Algemene voorwaarden van Cicora voor bedrijfsgegevens en gegevensverwerking

Versie van 16 september 2026. Deze pagina bevat de algemene B2B-laag voor een Organisatie die Cicora gebruikt via een Werkruimte, API of andere zakelijke bestelling. De specifieke B2B-bestelling en het addendum inzake gegevensverwerking bepalen de toepasselijke rollen, routes, audit, termijnen, doorgiftevoorwaarden en bijzondere instellingen. Deze voorwaarden gelden voor een Klant wanneer zij uitdrukkelijk in de B2B-overeenkomst van die Klant met RIZZ TRADE zijn opgenomen.

Voor een gewoon persoonlijk Account bepaalt RIZZ TRADE doorgaans als onafhankelijke verwerkingsverantwoordelijke de doeleinden voor de verwerking van Account-, betalings-, beveiligings- en ondersteuningsgegevens; het Privacybeleid is van toepassing. Voor Persoonsgegevens die een Organisatieklant via Cicora verstrekt over zijn personeel, klanten of andere personen, waarbij die Klant de doeleinden en wezenlijke middelen bepaalt, geldt het onderstaande kader als “Klant als bepalende partij — RIZZ TRADE als verwerker” binnen de daadwerkelijk gesloten B2B-overeenkomst.

1. Rollen, toepassingsgebied en rangorde

Op deze pagina:

• Klant betekent een Organisatie of ondernemer die een B2B-bestelling voor Cicora met RIZZ TRADE heeft gesloten;
• Bepalende Partij betekent de Klant wanneer deze de doeleinden en wezenlijke middelen bepaalt voor de verwerking van Persoonsgegevens over zijn gebruikers, personeel, klanten of andere personen;
• Verwerker betekent RIZZ TRADE wanneer zij Persoonsgegevens van de Klant volgens gedocumenteerde instructies van de Klant verwerkt om Cicora te leveren;
• Klantgegevens betekent gegevens die een Klant, diens beheerder, API-gebruiker of Werkruimtedeelnemer voor de Klant aan Cicora verstrekt, waaronder Persoonsgegevens;
• Persoonsgegevens van de Klant betekent het deel van de Klantgegevens dat volgens het toepasselijke recht Persoonsgegevens is;
• Subverwerker betekent een partij die RIZZ TRADE inschakelt om Persoonsgegevens van de Klant voor de Klant in de toepasselijke rol te verwerken; en
• Gedocumenteerde Instructies betekent de schriftelijke overeenkomst/bestelling, de door de Klant geselecteerde configuratie, Werkruimte-/API-instellingen en andere instructies van een bevoegd persoon die RIZZ TRADE rechtmatig en technisch kan uitvoeren.

De afzonderlijke B2B-bestelling of DPA heeft voorrang op deze algemene pagina voor aangelegenheden die daarin specifiek worden geregeld. Voor aangelegenheden inzake Persoonsgegevens heeft de DPA bij strijdigheid voorrang op algemene commerciële voorwaarden. Dwingend recht heeft voorrang op de overeenkomst. Niets op deze pagina ontneemt betrokkenen hun rechten uit hoofde van toepasselijk recht of maakt elke externe aanbieder automatisch tot een Subverwerker: de rol volgt uit de feitelijke gegevensstroom, de overeenkomst en het verwerkingsdoel.

RIZZ TRADE blijft een onafhankelijke verwerkingsverantwoordelijke voor de minimale gegevens die nodig zijn om haar eigen overeenkomst en product te beheren: het Account van de Klant maken en beheren, facturering en belastingen, fraude en schendingen voorkomen, infrastructuur beschermen, verplichte registraties bijhouden, geschillen oplossen en rechtsvorderingen verdedigen. Het Privacybeleid van Cicora geldt voor die onafhankelijke doeleinden en niet als onbeperkte instructie van de Klant.

2. Verwerking uitsluitend volgens instructies en voor toegestane doeleinden

Wanneer RIZZ TRADE als Verwerker optreedt, verwerkt het Persoonsgegevens van de Klant uitsluitend om Cicora te leveren, ondersteunen, beschermen en uitvoeren krachtens de B2B-overeenkomst, bestelling, geselecteerde configuratie en rechtmatige instructies van de Klant. Verwerking kan verzameling, registratie, ordening, opslag, toegang, verzending naar een geselecteerde route, presentatie van een resultaat, beperkte caching, verwijdering/de-identificatie, technische diagnostiek en beveiligingsmaatregelen omvatten, uitsluitend voor zover nodig voor de relevante functie.

De Klant is verantwoordelijk om ervoor te zorgen dat zijn instructies rechtmatig en transparant voor betrokkenen zijn, geen rechten van derden schenden, overeenkomen met zijn rechtsgrond en de nodige kennisgevingen en toestemmingen omvatten. De Klant instrueert Cicora uitsluitend gegevens te verwerken die hij mag verwerken en gebruikt de interface niet om bijzondere, biometrische, medische, kinder- of andere hoogrisicogegevens verborgen over te dragen zonder passende beoordeling, overeenkomst en bescherming.

RIZZ TRADE stelt de Klant op de hoogte wanneer zij redelijkerwijs van oordeel is dat een uitdrukkelijke instructie in strijd is met het toepasselijke recht of de B2B-overeenkomst, behalve wanneer kennisgeving wettelijk verboden is. RIZZ TRADE kan Persoonsgegevens van de Klant anders verwerken wanneer dwingend recht dit vereist en stelt, waar de wet dit toestaat, de Klant vóór die verwerking of onverwijld daarna op de hoogte.

De Klant wijst bevoegde beheerders aan en houdt hun contactgegevens actueel. Een instructie die het model, de route, bewaring, beheerderstoegang, export, het gegevenstype of internationale doorgifte wijzigt, moet van die bevoegde persoon afkomstig zijn en uitdrukkelijk in een beschikbare configuratie of bestelling zijn opgenomen. Een onduidelijke e-mail, een instructie van een gewone deelnemer of een verzoek buiten de gedocumenteerde configuratie hoeft niet als instructie van de Bepalende Partij te worden uitgevoerd.

3. Verwerkingsdetails: vereiste verwerkingsbijlage voor elke B2B-bestelling

Elke B2B-bestelling bevat een feitelijke verwerkingsbijlage voor Persoonsgegevens van de Klant. De bijlage vermeldt specifieke gegevens en doeleinden en strekt zich niet uit tot een onbepaalde omvang van “alle gegevens voor elk doel.” Het omvat ten minste:

Een Modelprovider ontvangt Klantgegevens uitsluitend via de geselecteerde toepasselijke Route. De Lijst van Modellen en Beleid biedt toegang tot gepubliceerde providervoorwaarden. Deze vervangt niet de met de Klant overeengekomen informatie over daadwerkelijke ontvangers, gegevensverwerking en internationale doorgiften. Een regeling voor geen training, beperkte bewaring of een bepaald grondgebied geldt voor de Klant wanneer zij uitdrukkelijk deel uitmaakt van de toepasselijke configuratie of B2B-overeenkomst.

De openbare lijst met modelvoorwaarden vervangt niet de bijlage over de feitelijke verwerking of het met de Klant voor diens B2B-bestelling overeengekomen ontvangersregister.

4. Geheimhouding en toegang door bevoegde personen

RIZZ TRADE staat verwerking van Persoonsgegevens van de Klant uitsluitend toe door personen die toegang nodig hebben om de dienst, beveiliging, ondersteuning, naleving van de wet of de B2B-overeenkomst uit te voeren. Deze personen zijn gebonden aan geheimhoudingsverplichtingen die passen bij de aard van de gegevens en ten minste de bescherming bieden die de overeenkomst en de wet vereisen. Toegang wordt georganiseerd op basis van noodzaak en evenredigheid voor de functie.

De Klant beperkt ook toegang tot configuratie, API-sleutels, beheerdersreferenties en Werkruimte. Een sleutel aan een onbevoegde geven, een gedeeld Account zonder rolgebaseerd beheer gebruiken of gegevens van een andere Organisatie buiten de instructie gebruiken, kan een risico creëren waarvoor RIZZ TRADE niet verantwoordelijk is alsof het zijn eigen handeling was. Dit ontslaat RIZZ TRADE niet van bescherming van systemen en reactie op een bevestigd incident binnen zijn beheer.

Vertrouwelijke informatie omvat geen informatie die openbaar beschikbaar wordt anders dan door een schending van de ontvanger, rechtmatig van een derde zonder geheimhoudingsplicht wordt verkregen, onafhankelijk zonder toegang tot vertrouwelijke informatie wordt ontwikkeld of wettelijk moet worden bekendgemaakt. Wanneer openbaarmaking verplicht is, stelt RIZZ TRADE de Klant waar wettelijk toegestaan op de hoogte en beperkt zij de openbaarmaking tot wat noodzakelijk is.

5. Subverwerkers, Modelproviders en routewijzigingen

RIZZ TRADE kan Subverwerkers inschakelen waar nodig om Cicora te leveren, ondersteunen, beveiligen of uitvoeren. Voordat een Subverwerker toegang krijgt tot Persoonsgegevens van de Klant, past RIZZ TRADE relevante contractuele verplichtingen toe voor geheimhouding, beveiliging en verwerking uitsluitend voor het toegestane doel. RIZZ TRADE blijft binnen de B2B-overeenkomst jegens de Klant verantwoordelijk voor nakoming van de verplichtingen van zijn Subverwerker, tenzij dwingend recht anders bepaalt.

De individuele DPA/bestelling vermeldt hoe het actuele register van wezenlijke Subverwerkers en modelroutes kan worden verkregen. Het register bevat op de registratiedatum bevestigde informatie over de ontvanger/categorie, functie, routestatus en het land/de doorgifte waar openbaarmaking vereist is. Het register wordt bepaald door het product, model en de configuratie van de Klant.

Wanneer een B2B-overeenkomst voorziet in kennisgeving aan de Klant of een recht om redelijkerwijs bezwaar te maken tegen een nieuwe wezenlijke Subverwerker, bepaalt zij het kanaal, de termijn, de vereiste motivering, mogelijke alternatieven en de gevolgen als geen technisch toegestane oplossing beschikbaar is. Dat recht geldt binnen de wet, beveiliging, providerbeschikbaarheid en het product. Wanneer de individuele B2B-overeenkomst niet in dat recht voorziet, valt een routewijziging onder de algemene voorwaarden en het toepasselijke recht.

Een wijziging van model of route die de voorwaarden voor Persoonsgegevens van de Klant wezenlijk wijzigt, geldt als configuratiewijziging: RIZZ TRADE maakt deze aan de bevoegde Klant bekend voor zover de overeenkomst dit vereist en verkrijgt vóór gebruik de vereiste bevestiging/handeling wanneer de wet, de bestelling of een overeengekomen instelling dit vereist. Een automatische fallback wordt niet gebruikt om een overeengekomen gegevensbeperking te omzeilen.

6. Beveiliging en incidenten met persoonsgegevens

RIZZ TRADE past maatregelen toe die evenredig zijn aan het risico van de feitelijke verwerking van Persoonsgegevens van de Klant. Het B2B-addendum bevat een geverifieerde reeks toepasselijke organisatorische en technische maatregelen. Certificering, een bepaald algoritme, audit, infrastructuurland, hersteltijd of onafhankelijke beoordeling behoort uitsluitend tot de verplichtingen van RIZZ TRADE wanneer dit uitdrukkelijk in de B2B-overeenkomst of het addendum staat.

Wanneer RIZZ TRADE kennis krijgt van een incident met persoonsgegevens binnen zijn beheer, neemt het redelijke maatregelen om de gevolgen te beheersen, onderzoeken en beperken. Wanneer het incident Persoonsgegevens van de Klant treft en melding wettelijk of volgens de B2B-overeenkomst vereist is, stelt RIZZ TRADE de Klant zonder onnodige vertraging op de hoogte zodra voldoende eerste informatie beschikbaar is. De melding omvat de dan bekende informatie over de aard van de gebeurtenis, getroffen categorieën/systemen, genomen of geplande maatregelen en een kanaal voor verder contact. Informatie kan tijdens het onderzoek worden aangevuld.

De Klant bepaalt of hij in zijn rol als Bepalende Partij betrokkenen of een toezichthoudende autoriteit moet informeren, tenzij de wet rechtstreeks een andere plicht aan RIZZ TRADE oplegt. RIZZ TRADE biedt redelijke bijstand binnen de beschikbare informatie, het daadwerkelijke product en de overeenkomst. De timing van kennisgeving wordt bepaald door het toepasselijke recht, de B2B-overeenkomst en het overeengekomen incidentproces.

7. Verzoeken van betrokkenen, overheidsinstanties en samenwerking

Als RIZZ TRADE een verzoek van een betrokkene ontvangt over Persoonsgegevens van de Klant waarvoor de Klant als Bepalende Partij verantwoordelijk is, stuurt RIZZ TRADE dit waar mogelijk door naar de Klant of verwijst de betrokkene naar de Klant. Zij biedt redelijke bijstand binnen de B2B-overeenkomst, beschikbare informatie en de wet. RIZZ TRADE beperkt haar antwoord zodat zij geen gegevens van een ander, vertrouwelijke informatie van de Klant, beveiligingsmaatregelen of wettelijk beschermde informatie bekendmaakt.

Op redelijk verzoek van de Klant kan RIZZ TRADE evenredige hulp bieden bij een gegevensbeschermingseffectbeoordeling, overleg met een autoriteit of andere verplichting van de Bepalende Partij die verband houdt met de daadwerkelijk geleverde dienst. Omvang, kosten, timing en toegestane materialen volgen de B2B-overeenkomst, aard van het verzoek en beveiliging. Die hulp maakt RIZZ TRADE niet tot juridisch adviseur van de Klant.

Bij een rechtmatig verzoek van een overheidsinstantie beoordeelt RIZZ TRADE dit binnen haar bevoegdheid en maakt zij alleen bekend wat noodzakelijk is. Waar overeenkomst en wet dit toestaan, stelt RIZZ TRADE de Klant vóór de openbaarmaking of onmiddellijk daarna op de hoogte. Kennisgeving kan worden uitgesteld of achterwege blijven wanneer zij verboden is, een onderzoek zou kunnen belemmeren, een risico zou scheppen of een wettelijke verplichting zou schenden.

8. Nalevingsinformatie en audit

De Klant kan informatie vragen die redelijkerwijs nodig is om nakoming van de overeengekomen B2B-laag te bevestigen. RIZZ TRADE beoordeelt het verzoek met inachtneming van geheimhouding, beveiliging, rechten van andere klanten, beschikbaar bewijs en de aard van de verwerking. Beschikbare documenten, antwoorden op vragenlijsten, een samenvatting van maatregelen of onafhankelijk bewijs kunnen als alternatief voor een audit dienen wanneer zij daadwerkelijk bestaan en toereikend zijn voor het doel.

Een audit ter plaatse of op afstand wordt uitgevoerd wanneer de B2B-overeenkomst daarin uitdrukkelijk voorziet en de omvang, termijn, onafhankelijkheid van de auditor, geheimhouding, systeembescherming, frequentie en kosten zijn overeengekomen. Een audit geeft geen toegang tot infrastructuur, broncode, sleutels, gegevens van andere klanten, beveiliging van Modelproviders of ander materiaal waarvan openbaarmaking de geheimhouding, beveiliging, rechten van derden of de wet zou schenden.

9. Teruggave, verwijdering en beëindiging van een B2B-bestelling

Bij beëindiging van een B2B-bestelling krijgt de Klant een redelijke mogelijkheid om teruggave of export van Klantgegevens in een beschikbare indeling te vragen, waar dit technisch haalbaar is en geen rechten van derden, beveiliging, wetgeving of providervoorwaarden schendt. De B2B-bestelling of het verwerkingsaddendum vermeldt de termijn, indeling, kosten, omvang en contactgegevens voor dat verzoek.

Na de toepasselijke termijn voor teruggave/export verwijdert of de-identificeert RIZZ TRADE Persoonsgegevens van de Klant binnen haar rol, tenzij de wet, beveiliging, een geschil, boekhouding, verdediging van rechten of de overeenkomst beperkte bewaring vereist. Back-ups en geïsoleerde kopieën worden volgens hun feitelijke cyclus gewist, keren niet terug naar gewoon gebruik en geven zonder onafhankelijke grondslag geen toegang tot een herstelde Werkruimte. Modelproviders kunnen gegevens onder hun eigen contractuele voorwaarden bewaren; de desbetreffende route en beschikbare bijstand worden in het register/addendum vermeld.

Teruggave en verwijdering volgen de criteria van de B2B-bestelling, het feitelijke product, de back-upcyclus en toepasselijk recht. Een bijzondere termijn, gegevenslocatie, bewaarblokkering, vernietigingscertificaat of afzonderlijke export geldt waar dit vóór verwerking is overeengekomen en in het addendum staat.

10. Internationale doorgiften

Voor Persoonsgegevens van de Klant waarop beperkingen voor internationale doorgifte van toepassing zijn, identificeren de partijen eerst de daadwerkelijke stroom: exporteur, importeur, rollen, landen, gegevenscategorieën, ontvangers, modelroute en toepasselijk recht. Daarna sluiten zij waar nodig een individueel addendum of gebruiken zij een ander erkend mechanisme. Dit kan contractuele voorwaarden voor de EER, het Verenigd Koninkrijk, Zwitserland of een ander gebied omvatten, maar uitsluitend nadat de vereiste partijen, bijlagen en informatie zijn ingevuld.

Een afzonderlijk addendum voor internationale doorgifte wordt onderdeel van de B2B-overeenkomst nadat het toepasselijke mechanisme en de nodige informatie over partijen, route en gegevens zijn vastgesteld. Het algemene Privacybeleid geldt als openbare kennisgeving; een specifieke garantie voor verwerking in één land, SCC, UK Addendum of ander doorgiftemechanisme geldt uitsluitend waar dit uitdrukkelijk in het afzonderlijke addendum staat.

11. Aansprakelijkheid, wijzigingen en verhouding tot andere voorwaarden

Verplichtingen en rechtsmiddelen inzake gegevensverwerking gelden binnen de B2B-overeenkomst en het dwingende recht. Een aansprakelijkheidsbeperking, vrijwaring, geheimhoudingsplicht en geschilprocedure gelden voor zover uitdrukkelijk vastgesteld in de B2B-overeenkomst. Een B2B-beperking geldt niet voor een consument waar de wet dit niet toestaat en beperkt geen niet-afstandbare rechten van betrokkenen.

RIZZ TRADE kan de algemene B2B-laag bijwerken wanneer wetgeving, het product, een daadwerkelijke Subverwerker of beveiligingsvereisten veranderen. Een wezenlijke wijziging geldt volgens de met de Klant overeengekomen procedure voor kennisgeving en prospectieve werking en wijzigt niet met terugwerkende kracht een reeds overeengekomen route, verwerkingsaddendum of rechten uit dwingend recht. Vragen van Organisaties kunnen worden gestuurd naar support@cicora.ai; een B2B-bestelling kan een afzonderlijk werkcontact vermelden.

Bijlage: minimale vorm van een verwerkingsbijlage

Het volgende formulier wordt met actuele informatie voor de specifieke B2B-bestelling ingevuld: