Verwerkersovereenkomst

1. Partijen, rollen en duur

Klant / opdrachtgever: [JURIDISCHE NAAM KLANT], [ADRES KLANT], [ONDERNEMINGSNUMMER KLANT], vertegenwoordigd door [NAAM EN FUNCTIE]. Privacycontact: [PRIVACYCONTACT KLANT]. De klant is verwerkingsverantwoordelijke voor de aangeleverde persoonsgegevens, of verwerker namens een verantwoordelijke die deze verdere verwerking heeft toegestaan.

Leverancier / verwerker: [JURIDISCHE NAAM], handelend als anonimize, [STRAAT, NUMMER, POSTCODE, GEMEENTE, LAND], [ONDERNEMINGSNUMMER], [BTW-NUMMER, INDIEN VAN TOEPASSING], vertegenwoordigd door [NAAM EN FUNCTIE]. Privacy- en beveiligingscontact: [PRIVACY-E-MAIL], [BEVEILIGINGS-E-MAIL] en [TELEFOONNUMMER].

Deze overeenkomst regelt verwerking van documentinhoud en daarmee verbonden persoonsgegevens voor de dienst in bijlage A. Wanneer de klant zelf verwerker is, gelden de verplichtingen ook als afspraken over subverwerking; de klant staat in voor de bevoegdheid om instructies door te geven. Begrippen zoals persoonsgegevens, betrokkene en inbreuk hebben hun betekenis uit de AVG.

De overeenkomst geldt vanaf de vastgelegde aanvaarding zolang de verwerker namens de klant persoonsgegevens verwerkt, inclusief de afgesproken afwikkeling na beëindiging. Zij gaat voor op strijdige commerciële bepalingen over deze verwerking. Zelfstandige doeleinden voor accountbeheer, facturatie of wettelijk verplichte administratie vallen buiten deze opdracht en moeten afzonderlijk transparant en rechtmatig worden geregeld.

2. Gedocumenteerde instructies en geheimhouding

De verwerker verwerkt persoonsgegevens uitsluitend voor de opdracht in bijlage A en de gedocumenteerde instructies van de klant. De bevestigde instellingen, handelingen van bevoegde gebruikers en aanvullend schriftelijk overeengekomen instructies behoren daartoe. Een instructie voor doorgifte naar een derde land moet afzonderlijk aan hoofdstuk V AVG voldoen. De verwerker gebruikt documentinhoud niet voor reclame, verkoop of het trainen van eigen of externe modellen.

Als Unierecht of lidstatelijk recht een verwerking verplicht, meldt de verwerker die wettelijke verplichting vóór de verwerking aan de klant, tenzij dat recht dit wegens gewichtige redenen van algemeen belang verbiedt. De verwerker informeert de klant onmiddellijk als een instructie volgens hem de AVG of andere toepasselijke gegevensbeschermingsregels schendt. Partijen verhelderen of corrigeren die instructie; de betrokken verwerking wordt waar nodig opgeschort.

Alleen personen die de gegevens voor de opdracht nodig hebben, krijgen passende toegang. Zij zijn gebonden aan een contractuele geheimhouding of een wettelijke geheimhoudingsplicht, ontvangen passende instructies en verwerken de gegevens onder gezag van de verwerker. Deze vertrouwelijkheid blijft gelden nadat hun werkzaamheden eindigen. Ondersteuning krijgt niet automatisch toestemming om documentinhoud in te zien.

3. Beveiliging en bijstand aan de klant

De verwerker neemt passende technische en organisatorische maatregelen volgens artikel 32 AVG, rekening houdend met risico, aard en context van de verwerking, stand van de techniek en uitvoeringskosten. Bijlage B beschrijft de technische mogelijkheden en de operationele punten die vóór verwerking moeten worden vastgelegd. Het vereiste niveau omvat vertrouwelijkheid, integriteit, beschikbaarheid, veerkracht en passend herstel na een incident. De werking van de maatregelen wordt regelmatig beoordeeld.

De verwerker verlaagt het overeengekomen beveiligingsniveau niet zonder voorafgaande overeenstemming. Een maatregel mag worden vervangen door een aantoonbaar gelijkwaardige of sterkere maatregel. De verwerker meldt relevante veranderingen die de klant nodig heeft voor zijn risicoanalyse. Een beschrijving van broncode is geen verklaring dat alle maatregelen in een concrete hostingomgeving zijn ingeschakeld.

De verwerker helpt, rekening houdend met de aard van de verwerking en de beschikbare informatie, bij verzoeken tot inzage, verbetering, verwijdering, beperking, overdraagbaarheid of bezwaar. Een rechtstreeks ontvangen verzoek wordt zonder onredelijke vertraging doorgestuurd naar het privacycontact van de klant. De verwerker beantwoordt het niet zelfstandig namens de klant, tenzij de klant daartoe opdracht geeft of de wet dat vereist.

De verwerker verstrekt tijdig de beschikbare technische informatie en redelijke medewerking voor de verplichtingen van de klant onder artikelen 32 tot en met 36 AVG, waaronder beveiliging, melding van inbreuken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van de toezichthouder. Partijen leggen waar nodig het veilige kanaal, de contactpersonen en een voor de wettelijke termijn geschikte reactietermijn vast. Eventuele vooraf afgesproken vergoeding voor uitzonderlijk aanvullende ondersteuning mag wettelijke bijstand niet verhinderen of vertragen.

4. Subverwerkers en internationale doorgifte

De klant verleent pas na invulling en schriftelijke of elektronische aanvaarding algemene toestemming voor de in bijlage C geïdentificeerde subverwerkers en hun omschreven werkzaamheden. Een vermelde merknaam of een nog openstaand veld geldt niet als toestemming voor een onbekende rechtspersoon. De lijst vermeldt steeds naam, rol, vestigingsland, verwerkingslocaties en relevante doorgiften.

Voordat een subverwerker wordt toegevoegd of vervangen, informeert de verwerker de klant rechtstreeks schriftelijk met voldoende gegevens en een redelijke termijn om inhoudelijk bezwaar te maken: [KENNISGEVINGS- EN BEZWAARTERMIJN — VÓÓR AANVAARDING IN TE VULLEN]. De nieuwe subverwerker krijgt geen toegang vóór deze procedure is afgerond. Een bezwaar op gegevensbeschermingsgronden wordt samen onderzocht. Is geen passende oplossing mogelijk, dan kan de klant de betrokken verwerking of het betrokken deel van de dienst vóór inzet beëindigen, zonder kosten voor niet meer te leveren toekomstige periodes.

De verwerker sluit met elke subverwerker een bindende overeenkomst met dezelfde relevante gegevensbeschermingsverplichtingen, waaronder passende beveiliging. Hij verifieert de geboden waarborgen en blijft tegenover de klant verantwoordelijk voor de nakoming van de verplichtingen door de subverwerker. Op verzoek verstrekt hij de informatie die nodig is om deze keten te beoordelen, met bescherming van andere vertrouwelijke gegevens.

Doorgifte of toegang vanuit landen buiten de EER vindt alleen plaats op gedocumenteerde instructie en met een geldige grondslag volgens hoofdstuk V AVG, inclusief de vereiste beoordeling en aanvullende maatregelen. Een serverlocatie in de EER sluit toegang vanuit andere landen niet vanzelf uit. De verwerker meldt voor zover wettelijk toegestaan verzoeken van overheden om gegevens en verstrekt uitsluitend wat rechtmatig vereist is.

5. Melding en afhandeling van datalekken

De verwerker meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging nadat hij er kennis van heeft genomen aan [INCIDENTCONTACT KLANT] via [VEILIG MELDKANAAL]. De meldroute en een buiten kantooruren bruikbaar escalatiecontact worden vóór verwerking bevestigd. De meldplicht wordt niet uitgesteld totdat het onderzoek voltooid is.

De melding bevat, voor zover bekend, de aard van de inbreuk; categorieën en geschatte aantallen betrokkenen en gegevensrecords; de contactpersoon; vermoedelijke gevolgen; en de genomen of voorgestelde maatregelen om de inbreuk te verhelpen en nadelige gevolgen te beperken. Ontbrekende informatie volgt gefaseerd zonder onredelijke verdere vertraging.

De verwerker neemt direct passende maatregelen om het incident te beperken, de oorzaak te onderzoeken en herhaling te voorkomen. Hij bewaart relevante informatie voor onderzoek en helpt de klant bij de beoordeling en eventuele meldingen aan toezichthouder en betrokkenen. De klant beslist over zijn wettelijke meldingen. De termijn van mogelijk 72 uur voor de melding door een verantwoordelijke aan de toezichthouder is geen uitsteltermijn voor de verwerker om de klant te waarschuwen.

6. Informatie, controle en audits

De verwerker stelt de informatie beschikbaar die nodig is om de naleving van artikel 28 AVG aan te tonen. De klant of een door hem gemachtigde onafhankelijke auditor kan passende audits en inspecties uitvoeren. Partijen stemmen omvang, veilige uitvoering en een redelijke planning af om andere klanten en vertrouwelijke informatie te beschermen.

Een bestaand rapport of documentonderzoek kan een eerste controlemiddel zijn, maar vervangt niet automatisch een noodzakelijke inspectie. Een concrete inbreuk, aanwijzing van niet-naleving of verzoek van een toezichthouder kan een versnelde controle rechtvaardigen. Eventuele afspraken over kosten, geheimhouding of planning mogen de effectieve uitoefening van dit recht niet onmogelijk maken. Vastgestelde tekortkomingen worden met een passend herstelplan opgevolgd.

7. Bewaartermijnen, teruggave en verwijdering

De klant bepaalt de instructies voor bewaring en verwijdering binnen de dienst. Resultaten en omkeersleutels hebben afzonderlijke instelbare termijnen. De huidige standaard is geen automatische verwijdering; kies dus bewust een passende termijn. Kortere instellingen kunnen ook bestaande inhoud doen vervallen. Het ontbreken van een automatische termijn geeft geen toestemming om gegevens langer te bewaren dan rechtmatig nodig is.

Bij het einde van de dienstverlening kiest de klant voor teruggave van de nog beschikbare persoonsgegevens in een bruikbaar afgesproken formaat, gevolgd door verwijdering, of voor rechtstreekse verwijdering. De exportperiode, uitvoertermijn voor actieve systemen en bevestiging van verwijdering worden vóór aanvaarding ingevuld: [EXPORTPERIODE], [TERMIJN VERWIJDERING ACTIEVE SYSTEMEN] en [WIJZE VAN BEVESTIGING]. De verwerker verwijdert ook zijn kopieën, tenzij een concrete wettelijke bewaarplicht dit verhindert. Dan meldt hij de grondslag en resterende duur en beperkt hij gebruik tot die verplichting.

Back-ups en snapshots hebben een afzonderlijk vast te leggen beleid: [MAXIMALE BACK-UPBEWAARTERMIJN], [BEVEILIGING EN TOEGANG], [VERWIJDERINGSPROCEDURE]. Tijdens een overeengekomen uitloop blijven persoonsgegevens beschermd en worden zij niet voor gewone dienstverlening gebruikt. Bij herstel worden reeds gegeven verwijderingsinstructies opnieuw toegepast. Automatisch opruimen in de app wist bestaande back-ups of door de klant gedownloade kopieën niet vanzelf.

De verwerker bevestigt na uitvoering welke gegevens zijn verwijderd en welke uitsluitend wegens een wettelijke bewaarplicht of een overeengekomen back-upuitloop nog afgeschermd blijven. Geheimhouding, beveiliging, auditinformatie en wettelijke medewerking blijven gelden zolang persoonsgegevens nog aanwezig zijn.

Bijlage A — Verwerkingsopdracht

Bijlage B — Technische en organisatorische maatregelen

Onderstaande technische werking is gebaseerd op de applicatiecode. De daadwerkelijke productie-inrichting en de nog openstaande operationele afspraken moeten vóór verwerking worden geverifieerd en aangevuld. De veiligheidspagina geeft een toegankelijke toelichting.

• Verwerking op de applicatieserver. Presidio, spaCy en Tesseract voeren detectie, extractie en OCR binnen de applicatieomgeving uit. Documenttekst wordt daarvoor niet aan een externe generatieve AI-dienst verstuurd. De oorspronkelijke tekst bereikt wel de server en is daar tijdens de verwerking leesbaar; verwerking gebeurt niet uitsluitend op het apparaat van de klant.
• Versleuteling van opgeslagen inhoud. De app gebruikt Fernet voor opgeslagen documentresultaten, omkeersleutels en projectgeheugen. Dit maakt niet de volledige database versleuteld: accountgegevens en bepaalde technische metadata blijven serverbeheerd. Productiesleutelbeheer, toegangsbeperking en back-upbescherming: [TE BEVESTIGEN].
• Optionele eigen kluissleutel. Bij ingeschakelde BYOK versleutelt de browser de daarvoor bestemde opgeslagen inhoud met AES-256-GCM. De server bewaart de klantsleutel niet; bevoegde gebruikers moeten die zelf veilig beheren. Detectie en OCR zien de brontekst nog steeds op de server. Dit is geen volledige end-to-endversleuteling en beschermt niet tegen alle risico's van gewijzigde browsercode of een besmet apparaat.
• Scheiding en toegang. Organisatie-, werkruimte- en documentrechten worden op de server gecontroleerd. Gebruikers authenticeren zich; wachtwoorden worden gehasht en sessies gebruiken een HttpOnly-cookie. Tweestapsverificatie en begrensde API-rechten zijn beschikbaar. Verplichte inzet, toegangsreviews en beheerdersprocedure: [TE BEVESTIGEN].
• Beperken van bronopslag. Bronbestanden en volledige brontekst worden voor de verwerking en tijdelijke controle gebruikt en niet als blijvende bronbestanden opgeslagen. Herstelbare oorspronkelijke waarden kunnen bij pseudonimisering in de versleutelde omkeersleutel en het projectgeheugen blijven. Exacte tijdelijke verwerkingstermijnen en opruimconfiguratie: [TE BEVESTIGEN].
• Bewaring en verwijdering. Afzonderlijke termijnen zijn instelbaar voor resultaten en sleutels. Zonder configuratie is geen automatische verwijdering actief. Verwijderen van actieve gegevens moet worden aangevuld met de afspraken voor back-ups, exports en snapshots uit artikel 7.
• Transport en infrastructuur. HTTPS met geldig certificaat, toegangsbeperking op infrastructuur, netwerkbeveiliging, datavolumes en geheimenbeheer moeten in productie worden ingericht en gecontroleerd: [PRODUCTIECONFIGURATIE EN VERANTWOORDELIJKE]. De bedoelde infrastructuur staat in bijlage C; een domein of broncode-instelling bewijst niet dat een live omgeving correct is beveiligd.
• Operationele waarborgen. Partijen leggen het patch- en updatebeleid, incidentprocedure, vertrouwelijkheidsafspraken, logging zonder onnodige documentinhoud, hersteldoelen, back-upregime, hersteltests en periodieke beveiligingsevaluatie vast: [BELEID, FREQUENTIES, CONTACTPERSONEN EN EVIDENTIE]. Er wordt zonder dat bewijs geen certificering, penetratietest, permanent toezicht of gegarandeerde hersteltijd geclaimd.

Bijlage C — Infrastructuur en subverwerkers

Beoogde infrastructuur: Zerops, regio prg1, Praag, Tsjechië. Dit is de gekozen opzet; de daadwerkelijke resources, contractspartijen, toegangslocaties en back-upinstellingen moeten nog worden bevestigd. Regioselectie alleen is onvoldoende om alle juridische en operationele verwerkingslocaties vast te stellen.

Betaaldiensten voor account- en facturatiegegevens behoren niet automatisch tot de documentverwerkingsopdracht. Hun precieze rol en verwerking moeten in de overeenkomst en privacyinformatie voor die doeleinden staan. Er worden geen documentinhoud of omkeersleutels naar de betaalprovider gestuurd voor facturatie.

Vervollediging, wijzigingen en aanvaarding

Partijen vullen alle placeholders en bijlagen in en bevestigen de gekozen versie, hun vertegenwoordigers, datum en wijze van aanvaarding: [VERSIE], [DATUM], [BEVOEGDE VERTEGENWOORDIGERS], [HANDTEKENING OF ELEKTRONISCH AANVAARDINGSBEWIJS]. Een opdrachtgever die zelf verwerker is, legt ook de toestemming van zijn verantwoordelijke vast.

Wijzigingen worden rechtstreeks meegedeeld en volgens de toepasselijke schriftelijke of elektronische procedure overeengekomen; alleen een nieuwe tekst op de website publiceren wijzigt de overeenkomst niet. De specifieke procedure voor subverwerkers staat in artikel 4. Aansprakelijkheid en geschillen volgen de algemene voorwaarden en de wet. Deze overeenkomst beperkt geen rechten van betrokkenen, bevoegdheden van toezichthouders of verplichtingen uit de AVG.

Officiële bronnen

Juridische basis: AVG, in het bijzonder artikelen 28 en 32 tot en met 36. Voor de contractuele uitwerking zijn de standaardbepalingen van de Europese Commissie voor verantwoordelijken en verwerkers en de EDPB-uitleg over rollen en verwerkersafspraken bruikbare referenties. Deze eigen concepttekst is geen ongewijzigde toepassing van de standaardcontractbepalingen en vormt op zichzelf geen doorgifte-instrument.