt (de "Verwerkingsverantwoordelijke", "u"), gezamenlijk de "Partijen" genoemd.

Deze DPA geldt wanneer wij namens u persoonsgegevens verwerken in verband met onze QR Code AI-diensten, ook via de API.

1. DEFINITIES

• "Persoonsgegevens" betekent alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, zoals omschreven in artikel 4(1) van de AVG.
• "Verwerking" betekent een bewerking of een geheel van bewerkingen met betrekking tot Persoonsgegevens, zoals omschreven in artikel 4(2) van de AVG.
• "Betrokkene" betekent de geïdentificeerde of identificeerbare natuurlijke persoon op wie Persoonsgegevens betrekking hebben.
• "Subverwerker" betekent een derde die door de Verwerker wordt ingeschakeld om namens de Verwerkingsverantwoordelijke Persoonsgegevens te verwerken.
• "AVG" betekent Verordening (EU) 2016/679 van het Europees Parlement en de Raad.
• "UK GDPR" betekent de Britse algemene verordening gegevensbescherming, zoals van toepassing in het Britse recht en gelezen in samenhang met de Data Protection Act 2018.
• "SCC's" betekent de door de Europese Commissie goedgekeurde standaardcontractbepalingen voor de doorgifte van Persoonsgegevens naar derde landen.
• "Datalek" betekent een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging, de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot Persoonsgegevens.

2. TOEPASSINGSGEBIED EN ROLLEN

2.1 Verwerkingsverantwoordelijke en Verwerker

Voor de toepassing van deze DPA geldt het volgende:

• U (Verwerkingsverantwoordelijke): U bepaalt de doeleinden en middelen van de Verwerking van Persoonsgegevens wanneer u onze Diensten gebruikt, met name wanneer u onze API gebruikt om QR-codes voor uw eigen klanten te genereren of onze Diensten in uw producten integreert.
• Wij (Verwerker): Wij verwerken Persoonsgegevens namens u volgens uw instructies, zoals beschreven in deze DPA en de Overeenkomst.

2.2 Wanneer deze DPA geldt

Deze DPA geldt wanneer:

• U de QR Code AI API gebruikt om QR-codes te genereren waarmee gegevens van uw eindgebruikers worden verwerkt (bijvoorbeeld URL's met persoonsgegevens, vCard-gegevens of contactgegevens die in QR-codes zijn opgenomen).
• U de tracking- en analysefuncties van QR Code AI gebruikt die scangegevens van uw eindgebruikers verzamelen.
• Er sprake is van een andere situatie waarin wij als verwerker namens u Persoonsgegevens verwerken.

Wanneer u QR Code AI als individuele gebruiker voor uw eigen doeleinden gebruikt, treden wij op als afzonderlijke verwerkingsverantwoordelijke en valt de gegevensverwerking onder ons Privacybeleid.

3. DETAILS VAN DE GEGEVENSVERWERKING

3.1 Onderwerp en duur

Wij verwerken Persoonsgegevens gedurende de looptijd van de Overeenkomst om de QR Code AI-diensten aan te bieden, waaronder het genereren van QR-codes, tracking, analyses en bijbehorende functionaliteit.

3.2 Aard en doel van de Verwerking

• QR-codes genereren op basis van invoergegevens van de Verwerkingsverantwoordelijke
• QR-codescans bijhouden en analysegegevens verzamelen
• QR-codeconfiguraties en bijbehorende metadata opslaan
• Verzoeken om artistieke QR-codes met AI te genereren verwerken
• Rapporten en analysedashboards aanbieden

3.3 Soorten Persoonsgegevens

De verwerkte Persoonsgegevens kunnen het volgende omvatten:

• Contactgegevens (namen, e-mailadressen, telefoonnummers) die in QR-codes zijn opgenomen
• URL's en webadressen
• Locatiegegevens van QR-codescans
• Apparaatinformatie en IP-adressen van QR-codescans
• Tekstprompts en afbeeldingen die worden aangeleverd voor het genereren van QR-codes met AI
• Andere gegevens die de Verwerkingsverantwoordelijke in QR-codes wil opnemen

3.4 Categorieën Betrokkenen

• Eindgebruikers die QR-codes scannen die door de Verwerkingsverantwoordelijke zijn gemaakt
• Personen van wie contactgegevens in QR-codes zijn opgenomen
• Gebruikers van de producten of diensten van de Verwerkingsverantwoordelijke die QR-codes gebruiken

4. VERPLICHTINGEN VAN DE VERWERKER

4.1 Verwerkingsinstructies

Wij verwerken Persoonsgegevens uitsluitend op basis van uw gedocumenteerde instructies, tenzij het Unierecht of het recht van een lidstaat dat op ons van toepassing is ons tot verwerking verplicht. In dat geval stellen wij u vóór de Verwerking op de hoogte van dat wettelijke voorschrift, tenzij die wetgeving een dergelijke kennisgeving om gewichtige redenen van algemeen belang verbiedt.

Wij stellen u onmiddellijk op de hoogte als een instructie naar onze mening in strijd is met de AVG of andere toepasselijke bepalingen inzake gegevensbescherming van de Unie of een lidstaat.

4.2 Vertrouwelijkheid

Wij waarborgen dat personen die gemachtigd zijn om Persoonsgegevens te verwerken zich tot geheimhouding hebben verbonden of onder een passende wettelijke geheimhoudingsplicht vallen.

4.3 Beveiligingsmaatregelen

Wij treffen passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, waaronder:

• Versleuteling van Persoonsgegevens tijdens de overdracht (TLS/HTTPS) en versleuteling van gevoelige opgeslagen informatie
• Toegangscontroles en authenticatie op basis van rollen voor interne systemen
• Regelmatige beveiligingsbeoordelingen en kwetsbaarheidsscans
• Infrastructuur die wordt gehost door Scaleway en DigitalOcean, met beveiligings- en nalevingsmaatregelen die afhangen van de aanbieder en de hostingdienst
• DDoS-bescherming en een webapplicatiefirewall (Cloudflare)
• Regelmatige back-ups met versleutelde opslag
• Logging en monitoring van de toegang tot Persoonsgegevens

4.4 Subverwerkers

Wij gebruiken de subverwerkers op onze pagina Subverwerkers. Wij zullen u actief schriftelijk informeren over elke voorgenomen toevoeging of vervanging van een subverwerker. Vanaf die kennisgeving krijgt u 30 dagen om bezwaar te maken voordat de wijziging ingaat. U kunt binnen die termijn bezwaar maken door contact op te nemen via [email protected]. Als u bezwaar maakt en wij daar redelijkerwijs niet aan tegemoet kunnen komen, kan elk van de Partijen het betreffende deel van de Diensten beëindigen.

Wij schakelen een subverwerker uitsluitend in om namens u Persoonsgegevens te verwerken op basis van een schriftelijke overeenkomst, waaronder toepasselijke elektronische voorwaarden, die de door artikel 28(4) van de AVG vereiste gegevensbeschermingsverplichtingen oplegt. Wij blijven verantwoordelijk voor onze subverwerkers zoals dat artikel vereist.

4.5 Rechten van Betrokkenen

Wij helpen u bij het beantwoorden van verzoeken van Betrokkenen die hun rechten op grond van het toepasselijke gegevensbeschermingsrecht uitoefenen (inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar). Als wij rechtstreeks een verzoek van een Betrokkene ontvangen, verwijzen wij die persoon onverwijld naar u door, tenzij u anders hebt geïnstrueerd.

4.6 Bijstand bij naleving

Wij helpen u bij het nakomen van uw verplichtingen op grond van de artikelen 32 tot en met 36 van de AVG, rekening houdend met de aard van de Verwerking en de informatie waarover wij beschikken.

5. KENNISGEVING VAN DATALEKKEN

5.1 Termijn voor kennisgeving

Wij stellen u zonder onredelijke vertraging, en in ieder geval binnen 72 uur nadat wij kennis hebben genomen van een Datalek, daarvan op de hoogte. De kennisgeving wordt verzonden naar het e-mailadres dat aan uw account is gekoppeld.

5.2 Inhoud van de kennisgeving

Voor zover beschikbaar bevat de kennisgeving:

• Een omschrijving van de aard van het Datalek, met de categorieën en het geschatte aantal getroffen Betrokkenen en gegevensbestanden.
• De naam en contactgegevens van ons aanspreekpunt voor gegevensbescherming.
• Een omschrijving van de waarschijnlijke gevolgen van het Datalek.
• Een omschrijving van de getroffen of voorgestelde maatregelen om het Datalek aan te pakken, waaronder maatregelen om mogelijke nadelige gevolgen te beperken.

5.3 Voortdurende samenwerking

Wij werken met u samen en bieden redelijke bijstand bij het onderzoeken, beperken en verhelpen van een Datalek en bij kennisgevingen aan toezichthoudende autoriteiten of Betrokkenen die u verplicht bent te doen.

6. INTERNATIONALE DOORGIFTE VAN GEGEVENS

6.1 Gegevenslocatie

Persoonsgegevens worden hoofdzakelijk in de Europese Unie opgeslagen en verwerkt:

• Frankrijk (EU) via Scaleway
• Nederland (EU) via DigitalOcean

6.2 Doorgiften buiten de EU/EER

Sommige van onze subverwerkers bevinden zich buiten de EU/EER, voornamelijk in de Verenigde Staten. Voor deze doorgiften baseren wij ons op:

• EU-US Data Privacy Framework: Waar van toepassing, voor doorgiften aan in de VS gevestigde aanbieders die onder dit kader zijn gecertificeerd.
• Standaardcontractbepalingen (SCC's): Wij nemen de door de Europese Commissie goedgekeurde SCC's (Uitvoeringsbesluit (EU) 2021/914 van de Commissie) op in onze overeenkomsten met subverwerkers buiten de EU/EER wanneer het Data Privacy Framework niet van toepassing is.

6.3 Beoordeling van de gevolgen van doorgiften

Wij voeren beoordelingen uit van de gevolgen van doorgiften naar derde landen en treffen waar nodig aanvullende maatregelen om een passend niveau van gegevensbescherming te waarborgen.

7. AUDITS EN INSPECTIES

7.1 Auditrechten

U hebt het recht om te controleren of wij deze DPA naleven. Wij stellen alle informatie beschikbaar die nodig is om de naleving aan te tonen en maken audits, waaronder inspecties, door u of een door u gemachtigde auditor mogelijk en werken daaraan mee.

7.2 Auditprocedure

De volgende afspraken gelden uitsluitend voor zover zij geen beperking vormen van rechten of verplichtingen op grond van het toepasselijke gegevensbeschermingsrecht:

• U moet een audit ten minste 30 dagen van tevoren schriftelijk aankondigen.
• Audits mogen maximaal eenmaal per jaar plaatsvinden, tenzij een toezichthoudende autoriteit dit vereist of er een Datalek is geweest.
• Audits moeten tijdens normale kantooruren plaatsvinden en mogen onze bedrijfsvoering niet onredelijk verstoren.
• U draagt de kosten van een audit, tenzij deze een wezenlijke schending van deze DPA aan het licht brengt.
• Vertrouwelijke informatie van onze andere klanten mag tijdens de audit niet worden blootgelegd.

8. BEWAREN EN VERWIJDEREN VAN GEGEVENS

8.1 Tijdens de Overeenkomst

Wij bewaren Persoonsgegevens gedurende de looptijd van de Overeenkomst voor zover dat nodig is om de Diensten aan te bieden.

8.2 Bij beëindiging

Bij beëindiging van de Overeenkomst of op uw schriftelijke verzoek:

• Verwijderen wij, naar uw keuze, de Persoonsgegevens of bezorgen wij deze aan u terug en verwijderen wij de resterende kopieën binnen 30 dagen uit onze actieve systemen.
• Worden Persoonsgegevens in back-uparchieven binnen 6 maanden gewist. Tot die tijd blijven zij beschermd en worden zij niet voor andere doeleinden gebruikt, tenzij het toepasselijke recht anders vereist.
• Mogen wij Persoonsgegevens bewaren voor zover het toepasselijke recht dit vereist (bijvoorbeeld fiscale of boekhoudkundige verplichtingen). In dat geval isoleren en beschermen wij deze gegevens en beperken wij de verdere Verwerking tot wat wettelijk vereist is.

8.3 Bevestiging

Op uw verzoek verstrekken wij een schriftelijke bevestiging dat Persoonsgegevens overeenkomstig dit artikel zijn verwijderd.

9. AANSPRAKELIJKHEID

De aansprakelijkheid van elke Partij op grond van deze DPA is onderworpen aan de aansprakelijkheidsbeperkingen in de Overeenkomst. Niets in deze DPA beperkt de aansprakelijkheid van een Partij jegens Betrokkenen of toezichthoudende autoriteiten op grond van het toepasselijke gegevensbeschermingsrecht.

10. TOEPASSELIJK RECHT

Op deze DPA is Frans recht van toepassing. De AVG en de UK GDPR gelden voor zover de Verwerking binnen hun respectieve wettelijke toepassingsgebied valt. Geschillen die uit deze DPA voortvloeien, worden behandeld overeenkomstig de bepalingen over geschillenbeslechting in de Overeenkomst.

11. DEZE DPA AANGAAN

Deze DPA is opgenomen in en maakt deel uit van de Servicevoorwaarden. Door de QR Code AI-diensten te gebruiken, gaat u akkoord met deze DPA.

Als u voor uw administratie een afzonderlijk ondertekend exemplaar van deze DPA nodig hebt, neem dan contact op via [email protected]. Wij verstrekken dit binnen 10 werkdagen.

12. CONTACT

Voor vragen over deze DPA of onze gegevensverwerking:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 France [email protected]