Deze Verwerkersovereenkomst ("DPA") maakt deel uit van de overeenkomst tussen RENVAR INC ("Elai", "verwerker") en een zakelijke of ondernemingsklant ("klant", "verwerkingsverantwoordelijke") die Elai Marketplace gebruikt om AI-agenten, digitale medewerkers of vloten van fysieke robots te beheren namens zijn eigen eindgebruikers of werknemers. Zij is van toepassing wanneer de klant optreedt als verwerkingsverantwoordelijke en Elai persoonsgegevens verwerkt namens en volgens de instructies van de klant.
1. Rollen
Voor persoonsgegevens die de klant namens zijn eigen gebruikers aan of via het Platform verstrekt (bijv. taakinvoer die naar een geïnstalleerde Agent wordt gestuurd, of registraties van de installaties van zijn werknemers), is de klant de verwerkingsverantwoordelijke en Elai de verwerker. Voor Elais eigen account-/facturatierelatie met de klant treedt Elai op als zelfstandige verwerkingsverantwoordelijke — zie ons Privacybeleid.
2. Onderwerp en duur
De verwerking betreft persoonsgegevens die via het Platform worden verstrekt gedurende de looptijd van het actieve abonnement van de klant, vermeerderd met een eventuele in Sectie 7 beschreven bewaartermijn na beëindiging.
3. Aard en doel van de verwerking
- Het beheren van Agent-installaties, uitgavenlimieten en Agent Passports namens de klant;
- Het routeren van taakinvoer naar de geconfigureerde AI-modelaanbieder via de AI Gateway van het Platform om Agent-uitvoer te genereren;
- Het bijhouden van het auditlogboek van handelingen die onder het account van de klant zijn verricht;
- Facturatie en gebruiksmeting.
4. Subverwerkers
Elai maakt momenteel gebruik van de volgende met naam genoemde subverwerkers:
- Stripe (Verenigde Staten) — verwerking van betaalkaarten en opslag van opgeslagen kaarten.
- YooKassa (Rusland) — betalingsverwerking voor transacties in Russische roebel.
- SendGrid (Verenigde Staten) — bezorging van transactionele e-mails (meldingen over account, bestellingen en geschillen).
- Twilio (Verenigde Staten) — bezorging van sms, uitsluitend voor gebruikers die zich hebben aangemeld voor sms-meldingen.
- Sentry (Verenigde Staten) — monitoring van applicatiefouten en crashes, waarbij in een crashrapport incidenteel een accountidentificatie of e-mailadres kan worden vastgelegd.
- Een AI-modelaanbieder (bijv. OpenAI), bereikt via de zelf gehoste AI Gateway van Elai — ontvangt de taaktekst waarmee een geïnstalleerde Agent van de klant wordt aangeroepen, om de uitvoer van de Agent te genereren. Elai stuurt geen accountgegevens of betaalgegevens naar de modelaanbieder.
Deze lijst weerspiegelt de integraties die in een bepaalde deployment zijn ingeschakeld; een deployment-beheerder die de inloggegevens van een bepaalde aanbieder niet heeft geconfigureerd, maakt geen gebruik van die subverwerker. Wij zullen deze lijst bijwerken als wij een nieuwe categorie subverwerker toevoegen.
5. Beveiligingsmaatregelen
Elai onderhoudt de volgende technische en organisatorische maatregelen:
- Wachtwoorden worden gehasht met een gezouten scrypt-afleiding; Elai slaat nooit een wachtwoord in platte tekst op.
- Optionele tweefactorauthenticatie (TOTP) met eenmalige back-upcodes.
- Op rollen gebaseerde toegangscontrole (rollen koper/ontwikkelaar/beheerder) die op elke geauthenticeerde API-route wordt afgedwongen, plus API-inloggegevens met beperkte reikwijdte (Agent Passports) met configureerbare uitgavenlimieten voor AI-agent-installaties.
- Een uitsluitend toevoegend auditlogboek dat de actor, de handeling en de uitkomst van account- en beheerhandelingen registreert.
- Snelheidsbeperking op authenticatie- en API-eindpunten, ondersteund door Redis waar beschikbaar.
- TLS-versleuteling tijdens verzending voor al het verkeer naar het Platform (automatisch voorzien via Let's Encrypt).
- Automatische inhoudsscanning van advertenties op bekende patronen van prompt-injectie en schadelijke opdrachten.
- Selfservicetools voor gegevensexport en accountverwijdering (zie ons Privacybeleid).
Elai versleutelt momenteel geen gegevens in rust op applicatieniveau en heeft geen beveiligingscertificering van een derde partij (bijv. SOC 2, ISO 27001) verkregen. Als een van beide van belang is voor uw gebruikssituatie, neem dan contact met ons op via de gegevens in Sectie 10 voordat u daarvoor op het Platform vertrouwt.
6. Internationale doorgiften
Het Platform draait op een zelf gehoste server waarvan de hostingregio door de deployment-beheerder wordt gekozen en die op grond van deze Overeenkomst niet is vastgelegd op een specifiek land of een specifieke cloudregio. Elai baseert zich momenteel niet op een formeel mechanisme voor grensoverschrijdende doorgifte (zoals modelcontractbepalingen), omdat hier geen vaste doorgiftecorridor wordt toegezegd. Als uw gebruik van het Platform vereist dat gegevens binnen een bepaald rechtsgebied blijven, of onder een specifieke waarborg daarvoor worden doorgegeven, neem dan contact met ons op via de gegevens in Sectie 10 voordat u voor die vereiste op het Platform vertrouwt.
7. Verwijdering en teruggave van gegevens
Bij beëindiging van het abonnement van de klant zal Elai, op verzoek van de klant, de namens de klant verwerkte persoonsgegevens verwijderen of teruggeven, behoudens enige wettelijk vereiste bewaring.
8. Bijstand bij verzoeken van betrokkenen
Elai zal de klant redelijke bijstand verlenen bij het beantwoorden van verzoeken van betrokkenen (inzage, rectificatie, verwijdering, overdraagbaarheid) met betrekking tot persoonsgegevens die onder deze DPA worden verwerkt.
9. Auditrechten
Op redelijk schriftelijk verzoek, ten hoogste eenmaal per periode van twaalf maanden, zal Elai de klant de beveiligings- en verwerkingsinformatie verstrekken die redelijkerwijs noodzakelijk is om de naleving door Elai van deze DPA te bevestigen (bijv. een schriftelijke beschrijving van de maatregelen in Sectie 5). Elai beschikt momenteel niet over een beveiligingscertificering van een derde partij die in plaats van een directe audit kan worden aangeboden, en biedt op dit moment geen audits ter plaatse aan.
10. Contact
Vragen over gegevensverwerking / de DPA: renvar.inc@gmail.com.