Verwerkersovereenkomst

1. Onderwerp

Deze overeenkomst maakt deel uit van de algemene voorwaarden. De klant (verantwoordelijke) verwerkt persoonsgegevens op het Stafeta-platform; Stafeta (verwerker) doet dat in opdracht van de klant volgens art. 28 lid 3 AVG.

2. Beschrijving van de verwerking

• Duur: de looptijd van de overeenkomst, plus de exportperiode van 60 dagen.
• Aard en doel: het platform laten draaien – opslag, weergave, zoeken, AI-concepten en -voorstellen, het uitvoeren van goedgekeurde stappen in de gekoppelde tools, meldingen, back-ups.
• Soorten gegevens: identificatie- en contactgegevens, functiegegevens, de inhoud van kaarten en documenten, e-mails en berichten, vergadertranscripties, rooster en afwezigheid (inclusief het feit van ziekteverlof), declaraties en facturen, contracten, AVG-verzoeken, klant- en leveranciersgegevens, bestanden.
• Betrokkenen: medewerkers en kandidaten van de klant, zijn klanten, leveranciers en partners, inzenders van formulieren, gasten die op het portaal zijn uitgenodigd.

3. Verplichtingen van de verwerker

• Verwerkt alleen op gedocumenteerde instructie van de klant (de instructie is het gebruik van het platform en de instellingen); meldt een instructie die de wet zou schenden.
• Iedereen met toegang is gebonden aan geheimhouding.
• De maatregelen van art. 32 staan in de bijlage (inloggen in twee stappen, scheiding per werkruimte, versleuteling, logging, hosting in de EU).
• Helpt bij rechten van betrokkenen: stuurt een verzoek binnen 5 werkdagen door naar de klant en voert export en wissing in het platform uit.
• Helpt bij de verplichtingen van art. 32–36 (effectbeoordeling, datalekken).
• Geeft aan het einde van de overeenkomst de gegevens naar keuze van de klant terug (export) en wist ze; de wissing volgt na de exportperiode van 60 dagen.
• Stelt de informatie beschikbaar die nodig is om naleving aan te tonen; één schriftelijk verslag per jaar, bij gegronde reden een audit op locatie op kosten van de klant: auditfrequentie: eenmaal per jaar.

4. Subverwerkers

De klant geeft algemene toestemming voor de verwerkers op de lijst van subverwerkers. Over een nieuwe subverwerker mailen we de kennisgevingstermijn: 30 dagen vooraf; de klant kan op redelijke gronden bezwaar maken en, als er geen oplossing is, opzeggen tegen het einde van de periode. Wij leggen subverwerkers dezelfde verplichtingen op.

5. Datalekken

Wij informeren de klant binnen 48 uur na ontdekking van een datalek, met de bekende feiten (wat er gebeurde, wie geraakt is, wat we deden), zodat de klant zijn termijn van 72 uur kan halen. We documenteren het datalek.

6. Doorgifte

De database en bestanden staan in de EU. Verwerking buiten de EU gebeurt alleen zoals aangegeven op de lijst van subverwerkers, onder het DPF of SCC's (in het bijzonder Anthropic voor het draaien van het model). Naar andere landen geven we niet door.

7. Aansprakelijkheid

Punt 11 van de algemene voorwaarden geldt voor aansprakelijkheid. De aansprakelijkheid van partijen jegens betrokkenen volgt art. 82 AVG.

Bijlage: technische en organisatorische maatregelen

• Inloggen: wachtwoord + authenticatorcode voor iedereen; een verse code voor gevoelige handelingen; herstelcodes; logins gelogd.
• Scheiding: rijniveau-beveiliging (RLS) op elke databasetabel per werkruimte; een AI-run bevraagt met de rechten van de klant zelf en ziet nooit een ander bedrijf.
• Versleuteling: TLS op elke verbinding; opslag versleuteld bij de leverancier; envelopversleuteling van gevoelige velden in invoering.
• De AI-agent heeft geen verzend-, verwijder- of betaaltool; binnenkomende inhoud bereikt hem alleen als data; een prompt-injectiefilter en een canary.
• Logging: inloggebeurtenissen, goedkeuringen en besluiten, gastactiviteit, kioskgebeurtenissen.
• Geheimen alleen serverzijde, elke 90 dagen geroteerd; pakketten alleen uit releases ouder dan 7 dagen; een lekcontrole bij elke commit.
• Back-ups in de EU; het incidentdraaiboek in SECURITY.md.