Verwerkersovereenkomst

Deze Verwerkersovereenkomst (hierna "DPA") maakt integraal deel uit van de overeenkomst tussen ChatAgent en de Klant. Ze is van toepassing op de verwerking van persoonsgegevens door ChatAgent in opdracht van de Klant, conform artikel 28 van de Algemene Verordening Gegevensbescherming (GDPR, Verordening (EU) 2016/679).

1. Definities

• Verwerkingsverantwoordelijke: de Klant — de natuurlijke persoon of rechtspersoon die het doel en de middelen van de gegevensverwerking bepaalt.
• Verwerker: ChatAgent (Xander Hubert, België) — verwerkt persoonsgegevens in opdracht van de Klant.
• Betrokkenen: de websitebezoekers van de Klant die interageren met de ChatAgent-widget.
• Persoonsgegevens: alle informatie over een identificeerbare natuurlijke persoon die via de chatwidget wordt verwerkt.

2. Aard en doel van de verwerking

ChatAgent verwerkt persoonsgegevens van websitebezoekers van de Klant uitsluitend ten behoeve van:

• Het weergeven van chatconversaties via de widget op de website van de Klant
• Het opslaan van chatgesprekken zodat de Klant deze kan raadplegen in zijn portaal
• Het automatisch detecteren en opslaan van leads (naam, telefoon, e-mail) die bezoekers vrijwillig delen
• Het versturen van e-mailmeldingen aan de Klant bij nieuwe leads

3. Categorieën van verwerkte persoonsgegevens

Categorie	Voorbeelden	Bron
Identificatiegegevens	Naam, voornaam	Vrijwillig gedeeld door bezoeker in de chat
Contactgegevens	E-mailadres, telefoonnummer	Vrijwillig gedeeld door bezoeker in de chat
Communicatiedata	Chatgesprekken (vragen en antwoorden)	Gegenereerd tijdens chatinteractie
Technische data	Sessie-ID, tijdstempel	Automatisch gegenereerd door ChatAgent

4. Instructies van de verwerkingsverantwoordelijke

ChatAgent verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de Klant, zoals vastgelegd in de dienstverlening en de configuratie via het portaal. ChatAgent zal de Klant onmiddellijk informeren als een instructie naar zijn mening strijdig is met de GDPR.

5. Vertrouwelijkheid

ChatAgent zorgt ervoor dat personen die gemachtigd zijn om de persoonsgegevens te verwerken, gebonden zijn aan een verplichting tot vertrouwelijkheid. Toegang tot klantgegevens is beperkt tot de technisch noodzakelijke systemen.

6. Beveiliging

ChatAgent treft passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen, waaronder:

• Versleuteling van alle data in transit via HTTPS/TLS
• Versleuteling van data at rest via Cloudflare D1
• Toegangscontrole via sessiebeheer (PBKDF2-gehashte wachtwoorden, sessietokens)
• Beperkte toegang tot de database (alleen via geauthenticeerde Worker-endpoints)
• Geen opslag van betalingskaartgegevens (Stripe verwerkt dit)

7. Sub-verwerkers

De Klant verleent ChatAgent een algemene machtiging voor het gebruik van de volgende sub-verwerkers:

Sub-verwerker	Rol	Vestigingsplaats
Cloudflare, Inc.	Hosting, Workers-runtime, D1-database, AI-inferentie (Llama)	San Francisco, VS
Resend, Inc.	Transactionele e-mailverzending (lead-notificaties, welkomstmails)	San Francisco, VS
Stripe, Inc.	Betalingsverwerking (klantgegevens voor facturatie)	San Francisco, VS

Doorgifte van persoonsgegevens naar deze sub-verwerkers in de VS geschiedt op basis van Standard Contractual Clauses (SCCs) zoals goedgekeurd door de Europese Commissie.

ChatAgent stelt de Klant vooraf in kennis van beoogde wijzigingen inzake de toevoeging of vervanging van sub-verwerkers, zodat de Klant bezwaar kan maken.

8. Bijstand aan de verwerkingsverantwoordelijke

ChatAgent helpt de Klant, voor zover mogelijk, om te voldoen aan zijn verplichtingen met betrekking tot:

• Verzoeken van betrokkenen (inzage, rectificatie, verwijdering, etc.): de Klant kan gesprekken en leads zelf verwijderen via het portaal; ChatAgent verwijdert gegevens op aanvraag.
• Beveiligingsincidenten: ChatAgent informeert de Klant zonder onnodige vertraging bij een beveiligingsincident dat de persoonsgegevens van de Klant betreft.
• Data Protection Impact Assessments (DPIA's): op redelijk verzoek van de Klant.

9. Verwijdering na beëindiging

Na beëindiging van de dienstverlening verwijdert ChatAgent alle persoonsgegevens van de Klant en zijn websitebezoekers binnen 30 dagen, tenzij een langere bewaarperiode wettelijk verplicht is. De Klant kan zijn gegevens ook zelf direct verwijderen via het portaal (Abonnement → Gegevens verwijderen).

10. Audit en controle

ChatAgent stelt de Klant alle informatie ter beschikking die nodig is om de naleving van de verplichtingen van artikel 28 GDPR aan te tonen, en staat audits toe die door de Klant of een door hem aangewezen auditor worden uitgevoerd, met een redelijke opzegtermijn en zonder de normale bedrijfsvoering te verstoren.

11. Contactgegevens

Voor vragen over deze DPA of de verwerking van persoonsgegevens:
ChatAgent — Xander Hubert
E-mail: support@chatagent.be