Verwerkersovereenkomst

volgens Art. 28 AVG – tussen de verwerkingsverantwoordelijke en AX1S / AIGOY (verwerker)

§ 1 Onderwerp en duur

Verwerking van persoonsgegevens door de verwerker in opdracht van de verwerkingsverantwoordelijke in het kader van het aanbieden van het AIGOY-platform (AI Governance, Risk & Compliance). De looptijd komt overeen met de hoofdovereenkomst en eindigt bij beëindiging daarvan.

§ 2 Aard, omvang en doel

Het aanbieden van het AIGOY-platform en zijn modules (AI-inventaris, Risk Management, Policy Management, Compliance Reporting, Board Portal, Training Hub, Klokkenluidersregeling) en de AI-ondersteunde voorbereiding van beleidsregels en risicobeoordelingen door de Compliance CoWorker “Felix” volgens het vierogenprincipe. Verwerking uitsluitend om de diensten te leveren en op gedocumenteerde instructie van de verwerkingsverantwoordelijke.

§ 3 Soorten gegevens en categorieën betrokkenen

Soorten persoonsgegevens (typisch):

• Stam-/contactgegevens (naam, zakelijk e-mailadres, afdeling, functie)
• Authenticatiegegevens (gehasht wachtwoord, inlogtijdstip, sessietoken)
• Gebruiks- en loggegevens van het platform (incl. audit trail)
• Trainings-/competentiegegevens (modulevoortgang, certificaten)
• Inhoudsgegevens die door de verwerkingsverantwoordelijke worden ingevoerd (bijv. beleidsregels, risico's, rapporten)

Categorieën betrokkenen: medewerkers, leidinggevenden en functionarissen van de verwerkingsverantwoordelijke, platformgebruikers en in voorkomend geval derden van wie de verwerkingsverantwoordelijke de gegevens invoert als onderdeel van zijn complianceprocessen.

Bijzondere categorieën (Art. 9 AVG) maken geen deel uit van het beoogde gebruik; het invoeren ervan valt uitsluitend onder de verantwoordelijkheid van de verwerkingsverantwoordelijke en dient te worden vermeden.

§ 4 Verplichtingen van de verwerker

Op grond van Art. 28 lid 3 AVG verbindt de verwerker zich er in het bijzonder toe om:

1. gegevens uitsluitend te verwerken op gedocumenteerde instructie van de verwerkingsverantwoordelijke (incl. doorgiften naar derde landen, tenzij wettelijk vereist).
2. te waarborgen dat personen die bevoegd zijn de gegevens te verwerken tot vertrouwelijkheid zijn verplicht.
3. de technische en organisatorische maatregelen te treffen die op grond van Art. 32 AVG vereist zijn (Bijlage 1).
4. de voorwaarden voor het inschakelen van andere verwerkers (Art. 28 lid 2 en 4) na te leven (§ 6, Bijlage 2).
5. de verwerkingsverantwoordelijke bij te staan bij het vervullen van de rechten van betrokkenen (Art. 12–23).
6. de verwerkingsverantwoordelijke bij te staan bij verplichtingen op grond van Art. 32–36 (beveiliging, melding van inbreuken, DPIA).
7. persoonsgegevens na afloop van de verwerking te wissen of terug te geven, naar keuze van de verwerkingsverantwoordelijke (§ 10).
8. het bewijs van naleving te leveren en audits mogelijk te maken (§ 9).

§ 5 Technische en organisatorische maatregelen (TOM's)

De TOM's in Bijlage 1 (Art. 32 AVG) zijn van toepassing. Maatregelen kunnen worden aangepast aan de technische vooruitgang, mits het beschermingsniveau niet wordt verlaagd.

§ 6 Subverwerkers

De verwerkingsverantwoordelijke verleent algemene toestemming voor de in Bijlage 2 vermelde subverwerkers. De verwerker sluit met hen overeenkomsten op grond van Art. 28 AVG waarin gelijkwaardige verplichtingen worden opgelegd. Wijzigingen worden vooraf gemeld; de verwerkingsverantwoordelijke kan op zwaarwegende gegevensbeschermingsgronden bezwaar maken. Voor doorgiften naar derde landen gelden passende waarborgen (standaardcontractbepalingen op grond van Art. 46 lid 2 onder c AVG of het EU-VS Data Privacy Framework).

§ 7 Rechten van betrokkenen

De verwerker ondersteunt de verwerkingsverantwoordelijke bij het beantwoorden van verzoeken van betrokkenen en stuurt verzoeken die rechtstreeks aan hem zijn gericht zonder onnodige vertraging door.

§ 8 Melding van inbreuken in verband met persoonsgegevens

De verwerker stelt de verwerkingsverantwoordelijke zonder onnodige vertraging op de hoogte nadat hij kennis heeft gekregen van een inbreuk in verband met persoonsgegevens, met de op grond van Art. 33 AVG vereiste informatie, zodat de verwerkingsverantwoordelijke aan zijn verplichtingen op grond van Art. 33, 34 AVG kan voldoen.

§ 9 Audit- en bewijsrechten

Het bewijs wordt primair geleverd via geschikte documentatie (bijv. SOC 2 Type II van de gebruikte infrastructuur, auditrapporten, TOM-documentatie). Waar nodig maakt de verwerker audits mogelijk met een redelijke aankondigingstermijn en zonder onevenredige verstoring.

§ 10 Wissen en teruggeven

Na afloop van de verwerking wist of retourneert de verwerker alle persoonsgegevens naar keuze van de verwerkingsverantwoordelijke en vernietigt kopieën, tenzij een wettelijke bewaarplicht van toepassing is. Het wissen wordt op verzoek bevestigd.

§ 11 Aansprakelijkheid

De aansprakelijkheid wordt geregeld door Art. 82 AVG en de hoofdovereenkomst.

§ 12 Slotbepalingen

Wijzigingen vereisen de tekstvorm. Bij strijdigheid prevaleren de gegevensbeschermingsbepalingen van deze overeenkomst boven de hoofdovereenkomst. Het Duitse recht is van toepassing.

Bijlage 1 – Technische & organisatorische maatregelen (Art. 32 AVG)

AIGOY wordt ontwikkeld in Duitsland, gehost in Duitsland en ondersteund vanuit Duitsland.

Bijlage 2 – Goedgekeurde subverwerkers

Laatst bijgewerkt: mei 2026. Dit model is een uitgangspunt en vormt geen juridisch advies. Pas het aan op de specifieke situatie en laat het juridisch toetsen vóór gebruik. Een actuele lijst van subverwerkers wordt gepubliceerd op de pagina Vertrouwen & Beveiliging.