Verwerkersovereenkomst

1.1. Deze verwerkersovereenkomst is een afspraak tussen LeadBot B.V., ingeschreven bij de Kamer van Koophandel onder nummer 89992229 (‘LeadBot’), als verwerker, en iedere klant die de Dienst gebruikt (‘Klant’), als verwerkingsverantwoordelijke.

1.2. Deze verwerkersovereenkomst hoort bij de algemene voorwaarden en bij elke overeenkomst tussen LeadBot en Klant over de Dienst. Zij geldt vanaf het moment dat Klant de Dienst voor het eerst gebruikt. Gebruikt Klant de Dienst via een partner van LeadBot, dan geldt deze verwerkersovereenkomst rechtstreeks tussen LeadBot en Klant.

1.3. Deze verwerkersovereenkomst gaat over de persoonsgegevens die LeadBot in opdracht van Klant verwerkt, zoals beschreven in bijlage 1. Zij gaat niet over gegevens waarvoor LeadBot zelf verwerkingsverantwoordelijke is, zoals accountgegevens van Klant en zijn gebruikers en contactpersonen bij bedrijven. Daarvoor geldt ons privacybeleid.

1.4. Bij strijd tussen deze verwerkersovereenkomst en de algemene voorwaarden gaat deze verwerkersovereenkomst voor, voor zover het gaat om de verwerking van persoonsgegevens.

Begrippen als ‘persoonsgegevens’, ‘verwerking’, ‘betrokkene’, ‘verwerkingsverantwoordelijke’, ‘verwerker’ en ‘inbreuk in verband met persoonsgegevens’ (datalek) hebben de betekenis uit de Algemene verordening gegevensbescherming (‘AVG’). Verder geldt:

• Dienst: de software van LeadBot die Klant gebruikt, zoals de widget, chats, formulieren, de inbox en koppelingen.
• Subverwerker: een andere partij die LeadBot inschakelt en die persoonsgegevens van Klant verwerkt.
• Persoonsgegevens: de persoonsgegevens die LeadBot in opdracht van Klant verwerkt, zoals beschreven in bijlage 1.

3.1. LeadBot verwerkt de Persoonsgegevens alleen om de Dienst aan Klant te leveren en alleen volgens de schriftelijke instructies van Klant. LeadBot gebruikt de Persoonsgegevens niet voor eigen doeleinden en verkoopt ze niet.

3.2. Klant geeft zijn instructies door de Dienst in te stellen en te gebruiken, bijvoorbeeld door onderdelen aan of uit te zetten, koppelingen te maken of gegevens te verwijderen, en via deze verwerkersovereenkomst. Andere instructies geeft Klant per e-mail.

3.3. LeadBot mag Persoonsgegevens alleen buiten deze instructies verwerken als de wet dat verplicht. LeadBot laat Klant dat dan vooraf weten, tenzij de wet dat verbiedt.

3.4. Vindt LeadBot dat een instructie in strijd is met de AVG of andere privacywetgeving, dan laat LeadBot dat Klant direct weten. LeadBot mag de uitvoering van die instructie opschorten tot Klant de instructie heeft bevestigd of aangepast.

4.1. Klant is verwerkingsverantwoordelijke voor de Persoonsgegevens. Klant staat ervoor in dat hij (a) een geldige grondslag heeft voor de verwerking door LeadBot, (b) de toestemming heeft gekregen die de wet vereist voor het opslaan en uitlezen van gegevens in de browser van bezoekers (artikel 11.7a Telecommunicatiewet), bijvoorbeeld voor bezoekersstatistieken en bedrijfsherkenning, en (c) zijn bezoekers in zijn eigen privacyverklaring voldoende informeert over de verwerking door LeadBot.

4.2. Klant zorgt ervoor dat de Dienst niet wordt gebruikt om bijzondere persoonsgegevens (zoals gegevens over gezondheid) of gegevens van strafrechtelijke aard te verwerken, tenzij Klant daar zelf een wettelijke grondslag voor heeft en LeadBot daarover vooraf heeft geïnformeerd.

4.3. Koppelt Klant de Dienst aan diensten van derden, zoals Shopify, Google Ads, Zapier, een AI-assistent via MCP of een eigen webhook, dan zorgt Klant voor de afspraken met die derden. Die diensten zijn geen Subverwerkers van LeadBot.

5.1. LeadBot houdt de Persoonsgegevens geheim. Alleen medewerkers van LeadBot die toegang nodig hebben voor hun werk krijgen toegang. Zij zijn gebonden aan geheimhouding.

5.2. LeadBot geeft Persoonsgegevens niet aan derden, behalve aan Subverwerkers volgens artikel 7, op instructie van Klant, of als de wet dat verplicht.

6.1. LeadBot neemt passende technische en organisatorische maatregelen om de Persoonsgegevens te beveiligen tegen verlies en onrechtmatige verwerking, rekening houdend met de stand van de techniek, de kosten en de risico's (artikel 32 AVG). Bijlage 3 beschrijft de maatregelen.

6.2. LeadBot mag de maatregelen aanpassen, zolang het beveiligingsniveau niet omlaag gaat.

7.1. Klant geeft LeadBot algemene toestemming om Subverwerkers in te schakelen. De Subverwerkers die LeadBot nu gebruikt, staan in bijlage 2.

7.2. LeadBot informeert Klant minstens één maand voordat een nieuwe Subverwerker of de vervanging van een Subverwerker ingaat, per e-mail of via deze pagina. Klant kan binnen die maand met redenen bezwaar maken. Maakt Klant binnen die termijn geen bezwaar, dan stemt Klant in met de wijziging. Maakt Klant wel bezwaar, dan zoeken partijen samen een redelijk alternatief; extra kosten daarvan zijn voor Klant. Komen partijen er samen niet uit, dan mag Klant de overeenkomst opzeggen tegen de datum waarop de wijziging ingaat.

7.3. LeadBot legt elke Subverwerker schriftelijk ten minste dezelfde verplichtingen op als in deze verwerkersovereenkomst staan. LeadBot blijft tegenover Klant verantwoordelijk voor de Subverwerkers.

8.1. Een deel van de Subverwerkers zit buiten de Europese Economische Ruimte (EER), vooral in de Verenigde Staten. Bijlage 2 laat zien welke.

8.2. LeadBot geeft Persoonsgegevens alleen door buiten de EER als daar een geldige grondslag voor is volgens hoofdstuk V van de AVG, zoals een adequaatheidsbesluit van de Europese Commissie (bijvoorbeeld het EU-VS Data Privacy Framework voor gecertificeerde bedrijven) of de standaardcontractbepalingen van de Europese Commissie.

9.1. Klant kan veel verzoeken van betrokkenen zelf afhandelen in de Dienst, zoals een gesprek of lead inzien of verwijderen. Daarmee verdwijnen niet alle kopieën. Voor volledige verwijdering helpt LeadBot.

9.2. LeadBot helpt Klant binnen een redelijke termijn met verzoeken van betrokkenen die Klant niet zelf kan afhandelen.

9.3. Krijgt LeadBot een verzoek rechtstreeks van een betrokkene, dan stuurt LeadBot het zo snel mogelijk door naar Klant en handelt LeadBot het niet zelf af, tenzij Klant daarom vraagt.

10.1. LeadBot informeert Klant zonder onredelijke vertraging, en waar mogelijk binnen 48 uur nadat LeadBot het heeft ontdekt, over een datalek dat de Persoonsgegevens betreft.

10.2. LeadBot geeft daarbij de informatie die Klant nodig heeft om het datalek te beoordelen en waar nodig te melden, en vult die aan zodra er meer bekend is.

10.3. Klant beslist of het datalek wordt gemeld. LeadBot meldt datalekken met de Persoonsgegevens niet zelf aan de toezichthouder of de betrokkenen, tenzij de wet LeadBot daartoe verplicht.

11.1. LeadBot helpt Klant waar redelijk met een gegevensbeschermingseffectbeoordeling (DPIA) en een eventuele voorafgaande raadpleging van de Autoriteit Persoonsgegevens, voor zover die over de Dienst gaan.

11.2. LeadBot geeft Klant op verzoek de informatie die nodig is om aan te tonen dat LeadBot zich aan deze verwerkersovereenkomst houdt.

11.3. Is die informatie niet voldoende, dan mag Klant eenmaal per jaar een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht. Klant kondigt de audit minstens 30 dagen vooraf aan. De audit verstoort de bedrijfsvoering van LeadBot zo min mogelijk. Klant draagt de kosten van de audit.

12.1. Deze verwerkersovereenkomst loopt zolang LeadBot Persoonsgegevens voor Klant verwerkt.

12.2. Tot het einde van de overeenkomst kan Klant de Persoonsgegevens zelf verwijderen in de Dienst, of LeadBot vragen om een export.

12.3. Na het einde van de overeenkomst verwijdert LeadBot de Persoonsgegevens binnen een redelijke termijn, tenzij de wet LeadBot verplicht ze langer te bewaren. Back-ups worden verwijderd volgens de normale back-upcyclus. LeadBot bevestigt de verwijdering op verzoek.

12.4. Tijdens de overeenkomst gelden de bewaartermijnen uit bijlage 1.

13.1. Voor de aansprakelijkheid van partijen geldt wat daarover in de algemene voorwaarden staat, voor zover de AVG dat toelaat.

13.2. In afwijking van artikel 13.1 vrijwaart Klant LeadBot voor aanspraken van derden, waaronder betrokkenen, voor handhavingsacties van toezichthouders, en voor alle schade en verliezen die daaruit volgen, voor zover die het gevolg zijn van het niet nakomen van artikel 4.1 door Klant.

14.1. LeadBot mag deze verwerkersovereenkomst aanpassen als de Dienst of de wet verandert. Bij wijzigingen die nadelig zijn voor Klant informeert LeadBot Klant minstens 30 dagen vooraf. Wijzigingen verlagen nooit het beschermingsniveau dat de AVG voorschrijft.

14.2. Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in Nederland.

14.3. Vragen over deze verwerkersovereenkomst? Mail partners@leadbot.nl.

Betrokkenen

Bezoekers van de websites van Klant, mensen die via de Dienst chatten of een formulier invullen, en klanten van de webshop van Klant die in de AI-chat naar hun bestelling vragen.

Persoonsgegevens

• Widget: een bezoekersnummer in de browser, IP-adres, browser en apparaat, pagina, verwijzende pagina en land.
• Chats en formulieren: de inhoud, inclusief wat de bezoeker zelf deelt, zoals naam, e-mailadres en telefoonnummer.
• Bezoekersstatistieken (staan standaard aan): bekeken pagina's, herkomst en advertentiekenmerken.
• Bedrijfsherkenning (staat standaard aan zolang bezoekersstatistieken aan staan): IP-adres, browser, pagina en kenmerken uit marketingcookies die al op de website staan. Van formulieren alleen bedrijfsgegevens en het domein van het e-mailadres.
• Shopify: het order- of trackingnummer en het e-mailadres uit de chat, en uit Shopify de status, producten en volglink van die bestelling.
• Google Ads: de campagne en het zoekwoord bij een advertentieklik.

Aard en doel

Het verzamelen, opslaan, tonen en doorsturen van deze gegevens, zodat Klant vragen van bezoekers kan beantwoorden (ook met een AI-model), leads kan ontvangen en inzicht krijgt in het bezoek aan zijn website, inclusief welke bedrijven die bezoeken.

Afspraken voor gegevens uit Shopify

• LeadBot zoekt alleen op het e-mailadres dat de klant van de webshop zelf geeft, en toont alleen de bestelling waarbij ook het order- of trackingnummer klopt.
• LeadBot heeft via de koppeling ook toegang tot naam en adres, maar gebruikt het adres alleen om een zending bij de vervoerder te volgen.
• LeadBot slaat bestelgegevens niet apart op. Alleen het antwoord blijft in het gesprek.
• LeadBot gebruikt gegevens uit Shopify alleen hiervoor en verkoopt of deelt ze niet, behalve met Subverwerkers.

Bewaartermijnen

LeadBot schakelt voor de Persoonsgegevens de volgende Subverwerkers in:

• Alle verbindingen zijn versleuteld (https).
• Gebruikers zien alleen de gegevens van hun eigen organisatie.
• Inloggen loopt via WorkOS. Toegangstokens van gekoppelde diensten slaat LeadBot niet zelf op.
• Alleen medewerkers die het voor hun werk nodig hebben, hebben toegang.
• Belangrijke acties in accounts worden 24 maanden vastgelegd.
• Wachtwoorden en sleutels van systemen staan niet in de broncode.
• Paginabezoeken, bezoekers die niets deden, bedrijfsbezoeken en het webhooklogboek worden automatisch verwijderd na de termijnen in bijlage 1.