Verwerkersovereenkomst

1. De partijen en het sluiten van de overeenkomst

Deze verwerkersovereenkomst (‘de Bepalingen’) is gesloten tussen

De verwerkingsverantwoordelijke: het bedrijf of de organisatie die een account bij GoalCube heeft aangemaakt en de algemene voorwaarden van GoalCube heeft aanvaard (‘de klant’),

en

De verwerker: Goalcube ApS, CVR-nr. 44709805, Ahlmannsvej 19, st., 6400 Sønderborg, Danmark (‘GoalCube’).

De Bepalingen maken deel uit van de algemene voorwaarden van GoalCube en worden automatisch gesloten wanneer de klant een account aanmaakt of GoalCube in gebruik neemt. Er is geen handtekening nodig. De Bepalingen zijn gebaseerd op het standaardcontract voor verwerkersovereenkomsten van de Deense toezichthouder, Datatilsynet (standaardcontractbepalingen op grond van artikel 28, lid 8, van Verordening (EU) 2016/679, ‘AVG’). Waar het standaardcontract keuzes laat, zijn die keuzes ingevuld in de bijlagen.

2. Preambule

1. De Bepalingen leggen de rechten en verplichtingen van de verwerker vast wanneer deze persoonsgegevens verwerkt namens de verwerkingsverantwoordelijke.
2. De Bepalingen zijn opgesteld zodat de partijen kunnen voldoen aan artikel 28, lid 3, AVG.
3. De verwerking vindt plaats in het kader van de levering van GoalCube (GoalCube AI Map, GoalCube Data Vault en GoalCube Human Decision) op grond van de algemene voorwaarden.
4. De Bepalingen gaan voor op overeenkomstige bepalingen in andere overeenkomsten tussen de partijen.
5. Bij de Bepalingen horen vier bijlagen, die een integraal onderdeel van de Bepalingen vormen:
   • Bijlage A bevat nadere informatie over de verwerking, waaronder het doel en de aard ervan, het soort persoonsgegevens, de categorieën betrokkenen en de duur.
   • Bijlage B bevat de voorwaarden van de verwerkingsverantwoordelijke voor het inschakelen van subverwerkers door de verwerker, en een lijst van goedgekeurde subverwerkers.
   • Bijlage C bevat de instructies van de verwerkingsverantwoordelijke over de verwerking, de minimale beveiligingseisen en de wijze waarop toezicht wordt gehouden op de verwerker en subverwerkers.
   • Bijlage D bevat de afspraken van de partijen over andere zaken.
6. De Bepalingen en de bijbehorende bijlagen worden door beide partijen elektronisch bewaard op goalcube.eu.
7. De Bepalingen ontslaan de verwerker niet van verplichtingen die de verwerker op grond van de AVG of andere wetgeving zijn opgelegd.

3. Rechten en verplichtingen van de verwerkingsverantwoordelijke

1. De verwerkingsverantwoordelijke is ervoor verantwoordelijk dat de verwerking van persoonsgegevens plaatsvindt in overeenstemming met de AVG (zie artikel 24), gegevensbeschermingsbepalingen in ander Unierecht of het nationale recht van de lidstaten, en de Bepalingen.
2. De verwerkingsverantwoordelijke heeft het recht en de plicht om te beslissen voor welke doeleinden en met welke middelen persoonsgegevens mogen worden verwerkt.
3. De verwerkingsverantwoordelijke is ervoor verantwoordelijk dat er een rechtsgrond is voor de verwerking die de verwerker wordt opgedragen – ook voor de data die de klant uploadt en voor het gebruik van AI-diensten door de klant.
4. De verwerkingsverantwoordelijke kiest zelf de AI-dienst die de klant aan GoalCube koppelt (bijv. ChatGPT, Claude, Microsoft 365 Copilot of Mistral) en sluit daarmee zelf een overeenkomst. De AI-dienst is geen subverwerker van GoalCube; de verwerking daar valt onder de eigen overeenkomst van de klant met de AI-leverancier.

4. De verwerker handelt volgens instructies

1. De verwerker verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de verwerkingsverantwoordelijke, tenzij een op de verwerker van toepassing zijnde bepaling van Unierecht of nationaal recht van een lidstaat hem daartoe verplicht. De instructies staan in bijlage A en C. Het gebruik door de klant van de functies van GoalCube – bijv. uploaden, de keuze van bescherming per kolom, geheime woorden, bevestigingen en besluiten – geldt ook als schriftelijke instructie.
2. De verwerker stelt de verwerkingsverantwoordelijke onmiddellijk in kennis als een instructie naar zijn oordeel in strijd is met de AVG of met gegevensbeschermingsbepalingen in ander Unierecht of het nationale recht van de lidstaten.

5. Vertrouwelijkheid

1. De verwerker geeft alleen toegang tot persoonsgegevens aan personen die onder het gezag van de verwerker staan, die zich tot geheimhouding hebben verbonden of door een passende wettelijke geheimhoudingsplicht zijn gebonden, en alleen voor zover nodig. De lijst van personen met toegang wordt regelmatig herzien, en de toegang wordt ingetrokken zodra die niet meer nodig is.
2. De verwerker moet op verzoek van de verwerkingsverantwoordelijke kunnen aantonen dat de betreffende personen aan de bovengenoemde geheimhoudingsplicht zijn gebonden.

6. Beveiliging van de verwerking

1. De verwerker neemt passende technische en organisatorische maatregelen op grond van artikel 32 AVG, rekening houdend met de stand van de techniek, de uitvoeringskosten, de aard, de omvang, de context en de verwerkingsdoeleinden, en met de risico's voor de rechten en vrijheden van natuurlijke personen.
2. De verwerker beoordeelt de risico's zelfstandig en neemt maatregelen om die tegen te gaan. De maatregelen staan beschreven in bijlage C.2.
3. De verwerker helpt de verwerkingsverantwoordelijke te voldoen aan diens verplichting op grond van artikel 32 AVG, onder meer door de informatie te verstrekken die nodig is voor de eigen risicobeoordeling van de verwerkingsverantwoordelijke.

7. Inschakeling van subverwerkers

1. De verwerker moet voldoen aan de voorwaarden van artikel 28, leden 2 en 4, AVG om een andere verwerker (een subverwerker) in te schakelen.
2. De verwerker heeft de algemene toestemming van de verwerkingsverantwoordelijke om subverwerkers in te schakelen. De verwerker stelt de verwerkingsverantwoordelijke ten minste 14 dagen van tevoren schriftelijk in kennis van voorgenomen wijzigingen door toevoeging of vervanging van subverwerkers. De kennisgeving gebeurt per e-mail aan de contactpersoon van het account en op goalcube.eu/da/databehandleraftale/ (de bindende Deense versie; ook hier: goalcube.eu/nl/verwerkersovereenkomst/). De verwerkingsverantwoordelijke kan binnen die termijn bezwaar maken. Maakt de verwerkingsverantwoordelijke bezwaar en vinden de partijen geen oplossing, dan kan de verwerkingsverantwoordelijke de overeenkomst opzeggen tegen een datum vóór de inwerkingtreding van de wijziging. De lijst van goedgekeurde subverwerkers staat in bijlage B.
3. De verwerker legt de subverwerker via een contract dezelfde verplichtingen inzake gegevensbescherming op als die in de Bepalingen, met name voldoende waarborgen voor technische en organisatorische maatregelen.
4. De verwerker zorgt ervoor dat de overeenkomst met de subverwerker de verwerkingsverantwoordelijke als derde-begunstigde het recht geeft om bij faillissement van de verwerker zijn rechten tegenover de subverwerker uit te oefenen, voor zover de standaardvoorwaarden van de subverwerker dat toelaten.
5. Komt de subverwerker zijn verplichtingen inzake gegevensbescherming niet na, dan blijft de verwerker tegenover de verwerkingsverantwoordelijke volledig aansprakelijk voor de nakoming van de verplichtingen van de subverwerker, behoudens de aansprakelijkheidsbeperking in bijlage D.

8. Doorgifte aan derde landen of internationale organisaties

1. De verwerker mag persoonsgegevens alleen doorgeven aan derde landen (landen buiten de EU/EER) of internationale organisaties op basis van schriftelijke instructies van de verwerkingsverantwoordelijke en in overeenstemming met hoofdstuk V AVG.
2. De instructie over doorgiften staat in bijlage C.6. De verwerkingsverantwoordelijke kan de verwerker binnen het kader van de Bepalingen geen andere doorgiften opdragen.
3. Wanneer de klant zelf een AI-dienst aan GoalCube koppelt en die vraagt data op te halen, verstrekt GoalCube volgens de instructie van de klant alleen gepseudonimiseerde data aan de AI-dienst. Een eventuele doorgifte aan een derde land binnen de AI-dienst valt onder de eigen overeenkomst van de klant met de AI-leverancier, zie punt 3.4.

9. Bijstand aan de verwerkingsverantwoordelijke

1. Rekening houdend met de aard van de verwerking helpt de verwerker de verwerkingsverantwoordelijke zo veel mogelijk, door middel van passende technische en organisatorische maatregelen, bij het vervullen van diens plicht om verzoeken te beantwoorden waarmee betrokkenen hun rechten uitoefenen op grond van hoofdstuk III AVG (informatie, inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar en geautomatiseerde besluitvorming). De bijstand wordt in eerste instantie verleend via de functies van GoalCube, zie bijlage C.3.
2. De verwerker helpt de verwerkingsverantwoordelijke daarnaast bij:
   • het melden van een inbreuk in verband met persoonsgegevens aan de toezichthoudende autoriteit, zonder onredelijke vertraging en zo mogelijk uiterlijk 72 uur nadat de verwerkingsverantwoordelijke er kennis van heeft genomen, tenzij het niet waarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten van natuurlijke personen,
   • het informeren van betrokkenen over een inbreuk, wanneer die waarschijnlijk een hoog risico inhoudt voor hun rechten,
   • het uitvoeren van gegevensbeschermingseffectbeoordelingen (DPIA) en eventuele voorafgaande raadplegingen van de toezichthoudende autoriteit.
3. Bijstand die verder gaat dan de functies van GoalCube en de informatie die GoalCube publiceert, wordt gefactureerd volgens bijlage D.

10. Melding van een inbreuk in verband met persoonsgegevens

1. De verwerker informeert de verwerkingsverantwoordelijke zonder onredelijke vertraging nadat hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens bij de verwerker of een subverwerker.
2. De melding gebeurt zo mogelijk uiterlijk 48 uur nadat de verwerker kennis heeft genomen van de inbreuk, zodat de verwerkingsverantwoordelijke zijn termijn van 72 uur kan halen.
3. De melding bevat, voor zover de informatie beschikbaar is: een beschrijving van de aard van de inbreuk, waaronder de categorieën en het geschatte aantal betrokkenen en persoonsgegevensregisters, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. Kan de informatie niet tegelijk worden verstrekt, dan gebeurt dat stapsgewijs zonder onredelijke vertraging.

11. Verwijdering en teruggave van gegevens

1. Na beëindiging van de diensten met betrekking tot de verwerking van persoonsgegevens is de verwerker verplicht alle persoonsgegevens die namens de verwerkingsverantwoordelijke zijn verwerkt te verwijderen en aan de verwerkingsverantwoordelijke te bevestigen dat de gegevens zijn verwijderd. De verwijdering vindt plaats uiterlijk 30 dagen na de beëindiging, zie bijlage C.4.
2. Vóór de beëindiging kan de verwerkingsverantwoordelijke zelf zolang het account actief is gegevens inzien, rapporten downloaden en documentatie uit GoalCube bewaren (bijv. het rapport voor toezichthouder en accountant).
3. De verwerker mag de persoonsgegevens niet langer bewaren, tenzij Unierecht of nationaal recht dat vereist.

12. Audits, waaronder inspecties

1. De verwerker stelt alle informatie die nodig is om de naleving van artikel 28 AVG en de Bepalingen aan te tonen ter beschikking van de verwerkingsverantwoordelijke, en maakt audits, waaronder inspecties, door de verwerkingsverantwoordelijke of een door haar gemachtigde controleur mogelijk en draagt daaraan bij.
2. De procedures voor het toezicht van de verwerkingsverantwoordelijke op de verwerker en subverwerkers staan in bijlage C.7 en C.8.
3. De verwerker geeft toezichthoudende autoriteiten die op grond van de geldende wetgeving toegang hebben tot de faciliteiten van de verwerkingsverantwoordelijke en de verwerker, toegang op vertoon van behoorlijke legitimatie.

13. Afspraken van de partijen over andere zaken

1. De partijen kunnen andere bepalingen over de dienst overeenkomen, bijv. over aansprakelijkheid, zolang die niet direct of indirect strijdig zijn met de Bepalingen of afbreuk doen aan de grondrechten van de betrokkene. Ze staan in bijlage D en in de algemene voorwaarden.

14. Inwerkingtreding en beëindiging

1. De Bepalingen treden in werking wanneer de klant een account aanmaakt of GoalCube in gebruik neemt.
2. Beide partijen kunnen heronderhandeling van de Bepalingen verlangen als wetswijzigingen of onvolkomenheden daartoe aanleiding geven. GoalCube kan de Bepalingen wijzigen met een termijn van ten minste 14 dagen, als de wijziging de bescherming van persoonsgegevens niet vermindert; anders is de instemming van de klant nodig.
3. De Bepalingen gelden zolang de dienst met betrekking tot de verwerking van persoonsgegevens duurt, en kunnen niet worden opgezegd zonder dat tegelijk de hoofdovereenkomst (de algemene voorwaarden) eindigt.
4. Als de levering van de diensten eindigt en de persoonsgegevens volgens punt 11 zijn verwijderd, kunnen beide partijen de Bepalingen opzeggen.

15. Contactpersonen

1. Contact van de verwerker: contact@goalcube.eu.
2. Contact van de verwerkingsverantwoordelijke: de contactpersoon van het account. De klant houdt de contactgegevens in GoalCube actueel.

Bijlage A – Informatie over de verwerking

A.1. Doel van de verwerking van persoonsgegevens door de verwerker namens de verwerkingsverantwoordelijke: GoalCube leveren: een register van het AI-gebruik van de klant met indeling volgens de AI-verordening, AI-beleid en een training AI-geletterdheid (AI Map); de data van de klant in de EU opslaan, ze gepseudonimiseerd verstrekken aan de AI-dienst die de klant heeft gekoppeld, en antwoorden met de echte waarden tonen bij GoalCube (Data Vault); en een mens laten beslissen over personen, met log en tijdstempels (Human Decision).

A.2. De verwerking van persoonsgegevens door de verwerker namens de verwerkingsverantwoordelijke betreft vooral (de aard van de verwerking): Opslag, structurering, pseudonimisering (vervanging van identificatoren door codes), generalisering (bijv. geboortedatum naar leeftijdsgroep), verstrekking van gepseudonimiseerde data aan de AI-dienst van de klant volgens de instructie van de klant, terugvertaling van codes naar echte waarden bij GoalCube, logging van handelingen en besluiten, het versturen van e-mails vanuit het systeem, en verwijdering.

A.3. De verwerking betreft de volgende soorten persoonsgegevens over de betrokkenen: De gegevens die de klant zelf uploadt of in GoalCube invoert, bijv. naam, contactgegevens, identificatienummers (waaronder nationale identificatienummers zoals het BSN of het rijksregisternummer), klant- en rekeningnummers, adressen, gegevens over het dienstverband, cv's, klantvragen, contracten en besluiten. Afhankelijk van de data van de klant kan het gaan om bijzondere categorieën van persoonsgegevens (artikel 9 AVG) en persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten (artikel 10 AVG). Daarnaast gegevens over de gebruikers van de klant: naam, e-mailadres, rol, passkeys en handelingen in het systeem.

A.4. De verwerking betreft de volgende categorieën betrokkenen: Medewerkers, sollicitanten, klanten, leden en leveranciers van de klant en hun contactpersonen, en andere personen over wie de data van de klant gaan, en de gebruikers van GoalCube bij de klant.

A.5. De verwerking van persoonsgegevens door de verwerker namens de verwerkingsverantwoordelijke kan beginnen na de inwerkingtreding van de Bepalingen. De verwerking heeft de volgende duur: Zolang de klant een account bij GoalCube heeft, en tot de gegevens zijn verwijderd volgens punt 11 en bijlage C.4.

Bijlage B – Subverwerkers

B.1. Goedgekeurde subverwerkers Bij de inwerkingtreding van de Bepalingen heeft de verwerkingsverantwoordelijke de inschakeling van de volgende subverwerkers goedgekeurd:

B.2. Termijn voor goedkeuring van subverwerkers De verwerker kondigt de toevoeging of vervanging van subverwerkers ten minste 14 dagen van tevoren aan, zie punt 7.2.

Diensten zonder persoonsgegevens. Het systeem gebruikt daarnaast de volgende diensten, die geen persoonsgegevens ontvangen en daarom geen subverwerkers zijn:

Bijlage C – Instructies over de verwerking van persoonsgegevens

C.1. Onderwerp van de verwerking/instructie De verwerking door de verwerker bestaat erin dat GoalCube de data van de klant in de EU bewaart, ze pseudonimiseert volgens de keuzes van de klant (bijv. bescherming per kolom en geheime woorden), ze gepseudonimiseerd verstrekt aan de AI-dienst die de klant heeft gekoppeld wanneer de klant of een gebruiker daarom vraagt, het antwoord van de AI met de echte waarden toont bij GoalCube, en bevestigingen en besluiten logt. GoalCube gebruikt de data van de klant niet voor andere doeleinden, verkoopt ze niet en gebruikt ze niet om AI-modellen te trainen.

C.2. Beveiliging van de verwerking Het beveiligingsniveau houdt er rekening mee dat de verwerking bijzondere categorieën van persoonsgegevens en gegevens over het dienstverband kan omvatten. De verwerker heeft de volgende maatregelen genomen:

• Data worden versleuteld tijdens het transport (HTTPS/TLS).
• Klantgegevens worden in de EU opgeslagen bij Clever Cloud. In productie start het systeem niet zonder duurzame opslag in de EU.
• AI-diensten die de klant koppelt, krijgen alleen pseudoniemen – nooit namen, e-mails, ID-, telefoon- en rekeningnummers, adressen of de geheime woorden van de klant.
• Geüploade bestanden worden niet bewaard; alleen de gelezen tekst die de klant zelf als dataset heeft opgeslagen.
• Besluiten, bevestigingen en wijzigingen worden vastgelegd in een auditlog met controlesommen (hashketen) en onafhankelijke tijdstempels.
• Geheime woorden worden nooit in het auditlog opgeslagen.
• De pagina's laden geen bestanden van anderen (bijv. lettertypen van Google), en het systeem plaatst geen trackingcookies.
• Mails aan GoalCube die een mens moet beantwoorden, worden in GoalCube gelezen en beantwoord. De medewerker krijgt in de eigen mailbox alleen een melding zonder inhoud.
• Toegangssleutels worden niet in het serverlog geschreven.
• Alleen medewerkers van GoalCube die het nodig hebben, hebben toegang tot de systemen en de data, en zij hebben een geheimhoudingsplicht.

De compliancecontrole van GoalCube controleert bij elke wijziging van het systeem of de code de maatregelen en lijsten uit deze overeenkomst naleeft.

C.3. Bijstand aan de verwerkingsverantwoordelijke De verwerker helpt de verwerkingsverantwoordelijke als volgt op grond van punt 9.1 en 9.2:

• De klant kan in GoalCube zelf zijn data en de echte waarden achter elk pseudoniem inzien, geüploade datasets verwijderen, geheime woorden verwijderen en het rapport voor toezichthouder en accountant downloaden.
• Het auditlog en de geschiedenis (bijv. besluiten, rapporten en verwijderde geheime woorden) kunnen niet per afzonderlijke vermelding worden gewijzigd of verwijderd, omdat ze moeten kunnen aantonen wat er is gebeurd. Ze worden verwijderd bij beëindiging van de overeenkomst. Moet er eerder iets worden verwijderd, bijv. na een verzoek van een betrokkene, dan gebeurt dat in overleg met GoalCube.
• Verzoeken die de klant niet zelf in het systeem kan afhandelen, worden gestuurd naar contact@goalcube.eu, en GoalCube antwoordt zonder onredelijke vertraging.
• Bij een inbreuk in verband met persoonsgegevens verstrekt GoalCube de informatie die in punt 10.3 wordt genoemd.

C.4. Bewaartermijn/verwijderingsprocedure

• De data van de klant worden bewaard tot de klant ze zelf verwijdert of de overeenkomst eindigt.
• Verwijdert de klant een geüploade dataset in GoalCube, dan wordt de dataset meteen verwijderd. Rapporten die op basis van de dataset zijn gemaakt, bevatten alleen pseudoniemen en worden als onderdeel van de geschiedenis bewaard tot de overeenkomst eindigt.
• Geüploade bestanden (bijv. pdf en Word) worden niet bewaard; alleen de tekst die de klant als dataset kiest op te slaan.
• De geschiedenis en het auditlog worden bewaard zolang de overeenkomst loopt, zie C.3.
• Bij beëindiging van de overeenkomst worden alle data van de klant, waaronder het auditlog, uiterlijk 30 dagen na de beëindiging verwijderd, tenzij de wet bewaring vereist. Kopieën in de back-ups van de hostingprovider worden verwijderd wanneer die back-ups bij de provider verlopen.
• E-mails die de klant of de gebruikers van de klant aan de support van GoalCube sturen, vallen niet onder de bovenstaande termijn. Ze worden automatisch verwijderd 24 maanden na ontvangst – of eerder als de klant daarom vraagt.

C.5. Locatie van de verwerking De verwerking van de persoonsgegevens waarop de Bepalingen betrekking hebben, mag zonder voorafgaande schriftelijke toestemming van de verwerkingsverantwoordelijke niet plaatsvinden op andere locaties dan: Clever Cloud SAS, Regio Parijs (Clever Cloud-zone "par"), Frankrijk en bij de subverwerkers in bijlage B op de daar vermelde locaties.

C.6. Instructie over de doorgifte van persoonsgegevens aan derde landen De verwerker geeft geen persoonsgegevens van de klant door aan derde landen, met deze ene uitzondering: stuurt de klant of een gebruiker van de klant een e-mail aan GoalCube, dan kan die e-mail persoonsgegevens bevatten. Voordat de mailassistent van GoalCube een concept-antwoord schrijft, vervangt GoalCube in de EU automatisch namen, e-mailadressen, telefoon-, ID- en rekeningnummers en bedrijfsnamen door codes. Namen in vrije tekst worden herkend aan de hand van namenlijsten en patronen, dus een zeldzame naam kan er bij uitzondering doorheen glippen. Alleen de gepseudonimiseerde tekst wordt naar Anthropic in de VS gestuurd, op basis van de modelcontractbepalingen van de EU. Vragen over juridische zaken, klachten, betalingen en rechten worden door een mens beantwoord.

Doorgiften die plaatsvinden omdat de klant zijn AI-dienst zelf vraagt data uit GoalCube op te halen, gebeuren op instructie van de klant en onder de eigen overeenkomst van de klant met de AI-leverancier, zie punt 8.3.

Als de verwerkingsverantwoordelijke in de Bepalingen of later geen schriftelijke instructie geeft over de doorgifte van persoonsgegevens aan een derde land, is de verwerker niet gerechtigd om binnen het kader van de Bepalingen zulke doorgiften te verrichten.

C.7. Procedures voor audits, waaronder inspecties, door de verwerkingsverantwoordelijke van de verwerking van persoonsgegevens die aan de verwerker is toevertrouwd De verwerker stelt op verzoek van de verwerkingsverantwoordelijke, en hoogstens één keer per jaar, een schriftelijke verklaring op over de naleving van de Bepalingen (zelfcontrole). De verwerkingsverantwoordelijke kan daarnaast op eigen kosten een inspectie uitvoeren of laten uitvoeren door een onafhankelijke auditor als daar concrete aanleiding voor is, met een aankondiging van ten minste 30 dagen en hoogstens één keer per jaar. De inspectie wordt zo ingericht dat ze geen toegang geeft tot data van andere klanten. De bestede tijd van de verwerker wordt gefactureerd volgens bijlage D.

C.8. Procedures voor audits, waaronder inspecties, van de verwerking van persoonsgegevens die aan subverwerkers is toevertrouwd De verwerker beoordeelt ten minste één keer per jaar de eigen documentatie van de subverwerkers over de beveiliging van de verwerking (bijv. certificeringen, auditverklaringen, verwerkersovereenkomsten en lijsten van subverwerkers) en beoordeelt of zij hun verplichtingen nog steeds nakomen. Het resultaat wordt opgenomen in de verklaring op grond van C.7.

Bijlage D – Afspraken van de partijen over andere zaken

1. Aansprakelijkheid. De aansprakelijkheid van de partijen op grond van de Bepalingen valt onder de aansprakelijkheidsbeperking in de algemene voorwaarden, voor zover dat verenigbaar is met artikel 82 en 83 AVG.
2. Vergoeding voor bijstand. Bijstand die met de functies van GoalCube kan worden geleverd, en meldingen van inbreuken zijn kosteloos. Andere bijstand op grond van punt 9 en audits op grond van punt 12 worden gefactureerd op basis van de bestede tijd tegen het geldende uurtarief van GoalCube, dat vooraf wordt meegedeeld.
3. Rangorde. Bij strijdigheid gaan de Bepalingen voor op de algemene voorwaarden, voor zover het de verwerking van persoonsgegevens betreft.
4. Toepasselijk recht en bevoegde rechter volgen de algemene voorwaarden.

Zie ook: Privacyverklaring · Algemene voorwaarden · Cookiebeleid