Verwerkersovereenkomst

1. Partijen

Deze Verwerkersovereenkomst wordt gesloten tussen:

• Kiff Agents OÜ, een Estse besloten vennootschap, registratienummer 17372313, btw-nummer EE102924327, gevestigd aan Tööstuse tn 75-71, Põhja-Tallinna linnaosa, Tallinn 10416, Estland (de “Verwerker”); en
• [JURIDISCHE NAAM VAN DE KLANT], gevestigd aan [ADRES], registratienummer [REGISTRATIENUMMER] (de “Verwerkingsverantwoordelijke”).

Elk een “partij” en samen de “partijen”. Deze Verwerkersovereenkomst vult de Gebruiksvoorwaarden op /terms aan, en elk commercieel bestelformulier tussen de partijen; bij strijdigheid over gegevensbescherming gaat deze Verwerkersovereenkomst voor.

2. Definities

Begrippen met een hoofdletter die hier niet zijn gedefinieerd, hebben de betekenis die de AVG (Verordening (EU) 2016/679) eraan geeft.

• “AVG”: de Algemene verordening gegevensbescherming van de EU.
• “Persoonsgegevens”, “Betrokkene”, “Verwerking”, “Verwerkingsverantwoordelijke”, “Verwerker”, “Subverwerker”, “Inbreuk in verband met Persoonsgegevens”: zoals gedefinieerd in artikel 4 van de AVG.
• “Auditgegevens”: Persoonsgegevens die de Verwerkingsverantwoordelijke via de runtime bij de Dienst aanlevert of binnen de Dienst laat ontstaan, waaronder gebeurtenissen, beslissingen, acties, goedkeuringen en ontvangstbewijzen.
• “tafs-gegevens”: Persoonsgegevens in wat tafs namens de Verwerkingsverantwoordelijke bewaart: de runs en chats van elk taf (inclusief wat de gekoppelde apps van de Verwerkingsverantwoordelijke eraan teruggeven) en de chats van Setup, zijn rapporten, zijn geheugennotities, de apparaten die voor zijn meldingen zijn geregistreerd, en de koppelingen van de Verwerkingsverantwoordelijke met zijn apps in planque (het token van elke koppeling en het logboek van de goedkeuringen ervan). Bijlage 4 beschrijft ze.
• “Dienst”: het product KIFF Cloud, inclusief tafs, zoals gedefinieerd in de Gebruiksvoorwaarden.
• “Standaardcontractbepalingen” of “SCC's”: de standaardcontractbepalingen van de Europese Commissie uit 2021 voor de doorgifte van Persoonsgegevens aan derde landen.
• “DPF”: het adequaatheidsbesluit over het EU-VS Data Privacy Framework.
• “TOM's”: de technische en organisatorische maatregelen die in bijlage 2 zijn beschreven.

3. Reikwijdte en rollen

Deze Verwerkersovereenkomst geldt waar Kiff Agents OÜ in verband met de Dienst Persoonsgegevens verwerkt namens de Verwerkingsverantwoordelijke. Voor Auditgegevens en tafs-gegevens is de Verwerkingsverantwoordelijke de Verwerkingsverantwoordelijke en is Kiff Agents OÜ de Verwerker.

Voor Persoonsgegevens die we verwerken over de accounthouders van de Verwerkingsverantwoordelijke (metadata over het inloggen, contactpersonen voor facturering, correspondentie met support) geldt ons privacybeleid; voor die gegevens zijn we een zelfstandige Verwerkingsverantwoordelijke, geen Verwerker onder deze Verwerkersovereenkomst.

4. Onderwerp en duur

Onderwerp: Verwerking van Auditgegevens en tafs-gegevens om de Dienst te leveren.

Duur: vanaf de ingangsdatum van deze Verwerkersovereenkomst tot (a) de beëindiging van de onderliggende Gebruiksvoorwaarden of (b) de verwijdering van alle Auditgegevens volgens §16, afhankelijk van wat later is. Bepalingen die naar hun aard na beëindiging blijven gelden (audit, vrijwaring, toepasselijk recht), blijven gelden.

5. Aard en doel van de verwerking

Kiff Agents OÜ verwerkt Auditgegevens alleen voor zover dat nodig is om de Dienst te leveren: voorstellen en toolaanroepen ontvangen, ze toetsen aan de configuratie en de Cards van de Verwerkingsverantwoordelijke, ze vasthouden voor menselijke goedkeuring waar de configuratie dat vereist, een toegestane aanroep doorsturen naar de gekoppelde app of een autorisatie afgeven die de app verifieert, de beslissingen en de uitkomst die de app meldt vastleggen, ondertekende Ontvangstbewijzen uitgeven, en (waar de Verwerkingsverantwoordelijke dat zo heeft ingesteld) samenvattende hashes waaraan manipulatie te zien is publiceren in een openbaar, verifieerbaar spoor. De gekoppelde app voert de onderliggende actie uit; een autorisatiebeslissing alleen is geen bewijs dat de actie is uitgevoerd.

Voor tafs verwerkt Kiff Agents OÜ ook tafs-gegevens om elk taf te draaien dat de Verwerkingsverantwoordelijke start: het taf draaien volgens zijn planning en in chats met de mensen van de Verwerkingsverantwoordelijke, zijn toolaanroepen via KIFF versturen, zijn runs, chats en geheugennotities bewaren zodat het kan rapporteren en zijn werk kan voortzetten, en de geregistreerde apparaten van de Verwerkingsverantwoordelijke een melding sturen wanneer een aanroep wordt vastgehouden. Via Setup en planque koppelt Kiff Agents OÜ ook de apps van de Verwerkingsverantwoordelijke, wanneer de mensen van de Verwerkingsverantwoordelijke inloggen bij de aanbieder van de app en de koppeling op hun apparaat goedkeuren: planque bewaart het token van die login, versleuteld, en gebruikt het alleen voor een aanroep waarover KIFF heeft beslist. Bijlage 4 beschrijft de gegevens, waar ze worden bewaard en hoe lang.

6. Categorieën Betrokkenen en Persoonsgegevens

Standaard verwerkt Kiff Agents OÜ deze categorieën Persoonsgegevens, zoals de inventaris op /security#data-we-process beschrijft:

• Accountgegevens: wie de mensen van de Verwerkingsverantwoordelijke in zijn account zijn (namen, e-mailadressen, rollen), en zijn agents en hun sleutels. De metadata over het inloggen die Kiff Agents OÜ als verwerkingsverantwoordelijke bewaart, blijft onder §3 vallen.
• Koppelingen met apps: elke koppeling met de apps van de Verwerkingsverantwoordelijke, het token ervan (versleuteld), de goedgekeurde tools en het logboek van wie ze heeft goedgekeurd.
• Records van acties van agents: voor elke aanroep wie het vroeg (agent en sleutel), de actie, waarop die betrekking had, de uitkomst en de redenen ervoor, de geldende Card, numerieke parameters, vastgehouden aanroepen en de antwoorden daarop, en de ontvangstbewijzen.
• Chats met tafs: de runs en chats van elk taf, zijn rapporten en geheugennotities, en wat de apps van de Verwerkingsverantwoordelijke eraan teruggeven, zoals bijlage 4 beschrijft.

De Betrokkenen zijn de mensen van de Verwerkingsverantwoordelijke die de Dienst gebruiken, en de mensen van wie gegevens voorkomen in de acties van zijn agents en in chats met tafs, zoals de klanten, leveranciers of medewerkers van de Verwerkingsverantwoordelijke.

Wat er verder bij de Dienst terechtkomt, hangt af van de configuratie van de Verwerkingsverantwoordelijke en van de gegevens die hij verstuurt; Kiff Agents OÜ heeft geen zeggenschap over welke velden de Verwerkingsverantwoordelijke verstuurt. De Verwerkingsverantwoordelijke voegt eventuele verdere categorieën toe in bijlage 1, die wordt bijgewerkt wanneer de configuratie wezenlijk verandert.

7. Instructies van de Verwerkingsverantwoordelijke

Kiff Agents OÜ zal Persoonsgegevens verwerken volgens de gedocumenteerde instructies van de Verwerkingsverantwoordelijke. Die instructies bestaan uit deze Verwerkersovereenkomst, de Gebruiksvoorwaarden, de technische documentatie van de Dienst en de beveiligingsmaatregelen in de gedateerde revisie op kiff.dev/docs/archive/2026-10-10, en de configuraties en instructies die de bevoegde gebruikers van de Verwerkingsverantwoordelijke via de Dienst indienen.

De strategische whitepaper en de documentatie van het opensourceframework, dat een eigen licentie heeft, zijn toelichtende naslagwerken en maken geen deel uit van die verwerkingsinstructies. De publicatie van een herzien document wijzigt op zichzelf niet de instructies die voor een bestaande overeenkomst gelden.

Voor instructies buiten dat bereik is een schriftelijke afspraak nodig. Als Kiff Agents OÜ een instructie in strijd acht met de AVG of met andere geldende wetgeving over gegevensbescherming, zal het de Verwerkingsverantwoordelijke daarvan op de hoogte stellen.

8. Verplichtingen van de Verwerker (artikel 28, lid 3)

Kiff Agents OÜ zal:

1. Persoonsgegevens alleen verwerken op basis van de gedocumenteerde instructies van de Verwerkingsverantwoordelijke, ook wat internationale doorgiften betreft, tenzij het recht van de EU of van een lidstaat iets anders vereist (in dat geval zal Kiff Agents OÜ de Verwerkingsverantwoordelijke vóór de Verwerking van dat wettelijke vereiste op de hoogte stellen, tenzij die wetgeving zo'n kennisgeving verbiedt om gewichtige redenen van algemeen belang);
2. waarborgen dat personeel dat bevoegd is Persoonsgegevens te verwerken, gebonden is aan passende geheimhoudingsverplichtingen;
3. de technische en organisatorische maatregelen treffen die in bijlage 2 zijn beschreven;
4. de voorwaarden voor het inschakelen van Subverwerkers in §10 naleven;
5. rekening houdend met de aard van de Verwerking, de Verwerkingsverantwoordelijke met passende maatregelen bijstaan bij het nakomen van verplichtingen om te antwoorden op verzoeken van Betrokkenen op grond van hoofdstuk III van de AVG;
6. de Verwerkingsverantwoordelijke bijstaan bij het waarborgen van de naleving van de artikelen 32 tot en met 36 van de AVG (beveiliging, melding van inbreuken, gegevensbeschermingseffectbeoordeling (DPIA), voorafgaande raadpleging), rekening houdend met de aard van de Verwerking en de informatie waarover Kiff Agents OÜ beschikt;
7. naar keuze van de Verwerkingsverantwoordelijke alle Persoonsgegevens verwijderen of teruggeven bij beëindiging van de diensten volgens §16, en bestaande kopieën verwijderen, tenzij het recht van de EU of van een lidstaat opslag vereist;
8. de Verwerkingsverantwoordelijke alle informatie ter beschikking stellen die nodig is om de naleving van artikel 28 van de AVG aan te tonen, en audits volgens §15 mogelijk maken en eraan bijdragen.

9. Vertrouwelijkheid

Kiff Agents OÜ waarborgt dat personeel met toegang tot Persoonsgegevens gebonden is aan schriftelijke geheimhoudingsverplichtingen of aan een passende wettelijke geheimhoudingsplicht. Toegang wordt verleend volgens het principe van de minste rechten en wordt gelogd.

10. Subverwerkers

De Verwerkingsverantwoordelijke geeft Kiff Agents OÜ toestemming de Subverwerkers in te schakelen die zijn vermeld in bijlage 3 en op /subprocessors, dat de officiële lijst is. Kiff Agents OÜ legt elke Subverwerker verplichtingen voor gegevensbescherming op die niet minder bescherming bieden dan deze Verwerkersovereenkomst.

Het openbare, verifieerbare spoor is geen Subverwerker. Het ontvangt alleen samenvattende hashes en geen Persoonsgegevens.

De gedateerde revisie waarnaar paragraaf 7 verwijst, legt de lijst vast zoals die op haar datum was. Een latere wijziging gaat in volgens deze paragraaf, niet door de publicatie van een revisie.

Wanneer Kiff Agents OÜ van plan is een nieuwe Subverwerker in te schakelen of een bestaande te vervangen voor de Verwerking van de Persoonsgegevens van de Verwerkingsverantwoordelijke, stelt Kiff Agents OÜ de Verwerkingsverantwoordelijke daarvan minstens dertig dagen van tevoren op de hoogte. De Verwerkingsverantwoordelijke mag binnen vijftien dagen na de kennisgeving bezwaar maken tegen de wijziging op redelijke gronden van gegevensbescherming; als een redelijk bezwaar niet kan worden opgelost, mag elke partij het getroffen deel van de Dienst met een schriftelijke kennisgeving beëindigen.

11. Internationale doorgiften

Waar de Verwerking van Persoonsgegevens een doorgifte inhoudt naar een land buiten de Europese Economische Ruimte zonder adequaatheidsbesluit op grond van artikel 45 van de AVG, komen de partijen overeen dat:

• voor doorgiften aan Subverwerkers die zijn gecertificeerd onder het EU-VS Data Privacy Framework, het DPF het doorgiftemechanisme is zolang het van kracht blijft;
• de partijen in andere gevallen de Standaardcontractbepalingen van de Europese Commissie uit 2021 door verwijzing opnemen, waarbij module 2 (verwerkingsverantwoordelijke naar verwerker) geldt voor doorgiften van de Verwerkingsverantwoordelijke aan Kiff Agents OÜ en module 3 (verwerker naar subverwerker) voor doorgiften van Kiff Agents OÜ aan een Subverwerker;
• het toetredingsbeding (bepaling 7) niet wordt gebruikt; de partijen bij de SCC's zijn de Verwerkingsverantwoordelijke en Kiff Agents OÜ;
• bijlage I.A en I.B van de SCC's worden ingevuld door verwijzing naar bijlage 1 van deze Verwerkersovereenkomst; bijlage II van de SCC's door verwijzing naar bijlage 2 van deze Verwerkersovereenkomst; bijlage III door verwijzing naar bijlage 3 van deze Verwerkersovereenkomst;
• optie 2 van bepaling 9, punt a) (algemene schriftelijke toestemming) geldt, met de kennisgevingstermijn van dertig dagen uit §10 hierboven.

Waar na een beoordeling van de gevolgen van de doorgifte aanvullende maatregelen passend zijn, treft Kiff Agents OÜ die (versleuteling onderweg en in rust, logging van toegang, dataminimalisatie zoals beschreven in bijlage 2).

12. Beveiligingsmaatregelen

Kiff Agents OÜ treft passende technische en organisatorische maatregelen om een beveiligingsniveau te waarborgen dat op het risico is afgestemd, volgens artikel 32 van de AVG. De maatregelen in bijlage 2 en in de gedateerde revisie op kiff.dev/docs/archive/2026-10-10 zijn de overeengekomen basis. /security beschrijft de huidige maatregelen. Kiff Agents OÜ mag de maatregelen aanpassen, mits het algehele beveiligingsniveau niet onder die basis daalt, en stelt de Verwerkingsverantwoordelijke vooraf op de hoogte van een wezenlijke wijziging ervan.

13. Melding van een Inbreuk in verband met Persoonsgegevens

Kiff Agents OÜ meldt de Verwerkingsverantwoordelijke een Inbreuk in verband met Persoonsgegevens die de Persoonsgegevens van de Verwerkingsverantwoordelijke raakt zonder onredelijke vertraging, en in elk geval binnen tweeënzeventig (72) uur nadat het er kennis van heeft gekregen. De melding bevat, voor zover op dat moment bekend en aangevuld naarmate er meer informatie beschikbaar komt:

• de aard van de Inbreuk, met de categorieën en het aantal Betrokkenen en records bij benadering;
• de waarschijnlijke gevolgen van de Inbreuk;
• de maatregelen die zijn genomen of voorgesteld om de Inbreuk aan te pakken en de mogelijke nadelige gevolgen ervan te beperken;
• de naam en de contactgegevens van één aanspreekpunt bij Kiff Agents OÜ voor meer informatie.

De eigen termijn van de Verwerkingsverantwoordelijke volgens artikel 33 van de AVG voor de melding aan zijn toezichthoudende autoriteit begint te lopen wanneer de Verwerkingsverantwoordelijke zelf kennis krijgt van de Inbreuk; deze melding ondersteunt die verplichting.

14. Verzoeken van Betrokkenen

Kiff Agents OÜ staat de Verwerkingsverantwoordelijke met passende technische en organisatorische maatregelen bij, rekening houdend met de aard van de Verwerking, bij het nakomen van de verplichtingen van de Verwerkingsverantwoordelijke om te antwoorden op verzoeken van Betrokkenen die hun rechten uitoefenen op grond van de artikelen 15 tot en met 22 van de AVG.

Kiff Agents OÜ bevestigt de ontvangst van verzoeken om bijstand van de Verwerkingsverantwoordelijke binnen vijf (5) werkdagen. Verzoeken die rechtstreeks van Betrokkenen komen, worden zonder onredelijke vertraging aan de Verwerkingsverantwoordelijke doorgestuurd; Kiff Agents OÜ antwoordt niet namens zichzelf op die verzoeken, behalve om de ontvangst te bevestigen en de Betrokkene naar de Verwerkingsverantwoordelijke te verwijzen.

15. Auditrechten

Kiff Agents OÜ stelt de Verwerkingsverantwoordelijke alle informatie ter beschikking die redelijkerwijs nodig is om de naleving van artikel 28 van de AVG aan te tonen. Na een redelijke voorafgaande schriftelijke kennisgeving (minstens dertig dagen, behalve bij een audit naar aanleiding van een bevestigde wezenlijke inbreuk) mag de Verwerkingsverantwoordelijke Kiff Agents OÜ één keer per periode van twaalf maanden auditen.

Kiff Agents OÜ heeft nog geen SOC 2- of ISO 27001-rapport. Op verzoek deelt het zijn beveiligingsoverzicht op /security en beantwoordt het de beveiligingsvragenlijsten van de Verwerkingsverantwoordelijke.

Audits vinden plaats tijdens normale kantooruren, verstoren de Dienst niet onredelijk en respecteren de vertrouwelijkheid van de andere klanten van Kiff Agents OÜ. De Verwerkingsverantwoordelijke draagt zijn eigen auditkosten; als een audit een wezenlijke niet-naleving door Kiff Agents OÜ aan het licht brengt, vergoedt Kiff Agents OÜ de redelijke auditkosten van de Verwerkingsverantwoordelijke.

16. Teruggave of verwijdering van Persoonsgegevens

Naar keuze van de Verwerkingsverantwoordelijke en binnen dertig dagen na beëindiging van de Dienst voor de Verwerkingsverantwoordelijke geeft Kiff Agents OÜ de Auditgegevens terug in een gestructureerd, gangbaar en machineleesbaar formaat, of verwijdert het ze. Dezelfde keuze geldt voor tafs-gegevens. Wordt er binnen die termijn geen keuze gemaakt, dan verwijdert Kiff Agents OÜ beide. tafs-gegevens worden verwijderd door elk taf te verwijderen, zoals bijlage 4 beschrijft: nadat de gegevens van de Verwerkingsverantwoordelijke zijn teruggegeven, of meteen als die voor verwijdering koos, verwijdert Kiff Agents OÜ elk taf dat de Verwerkingsverantwoordelijke niet zelf heeft verwijderd, en ontkoppelt en verwijdert het de koppelingen van de Verwerkingsverantwoordelijke en de logboeken ervan in planque.

Hashes die al in het openbare, verifieerbare spoor zijn gepubliceerd, blijven staan omdat het spoor onveranderlijk is. Omdat het openbare spoor cryptografische salting per tenant gebruikt (volgens /security#public-trail), zorgt het vernietigen van de salt van de tenant ervoor dat die gepubliceerde hashes blijvend niet meer te koppelen zijn aan de records waaruit ze zijn voortgekomen.

Van de database van KIFF wordt dagelijks een versleutelde back-up gemaakt, en elke back-up wordt zeven dagen bewaard, dus een verwijderd record is er binnen zeven dagen na de verwijdering uit verdwenen. planque houdt geen back-up van zijn opslag. Kiff Agents OÜ mag Persoonsgegevens bewaren waar het recht van de EU of van een lidstaat opslag vereist (bijvoorbeeld de Estse boekhoudwet §12).

17. Aansprakelijkheid

Voor de aansprakelijkheid van elke partij onder deze Verwerkersovereenkomst gelden de beperkingen en uitsluitingen uit de Gebruiksvoorwaarden, behalve waar de geldende wetgeving zo'n beperking verbiedt. Elke partij is aansprakelijk voor schade die wordt veroorzaakt door haar eigen inbreuk op de AVG, volgens artikel 82 van de AVG.

18. Looptijd en beëindiging

Deze Verwerkersovereenkomst gaat in bij ondertekening door beide partijen en loopt voor de duur die in §4 is beschreven. Beëindiging van de Gebruiksvoorwaarden beëindigt automatisch deze Verwerkersovereenkomst, onverminderd de verplichtingen die blijven gelden.

19. Toepasselijk recht

Op deze Verwerkersovereenkomst is het recht van de Republiek Estland van toepassing, onverminderd dwingende bepalingen van de AVG of, waar die gelden, regels voor consumentenbescherming. Voor geschillen die uit deze Verwerkersovereenkomst voortkomen, gelden de regels over de bevoegde rechter en de rechtskeuze in §18 van de Gebruiksvoorwaarden.

Bijlage 1, Beschrijving van de Verwerking

Wordt ingevuld per getekend exemplaar.

A. Lijst van partijen

Verwerkingsverantwoordelijke en Verwerker zoals aangeduid in §1.

B. Beschrijving van de doorgifte

Categorieën Betrokkenen: zoals vermeld in §6, plus [eventuele verdere categorieën die de Verwerkingsverantwoordelijke opgeeft].
Categorieën Persoonsgegevens: zoals vermeld in §6 (accountgegevens, koppelingen met apps, records van acties van agents, chats met tafs), plus [eventuele verdere categorieën die de Verwerkingsverantwoordelijke opgeeft].
Gevoelige gegevens: [opgave van de Verwerkingsverantwoordelijke; standaard: geen].
Frequentie van de doorgifte: doorlopend (elk verzoek aan de Dienst).
Aard van de Verwerking: zoals beschreven in §5.
Doelen van de Verwerking: zoals beschreven in §5.
Bewaartermijn: volgens /privacy#retention en §16.

C. Bevoegde toezichthoudende autoriteit

De Estse Inspectie voor gegevensbescherming (Andmekaitse Inspektsioon).

Bijlage 2, Technische en organisatorische maatregelen

Een samenvatting die past bij een verwerkersovereenkomst volgens artikel 28. Deze bijlage en de gedateerde revisie op kiff.dev/docs/archive/2026-10-10 zijn de overeengekomen basis volgens paragraaf 12. /security toont de huidige maatregelen en wordt bijgewerkt binnen 30 dagen na een wezenlijke wijziging.

Bijlage 3, Subverwerkers

De officiële lijst staat op /subprocessors; die lijst is gezaghebbend voor de huidige Subverwerkers, verandert alleen volgens de procedure in paragraaf 10 en wordt bijgewerkt binnen 30 dagen na elke wijziging. Op het moment van deze versie van het sjabloon:

Het openbare, verifieerbare spoor is geen Subverwerker: het ontvangt alleen samenvattende hashes en geen Persoonsgegevens.

Bijlage 4, tafs

Wat tafs namens de Verwerkingsverantwoordelijke bewaart, waar en hoe lang. De Verwerkingsverantwoordelijke verwijdert een taf in de tafs-app; daarmee wordt alles hieronder verwijderd wat wordt bewaard “tot het taf wordt verwijderd”.

De Cards, vastgehouden aanroepen, antwoorden en ontvangstbewijzen van een taf zijn Auditgegevens, die KIFF bewaart volgens de rest van deze Verwerkersovereenkomst.

Documentversie: sjabloon v0.1.
Laatst bijgewerkt: 9 november 2026.