Aansluitingsovereenkomst voor verwerking van gegevens

Geldigheidsbereik en Rollen

De klant is de beheerder en Onur Öztürk, een enkele ondernemer die handelt onder de naam Ozan Soft ("GenderAPI"), is de verwerker van persoonsgegevens van de klant die via de API, bestandsverwerkingsinstrumenten of verbonden spreadsheetfuncties wordt ingediend.

Elke partij blijft onafhankelijk verantwoordelijk voor persoonsgegevens die het verwerkt als beheerder, inclusief account, facturatie en bedrijfscontactbeheer door GenderAPI.

De klant bepaalt of de ingediende gegevens persoonsgegevens zijn en is verantwoordelijk voor de rechtsgrondslag, mededelingen, toestemmingen en instructies. De klant mag geen gegevens indienen die niet zijn ontworpen om te verwerken of inferentieresultaten gebruiken als enige basis voor een besluit dat juridische of gelijkwaardige gevolgen heeft voor een persoon.

Verwerkingsovereenkomsten

GenderAPI verwerkt klantpersoonsgegevens uitsluitend om de Dienst te verlenen, te beveiligen en te ondersteunen overeenkomstig de overeenkomst, deze DPA, de door de klant gemaakte gebruiksaanwijzingen van de Dienst en de toepasselijke wetgeving. GenderAPI informeert de klant indien, in zijn redelijke oordeel, een instructie de toepasselijke wet op persoonsgegevens overtredt, tenzij de wet dit verbiedt.

GenderAPI verkoopt klantpersoonsgegevens niet, gebruikt deze voor transcontextuele gedragingsadvertenties, gebruikt deze om het privé-inferentie-model te trainen of houdt deze opgeslagen in AI-logboeken. De opslagregels in de Privacybeleid vormen deel van deze documenteerde verwerkingsspecificaties.

Vertrouwelijkheid en Veiligheid

GenderAPI zal zorgen dat personen die toegang hebben tot klantpersoonsgegevens onderworpen zijn aan een passende verplichting tot vertrouwelijkheid en alleen toegang tot de gegevens hebben als nodig is voor hun toegewezen werk. GenderAPI zal technische en organisatorische maatregelen nemen die passend zijn voor de aard van de dienst en de risico's bij verwerking.

• Beveiligde overdracht via TLS voor gegevens die worden uitgewisseld met de Dienst.
• Toegangseisen voor productiesystemen, klantgegevens en beperkte backups.
• Scheiding en bescherming van accountgegevens en productie-API-sleutels.
• Beveiligings- en technische logboeken onderworpen aan de gepubliceerde opslagperiode.
• Rolling backups met een standaard overschrijvingstijdperiode van tot 15 dagen.
• Geheime AI-verwerking zonder opleiding van klantgegevens of logging van AI-prompten/antwoorden.
• Procedures voor data-minimalisatie en verwijdering die overeenkomen met de opslagperiode van de dienst.

Onderverwerkers

Klant geeft GenderAPI algemene schriftelijke toestemming om de providers die zijn aangewezen als DPA subprocessors op de Onderverwerkers pagina te gebruiken. GenderAPI zal elk dergelijk subprocessor verplichten om de Persoonsgegevens van de Klant te beschermen onder verplichtingen die materieel overeenkomen met deze DPA, zoals toepasbaar op de diensten die de subprocessor uitvoert.

GenderAPI blijft verantwoordelijk voor zijn verplichtingen onder deze DPA. Leveranciers die alleen worden gebruikt voor de activiteiten van GenderAPI als beheerder, zoals facturatie of accountcommunicatie, worden apart genoemd en worden niet behandeld als verwerkers van de Klant, alleen omdat ze verschijnen in de leverancierregister.

GenderAPI zal ten minste 30 dagen vooraf door de Onderverwerkers pagina, de Dienst of de e-mailadres van het klantaccount kennisgeven voordat een subprocessor wordt toegevoegd of vervangen die klantpersoonlijke gegevens verwerkt. De klant kan tijdens die periode een redelijke, documenteerde vertrouwensbeschermingwaarschuwing indienen.

De partijen zullen op een commercieel redelijke oplossing werken; indien geen oplossing beschikbaar is, mag de klant de betreffende functie stoppen.

Assistentie en incidenten betreffende persoonsgegevens

Op basis van de aard van de verwerking en de beschikbare informatie zal GenderAPI redelijke hulp bieden bij verzoeken van de betrokken persoon, beveiligingsplichten, meldingen over verkeerde verwerking van persoonsgegevens, beoordelingen van de invloed op de bescherming van persoonsgegevens en raadplegingen die vereist zijn door de toepasselijke wet op bescherming van persoonsgegevens.

Als een gegevensverwerker GenderAPI contact opneemt over klantpersoonlijke gegevens, kan GenderAPI de aanvraag doorsturen aan de klant, tenzij wetgeving een directe antwoord vereist.

GenderAPI zal de Klant zonder onnodige vertraging en, waar redelijk mogelijk, binnen 48 uur na het worden bewust van een bevestigd persoonsgegevensbreuk die de persoonsgegevens van de Klant betreft, benaderen. De melding zal de beschikbare informatie bevatten die redelijkerwijs nodig is voor de beoordeling en de meldplicht van de Klant. De melding is geen aanname van schuld of aansprakelijkheid.

Terugkeer en Verwijdering

Tijdens de dienstperiode kan de Klant beschikbare resultaten opvragen via de ondersteunde dienstfuncties. Bij afsluiting van de dienst, beëindiging van de relevante verwerking of een geldige verzoek tot verwijdering, zal GenderAPI de persoonlijke gegevens van de Klant die nog actief in systemen zijn, binnen 30 dagen verwijderen of onomkeerbaar anonymiseren, tenzij de toepasselijke wet een opslag vereist.

Gegevens die zijn verwijderd uit actieve systemen kunnen tot 15 extra dagen blijven in beperkte toegangsgeschikte, rollende back-ups voordat ze automatisch worden overschreven.

De wettelijke opslag van facturen, transacties, fraudevoorkomende of geschillenrecords geeft geen toestemming voor de voortdurende gebruik van klantvragen of geüploade bestanden. De categorie-specifieke planning in de Privacybeleid blijft van toepassing waarin een kortere periode is opgenomen.

Informatie en audits

GenderAPI zal informatie beschikbaar stellen die redelijk nodig is om de naleving van deze DPA te kunnen bewijzen, aan de Klant, oorspronkelijk via huidige beleid, documentatie en een redelijke beveiligingsvraaglijst.

Als die informatie onvoldoende is voor een wettelijke verplichting, kan de klant een evenredige audit aanvragen, niet meer dan één keer per jaar, tenzij er een bevestigde schending of een bindende verzoek van een regelgevende instantie is.

Een audit moet worden uitgevoerd op redelijke voorafgaande kennisgeving, tijdens normale bedrijfsuren, zonder een ander klantgegevens of de beveiliging te compromitteren. De klant draagt de kosten van de audit, tenzij de audit een materiaal schending door GenderAPI ontdekt. De partijen overeengekomen de passende vertrouwelijkheids- en omvangvoorwaarden eerst.

Internationale overdrachten

Gegevens van de klant kunnen worden verwerkt in Turkije en, via gecontracteerde infrastructuur, in de Verenigde Staten. GenderAPI zal een wettelijk erkend overdrachtsmechanisme gebruiken waar mogelijk.

Indien de EU-standaardcontractuele bepalingen die zijn goedgekeurd door Commissie-uitvoerende beslissing (EU) 2021/914 vereist zijn, wordt de toepasselijke controller-naar-verwerkingsmodule opgenomen in deze DPA en overheerst conflicterende bepalingen voor deze overdracht. De partijen vullen bij het uitvoeren van de DPA eventuele keuzes of bijlagen uit die juridisch vereist zijn voor hun specifieke overdracht.