Verwerkersovereenkomst

Ajora

• Versie 1.0 · Laatst bijgewerkt: 24-09-2026

Deze verwerkersovereenkomst (de "DPA") maakt deel uit van, en is door verwijzing opgenomen in, de Algemene Voorwaarden (de "Overeenkomst") tussen:

Ajora B.V., een Nederlandse besloten vennootschap ingeschreven in het Handelsregister onder KvK-nummer 42138300, gevestigd te Poortstraat 28, 3572 HJ Utrecht, Nederland, die de dienst Ajora exploiteert ("Ajora", "Verwerker"),

en

de Accounthouder die de Overeenkomst is aangegaan ("Klant", "Verwerkingsverantwoordelijke").

Ieder afzonderlijk een "Partij" en gezamenlijk de "Partijen".

Deze DPA regelt de Verwerking van Persoonsgegevens door Ajora namens de Klant in verband met de dienst Ajora (de "Dienst"). Zij is opgesteld om te voldoen aan de vereisten van artikel 28 van Verordening (EU) 2016/679 (de "AVG") en de Nederlandse Uitvoeringswet AVG.

Door de Overeenkomst te aanvaarden, gaat de Klant deze DPA aan. Een ondertekende pdf-versie is op verzoek beschikbaar via [email protected] voor Klanten die een medeondertekend exemplaar nodig hebben.

1. Definities

Termen die in deze DPA worden gebruikt maar daarin niet zijn gedefinieerd, hebben de betekenis die daaraan in de AVG of de Overeenkomst wordt gegeven. De volgende termen hebben de volgende betekenis:

• "Persoonsgegevens" betekent alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon die door Ajora namens de Klant wordt verwerkt in verband met de Dienst.
• "Verwerking", "Verwerkingsverantwoordelijke", "Verwerker", "Betrokkene", "Toezichthoudende autoriteit" en "Inbreuk in verband met persoonsgegevens" hebben de betekenis die daaraan in de AVG wordt gegeven.
• "Subverwerker" betekent elke derde partij die door Ajora wordt ingeschakeld om namens haar Persoonsgegevens te verwerken.
• "Standaardcontractbepalingen" of "SCC's" betekent de standaardcontractbepalingen voor de doorgifte van persoonsgegevens aan derde landen die door de Europese Commissie zijn goedgekeurd in Uitvoeringsbesluit (EU) 2021/914.
• "EU-US Data Privacy Framework" of "DPF" betekent het kader dat door de Europese Commissie is goedgekeurd in Uitvoeringsbesluit (EU) 2023/1795.
• "Toepasselijke gegevensbeschermingswetgeving" betekent de AVG, de Uitvoeringswet AVG, de e-Privacyrichtlijn 2002/58/EG zoals nationaal geïmplementeerd, en elke andere wetgeving inzake gegevensbescherming die van toepassing is op de Verwerking onder deze DPA.

2. Reikwijdte, rollen en instructies

• 2.1 Rollen. Voor de toepassing van deze DPA is de Klant de Verwerkingsverantwoordelijke van de Persoonsgegevens en is Ajora de Verwerker. Elke Partij is verantwoordelijk voor haar eigen naleving van de Toepasselijke gegevensbeschermingswetgeving in haar respectieve rol.
• 2.2 Onderwerp en doel. Ajora verwerkt Persoonsgegevens uitsluitend met het doel de Dienst aan de Klant te leveren, zoals beschreven in Bijlage A.
• 2.3 Duur. Deze DPA geldt voor de duur van de Overeenkomst en voor elke verdere periode waarin Ajora namens de Klant Persoonsgegevens verwerkt.
• 2.4 Gedocumenteerde instructies. Ajora verwerkt Persoonsgegevens uitsluitend op basis van de gedocumenteerde instructies van de Klant, zoals vastgelegd in deze DPA, de Overeenkomst, het Privacybeleid en het gebruik van de Dienst door de Klant via de configuratie en het account. Aanvullende instructies vereisen wederzijdse schriftelijke overeenstemming en kunnen onderworpen zijn aan aanvullende kosten.
• 2.5 Naleving van wetgeving. Indien Ajora op grond van Unierecht of het recht van een lidstaat verplicht is Persoonsgegevens te verwerken buiten de instructies van de Klant om, stelt Ajora de Klant voorafgaand aan de verwerking op de hoogte van dat wettelijke voorschrift, tenzij die wetgeving een dergelijke kennisgeving verbiedt om gewichtige redenen van algemeen belang.
• 2.6 Onrechtmatige instructies. Ajora stelt de Klant onverwijld op de hoogte indien een instructie van de Klant naar haar oordeel inbreuk maakt op de Toepasselijke gegevensbeschermingswetgeving. Ajora is niet verplicht de rechtmatigheid van instructies van de Klant verder te verifiëren dan een redelijke beoordeling.

3. Verplichtingen van de Klant

• 3.1 De Klant garandeert dat:
  • Hij beschikt over een geldige juridische grondslag onder artikel 6 AVG voor de Verwerking waartoe hij opdracht geeft, met inbegrip van het opnemen van telefoongesprekken en de verwerking van gegevens van andere partijen aan die gesprekken.
  • Hij alle kennisgevingen heeft gedaan en alle toestemmingen heeft verkregen die vereist zijn op grond van de Toepasselijke gegevensbeschermingswetgeving, waaronder toestemming van andere partijen aan een gesprek voordat een opname begint.
  • Zijn instructies aan Ajora voldoen aan de Toepasselijke gegevensbeschermingswetgeving.
• 3.2 De Klant erkent en aanvaardt dat het opnemen, transcriberen en met AI verwerken van gespreksinhoud specifieke wettelijke verplichtingen met zich meebrengt in de hoedanigheid van de Klant als Verwerkingsverantwoordelijke, waaronder de verplichtingen beschreven in de Algemene Voorwaarden §3 en het Privacybeleid §6.

4. Vertrouwelijkheid

• 4.1 Ajora waarborgt dat al het personeel dat gemachtigd is Persoonsgegevens te verwerken:
  • Op de hoogte is van het vertrouwelijke karakter van de Persoonsgegevens.
  • Gebonden is aan passende contractuele of wettelijke geheimhoudingsverplichtingen die van kracht blijven na het einde van hun aanstelling.
  • Passende training ontvangt op het gebied van gegevensbescherming en informatiebeveiliging.
• 4.2 De toegang tot Persoonsgegevens is beperkt tot personeel dat toegang nodig heeft om zijn taken onder de Overeenkomst uit te voeren.

5. Beveiliging

• 5.1 Ajora treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, in overeenstemming met artikel 32 AVG. De maatregelen die van kracht zijn op de ingangsdatum van deze DPA zijn opgenomen in Bijlage B.
• 5.2 Ajora kan de technische en organisatorische maatregelen van tijd tot tijd bijwerken, mits de bijgewerkte maatregelen het beveiligingsniveau niet wezenlijk verlagen. De actuele maatregelen zijn op verzoek beschikbaar.
• 5.3 De Klant erkent dat de maatregelen in Bijlage B passend zijn voor de aard van de Dienst en de verwerkte Persoonsgegevens, rekening houdend met de stand van de techniek, de uitvoeringskosten en de qua waarschijnlijkheid en ernst uiteenlopende risico's voor Betrokkenen.

6. Subverwerkers

• 6.1 Algemene toestemming. De Klant verleent Ajora algemene schriftelijke toestemming om Subverwerkers in te schakelen die namens haar Persoonsgegevens verwerken. De Subverwerkers die op de ingangsdatum van deze DPA zijn ingeschakeld, staan vermeld in Bijlage C.
• 6.2 Verplichtingen van Subverwerkers. Ajora zal:
  • Met elke Subverwerker een schriftelijke overeenkomst sluiten waarin gegevensbeschermingsverplichtingen worden opgelegd die in wezen gelijkwaardig zijn aan die in deze DPA.
  • Jegens de Klant volledig aansprakelijk blijven voor het handelen en nalaten van haar Subverwerkers alsof het haar eigen handelen en nalaten betreft.
  • De gegevensbeschermings- en beveiligingspraktijken van elke Subverwerker beoordelen voorafgaand aan onboarding.
• 6.3 Wijzigingen in Subverwerkers. Ajora stelt de Klant ten minste 30 dagen van tevoren op de hoogte van het toevoegen of vervangen van een Subverwerker die betrokken is bij de verwerking van gespreksinhoud, per e-mail aan het adres dat aan het account van de Klant is gekoppeld en door de subverwerkerslijst in het privacybeleid bij te werken.
• 6.4 Bezwaar. De Klant kan binnen 15 dagen na kennisgeving op redelijke gegevensbeschermingsgronden bezwaar maken tegen een nieuwe Subverwerker. Indien het bezwaar niet binnen een redelijke termijn kan worden opgelost, kan de Klant de Overeenkomst beëindigen voordat de nieuwe Subverwerker met de verwerking begint, en betaalt Ajora vooruitbetaalde vergoedingen voor het ongebruikte deel van de abonnementstermijn terug. Voor de duidelijkheid: bezwaren op grond van commerciële voorkeur worden onder deze bepaling niet als redelijke gronden beschouwd.

7. Internationale overdrachten

• 7.1 De Klant machtigt Ajora om Persoonsgegevens buiten de Europese Economische Ruimte over te dragen aan de in Bijlage C vermelde Subverwerkers, met inachtneming van de in die Bijlage genoemde waarborgen.
• 7.2 Elke overdracht valt onder een passende waarborg conform hoofdstuk V van de AVG, waaronder:
  • Certificering onder het EU-US Data Privacy Framework, wanneer de Subverwerker is gecertificeerd; of
  • Standaardcontractbepalingen (Module 2 of Module 3, naargelang van toepassing), wanneer certificering onder het DPF niet beschikbaar is.
• 7.3 Ajora verifieert periodiek of deze waarborgen beschikbaar blijven en stelt de Klant op de hoogte van elke wezenlijke wijziging.

8. Bijstand bij rechten van Betrokkenen

• 8.1 Rekening houdend met de aard van de Verwerking verleent Ajora de Klant bijstand, door middel van passende technische en organisatorische maatregelen, bij het beantwoorden van verzoeken van Betrokkenen die hun rechten uitoefenen onder hoofdstuk III van de AVG (inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar en het recht niet te worden onderworpen aan geautomatiseerde besluitvorming).
• 8.2 Wanneer Ajora rechtstreeks een verzoek van een Betrokkene ontvangt dat betrekking heeft op Persoonsgegevens die namens de Klant worden verwerkt, zal Ajora:
  • Niet rechtstreeks op het verzoek reageren (behalve om de ontvangst te bevestigen en de Betrokkene door te verwijzen).
  • Het verzoek zonder onnodige vertraging aan de Klant doorsturen.
  • Redelijke bijstand verlenen aan de Klant bij het beantwoorden ervan.
• 8.3 Ajora biedt de volgende selfservicemogelijkheden via het accountdashboard van de Klant:
  • Export van alle transcripties en samenvattingen in een machineleesbaar formaat.
  • Verwijdering van afzonderlijke transcripties, gespreksregistraties of het volledige account.
  • Toegang tot account- en gebruiksgegevens.
• 8.4 Wanneer bijstand van Ajora die verder gaat dan deze selfservicemogelijkheden een onevenredige inspanning vergt, kan Ajora een redelijke vergoeding in rekening brengen, die vooraf aan de Klant wordt meegedeeld.

9. Bijstand bij verplichtingen van de Verwerkingsverantwoordelijke

Ajora verleent de Klant redelijke bijstand bij het nakomen van de verplichtingen van de Klant onder de artikelen 32 tot en met 36 AVG, waaronder:

• Het beantwoorden van redelijke verzoeken om informatie die noodzakelijk is om naleving van artikel 32 AVG (beveiliging) aan te tonen.
• Het informeren van de Klant over Inbreuken in verband met persoonsgegevens op grond van artikel 33 (zie §10 hieronder).
• Het verstrekken van informatie die de Klant redelijkerwijs nodig heeft om een gegevensbeschermingseffectbeoordeling uit te voeren op grond van artikel 35, of om de Toezichthoudende autoriteit te raadplegen op grond van artikel 36.

10. Melding van Inbreuken in verband met persoonsgegevens

• 10.1 Ajora stelt de Klant zonder onnodige vertraging en in ieder geval binnen 72 uur nadat zij daarvan kennis heeft genomen op de hoogte van een Inbreuk in verband met persoonsgegevens die van invloed is op Persoonsgegevens die namens de Klant worden verwerkt.
• 10.2 De melding beschrijft, voor zover de informatie beschikbaar is:
  • De aard van de inbreuk, met inbegrip van de categorieën en het geschatte aantal betrokken Betrokkenen en registraties.
  • De waarschijnlijke gevolgen van de inbreuk.
  • De maatregelen die zijn getroffen of worden voorgesteld om de inbreuk aan te pakken en de nadelige gevolgen ervan te beperken.
  • Contactgegevens voor nadere informatie.
• 10.3 Ajora werkt samen met de Klant en verleent redelijke bijstand bij het onderzoeken, beperken en verhelpen van de inbreuk en bij het melden ervan aan de Toezichthoudende autoriteit en aan Betrokkenen waar dat vereist is.
• 10.4 Meldingen aan de Klant worden verzonden naar het e-mailadres dat aan het account van de Klant is gekoppeld. De Klant is verantwoordelijk voor het actueel houden van dit adres.

11. Audits

• 11.1 De Klant heeft het recht om eenmaal per kalenderjaar, op kosten van de Klant, de naleving van deze DPA door Ajora te auditen, onder de volgende voorwaarden:
  • De audit wordt uitgevoerd door een gekwalificeerde, onafhankelijke externe auditor die redelijkerwijs aanvaardbaar is voor Ajora en die gebonden is aan schriftelijke geheimhoudingsverplichtingen.
  • De Klant stelt Ajora ten minste 30 dagen van tevoren schriftelijk in kennis.
  • De audit vindt plaats tijdens normale kantooruren, op een wijze die de bedrijfsvoering van Ajora niet onredelijk verstoort.
  • Bij de audit worden geen gegevens van andere klanten, bedrijfsgeheimen of informatie ingezien waarmee de beveiliging van andere klanten in gevaar zou komen.
  • De Klant en zijn auditor sluiten een geheimhoudingsovereenkomst die redelijkerwijs aanvaardbaar is voor Ajora.
• 11.2 Wanneer Ajora beschikt over een actuele SOC 2 Type II-, ISO 27001- of gelijkwaardige beveiligingscertificering of auditrapport van een derde partij, kan Ajora aan de auditverplichting in §11.1 voldoen door een kopie van het betreffende rapport te verstrekken, mits dat rapport de zorgen van de Klant afdoende adresseert.
• 11.3 In geval van een bevestigde Inbreuk in verband met persoonsgegevens of een handhavingsmaatregel van een Toezichthoudende autoriteit gelden de kennisgevingstermijn van 30 dagen en de beperking tot eenmaal per jaar niet.
• 11.4 Ajora is niet verplicht informatie te verstrekken die onderworpen is aan geheimhoudingsverplichtingen jegens derden, aan een wettelijk verschoningsrecht of aan toepasselijke wetgeving.

12. Teruggave of verwijdering van Persoonsgegevens

• 12.1 Bij beëindiging of het aflopen van de Overeenkomst zal Ajora, naar keuze van de Klant die binnen 30 dagen na beëindiging wordt meegedeeld:
  • Alle Persoonsgegevens aan de Klant retourneren in een gangbaar, machineleesbaar formaat; of
  • Alle Persoonsgegevens verwijderen en schriftelijk bevestigen dat deze zijn verwijderd.
• 12.2 Bij het uitblijven van een instructie van de Klant binnen 30 dagen verwijdert Ajora alle Persoonsgegevens in overeenstemming met het bewaarschema in het Privacybeleid §4.
• 12.3 Ajora kan Persoonsgegevens bewaren voor zover dat op grond van de Toepasselijke wetgeving vereist is, in welk geval zij die gegevens in overeenstemming met deze DPA blijft beschermen zolang ze worden bewaard.
• 12.4 Persoonsgegevens in versleutelde back-ups worden binnen 90 dagen na beëindiging verwijderd, in overeenstemming met het Privacybeleid.

13. Aansprakelijkheid

• 13.1 De aansprakelijkheid van elke Partij onder of in verband met deze DPA is onderworpen aan de bepaling inzake beperking van aansprakelijkheid in de Overeenkomst. De aansprakelijkheidslimiet in de Overeenkomst geldt voor de gezamenlijke aansprakelijkheid van de Partijen onder de Overeenkomst en deze DPA tezamen, en wordt door deze DPA niet verhoogd of verdubbeld.
• 13.2 Niettegenstaande §13.1 beperkt of sluit niets in deze DPA aansprakelijkheid uit die op grond van de Toepasselijke gegevensbeschermingswetgeving niet kan worden beperkt of uitgesloten, met inbegrip van aansprakelijkheid jegens Betrokkenen op grond van artikel 82 AVG.

14. Looptijd en beëindiging

• 14.1 Deze DPA treedt in werking op de ingangsdatum van de Overeenkomst en blijft van kracht totdat de Overeenkomst eindigt, behoudens §2.3.
• 14.2 Beëindiging van de Overeenkomst beëindigt deze DPA, met uitzondering van de bepalingen die naar hun aard de beëindiging overleven, waaronder de Secties 4 (Vertrouwelijkheid), 10 (Melding van inbreuken, voor inbreuken die zich voor de beëindiging hebben voorgedaan), 12 (Teruggave of verwijdering) en 13 (Aansprakelijkheid).

15. Overige bepalingen

• 15.1 Rangorde. In geval van strijdigheid tussen deze DPA en de Overeenkomst of enige andere overeenkomst tussen de Partijen met betrekking tot gegevensbescherming, prevaleert deze DPA, behalve wanneer de strijdige bepaling een hoger beschermingsniveau voor Betrokkenen biedt.
• 15.2 Wijzigingen. Ajora kan deze DPA bijwerken om wijzigingen in de Toepasselijke gegevensbeschermingswetgeving, in toezichthoudende richtsnoeren of in de Dienst te weerspiegelen. Materiële wijzigingen worden ten minste 30 dagen van tevoren aan de Klant meegedeeld. Indien de Klant redelijkerwijs bezwaar maakt tegen een materiële wijziging, kan de Klant de Overeenkomst beëindigen voordat de wijziging van kracht wordt.
• 15.3 Toepasselijk recht. Op deze DPA is Nederlands recht van toepassing. De Rechtbank Midden-Nederland, locatie Utrecht, is bij uitsluiting bevoegd, behoudens hoger beroep zoals voorzien in het Nederlandse recht.
• 15.4 Deelbaarheid. Indien een bepaling van deze DPA niet-afdwingbaar wordt geacht, blijven de overige bepalingen volledig van kracht.
• 15.5 Volledige overeenkomst. Deze DPA vormt, samen met de Overeenkomst en de daarin opgenomen documenten, de volledige overeenkomst tussen de Partijen met betrekking tot de verwerking van Persoonsgegevens en vervangt elke eerdere afspraak.
• 15.6 Taal. Deze DPA is beschikbaar in het Nederlands en het Engels. Bij verschillen tussen beide versies is de Nederlandse versie leidend.

Bijlage A: Beschrijving van de Verwerking

Onderwerp

Verwerking van Persoonsgegevens door Ajora als Verwerker met het doel de dienst voor gespreksintelligentie Ajora aan de Klant te leveren.

Duur

Voor de looptijd van de Overeenkomst en elke periode daarna waarin Ajora Persoonsgegevens bewaart, behoudens §12.

Aard en doel van de Verwerking

• Opname van telefoongesprekken die door de Klant zijn gestart.
• Verzending van gespreksaudio naar een transcriptiedienst.
• Genereren en opslaan van versleutelde transcripties.
• Door AI gegenereerde samenvatting, extractie van actiepunten, identificatie van belangrijke beslissingen en sentimentanalyse.
• Levering van debriefs aan de Klant per e-mail en via het accountdashboard.
• Opslag van account-, facturatie- en gebruiksgegevens.

Categorieën van Betrokkenen

• De Klant (indien een natuurlijke persoon) en gemachtigde gebruikers van het account van de Klant.
• Andere partijen aan telefoongesprekken die door de Klant worden opgenomen.
• Alle natuurlijke personen van wie Persoonsgegevens incidenteel worden vastgelegd in gespreksinhoud.

Categorieën van Persoonsgegevens

• Identificatie- en contactgegevens: naam, e-mailadres, telefoonnummer.
• Authenticatiegegevens: gehasht wachtwoord, sessietokens.
• Gespreksinhoud: audio (tijdelijk), transcripties, samenvattingen, actiepunten, beslissingen, sentimentbeoordelingen.
• Gespreksmetadata: datum, tijd, duur, telefoonnummer waarmee het gesprek is gestart.
• Gebruiksgegevens: IP-adres, tijdstempels, API-responscodes.
• Facturatiegegevens: rechtstreeks verwerkt door Mollie; Ajora ontvangt geen betaalkaartgegevens.

Bijzondere categorieën van Persoonsgegevens

De Dienst is niet bedoeld voor, en mag niet worden gebruikt voor, de verwerking van bijzondere categorieën van Persoonsgegevens in de zin van artikel 9 AVG (bijvoorbeeld gegevens over gezondheid, politieke opvattingen, religieuze overtuigingen of biometrische gegevens met het oog op identificatie). De Klant is verantwoordelijk voor het waarborgen dat dergelijke gegevens niet aan de Dienst worden aangeboden, en erkent dat de technische en organisatorische maatregelen in Bijlage B zijn afgestemd op standaard zakelijke gespreksinhoud en niet op bijzondere categorieën van gegevens.

Frequentie

Doorlopend voor de duur van de Overeenkomst.

Bijlage B: Technische en organisatorische maatregelen

Ajora past de volgende technische en organisatorische maatregelen toe op grond van artikel 32 AVG. Deze maatregelen vormen een aanvulling op en een weerspiegeling van de beveiligingstoezeggingen in het Privacybeleid §7.

Versleuteling

• Transcripties en samenvattingen worden at rest versleuteld met AES-256 met datasleutels per account.
• Mastersleutels worden beheerd door AWS Key Management Service (KMS) in de EU (Frankfurt) onder strikte toegangscontroles en worden nooit in leesbare tekst (plaintext) opgeslagen in de Ajora applicatie.
• Alle data in transit is versleuteld met behulp van TLS 1.2 of hoger.

Toegangscontrole

• Toegang tot productiesystemen is beperkt tot een klein aantal geautoriseerde medewerkers.
• Multi-factor authenticatie is verplicht voor alle medewerkers met toegang tot productiesystemen.
• Toegang tot sleutelmateriaal wordt volledig gelogd via AWS CloudTrail en periodiek herzien.
• Toegangsbeoordelingen worden regelmatig uitgevoerd.

Vertrouwelijkheid

• Medewerkers met toegang tot Persoonsgegevens zijn gebonden aan geheimhoudingsverplichtingen die van kracht blijven na het einde van hun aanstelling.
• Medewerkers ontvangen training op het gebied van gegevensbescherming en beveiligingsbewustzijn.

Dataminimalisatie en scheiding

• Gespreksaudio wordt uiterlijk 24 uur na het gesprek automatisch uit de systemen van Ajora verwijderd en wordt niet opgenomen in back-ups.
• Klantgegevens worden logisch gescheiden per account en encryptiesleutel.
• Gebruikslogboeken worden na 90 dagen automatisch gewist.

Beschikbaarheid en veerkracht

• Database-back-ups worden at rest versleuteld en opgeslagen in dezelfde EU-regio (Neurenberg).
• Productiesystemen worden gehost bij Hetzner met standaardvoorzieningen voor beschikbaarheid en noodherstel.

Integriteit

• Applicatieafhankelijkheden worden gemonitord op bekende kwetsbaarheden.
• Beveiligingspatches worden binnen een redelijke termijn toegepast, afhankelijk van de ernst.

Beheer van Subverwerkers

• Subverwerkers worden beoordeeld op beveiligings- en privacymaatregelen voorafgaand aan onboarding.
• Verwerkersovereenkomsten en waarborgen voor doorgifte worden regelmatig herzien.

Incidentrespons

• Een gedocumenteerde incidentresponsprocedure omvat detectie, inperking, forensisch onderzoek, notificatie en nabeschouwing.
• Meldingen van Inbreuken in verband met persoonsgegevens aan de Klant en de Toezichthoudende autoriteit volgen de termijnen van de AVG.

Verwijdering

• Bij verwijdering van een account wordt eerst de encryptiesleutel van dat account vernietigd, waardoor bestaande transcripties cryptografisch ontoegankelijk worden, gevolgd door permanente wissing uit productiesystemen binnen 30 dagen en uit back-upsystemen binnen 90 dagen.

Bijlage C: Subverwerkers

De volgende Subverwerkers zijn op de ingangsdatum toegestaan op grond van §6 van deze DPA. De actuele lijst wordt bijgehouden in het hoofdstuk Externe verwerkers van het privacybeleid.