Deze Verwerkersovereenkomst (DPA) regelt de verwerking van persoonsgegevens door Cortena B.V. namens haar klanten in verband met het Cortena-platform en de bijbehorende diensten. Deze DPA maakt deel uit van de Abonnementsovereenkomst tussen Cortena en de Klant en wordt door verwijzing daarin opgenomen.
De versie die van kracht is op de Ingangsdatum van elke Abonnementsovereenkomst is bindend. Cortena stelt klanten ten minste 30 dagen vooraf schriftelijk op de hoogte van wezenlijke wijzigingen.
Voor vragen: compliance@cortena.ai · Functionaris voor gegevensbescherming: Sharon Klaver · dpo@cortena.ai
1. Definities
Overeenkomst betekent deze Verwerkersovereenkomst en alle bijlagen, die deel uitmaken van de Abonnementsovereenkomst tussen Cortena en de Klant.
Verwerkingsverantwoordelijke betekent de Klant, die het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.
Verwerker betekent Cortena B.V., die namens de Verwerkingsverantwoordelijke persoonsgegevens verwerkt.
Persoonsgegevens van de Klant betekent alle persoonsgegevens die Cortena namens de Klant verwerkt op grond van of in verband met de Abonnementsovereenkomst.
Privacywetgeving betekent de Algemene verordening gegevensbescherming (EU) 2016/679 (AVG) en alle toepasselijke nationale uitvoeringswetgeving, zoals van tijd tot tijd gewijzigd of vervangen.
Inbreuk in verband met Persoonsgegevens betekent een beveiligingsinbreuk die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging, de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot Persoonsgegevens van de Klant.
Subverwerker betekent iedere derde die door Cortena wordt ingeschakeld om Persoonsgegevens van de Klant te verwerken in verband met de levering van de Dienst.
Diensten betekent het AI-platform voor financiële processen en de bijbehorende diensten die Cortena op grond van de Abonnementsovereenkomst levert.
EER betekent de Europese Economische Ruimte.
2. Verwerking van Persoonsgegevens van de Klant
2.1 Gedocumenteerde instructies
Cortena verwerkt Persoonsgegevens van de Klant uitsluitend op basis van gedocumenteerde instructies van de Klant, tenzij Cortena op grond van toepasselijke wetgeving verplicht is deze gegevens te verwerken. De Abonnementsovereenkomst vormt, samen met eventuele schriftelijke instructies van de Klant, de gedocumenteerde instructies van de Klant voor de toepassing van deze DPA.
2.2 Reikwijdte en doel
Cortena verwerkt Persoonsgegevens van de Klant uitsluitend om de Diensten zoals beschreven in de Abonnementsovereenkomst te leveren en te onderhouden. Cortena verwerkt Persoonsgegevens van de Klant niet voor andere doeleinden, waaronder, maar niet beperkt tot, het trainen of verbeteren van AI-modellen, benchmarking of het ontwikkelen van producten of functies voor andere klanten.
2.3 Aard van de verwerking
De verwerkingsactiviteiten van Cortena omvatten: het ontvangen en opslaan van facturen en financiële documenten, het extraheren en classificeren van financiële gegevens, synchronisatie met boekhoudsystemen en bijbehorende operationele ondersteuningsactiviteiten.
2.4 Categorieën gegevens
De door Cortena verwerkte Persoonsgegevens van de Klant kunnen het volgende omvatten: namen en contactgegevens van werknemers, opdrachtnemers en wederpartijen; factuur- en betalingsgegevens; informatie over leveranciers; en andere financiële documenten die naar de Dienst zijn geüpload.
2.5 Duur
Cortena verwerkt Persoonsgegevens van de Klant gedurende de looptijd van de Abonnementsovereenkomst, tenzij toepasselijke wetgeving een langere bewaartermijn vereist.
3. Personeel van de Verwerker
Cortena zorgt ervoor dat al het personeel met toegang tot Persoonsgegevens van de Klant gebonden is aan afdwingbare geheimhoudingsverplichtingen. De toegang tot Persoonsgegevens van de Klant is strikt beperkt tot personeel dat deze toegang nodig heeft om de Diensten uit te voeren. Cortena neemt redelijke maatregelen om de betrouwbaarheid te waarborgen van iedere werknemer, opdrachtnemer of subverwerker met toegang tot Persoonsgegevens van de Klant.
4. Beveiliging
4.1 Technische en organisatorische maatregelen
Cortena treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, in overeenstemming met artikel 32 van de AVG. Deze maatregelen omvatten:
- Versleuteling van gegevens tijdens overdracht (TLS) en in rust (AES-256)
- Private Kubernetes-infrastructuur die wordt gehost op bare-metalservers in Duitsland
- Strenge toegangscontroles en multifactorauthenticatie voor productiesystemen
- Een webapplicatiefirewall en regelmatige externe penetratietests
- Geautomatiseerde codescans en veilige werkwijzen gedurende de levenscyclus van softwareontwikkeling
- Toegangscontroles volgens het principe van minimale bevoegdheden in alle interne systemen
4.2 Risicobeoordeling
Bij het bepalen van het passende beveiligingsniveau houdt Cortena rekening met de risico's van de verwerking, waaronder het risico op de onbedoelde of onrechtmatige vernietiging, het verlies, de wijziging, de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot Persoonsgegevens van de Klant.
4.3 Updates
De beveiligingsmaatregelen worden periodiek beoordeeld en bijgewerkt naarmate het platform zich ontwikkelt en dreigingen veranderen. Zie ook Beveiliging en Hosting in de EU.
5. Inschakeling van subverwerkers
5.1 Goedgekeurde subverwerkers
De Klant geeft Cortena toestemming om subverwerkers in te schakelen ter ondersteuning van de levering van de Diensten. De actuele lijst met goedgekeurde subverwerkers van Cortena is gepubliceerd in dit Compliancecentrum. Zie Subverwerkers.
5.2 Verplichtingen van subverwerkers
Cortena legt iedere subverwerker verplichtingen inzake gegevensbescherming op die materieel gelijkwaardig zijn aan de verplichtingen in deze DPA. Cortena blijft volledig aansprakelijk tegenover de Klant voor de nakoming van de verplichtingen van een subverwerker op grond van deze DPA, voor zover Cortena niet de redelijkerwijs vereiste zorgvuldigheid heeft betracht bij de selectie van of het toezicht op die subverwerker.
5.3 Wijzigingen in subverwerkers
Cortena stelt de Klant ten minste 30 dagen vooraf schriftelijk op de hoogte van een voorgenomen toevoeging of vervanging van een subverwerker. Als de Klant op redelijke gegevensbeschermingsgronden bezwaar maakt tegen een nieuwe subverwerker, kan de Klant dit bezwaar binnen 30 dagen na de kennisgeving schriftelijk indienen. De Partijen onderhandelen te goeder trouw om het probleem op te lossen. Als er geen oplossing wordt bereikt, kan iedere Partij het betrokken deel van de Diensten beëindigen met inachtneming van een redelijke schriftelijke opzegtermijn.
6. Rechten van betrokkenen
6.1 Ondersteuning
Rekening houdend met de aard van de verwerking ondersteunt Cortena de Klant door passende technische en organisatorische maatregelen te treffen, zodat de Klant kan voldoen aan zijn verplichtingen om te reageren op verzoeken van betrokkenen die hun rechten op grond van de toepasselijke Privacywetgeving uitoefenen, waaronder het recht op inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar.
6.2 Kennisgeving van verzoeken
Cortena stelt de Klant onmiddellijk op de hoogte als zij een verzoek van een betrokkene ontvangt met betrekking tot Persoonsgegevens van de Klant. Cortena reageert niet op een dergelijk verzoek, behalve op basis van de gedocumenteerde instructies van de Klant of wanneer dit op grond van toepasselijke wetgeving verplicht is.
7. Inbreuk in verband met Persoonsgegevens
7.1 Kennisgeving
Cortena stelt de Klant zonder onredelijke vertraging, en in ieder geval binnen 72 uur, op de hoogte zodra zij bekend is geraakt met een Inbreuk in verband met Persoonsgegevens die gevolgen heeft voor Persoonsgegevens van de Klant. Voor zover beschikbaar bevat de kennisgeving: een beschrijving van de aard van de inbreuk, de categorieën en het geschatte aantal getroffen betrokkenen en gegevensbestanden, de waarschijnlijke gevolgen van de inbreuk en de maatregelen die zijn genomen of voorgesteld om de inbreuk aan te pakken.
7.2 Samenwerking
Cortena werkt samen met de Klant en neemt redelijke maatregelen om ondersteuning te bieden bij het onderzoeken, beperken en herstellen van iedere Inbreuk in verband met Persoonsgegevens.
8. Gegevensbeschermingseffectbeoordelingen
Cortena biedt de Klant redelijke ondersteuning bij gegevensbeschermingseffectbeoordelingen (DPIA's) en voorafgaande raadplegingen van toezichthoudende autoriteiten waarvan de Klant redelijkerwijs oordeelt dat deze vereist zijn op grond van artikel 35 of artikel 36 van de AVG, wanneer deze beoordelingen betrekking hebben op de verwerking van Persoonsgegevens van de Klant door Cortena.
9. Verwijdering en teruggave van Persoonsgegevens van de Klant
9.1 Bij beëindiging
Bij beëindiging of afloop van de Abonnementsovereenkomst verwijdert Cortena, naar keuze van de Klant, alle Persoonsgegevens van de Klant of geeft zij deze binnen 30 dagen na de beëindigingsdatum terug. Deze verplichting geldt voor alle kopieën van Persoonsgegevens van de Klant die door Cortena en haar subverwerkers worden verwerkt.
9.2 Wettelijke bewaarplichten
Cortena hoeft Persoonsgegevens van de Klant niet te verwijderen voor zover toepasselijke wetgeving vereist dat deze worden bewaard. In dergelijke gevallen stelt Cortena de Klant hiervan op de hoogte en zorgt zij ervoor dat de bewaarde gegevens in overeenstemming met deze DPA worden beschermd.
Zie ook Gegevensverwijdering.
10. Auditrechten
10.1 Informatie en samenwerking
Cortena stelt op redelijk schriftelijk verzoek van de Klant alle informatie beschikbaar die nodig is om aan te tonen dat zij deze DPA en artikel 28 van de AVG naleeft.
10.2 Audits en inspecties
Cortena staat audits, waaronder inspecties, door de Klant of een door de Klant aangestelde onafhankelijke auditor toe en werkt daaraan mee, onder de volgende voorwaarden: (a) een redelijke voorafgaande schriftelijke kennisgeving van ten minste 30 dagen; (b) audits vinden plaats tijdens normale kantooruren en beperken verstoring tot een minimum; (c) de Klant draagt de kosten, tenzij uit de audit blijkt dat Cortena wezenlijk tekortschiet in de naleving.
10.3 Alternatieve waarborgen
Wanneer Cortena relevante certificeringen van derden heeft verkregen of onafhankelijke beveiligingsbeoordelingen heeft afgerond, kan Cortena aan auditverzoeken voldoen door de relevante rapporten of certificeringen te verstrekken, voor zover deze de reikwijdte van de auditvereisten van de Klant dekken.
11. Internationale gegevensdoorgiften
11.1 Verwerking binnen de EER
Cortena slaat alle Persoonsgegevens van de Klant op en verwerkt deze in Duitsland en binnen de EER, met behulp van infrastructuur die wordt beheerd door Hetzner Online GmbH (Duitsland). Persoonsgegevens van de Klant verlaten de EER niet als onderdeel van de kernactiviteiten van Cortena voor hosting en verwerking.
11.2 Doorgiften door subverwerkers
Bepaalde subverwerkers kunnen bij de levering van specifieke diensten beperkte gegevens buiten de EER verwerken. Wanneer dergelijke doorgiften plaatsvinden, zorgt Cortena voor passende waarborgen, waaronder de modelcontractbepalingen van de EU (SCC's) of gelijkwaardige doorgiftemechanismen die door de Europese Commissie zijn goedgekeurd.
Voor de ontvangst van inkomende e-mail werd voorheen Postmark (Verenigde Staten) gebruikt. Vanaf 10 september 2026 wordt inkomende e-mail door Cortena zelf gehost via receivehq.com (beheerd door Cortena). Zie Subverwerkers.
11.3 Geen ongeoorloofde doorgiften
Cortena geeft Persoonsgegevens van de Klant niet door aan een land buiten de EER zonder voorafgaande schriftelijke toestemming van de Klant, tenzij dit op grond van toepasselijke wetgeving verplicht is of onder een goedgekeurd doorgiftemechanisme valt zoals beschreven in paragraaf 11.2.
12. Vertrouwelijkheid
Iedere Partij behandelt deze DPA en alle informatie die zij in verband daarmee van de andere Partij ontvangt strikt vertrouwelijk, behalve voor zover openbaarmaking op grond van toepasselijke wetgeving verplicht is of de informatie al tot het publieke domein behoort zonder dat deze DPA is geschonden.
13. Toepasselijk recht en bevoegde rechter
Op deze DPA is Nederlands recht van toepassing. Alle geschillen die in verband met deze DPA ontstaan, worden voorgelegd aan de exclusieve bevoegdheid van de bevoegde rechter in Amsterdam, Nederland, in overeenstemming met de bepalingen over het toepasselijke recht in de Abonnementsovereenkomst.
Contact en aanvragen
E-mail: compliance@cortena.ai
Functionaris voor gegevensbescherming: Sharon Klaver · dpo@cortena.ai
Adres: Cortena B.V., Stadhouderskade 5 - 6, 1054 ES Amsterdam, Nederland · Juridische informatie