Verwerkersovereenkomst

1. Partijen en hoe deze overeenkomst geldt

1.1 Deze overeenkomst is gesloten tussen Lyto, ingeschreven bij de Kamer van Koophandel (KvK) onder nummer 99898624, gevestigd aan de Francois Maelsonstraat 2, 2582 KC Den Haag (Lyto), en de organisatie die een of meer Lyto-apps gebruikt onder de Lyto-voorwaarden (de Klant). De Lyto-voorwaarden zijn de Overeenkomst.

1.2 Deze overeenkomst is onderdeel van de Overeenkomst. Wie de Overeenkomst aanvaardt, aanvaardt ook deze overeenkomst. Er is geen handtekening voor nodig. Wil de Klant een ondertekend exemplaar voor de eigen administratie, dan ondertekent Lyto op verzoek een exemplaar van deze tekst via lytoapp@gmail.com.

1.3 Hebben Lyto en de Klant apart een verwerkersovereenkomst getekend, dan geldt die voor de Klant in plaats van deze.

2. Rollen en reikwijdte

2.1 De Klant is verwerkingsverantwoordelijke en Lyto verwerker van de persoonsgegevens die de gebruikers van de Klant in de Lyto-apps invoeren, ermee vastleggen of eraan koppelen (Klantgegevens). Bijlage 1 beschrijft die verwerking in het algemeen. Bijlage P beschrijft de verwerking achter een gekoppelde Microsoft-mailbox in Pipeline.

2.2 Deze overeenkomst gaat niet over gegevens waarvoor Lyto zelf verantwoordelijk is, zoals inloggegevens, factuurgegevens en supportcorrespondentie. Daarvoor geldt de privacyverklaring van Lyto.

2.3 Deze overeenkomst loopt zolang Lyto Klantgegevens verwerkt onder de Overeenkomst. Artikel 10 en 11 blijven daarna gelden.

3. Instructies

3.1 Lyto verwerkt Klantgegevens alleen op gedocumenteerde instructie van de Klant. De Overeenkomst, deze overeenkomst en de instellingen en handelingen van de gebruikers van de Klant in de apps zijn die instructies. Verdere instructies worden schriftelijk gegeven.

3.2 Lyto verwerkt Klantgegevens niet voor eigen doeleinden. Lyto gebruikt Klantgegevens in het bijzonder niet voor advertenties of marketing, verkoopt of deelt ze niet, en gebruikt ze, of iets dat ervan is afgeleid, niet om AI-modellen te trainen.

3.3 Verplicht het Unierecht of het recht van een lidstaat Lyto om Klantgegevens anders te verwerken, dan meldt Lyto dat aan de Klant voordat de verwerking begint, tenzij dat recht dit verbiedt. Vindt Lyto dat een instructie in strijd is met de AVG of ander gegevensbeschermingsrecht, dan meldt Lyto dat direct aan de Klant (art. 28 lid 3, laatste alinea).

4. Geheimhouding

Lyto zorgt ervoor dat iedereen die Lyto toestemming geeft om Klantgegevens te verwerken, contractueel of wettelijk tot geheimhouding verplicht is. De mensen van Lyto hebben alleen toegang tot Klantgegevens als dat nodig is om de dienst te laten werken, te ondersteunen of te beveiligen, of op verzoek van de Klant.

5. Beveiliging

Lyto neemt de technische en organisatorische maatregelen uit bijlage 2 (art. 32). Lyto mag die wijzigen, maar nooit zo dat het totale beschermingsniveau daalt.

6. Subverwerkers

6.1 De Klant geeft Lyto algemene toestemming om subverwerkers in te schakelen. De subverwerkers die Lyto gebruikt, staan in bijlage 3 en in deel 6 van de privacyverklaring van Lyto.

6.2 Lyto meldt het de Klant per e-mail, op het adres van het account, minstens 30 dagen voordat Lyto een subverwerker toevoegt of vervangt. De Klant kan binnen die termijn op redelijke gronden van gegevensbescherming bezwaar maken. Komen partijen er niet uit, dan mag de Klant de Overeenkomst voor de betreffende app zonder boete beëindigen.

6.3 Lyto legt elke subverwerker verplichtingen op die de gegevens minstens zo goed beschermen als deze overeenkomst, en blijft tegenover de Klant aansprakelijk voor zijn subverwerkers (art. 28 lid 4).

6.4 Lyto geeft Klantgegevens alleen door buiten de Europese Economische Ruimte met een waarborg uit hoofdstuk V AVG, zoals de modelcontractbepalingen van de Europese Commissie of een adequaatheidsbesluit. Bijlage 3 noemt de locatie van elke subverwerker en de waarborg bij elke doorgifte.

7. Rechten van betrokkenen

Lyto helpt de Klant met passende technische en organisatorische maatregelen om verzoeken van betrokkenen te beantwoorden (art. 12–22). De apps bieden die hulp zelf: export, wissen, Remove from Pipeline en Mark private in Pipeline; wissen in Sum. Neemt een betrokkene rechtstreeks contact op met Lyto, dan stuurt Lyto het verzoek zonder onnodige vertraging door naar de Klant en beantwoordt Lyto het niet zelf, tenzij de Klant daarom vraagt.

8. Hulp bij beveiliging, datalekken en de DPIA

8.1 Lyto helpt de Klant bij het nakomen van de verplichtingen uit art. 32–36, rekening houdend met de aard van de verwerking en de informatie waarover Lyto beschikt.

8.2 Datalekken. Lyto meldt een inbreuk in verband met persoonsgegevens die Klantgegevens raakt zonder onnodige vertraging aan de Klant, en in elk geval binnen 48 uur nadat Lyto ervan op de hoogte is. De melding beschrijft, voor zover dan bekend, wat er is gebeurd, de soorten en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. Lyto vult de melding aan zodra er meer bekend is. De Klant beslist of de Autoriteit Persoonsgegevens en de betrokkenen worden ingelicht. Gaat het om gegevens die via Microsoft Graph zijn verkregen, dan meldt Lyto het lek ook aan Microsoft, zoals de Microsoft APIs Terms of Use vereisen.

8.3 DPIA. Lyto levert een model-DPIA voor elke verwerking waarvoor de Klant er waarschijnlijk een nodig heeft, en beantwoordt redelijke vragen van de Klant daarover. Voor een gekoppelde Microsoft-mailbox: zie bijlage P, onderdeel P8.

9. Audits

Lyto stelt de Klant de informatie ter beschikking die nodig is om aan te tonen dat deze overeenkomst wordt nageleefd, en maakt audits mogelijk, waaronder inspecties, door de Klant of een auditor die de Klant aanwijst (art. 28 lid 3 sub h). De Klant kondigt een audit redelijk van tevoren aan. Een audit vindt plaats tijdens kantooruren, hooguit eenmaal per jaar, tenzij een datalek of een toezichthouder er een vereist. Elke partij draagt haar eigen kosten, tenzij uit de audit blijkt dat Lyto deze overeenkomst wezenlijk heeft geschonden.

10. Verwijderen en teruggeven

10.1 Als de Overeenkomst eindigt, of eerder op schriftelijke instructie van de Klant, verwijdert Lyto de Klantgegevens, tenzij het Unierecht of het recht van een lidstaat Lyto verplicht ze te bewaren. Daarvoor kan de Klant de gegevens uit de apps exporteren, of Lyto om een export vragen.

10.2 Lyto verwijdert Klantgegevens uit de live systemen binnen 90 dagen nadat het Lyto-account van de Klant is gesloten. Back-ups waarin ze staan, zijn binnen 30 dagen na verwijdering uit de live systemen vervangen.

10.3 Bijlage P, onderdeel P6 beschrijft wat er wordt verwijderd als een gekoppelde mailbox wordt losgekoppeld.

11. Aansprakelijkheid, recht en geschillen

11.1 De beperkingen van aansprakelijkheid in de Overeenkomst gelden ook voor deze overeenkomst, behalve waar de AVG ze uitsluit.

11.2 Spreken deze overeenkomst en de rest van de Overeenkomst elkaar tegen over de verwerking van persoonsgegevens, dan gaat deze overeenkomst voor.

11.3 Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in Den Haag.

12. Wijzigingen van deze overeenkomst

Lyto mag deze overeenkomst wijzigen. Lyto mailt de Klant, op het adres van het account, minstens 30 dagen voordat een wijziging ingaat, tenzij de wet de wijziging eerder vereist. Een wijziging verlaagt nooit de bescherming van Klantgegevens. Een Klant die een wijziging niet aanvaardt, mag de Overeenkomst beëindigen voordat de wijziging ingaat. Eerdere versies zijn op verzoek beschikbaar.

Bijlage 1: De verwerking in het algemeen

• Onderwerp en doel: het leveren van de Lyto-apps die de Klant onder de Overeenkomst gebruikt (Workspace, Pipeline, Pulse, Solve, Sum, Workstream en Tally).
• Aard: opslaan, opvragen, ordenen, tonen, exporteren en verwijderen van Klantgegevens die de gebruikers van de Klant invoeren of vastleggen; AI-functies als een gebruiker daarom vraagt.
• Duur: de looptijd van de Overeenkomst, plus de verwijdertermijnen uit artikel 10.
• Betrokkenen: de gebruikers van de Klant (medewerkers en anderen die de Klant uitnodigt); de klanten, prospects, leveranciers en andere zakelijke contacten van de Klant, en hun medewerkers.
• Persoonsgegevens: namen, zakelijke contactgegevens, functies en rollen; wat de gebruikers over die mensen vastleggen (notities, activiteiten, deals, facturen, urenregistraties, tickets); mail die in Pipeline is vastgelegd (bijlage P voor een gekoppelde mailbox); gebruiksgegevens (wie wat wanneer heeft gewijzigd).
• Bijzondere persoonsgegevens: niet beoogd. Vrije tekst en mail kunnen ze toevallig bevatten. Lyto zoekt ze niet op en verwerkt ze niet apart.

Bijlage P: Pipeline, gekoppelde Microsoft-mailbox

Deze bijlage geldt zodra Microsoft-mailbox voor de organisatie van de Klant is aangezet en een gebruiker een mailbox koppelt.

P1. Wat het doet

Een gebruiker koppelt de eigen Microsoft 365- of Outlook.com-mailbox aan Pipeline. Pipeline leest dan via Microsoft Graph de Inbox, Verzonden items en de hoofdagenda van die mailbox, en bewaart alleen mail en afspraken met externe bedrijven, als het overzicht van de Klant van zijn zakelijke relaties. Een gebruiker kan ook mail versturen vanuit Pipeline, via de eigen mailbox. Voor een werkmailbox moet de Microsoft 365-beheerder van de Klant Pipeline eenmalig goedkeuren voor de organisatie.

P2. Betrokkenen

• De medewerkers en andere gebruikers van de Klant die een mailbox koppelen, of die voorkomen in mail of afspraken die worden bewaard.
• Correspondenten: iedereen buiten de organisatie van de Klant die bewaarde mail verstuurt, ontvangt of in de cc staat.
• Deelnemers aan bewaarde afspraken, binnen en buiten de organisatie van de Klant.

P3. Persoonsgegevens

• Mail die in aanmerking komt (P4): afzender, ontvangers, datum, onderwerp, inhoud en bijlagen, en het oorspronkelijke berichtbestand.
• Kopgegevens van eenrichtingsmail van een onbekend bedrijf, bewaard als voorstel: afzender, ontvangers, datum en onderwerp, zonder de inhoud.
• Agenda: van elke bewaarde afspraak de titel, het tijdstip, de plaats, of hij online is, de organisator, en van elke deelnemer de naam, het e-mailadres en het antwoord. Nooit de tekst of bijlagen van de afspraak (Pipeline vraagt alleen Calendars.ReadBasic).
• Koppelingsgegevens: het mailboxadres, de account- en tenant-ID’s bij Microsoft, de verleende rechten, een versleuteld vernieuwingstoken en de synchronisatiestatus.
• Mail die vanuit Pipeline is verstuurd: ontvangers, onderwerp, inhoud, bijlagen en bezorgstatus.
• Bijzondere persoonsgegevens zijn niet beoogd en kunnen toevallig in de inhoud van mail staan. Mail die Outlook als Privé markeert, en afspraken die het als privé, persoonlijk of vertrouwelijk markeert, worden overgeslagen.

P4. Wat wordt bewaard, wat wordt weggegooid

• Pipeline leest eerst de kopgegevens en past de vastlegregels van Pipeline toe. Alleen van mail die in aanmerking komt wordt de inhoud opgehaald en bewaard: mail met een bedrijf waarnaar de gebruiker heeft gemaild (de tweerichtingsregel), of met een persoon of bedrijf dat al in Pipeline staat, na de uitzonderingen (gratis maildiensten, de eigen domeinen van de Klant, geblokkeerde domeinen, Not a lead, Outlook-privé).
• Al het andere wordt nooit bewaard, zelfs de bericht-ID niet. Alleen de synchronisatiepositie blijft.
• Persoonlijke mailboxen (Outlook.com, Hotmail) voegen nooit zelf een bedrijf toe: elk nieuw bedrijf wordt een voorstel, en alleen mail met mensen of bedrijven die al in Pipeline staan, wordt meteen bewaard.
• Afspraken worden alleen bewaard als er een persoon of bedrijf uit Pipeline bij betrokken is, of een deelnemer van wie het onbekende bedrijf een voorstel wordt; en alleen met minstens één externe deelnemer, hooguit 25 deelnemers, niet afgewezen door de gebruiker, en niet gemarkeerd als privé, persoonlijk of vertrouwelijk.
• Geschiedenis: bij de eerste koppeling leest Pipeline de laatste 12 maanden mail en agenda volgens dezelfde regels. Eenrichtingsmail van een onbekend bedrijf die ouder is dan 90 dagen, wordt niet bewaard. De agenda wordt 90 dagen vooruit gelezen.
• Berichten die in Outlook worden verwijderd, verplaatst of gearchiveerd, blijven in Pipeline staan: de bewaarde mail is het dossier van de Klant. Remove from Pipeline verwijdert ze.

P5. Bewaartermijnen

• Bewaarde mail en afspraken: zolang de persoon of het bedrijf waar ze bij horen in Pipeline staat, of tot ze worden verwijderd. Het oorspronkelijke berichtbestand wordt na 30 dagen verwijderd.
• Kopgegevens van voorstellen: tot het voorstel is geaccepteerd of afgewezen, of na 30 dagen, wat het eerst komt; ook als het bericht de gesynchroniseerde map verlaat. Een afgewezen domein blijft geblokkeerd; daarvoor wordt alleen het domein bewaard.
• Koppelingsgegevens: tot de mailbox wordt losgekoppeld.

P6. Loskoppelen en verwijderen

• Een gebruiker koppelt los in Pipeline (Email capture, dan Disconnect). Een beheerder kan de mailbox van elke gebruiker loskoppelen. Pipeline koppelt een mailbox ook los als de gebruiker de organisatie verlaat, na 90 dagen met een verbroken koppeling, en als Lyto de functie voor de organisatie uitzet.
• Elke ontkoppeling verwijdert direct de tokens, de synchronisatiestatus en alles wat niet in aanmerking kwam (de kopgegevens van voorstellen).
• Mail en afspraken die al bewaard zijn, blijven staan, als dossier van de Klant. Alleen de gebruiker kan kiezen voor Remove what only my mailbox brought in. Dat verwijdert bewaarde mail en afspraken die niet ook door de mailbox van een andere gebruiker of door een andere vastlegging zijn binnengekomen.
• Wie Pipeline intrekt via myapps.microsoft.com (werk) of account.live.com/consent/Manage (persoonlijk), stopt direct al het lezen. Wat Pipeline heeft, wordt verwijderd zoals bij een ontkoppeling, zodra de gebruiker in Pipeline loskoppelt, en in elk geval na 90 dagen.
• Op schriftelijke instructie van de Klant verwijdert Lyto bepaalde mail, afspraken of alle gegevens van een mailbox, verder dan de apps gebruikers zelf laten doen.
• Als een persoon of bedrijf in Pipeline wordt gewist, worden hun mail, hun koppelingen aan afspraken en de kopgegevens van voorstellen van of aan hen verwijderd.

P7. Subverwerkers en Microsoft

• Van de subverwerkers in bijlage 3 slaan er twee mailboxgegevens op of analyseren ze: Supabase (database en bestandsopslag, Ierland) en Anthropic (AI-functies, als een gebruiker vraagt om een functie die het dossier leest, zoals een opgestelde opvolgmail of Ask Pipeline; Verenigde Staten, onder de modelcontractbepalingen; invoer wordt niet gebruikt voor training). Vercel levert de app en vervoert mailboxgegevens als een pagina ze toont, maar slaat er niets van op.
• Microsoft is geen subverwerker van Lyto. Microsoft Graph is de bron van de gegevens: de eigen Microsoft-dienst van de Klant (of van de gebruiker), onder de eigen overeenkomst van de Klant met Microsoft. Volgens de Microsoft APIs Terms of Use ontstaat er geen verhouding van verwerker en subverwerker tussen Lyto en Microsoft.
• Lyto vraagt alleen deze Microsoft-rechten: openid profile offline_access User.Read Mail.Read Mail.Send Calendars.ReadBasic. Komt er een bij, dan moet elke beheerder opnieuw goedkeuren.

P8. DPIA

Voor een gekoppelde mailbox heeft de Klant waarschijnlijk een gegevensbeschermingseffectbeoordeling (DPIA) nodig (stelselmatige verwerking van e-mail van medewerkers; lijst van de AP, punt 11 en 13). Lyto levert een model-DPIA in het Nederlands en het Engels, die de Klant overneemt en aanvult. Lyto beantwoordt vragen van de Klant daarover en werkt het model bij als de verwerking verandert. De beheerder die Pipeline in de app goedkeurt, legt vast dat hij of zij de model-DPIA heeft gelezen en het team heeft ingelicht.

P9. Mensen informeren

De Klant informeert het team voordat de eerste mailbox wordt gekoppeld, en vraagt de ondernemingsraad om advies als die er is. Pipeline geeft de beheerder een kant-en-klaar bericht voor het team en een bijgewerkte alinea voor de eigen privacyverklaring van de Klant, over mail en afspraken die uit de mailboxen van teamleden worden gesynchroniseerd.

Bijlage 2: Technische en organisatorische maatregelen

• Hosting in de EU: database, bestanden en functies bij Supabase in Ierland; de apps bij Vercel in Frankfurt.
• Versleuteling: TLS 1.2 of hoger tijdens transport; alle klantdatabases versleuteld in opslag. Vernieuwingstokens van Microsoft en sessieverwijzingen voor de bank hebben een tweede laag versleuteling in de applicatie, met de sleutel in de kluis van de database. Toegangstokens van Microsoft staan alleen in het geheugen, voor één synchronisatie of één verzending. Het vernieuwingstoken wordt bij elke vernieuwing vervangen.
• Toegangsbeheer: elke tabel is beschermd met regels per rij die een gebruiker beperken tot de eigen organisatie. Tabellen met tokens of synchronisatiestatus worden alleen door de serverfuncties van Lyto beschreven; gebruikers kunnen tokenkolommen niet lezen. Beheerderstoegang bij Lyto vereist tweestapsverificatie. De mensen van Lyto hebben alleen toegang tot Klantgegevens om de dienst te laten werken, te ondersteunen of te beveiligen.
• Minimalisatie: kopgegevens worden vóór de inhoud gelezen; mail die niet in aanmerking komt en interne afspraken worden nooit bewaard; Outlook-privé-items worden overgeslagen; de tekst van afspraken wordt nooit opgevraagd; de geschiedenis is vast 12 maanden.
• Gescheiden delen: elke gebruiker bepaalt wie in de organisatie de inhoud van zijn of haar mail ziet, en kan een gesprek privé maken of verwijderen.
• Weerbaarheid: dagelijkse back-ups, binnen 30 dagen vervangen; bewaking van fouten en mislukte synchronisaties.
• Ontwikkeling: geen echte Klantgegevens in ontwikkeling; een ontwikkelsysteem kan alleen mail versturen naar adressen op een toegestane lijst.
• Incidenten: een schriftelijke procedure voor incidenten, inclusief de meldingen uit artikel 8.2.

Bijlage 3: Subverwerkers

De actuele lijst staat in deel 6 van de privacyverklaring van Lyto. Artikel 6.2 van deze overeenkomst beschrijft hoe Lyto een wijziging daarvan aankondigt.