Verwerkersovereenkomst.
Wanneer we persoonsgegevens voor u verwerken, legt deze overeenkomst de verantwoordelijkheden van beide partijen vast. U bepaalt waarom en hoe de gegevens worden gebruikt; wij verwerken ze alleen op uw instructie. Ze gaat als bijlage bij de opdrachtbevestiging, samen met onze voorwaarden voor opdrachten.
Laatst bijgewerkt: 14 september 2026
Deze verwerkersovereenkomst gaat als bijlage bij en maakt integraal deel uit van de Opdrachtbevestiging tussen Ai-Mind BV, handelend onder de naam Data Panda, Poortakkerstraat 93, 9051 Gent, KBO-nummer BE 1040.220.674, als Verwerker, en de klant die in de Opdrachtbevestiging vermeld staat, als Verwerkingsverantwoordelijke.
Begrippen uit Verordening (EU) 2016/679 (“AVG”) hebben hier dezelfde betekenis. “Persoonsgegevens” zijn de persoonsgegevens die in Bijlage 1 beschreven staan en die de Verwerker voor de Verwerkingsverantwoordelijke verwerkt.
1. Rollen en voorwerp
De Verwerkingsverantwoordelijke bepaalt het doel van en de middelen voor de verwerking van de Persoonsgegevens. De Verwerker verwerkt de Persoonsgegevens uitsluitend voor de Verwerkingsverantwoordelijke, met het oog op de uitvoering van de Diensten, en overeenkomstig deze overeenkomst.
Bepaalt de Verwerker zelf doel en middelen van een verwerking, bijvoorbeeld de verwerking van zakelijke contactgegevens van de Verwerkingsverantwoordelijke voor relatiebeheer, facturatie en wettelijke verplichtingen, dan treedt hij voor die verwerking op als verwerkingsverantwoordelijke en geldt deze overeenkomst daarvoor niet.
Het voorwerp, de duur, de aard en het doel van de verwerking, de soorten Persoonsgegevens en de categorieën betrokkenen staan in Bijlage 1.
2. Instructies
De Verwerker verwerkt de Persoonsgegevens uitsluitend op gedocumenteerde instructie van de Verwerkingsverantwoordelijke, ook wat doorgiften naar een derde land betreft, tenzij Unierecht of lidstatelijk recht waaraan hij onderworpen is hem daartoe verplicht. In dat geval brengt de Verwerker de Verwerkingsverantwoordelijke vóór de verwerking op de hoogte van dat wettelijke voorschrift, tenzij de wet dat om gewichtige redenen van algemeen belang verbiedt.
De Opdrachtbevestiging, deze overeenkomst en de met de Verwerkingsverantwoordelijke afgesproken configuratie van de systemen vormen samen de initiële gedocumenteerde instructie. Verdere instructies worden schriftelijk gegeven aan het contactpunt in artikel 12.
De Verwerkingsverantwoordelijke waarborgt dat hij over een rechtsgrond beschikt voor de verwerking waartoe hij opdracht geeft, dat hij de betrokkenen de informatie uit de artikelen 13 en 14 AVG bezorgd heeft, en dat zijn instructies in overeenstemming zijn met de AVG en met het overige toepasselijke recht. Hij is verantwoordelijk voor de juistheid, de kwaliteit en de rechtmatigheid van de Persoonsgegevens die hij aan de Verwerker bezorgt of laat bezorgen.
De Verwerker stelt de Verwerkingsverantwoordelijke ervan in kennis wanneer een instructie naar zijn mening inbreuk maakt op de AVG of op ander gegevensbeschermingsrecht. De Verwerker kan de betrokken verwerking opschorten tot de instructie bevestigd, aangepast of ingetrokken is.
3. Vertrouwelijkheid
De Verwerker zorgt ervoor dat de personen die gemachtigd zijn de Persoonsgegevens te verwerken gebonden zijn door een passende geheimhoudingsplicht, contractueel of wettelijk, en dat de toegang beperkt blijft tot wie ze nodig heeft om de Diensten uit te voeren.
De Verwerker werkt met werknemers en zelfstandige medewerkers die in zijn organisatie ingebed zijn en onder zijn rechtstreeks gezag handelen in de zin van de artikelen 4, lid 10, 29 en 32, lid 4, AVG. Zij verwerken Persoonsgegevens enkel op zijn instructie en zijn gemachtigde personen, geen subverwerkers. Hun inzet of vervanging vereist geen individuele kennisgeving of toestemming van de Verwerkingsverantwoordelijke. De Verwerker blijft verantwoordelijk voor hun handelen en nalaten. Handelt een dienstverlener niet of niet langer onder dat rechtstreeks gezag, dan geldt artikel 5 voordat de verwerking aan hem wordt toevertrouwd of voortgezet.
Voordat toegang wordt verleend, zijn gemachtigde personen gebonden door geheimhouding en krijgen zij instructies over de toegestane verwerking, de maatregelen uit Bijlage 2 en het zonder onnodige vertraging melden van vermoedelijke inbreuken in verband met persoonsgegevens. Dit kan geregeld zijn in een bestaande arbeids- of samenwerkingsovereenkomst en interne instructies; een aparte overeenkomst per opdracht is niet nodig. De toegang is beperkt tot wat het werk vereist en wordt ingetrokken zodra die niet langer nodig is.
4. Beveiliging
Rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, de omvang, de context en de doeleinden van de verwerking, alsook met het risico voor de betrokkenen, neemt de Verwerker passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, zoals artikel 32 AVG vereist.
De maatregelen die op de datum van deze overeenkomst gelden, staan in Bijlage 2. De Verwerker kan ze bijwerken, op voorwaarde dat het beveiligingsniveau niet daalt.
5. Subverwerkers
De Verwerkingsverantwoordelijke geeft de Verwerker een algemene schriftelijke toestemming om subverwerkers in te schakelen. Bijlage 3 vermeldt de toegestane aanbieders en hun rollen; zij mogen worden gebruikt voor zover nodig voor de afgesproken Diensten.
De Verwerker brengt de Verwerkingsverantwoordelijke minstens 14 kalenderdagen vooraf schriftelijk op de hoogte wanneer hij een subverwerker toevoegt of vervangt, met een langere redelijke termijn wanneer de aard of complexiteit van de verwerking dat vereist. De Verwerkingsverantwoordelijke kan binnen die termijn bezwaar maken op redelijke gronden van gegevensbescherming. Raken de partijen er niet uit, dan kan de Verwerkingsverantwoordelijke het betrokken deel van de Diensten kosteloos beëindigen, met betaling van de tot dan uitgevoerde Diensten.
De Verwerker legt elke subverwerker contractueel gegevensbeschermingsverplichtingen op die niet minder beschermend zijn dan die in deze overeenkomst, en blijft tegenover de Verwerkingsverantwoordelijke volledig aansprakelijk voor de naleving door de subverwerker.
Worden de eigen platformaccounts van de Verwerkingsverantwoordelijke gebruikt, bijvoorbeeld zijn Microsoft-tenant of zijn accounts bij een bron- of doelsysteem, dan is de leverancier van dat platform een verwerker van de Verwerkingsverantwoordelijke zelf en geen subverwerker van de Verwerker.
6. Bijstand bij rechten van betrokkenen
Rekening houdend met de aard van de verwerking verleent de Verwerker, door middel van passende technische en organisatorische maatregelen en voor zover mogelijk, bijstand aan de Verwerkingsverantwoordelijke bij het nakomen van diens plicht om te antwoorden op verzoeken tot uitoefening van de rechten van betrokkenen uit hoofdstuk III AVG.
Neemt een betrokkene rechtstreeks contact op met de Verwerker over Persoonsgegevens die voor de Verwerkingsverantwoordelijke verwerkt worden, dan gaat de Verwerker niet inhoudelijk in op het verzoek en bezorgt hij het zonder onnodige vertraging aan de Verwerkingsverantwoordelijke.
7. Bijstand bij beveiliging, inbreuken en effectbeoordelingen
De Verwerker verleent bijstand aan de Verwerkingsverantwoordelijke bij het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG, rekening houdend met de aard van de verwerking en de informatie waarover hij beschikt.
De Verwerker stelt de Verwerkingsverantwoordelijke zonder onnodige vertraging in kennis nadat hij kennis heeft gekregen van een inbreuk in verband met de Persoonsgegevens, zodat die zijn eigen termijn uit artikel 33 AVG kan halen. De kennisgeving beschrijft, voor zover op dat ogenblik gekend, de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en registraties, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. Informatie die op dat ogenblik niet beschikbaar is, wordt in fasen aangeleverd naarmate ze beschikbaar komt. De Verwerker meldt niet aan de toezichthoudende autoriteit of aan betrokkenen namens de Verwerkingsverantwoordelijke, tenzij die daartoe opdracht geeft.
Voor zover niet inbegrepen in de afgesproken vergoedingen, wordt redelijke bijstand onder de artikelen 6 en 7 aangerekend op basis van de werkelijk bestede tijd tegen het voor de Diensten afgesproken tarief. De Verwerker meldt de verwachte kosten vooraf waar dat praktisch mogelijk is. Hij rekent geen kosten aan voor zijn eigen verplichte melding van een inbreuk of voor werk dat nodig is om zijn eigen tekortkoming onder deze overeenkomst te herstellen. Een discussie over kosten vertraagt of verhindert geen verplichte bijstand of meldingen.
8. Teruggave en verwijdering
Bij beëindiging van de Diensten verwijdert of bezorgt de Verwerker, naar keuze van de Verwerkingsverantwoordelijke, de Persoonsgegevens en verwijdert hij bestaande kopieën, tenzij Unierecht of lidstatelijk recht bewaring voorschrijft.
De Verwerkingsverantwoordelijke maakt die keuze schriftelijk binnen 30 dagen na beëindiging. Blijft een keuze uit, dan verwijdert de Verwerker de Persoonsgegevens na die termijn. De verwijdering gebeurt binnen 30 dagen, behoudens de gewone back-upcycli, in welk geval de gegevens door deze overeenkomst beschermd blijven tot de back-up vervalt.
9. Audits en informatie
De Verwerker stelt de Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de naleving van artikel 28 AVG aan te tonen, en maakt audits, inspecties daaronder begrepen, door de Verwerkingsverantwoordelijke of door een door hem gemachtigde auditor mogelijk en draagt eraan bij.
De partijen gebruiken eerst bestaande documentatie en controle op afstand wanneer die volstaan om de naleving te verifiëren. Noodzakelijke audits en inspecties blijven mogelijk voor de Verwerkingsverantwoordelijke, die bepaalt of verdere controle nodig is. Gewone audits worden afgestemd met een redelijke vooraankondiging, tijdens de kantooruren en onder geheimhouding, waarbij onnodig dubbel werk en verstoring redelijkerwijs worden vermeden. Die planningsafspraken beperken geen dringende controles, controles bij gegronde aanwijzingen van niet-naleving of vereisten van een toezichthoudende autoriteit.
Voor zover niet inbegrepen in de afgesproken vergoedingen, draagt de Verwerkingsverantwoordelijke zijn eigen auditkosten en betaalt hij de redelijke auditbijstand van de Verwerker op basis van de werkelijk bestede tijd tegen het voor de Diensten afgesproken tarief. Kosten mogen niet onevenredig zijn of de uitoefening van het auditrecht ontmoedigen. De Verwerker draagt zijn eigen kosten om niet-naleving waarvoor hij verantwoordelijk is te herstellen. Een discussie over kosten verhindert geen noodzakelijke audit.
10. Internationale doorgiften
De aanvaarding van deze overeenkomst vormt de gedocumenteerde instructie van de Verwerkingsverantwoordelijke voor verwerking binnen de EER, het gebruik van de subverwerkers en verwerkingslocaties uit Bijlage 3 en toegang op afstand van buiten de EER door medewerkers onder het rechtstreeks gezag van de Verwerker voor ontwikkeling, tests en ondersteuning binnen de Diensten. Beperkingen in de Opdrachtbevestiging of een overeengekomen e-mail hebben voorrang. Voor deze standaardafspraken is geen aparte goedkeuring of lijst van individuele medewerkers per opdracht nodig. Verwerking buiten de afgesproken instructies vereist bijkomende schriftelijke instructies, die per e-mail kunnen worden gegeven. Toevoegingen of vervangingen van subverwerkers volgen artikel 5.
Vindt een doorgifte plaats, dan is die gedekt door een adequaatheidsbesluit onder artikel 45 AVG, of door de modelcontractbepalingen die de Europese Commissie heeft vastgesteld in Uitvoeringsbesluit (EU) 2021/914, samen met de aanvullende maatregelen die uit een doorgifte-effectbeoordeling voortvloeien.
Toegang op afstand van buiten de EER kan een doorgifte vormen, ook als geen gegevens gekopieerd worden. Is dat het geval, dan moeten de waarborgen uit de vorige alinea aanwezig zijn voordat de toegang begint, met de toepasselijke module en ingevulde bijlagen wanneer modelcontractbepalingen gebruikt worden. Vormt toegang door medewerkers onder het rechtstreeks gezag van de Verwerker geen doorgifte, dan ondervangt de Verwerker de risico’s van die toegang met de passende beveiligingsmaatregelen uit artikel 32 AVG en Bijlage 2. Een aparte doorgifteovereenkomst met elke medewerker is niet vereist enkel wegens diens locatie wanneer de toegang geen doorgifte vormt.
Voordat een subverwerker buiten de EER wordt ingeschakeld of toegang tot Persoonsgegevens krijgt, geeft de Verwerker de Verwerkingsverantwoordelijke de schriftelijke kennisgeving uit artikel 5. Die vermeldt de subverwerker, het land, het verwerkingsdoel, de doorgiftewaarborg en, waar van toepassing, de doorgifte-effectbeoordeling en aanvullende maatregelen. De Verwerker begint die verwerking niet voordat de autorisatieprocedure uit artikel 5 is voltooid. Landen waar de eigen medewerkers van de Verwerker werken, staan niet in deze standaardovereenkomst.
11. Aansprakelijkheid
De aansprakelijkheid van elke partij onder deze overeenkomst valt onder de beperkingen en uitsluitingen van de Algemene Voorwaarden, voor zover de wet dat toelaat. Niets in deze overeenkomst beperkt de rechten van een betrokkene onder de AVG of de aansprakelijkheid van een partij tegenover een toezichthoudende autoriteit.
12. Contactpunten
Contactpunt gegevensbescherming bij de Verwerker: privacy@datapanda.eu. Contactpunt bij de Verwerkingsverantwoordelijke: zoals vermeld in de Opdrachtbevestiging.
De Verwerker heeft geen functionaris voor gegevensbescherming aangesteld, omdat artikel 37, lid 1, AVG dat niet vereist: zijn kernactiviteiten bestaan niet uit regelmatige en stelselmatige observatie van betrokkenen op grote schaal, noch uit grootschalige verwerking van bijzondere categorieën van gegevens. Het contactpunt hierboven behandelt de correspondentie over gegevensbescherming. De functionaris van de Verwerkingsverantwoordelijke, indien die er een heeft, staat in Bijlage 1.
13. Duur, rangorde en toepasselijk recht
Deze overeenkomst treedt in werking op de ingangsdatum van de Opdrachtbevestiging en loopt zolang de Verwerker Persoonsgegevens voor de Verwerkingsverantwoordelijke verwerkt.
De versie van deze overeenkomst die op een opdracht van toepassing is, is de versie die vóór het aangaan van de Overeenkomst als bijlage bij de Opdrachtbevestiging aan de Verwerkingsverantwoordelijke bezorgd is en die hij bij het aangaan ervan aanvaardt, ook per e-mail of door te verzoeken de Diensten te starten. Elke versie is herkenbaar aan de datum bovenaan het document. De Verwerker kan de versie op zijn website wijzigen, en die wijzigingen gelden voor een lopende opdracht enkel na schriftelijk akkoord tussen de partijen. Wijzigingen van subverwerkers volgen de procedure uit artikel 5.
Bij tegenstrijdigheid tussen deze overeenkomst en de Algemene Voorwaarden of de Opdrachtbevestiging heeft deze overeenkomst voorrang voor alles wat de verwerking van persoonsgegevens betreft. Gelden de modelcontractbepalingen en zijn die in strijd met deze overeenkomst, dan hebben de modelcontractbepalingen voorrang.
Deze overeenkomst wordt beheerst door het Belgisch recht en de bevoegdheidsclausule van de Algemene Voorwaarden is van toepassing.
Bijlage 1: Details van de verwerking
Deze Bijlage en de Opdrachtbevestiging beschrijven samen de verwerking binnen de opdracht. De standaardbeschrijving hieronder geldt voor zover ze overeenstemt met de Diensten. Nodige aanvullingen of afwijkingen, waaronder andere doeleinden, gegevenscategorieën of beperkingen, worden vóór de betrokken verwerking vastgelegd in de Opdrachtbevestiging of een overeengekomen e-mail. De standaardtekst en leveranciersgegevens hoeven niet voor elke opdracht in een nieuwe bijlage overgenomen te worden.
| Onderwerp | Detail |
|---|---|
| Voorwerp | Ontwerp, bouw en werking van data-integraties, dataplatformen, rapportering en automatisaties op de systemen van de Verwerkingsverantwoordelijke, zoals beschreven in de Opdrachtbevestiging. |
| Duur | De looptijd van de Opdrachtbevestiging, plus de verwijderingstermijn uit artikel 8. |
| Aard en doel | Persoonsgegevens uit een bronsysteem lezen, transformeren en mappen, naar een doelsysteem of een dataplatform schrijven, er rapporten en automatisaties op bouwen, en problemen in die stromen opvolgen, opsporen en oplossen. |
| Categorieën betrokkenen | De klanten en leveranciers van de Verwerkingsverantwoordelijke en hun contactpersonen; de eigen medewerkers die de systemen gebruiken of van wie gegevens in de rapportering zitten. |
| Soorten persoonsgegevens | Naam, zakelijke contactgegevens, klant-, leveranciers- en accountidentificatoren, order-, abonnements- en factuurgegevens, betaalstatus en afpuntgegevens, stamgegevens van medewerkers zoals functie, afdeling en werktijd wanneer HR- of planningsgegevens in scope zitten, en systeemloggegevens waaronder gebruikersidentificatoren en IP-adressen. |
| Bijzondere categorieën | Geen. De Verwerkingsverantwoordelijke geeft geen instructie tot verwerking van gegevens onder artikel 9 of artikel 10 AVG. |
| Frequentie | Doorlopend of volgens planning, zoals geconfigureerd. |
| Toepasselijke subverwerkers | De aanbieders uit Bijlage 3 zijn toegestaan voor zover nodig voor de afgesproken Diensten, behoudens beperkingen in de Opdrachtbevestiging of een overeengekomen e-mail. De Verwerker houdt de identiteit en relevante verwerkingsgegevens van de werkelijk gebruikte subverwerkers, met inbegrip van verdere subverwerkers, beschikbaar voor de Verwerkingsverantwoordelijke en deelt wijzigingen mee onder artikel 5. Dezelfde leveranciersgegevens hoeven hier niet herhaald te worden. |
| Doorgiften en toegang van buiten de EER | De standaardafspraken en waarborgen uit artikel 10 en Bijlage 3 gelden, met inbegrip van toegang op afstand van buiten de EER voor ontwikkeling, tests en ondersteuning door medewerkers onder het rechtstreeks gezag van de Verwerker. Enkel afwijkingen of beperkingen hoeven in de Opdrachtbevestiging of een overeengekomen e-mail vastgelegd te worden. Individuele medewerkers hoeven niet bij naam vermeld te worden. Voordat een subverwerker buiten de EER wordt ingeschakeld of toegang krijgt, bezorgt de Verwerker de schriftelijke kennisgeving en doorloopt hij de autorisatieprocedure uit de artikelen 5 en 10. De Verwerker stelt de informatie die nodig is om de naleving van deze overeenkomst en de AVG aan te tonen ter beschikking van de Verwerkingsverantwoordelijke. |
| Functionaris voor gegevensbescherming | Niet aangesteld door de Verwerker. Verwerkingsverantwoordelijke: zoals vermeld in de Opdrachtbevestiging. |
Bijlage 2: Technische en organisatorische maatregelen
Toegangsbeheer. De toegang tot systemen en gegevens van de Verwerkingsverantwoordelijke is beperkt tot de mensen die aan de opdracht werken, op need-to-know-basis, en wordt ingetrokken wanneer de opdracht of de betrokkenheid van die persoon eindigt. Meervoudige authenticatie is verplicht op de accounts van de Verwerker en op de platformaccounts waarmee de Diensten geleverd worden. Toegangsgegevens worden bewaard in een gedeelde wachtwoordkluis en nooit in code, in documenten of in chat. Waar een platform dat toelaat, verloopt de toegang via de eigen accounts en het eigen rechtenmodel van de Verwerkingsverantwoordelijke, zodat die de toegang ziet en kan intrekken.
Omgang met gegevens. Persoonsgegevens worden verwerkt binnen de platformen van de Verwerkingsverantwoordelijke en de diensten die onder deze overeenkomst toegestaan zijn, enkel voor zover nodig voor de afgesproken Diensten. Lokale kopieën worden vermeden. Is er voor het onderzoeken van een fout toch een nodig, dan blijft die tot het minimum beperkt, staat ze op een versleuteld toestel en wordt ze verwijderd zodra het probleem afgesloten is. Persoonsgegevens die tijdens een opdracht aan de Verwerker bezorgd worden, zoals een datavoorbeeld of een logbestand, worden bewaard in de Microsoft 365-omgeving van de Verwerker uit Bijlage 3, niet langer dan het probleem vraagt, nooit gekopieerd naar persoonlijke accounts of onbeheerde toestellen, en verwijderd zodra het probleem afgesloten is. Gegevens in transit zijn versleuteld met TLS, gegevens in rust worden versleuteld door de gebruikte platformen. Voor ontwikkeling en tests worden geanonimiseerde, gepseudonimiseerde of synthetische gegevens gebruikt waar het werk dat toelaat.
Toestellen. Toestellen waarmee systemen of gegevens van de Verwerkingsverantwoordelijke benaderd worden, hebben volledige schijfversleuteling, een automatische schermvergrendeling, een ondersteund en bijgewerkt besturingssysteem, endpointbeveiliging en een werkaccount dat niet gedeeld wordt. Dit geldt ook voor persoonlijke apparatuur die voor de Diensten gebruikt wordt en kan geregeld zijn in de algemene beveiligingsinstructies van de Verwerker. Lokale opslag blijft beperkt tot de uitzonderlijke kopieën voor foutonderzoek die hierboven beschreven zijn. Toegang verloopt via benoemde accounts, met meervoudige authenticatie en rechten beperkt tot het werk; relevante toegang wordt gelogd waar het platform dat ondersteunt, met bijkomende maatregelen wanneer het risico dat vereist.
Mensen en werkwijze. Iedereen met toegang is gebonden door de geheimhouding en verwerkingsinstructies uit artikel 3 en krijgt uitleg die past bij zijn rol. Bestaande contracten, instructies bij de start van de samenwerking en accountgegevens kunnen dienen om deze maatregelen aan te tonen. Inbreuken in verband met persoonsgegevens worden intern zonder onnodige vertraging gemeld en aan de Verwerkingsverantwoordelijke zoals bepaald in artikel 7. Broncode en configuratie staan in privérepository’s onder versiebeheer, met toegang beperkt tot het opdrachtteam.
Weerbaarheid. De Verwerker steunt op de beschikbaarheid, back-up en herstelmogelijkheden van de platformen uit Bijlage 3 en houdt nooit de enige kopie van de productiegegevens van de Verwerkingsverantwoordelijke bij. De Verwerkingsverantwoordelijke blijft verantwoordelijk voor back-up en herstel van zijn eigen systemen.
Bijlage 3: Subverwerkers
De onderstaande aanbieders zijn toegestaan onder de algemene toestemming uit artikel 5 voor zover nodig voor de afgesproken Diensten. Opdrachtspecifieke beperkingen hebben voorrang. Toevoegingen en vervangingen volgen de kennisgevings- en bezwaarprocedure uit artikel 5; een aparte handtekening is niet nodig wanneer die procedure gevolgd is en geen bezwaar onopgelost blijft.
| Subverwerker | Entiteit | Rol | Verwerkingslocatie | Waarborg voor doorgifte |
|---|---|---|---|---|
| Peliqan | Peliqan BV, Grauwpoort 1, 9000 Gent, België, KBO BE 0784.446.918 | Integratieplatform waarop de connectoren gebouwd worden en draaien | Europese Unie wanneer de opdracht voor de EU-regio van Peliqan geconfigureerd is. Elke andere goedgekeurde regio wordt in de Opdrachtbevestiging of een overeengekomen e-mail vastgelegd | De verwerkersovereenkomst van Peliqan, met inbegrip van de modelcontractbepalingen voor hun eigen subverwerkers buiten de EER |
| Microsoft | Microsoft Ireland Operations Ltd, Ierland | De Microsoft 365-omgeving van de Verwerker, waar persoonsgegevens toekomen die tijdens een opdracht bezorgd worden, en Azure- of Fabric-diensten wanneer een opdracht die gebruikt | Europese Unie en EVA voor diensten binnen de EU Data Boundary, behoudens de beperkte doorgiften die in de voorwaarden van Microsoft beschreven staan | De Microsoft Products and Services Data Protection Addendum, met inbegrip van de modelcontractbepalingen die daarin opgenomen zijn |
| Anthropic | Anthropic Ireland, Limited | Claude en Claude Code, gebruikt als ontwikkel- en analysehulpmiddel bij opdrachtwerk onder de commerciële voorwaarden van Anthropic. Klantinhoud wordt niet gebruikt om modellen te trainen | Verenigde Staten voor opslag. Modelinferentie draait standaard op de wereldwijde infrastructuur van Anthropic en kan tot de Verenigde Staten beperkt worden; vereist de Verwerkingsverantwoordelijke die beperking, dan wordt ze in de Opdrachtbevestiging of een overeengekomen e-mail vastgelegd | De verwerkersovereenkomst van Anthropic, met inbegrip van de modelcontractbepalingen die daarin opgenomen zijn |
| OpenAI | OpenAI Ireland Limited | ChatGPT Business en de OpenAI API, gebruikt als ontwikkel- en analysehulpmiddel bij opdrachtwerk. De inhoud wordt niet gebruikt om modellen te trainen: de Verwerker gebruikt enkel zakelijke abonnementen en houdt modeltraining uitgeschakeld | Verenigde Staten standaard. Is de opdracht geconfigureerd voor de Europese dataresidentie van OpenAI, dan wordt de inhoud in rust in Europa bewaard. Elke andere configuratie wordt in de Opdrachtbevestiging of een overeengekomen e-mail vastgelegd | De verwerkersovereenkomst van OpenAI, met inbegrip van de modelcontractbepalingen die daarin opgenomen zijn |
Medewerkers onder het rechtstreeks gezag van de Verwerker zoals beschreven in artikel 3 worden niet als subverwerkers vermeld. Een dienstverlener die niet of niet langer aan die voorwaarden voldoet, wordt onder artikel 5 geïdentificeerd en toegestaan voordat de verwerking aan hem wordt toevertrouwd of voortgezet. Artikel 10 regelt in beide gevallen de toegang van buiten de EER.
Microsoft 365 Copilot draait binnen de Microsoft 365-omgeving hierboven en vormt geen aparte vermelding. Hulpmiddelen buiten de goedgekeurde lijst van de Verwerker mogen niet op persoonsgegevens gebruikt worden.
Microsoft staat hierboven uitsluitend voor persoonsgegevens die voor de Verwerkingsverantwoordelijke verwerkt worden. Gebruikt de Verwerker dezelfde hulpmiddelen voor eigen doeleinden, zoals correspondentie met de medewerkers van de Verwerkingsverantwoordelijke en facturatiegegevens, dan valt die verwerking onder artikel 1 en onder de privacyverklaring van de Verwerker.
De leveranciers van de websiteanalyse, de nieuwsbrief en de contentlevering van de Verwerker zijn geen subverwerkers onder deze overeenkomst, omdat ze de persoonsgegevens niet verwerken. Ze staan in de privacyverklaring.