SaaS-overeenkomst inclusief Verwerkersovereenkomst (GDPR/AVG)

Partijen

Deze SaaS-overeenkomst ("Overeenkomst") wordt gesloten tussen:

Holli-IT Services, een eenmanszaak naar Belgisch recht, gevestigd te Poothofstraat 1, 3742 Bilzen-Hoeselt, België, met ondernemingsnummer BE1020125838, hierna "Holli"

en

de klant zoals vermeld in de bestelbon of registratie ("Klant").

1. Voorwerp van de overeenkomst

Holli biedt een cloudgebaseerde softwaretoepassing ("Software") aan voor het beheer van opleidingen en leertrajecten.

De Dienst omvat onder meer:

• beheer van opleidingen en leertrajecten
• beheer en registratie van inschrijvingen van deelnemers
• beheer van trainingsresources (trainers en locaties)
• geautomatiseerde e-mailcommunicatie
• digitale aanwezigheidsregistratie
• generatie en verzending van certificaten
• automatische aanmaak van KMO-P attesten
• opvolging van KMO-P subsidiedossiers
• distributie en verwerking van surveys en evaluaties
• AI-ondersteunde functies (zie artikel 13)

2. Licentie en gebruiksrecht

Holli verleent aan de Klant een niet-exclusief, niet-overdraagbaar en herroepbaar recht om de Software te gebruiken gedurende de looptijd van deze Overeenkomst.

De Klant verkrijgt geen eigendomsrechten op de Software.

Het is de Klant niet toegestaan de Software te gebruiken voor onwettige doeleinden, de Software te overbelasten door buitensporig gebruik, de werking van het platform te verstoren, of de Software ter beschikking te stellen aan derden buiten de eigen organisatie zonder voorafgaande schriftelijke toestemming van Holli.

3. Prijs en betaling

De Dienst wordt aangeboden via een jaarlijks abonnement per organisatie. De toepasselijke prijs is vermeld op de bestelbon of offerte die integraal deel uitmaakt van deze Overeenkomst.

Holli behoudt zich het recht voor de abonnementsprijs aan te passen bij elke jaarlijkse verlenging, mits schriftelijke kennisgeving aan de Klant ten minste zestig (60) dagen voor het einde van de lopende contractperiode. Indien de Klant niet akkoord gaat met de nieuwe prijs, kan hij de Overeenkomst opzeggen conform artikel 4.

Facturen zijn betaalbaar binnen 30 dagen na factuurdatum.

Bij laattijdige betaling behoudt Holli zich het recht voor om na schriftelijke aanmaning met een respijttermijn van veertien (14) dagen de toegang tot de Dienst te schorsen. Indien betaling uitblijft na dertig (30) dagen na de aanmaning, heeft Holli het recht de Overeenkomst eenzijdig te beëindigen conform artikel 4.

4. Duur en beëindiging

De Overeenkomst wordt aangegaan voor een periode van één (1) jaar en wordt automatisch verlengd voor opeenvolgende periodes van één jaar, tenzij een partij de Overeenkomst tijdig opzegt.

De Klant bevestigt bij aanvaarding van deze Overeenkomst kennis te hebben genomen van de automatische verlenging.

Opzegging dient te geschieden via schriftelijke kennisgeving ten minste dertig (30) dagen vóór het einde van de lopende contractperiode.

Holli heeft het recht de Overeenkomst eenzijdig en met onmiddellijke ingang te beëindigen in de volgende gevallen:

• bij ernstige contractbreuk door de Klant die niet hersteld wordt binnen veertien (14) dagen na schriftelijke ingebrekestelling
• bij misbruik van de Software of gebruik in strijd met artikel 2
• bij aanhoudende laattijdige betaling conform artikel 3
• indien de Klant in staat van faillissement of gerechtelijke reorganisatie wordt gesteld

5. Support

Holli biedt support via e-mail en telefonisch contact.

Holli streeft naar een reactietijd binnen 24 uur op werkdagen. Deze termijn geldt als richtlijn en niet als resultaatsverbintenis.

6. Beschikbaarheid

Holli streeft naar een beschikbaarheid van minimaal 99% per maand, exclusief gepland onderhoud. Bij structurele onderschrijding hiervan gedurende twee opeenvolgende maanden heeft de Klant het recht de Overeenkomst te beëindigen zonder opzegtermijn.

Holli kan gepland onderhoud uitvoeren dat tijdelijke onbeschikbaarheid van de Dienst tot gevolg kan hebben. Holli streeft ernaar de Klant hierover vooraf te informeren.

7. Verwerking van persoonsgegevens

In het kader van de uitvoering van de Dienst verwerkt Holli persoonsgegevens als verwerker in opdracht van de Klant als verwerkingsverantwoordelijke. De uitgebreide bepalingen hieromtrent zijn opgenomen in de Verwerkersovereenkomst die als integraal onderdeel van deze Overeenkomst geldt (zie Deel II).

8. Subverwerkers

De Klant erkent dat Holli gebruik maakt van subverwerkers voor de levering van de Dienst, waaronder:

• AWS (cloud hosting, EU-regio)
• MongoDB (database)
• Auth0 / Okta (authenticatie en identiteitsbeheer)
• OpenAI (AI-ondersteunde functies, via API)
• MailerSend (e-maildiensten)
• Render (hosting en deployment)

Holli kan subverwerkers wijzigen of toevoegen mits redelijke voorafgaande kennisgeving aan de Klant. De geactualiseerde lijst van subverwerkers is steeds beschikbaar op verzoek.

9. Aansprakelijkheid

De totale aansprakelijkheid van Holli is beperkt tot het bedrag dat de Klant heeft betaald aan Holli gedurende de twaalf (12) maanden voorafgaand aan het schadegeval.

Holli is niet aansprakelijk voor indirecte schade, waaronder winstderving, verlies van data, verlies van omzet of reputatieschade.

Holli is niet aansprakelijk voor schade die voortvloeit uit het gebruik van AI-gegenereerde inhoud die de Klant zonder validatie heeft verwerkt in officiële documenten, conform artikel 13.

Holli verbindt zich ertoe passende technische maatregelen te treffen om dataverlies tijdens de looptijd van de Overeenkomst te voorkomen, waaronder dagelijkse back-ups met een minimale retentie van dertig (30) dagen. In geval van dataverlies dat rechtstreeks te wijten is aan een tekortkoming in deze back-upverplichtingen door Holli, is de aansprakelijkheid beperkt tot het bedrag dat de Klant heeft betaald gedurende de twaalf (12) maanden voorafgaand aan het schadegeval.

Holli is niet aansprakelijk voor dataverlies dat voortvloeit uit nalatigheid van de Klant, waaronder het nalaten van tijdige exports na beëindiging van de Overeenkomst.

10. Data bij beëindiging

Na beëindiging van de Overeenkomst krijgt de Klant een periode van dertig (30) dagen om zijn data te exporteren via de exportfunctionaliteiten van het platform.

Na deze periode mag Holli de data definitief verwijderen of anonimiseren, behoudens wettelijke bewaarplichten. Voor fiscaal relevante documenten geldt een wettelijke bewaartermijn van zeven (7) jaar.

11. Intellectuele eigendom

Alle intellectuele eigendomsrechten op de Software blijven exclusief bij Holli.

De Klant behoudt alle rechten op zijn eigen data.

De Klant mag data exporteren en integraties bouwen via beschikbare functionaliteiten.

Het is verboden om de Software te kopiëren, reverse engineeren, te decompileren of op enige andere wijze te trachten de broncode te achterhalen.

12. Referenties

Holli mag de naam en/of het logo van de Klant gebruiken als referentie in marketing- en communicatiemateriaal, waaronder website, presentaties en case studies, tenzij de Klant hiertegen schriftelijk bezwaar maakt.

13. AI-ondersteunde functies

De Software maakt gebruik van AI-technologie (via de OpenAI API) voor ondersteunende functies, waaronder:

• het herkennen van tekst uit afbeeldingen (bv. deelnemerslijsten)
• het genereren van voorstelteksten voor opleidingsbeschrijvingen

AI-gegenereerde inhoud wordt steeds ter validatie aangeboden aan de gebruiker alvorens deze wordt opgenomen in officiële documenten zoals certificaten of attesten. De Klant blijft te allen tijde verantwoordelijk voor de verificatie en het finale gebruik van dergelijke inhoud.

Holli garandeert niet dat AI-gegenereerde inhoud volledig accuraat, volledig of geschikt is voor een specifiek doel. Holli is niet aansprakelijk voor schade die voortvloeit uit het gebruik van AI-gegenereerde inhoud zonder adequate verificatie door de Klant.

Persoonsgegevens die worden verwerkt via de OpenAI API worden uitsluitend gebruikt voor de uitvoering van de gevraagde functie en worden door OpenAI niet gebruikt voor de training van AI-modellen, conform de OpenAI Data Processing Agreement.

14. Toepasselijk recht en bevoegde rechtbank

Deze Overeenkomst wordt beheerst door het Belgisch recht.

In geval van geschillen zijn uitsluitend de rechtbanken van het arrondissement Limburg bevoegd.

1. Doel van de verwerking

De Verwerker verwerkt persoonsgegevens uitsluitend in opdracht van de Verwerkingsverantwoordelijke en uitsluitend voor het leveren van het Holli softwareplatform voor:

• beheer van opleidingen en leertrajecten
• registratie van deelnemers en inschrijvingen
• beheer van trainingsresources (trainers en locaties)
• geautomatiseerde communicatie
• digitale aanwezigheidsregistratie
• certificaten en attesten (incl. KMO-P)
• opvolging van subsidiedossiers
• surveys en evaluaties
• AI-ondersteunde functies zoals omschreven in artikel 13 van de SaaS-overeenkomst

De Verwerker verwerkt persoonsgegevens niet voor eigen doeleinden.

2. Soorten persoonsgegevens

De verwerking kan betrekking hebben op:

• identificatiegegevens (naam, voornaam)
• contactgegevens (e-mail, telefoonnummer)
• bedrijfsgegevens (organisatie, functie)
• opleidingsgegevens (inschrijvingen, aanwezigheid, resultaten)
• certificaten en attesten
• evaluaties en surveygegevens
• in sommige gevallen het rijksregisternummer (zie artikel 3)

3. Rijksregisternummer

Voor zover de Verwerkingsverantwoordelijke rijksregisternummers aanlevert of invoert in het platform, verklaart de Verwerkingsverantwoordelijke hiervoor over de vereiste wettelijke grondslag te beschikken conform de Wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen.

De Verwerker verwerkt rijksregisternummers uitsluitend in opdracht en onder verantwoordelijkheid van de Verwerkingsverantwoordelijke, en neemt passende technische maatregelen om de toegang tot deze gegevens te beperken.

4. Categorieën van betrokkenen

• deelnemers aan opleidingen
• medewerkers van de Klant
• trainers en externe docenten

5. Duur van de verwerking

De persoonsgegevens worden verwerkt zolang de SaaS-overeenkomst loopt, en gedurende een exportperiode van dertig (30) dagen na beëindiging.

Na de exportperiode worden persoonsgegevens verwijderd of geanonimiseerd, tenzij wettelijke bewaarplichten anders bepalen. Voor fiscaal relevante documenten (o.a. attesten, facturen) geldt een wettelijke bewaartermijn van zeven (7) jaar.

6. Beveiligingsmaatregelen

De Verwerker neemt passende technische en organisatorische maatregelen, waaronder:

• hosting in AWS EU-regio
• toegangscontrole en authenticatie via Auth0
• versleuteling van gegevens waar passend
• logging en monitoring van toegang
• beveiligde API-communicatie (HTTPS)
• beperkte toegang op basis van het need-to-know principe

7. Subverwerkers

De Verwerkingsverantwoordelijke geeft toestemming voor het gebruik van de volgende subverwerkers:

• AWS — cloud hosting (EU-regio, geen doorgifte buiten EER)
• MongoDB Atlas — database services (EU-regio beschikbaar)
• Auth0 / Okta — identiteitsbeheer (VS-gebaseerd bedrijf, zie artikel 8)
• OpenAI — AI-functies via API (VS-gebaseerd bedrijf, zie artikel 8)
• MailerSend — e-maildiensten
• Render — hosting en deployment

De Verwerker mag subverwerkers wijzigen of toevoegen, mits redelijke voorafgaande kennisgeving aan de Verwerkingsverantwoordelijke en met de mogelijkheid voor de Verwerkingsverantwoordelijke om bezwaar te maken indien redelijk gemotiveerd.

8. Internationale doorgifte

Een aantal subverwerkers zijn gevestigd in de Verenigde Staten en verwerken mogelijk persoonsgegevens buiten de Europese Economische Ruimte (EER):

• Auth0 / Okta Inc. — gevestigd in de VS
• OpenAI LLC — gevestigd in de VS

Doorgifte naar deze subverwerkers gebeurt uitsluitend met passende waarborgen, waaronder de Standard Contractual Clauses (SCC's) van de Europese Commissie (Uitvoeringsbesluit 2021/914).

OpenAI verwerkt persoonsgegevens uitsluitend via de API. Op basis van de OpenAI Data Processing Agreement worden via de API verwerkte gegevens niet gebruikt voor de training van AI-modellen.

De Verwerker zal de Verwerkingsverantwoordelijke op verzoek informeren over de toepasselijke garanties per subverwerker.

9. Datalekken

De Verwerker stelt de Verwerkingsverantwoordelijke zonder onredelijke vertraging in kennis van een inbreuk in verband met persoonsgegevens zodra deze bekend is, en uiterlijk binnen 72 uur na vaststelling indien dit wettelijk vereist is.

De kennisgeving bevat ten minste: een omschrijving van de aard van de inbreuk, de categorieën en het vermoedelijke aantal betrokken personen en persoonsgegevensregistraties, de contactgegevens van de functionaris voor gegevensbescherming of een ander contactpunt, en de waarschijnlijke gevolgen alsook de maatregelen die zijn of worden genomen.

10. Rechten van betrokkenen

De Verwerker ondersteunt de Verwerkingsverantwoordelijke bij het vervullen van verplichtingen met betrekking tot:

• recht op inzage
• recht op rectificatie
• recht op verwijdering (recht op vergetelheid)
• recht op beperking van de verwerking
• recht op gegevensoverdraagbaarheid (dataportabiliteit)

Deze ondersteuning wordt geleverd via de beschikbare functionaliteiten van het platform en via redelijke technische ondersteuning op verzoek.

11. Geen gebruik voor eigen doeleinden

De Verwerker zal persoonsgegevens niet gebruiken voor:

• profilering
• marketing of reclame
• verkoop van data aan derden
• training van AI-modellen
• enig ander doel dan de uitvoering van de SaaS-overeenkomst

12. Aansprakelijkheid

De aansprakelijkheidsbeperkingen zoals opgenomen in artikel 9 van de SaaS-overeenkomst zijn van toepassing op deze Verwerkersovereenkomst, onverminderd de bepalingen van de Algemene Verordening Gegevensbescherming (AVG/GDPR).

13. Einde van de verwerking

Na beëindiging van de overeenkomst:

• heeft de Klant dertig (30) dagen om data te exporteren via de exportfunctionaliteiten van het platform
• daarna worden persoonsgegevens verwijderd of geanonimiseerd, tenzij wettelijke verplichtingen anders bepalen
• op verzoek van de Verwerkingsverantwoordelijke bevestigt de Verwerker schriftelijk de verwijdering van de persoonsgegevens

14. Overige bepalingen

Deze Overeenkomst wordt beheerst door Belgisch recht en valt onder de exclusieve bevoegdheid van de rechtbanken van het arrondissement Limburg.

Deze Verwerkersovereenkomst vervangt alle voorgaande afspraken tussen partijen met betrekking tot de verwerking van persoonsgegevens.