Verwerkersovereenkomst

Versie 14 september 2026

Download als PDF

Artikel 1 – Partijen en reikwijdte

1.1 Deze Verwerkersovereenkomst geldt tussen Minuut en de Klant zoals aangeduid in de Dienstvoorwaarden en Abonnementsbevestiging. Zij omvat de bijlagen A (uitvoerders en gegevensstromen) en B (beveiliging). Begrippen uit de Dienstvoorwaarden en de Algemene verordening gegevensbescherming (AVG) behouden hun betekenis.

1.2 De Klant is verwerkingsverantwoordelijke of, wanneer hij voor een opdrachtgever verwerkt, verwerker. Minuut is dienovereenkomstig verwerker of subverwerker. Deze overeenkomst geldt uitsluitend voor persoonsgegevens die Minuut namens de Klant verwerkt. Voor eigen verwerkingen van Minuut geldt de Privacyverklaring.

1.3 Deze overeenkomst gaat voor bij strijdige gegevensbeschermingsverplichtingen. Artikel 13 van de Dienstvoorwaarden, inclusief beperkingen, vrijwaringen en termijnen, blijft binnen de wettelijke grenzen op de onderlinge aansprakelijkheid van toepassing. Niet-beperkbare wettelijke rechten en de voorrang van toepasselijke standaardcontractbepalingen blijven onverlet.

Artikel 2 – Verwerkingsopdracht

2.1 Het onderwerp en doel zijn het uitvoeren en beschikbaar houden van AI-ondersteund juridisch onderzoek, gesprekken en Minuut Memo’s binnen de overeengekomen Dienst. De verwerking omvat ontvangen, doorgeven, opslaan, structureren, doorzoeken en raadplegen van gegevens en bronnen, het verstrekken van noodzakelijke context aan toegestane AI-diensten, genereren en beschikbaar stellen van Productie, technische ondersteuning, herstelkopieën, export en verwijdering.

2.2 De opdracht omvat gewone persoonsgegevens: namen, contact- en identificerende casusgegevens, voor de toegestane casus noodzakelijke feitelijke en juridische informatie, gespreks- en broninhoud en klantgebonden metadata. Betrokkenen kunnen Gebruikers, cliënten, wederpartijen, vertegenwoordigers, werknemers, getuigen en andere in de casus of bronnen genoemde personen zijn, waaronder minderjarigen.

2.3 De in artikel 4.5 van de Dienstvoorwaarden uitgesloten gegevens vallen buiten de standaardopdracht. Uitbreiding vereist de daar bedoelde afzonderlijke afspraken en een geschikte leveranciers- en beveiligingsinrichting. Onbedoelde aanlevering verruimt de opdracht niet; voor noodzakelijke beperking en verwijdering blijven de gegevensbeschermingsplichten gelden.

2.4 De verwerking duurt gedurende de overeengekomen dienstverlening, eventuele voortgezette opslag en aansluitende teruggave en verwijdering. De opdracht omvat ook verwerking van klantinhoud in ondersteuningsberichten en inhoudelijke logs; die inhoud wordt daardoor geen vrij te gebruiken technische metadata.

Artikel 3 – Instructies en klantverantwoordelijkheid

3.1 Minuut verwerkt uitsluitend op rechtmatige, gedocumenteerde instructies van de Klant. De Overeenkomst, aanvragen via de aangeboden functionaliteiten en bevoegde schriftelijke opdrachten vormen zulke instructies. Zij omvatten de binnen bijlage A overeengekomen inschakeling van uitvoerders en internationale verwerking.

3.2 Wanneer Unierecht of lidstatelijk recht Minuut tot een afwijkende verwerking verplicht, informeert Minuut de Klant vooraf over dat voorschrift, tenzij dat recht die informatie op zwaarwegende gronden van algemeen belang verbiedt. Voor internationale doorgiften blijft hoofdstuk V AVG gelden.

3.3 Minuut informeert de Klant onmiddellijk indien een instructie naar zijn oordeel de AVG of ander toepasselijk gegevensbeschermingsrecht schendt en mag de betrokken handeling opschorten totdat een rechtmatige oplossing bestaat. Dit schept geen algemene voorafgaande juridische controleplicht.

3.4 De Klant zorgt voor rechtmatige gegevensverstrekking, instructies, informatie aan betrokkenen en benodigde bevoegdheden. Wanneer de Klant zelf verwerker is, staat hij in voor toestemming van zijn opdrachtgever voor deze keten. Extra of gewijzigde instructies buiten de afgesproken Diensten vereisen afspraken over uitvoerbaarheid en, waar toegestaan, kosten.

Artikel 4 – Vertrouwelijkheid en inhoudelijke toegang

4.1 Minuut waarborgt dat bevoegde uitvoerders onder een passende contractuele of wettelijke geheimhoudingsplicht vallen en alleen toegang hebben voor zover hun taak dit vereist. De vertrouwelijkheid en menselijke dossierinzage zijn geregeld in artikel 12 van de Dienstvoorwaarden; de beperkingen aan training, tests, benchmarks en productverbetering in artikel 7.2 daarvan.

4.2 Een supportinstructie kan voorafgaande toestemming bevatten voor de daarin uitdrukkelijk omschreven inzage. Deze toestemming geeft geen zelfstandige bevoegdheid voor ander dossiergebruik, modeltraining of algemene productverbetering. Dezelfde gebruiksgrenzen worden aan ingeschakelde uitvoerders opgelegd.

Artikel 5 – Beveiliging

5.1 Minuut treft de volgens artikel 32 AVG passende maatregelen, rekening houdend met stand van de techniek, uitvoeringskosten, aard en omvang van de verwerking en risico’s voor betrokkenen. Bijlage B concretiseert de overeengekomen inrichting, waaronder toegangsbeperking, klantafscherming, herstel en incidentbehandeling.

5.2 De Klant stemt in met technisch gelijkwaardige of verbeterde aanpassingen die het overeengekomen beschermingsniveau niet verlagen. Voor wezenlijke afwijkingen daarvan is voorafgaande schriftelijke overeenstemming nodig. Minuut beoordeelt de werking van de maatregelen risicogericht en verzorgt noodzakelijke beveiligingsupdates en herstelmaatregelen.

5.3 Aanvullende klantspecifieke eisen boven wettelijke en overeengekomen maatregelen gelden na schriftelijke aanvaarding van uitvoering en kosten. De verantwoordelijkheid van de Klant voor de eigen omgeving en Gebruikers blijft bestaan.

Artikel 6 – Subverwerkers en internationale doorgiften

6.1 De Klant verleent algemene schriftelijke toestemming voor inschakeling van subverwerkers overeenkomstig deze bepaling. Bijlage A noemt de uitvoerders en gegevensstromen. Minuut legt vóór inschakeling de vereiste verwerkers- en doorgifteafspraken voor de concrete keten vast en verstrekt de relevante entiteiten, functies, verwerkingslocaties en waarborgen aan de Klant.

6.2 Minuut kondigt toevoeging of vervanging van een subverwerker vooraf schriftelijk aan. De Klant krijgt in beginsel veertien dagen voor gemotiveerd bezwaar op gegevensbeschermingsgronden; de nieuwe verwerking begint pas nadat een reële mogelijkheid tot bezwaar is geboden. Ook relevante wijzigingen in verwerkingslocaties of doorgiften worden vooraf kenbaar gemaakt en blijven binnen de overeengekomen instructies.

6.3 Bij bezwaar bespreken partijen een uitvoerbare rechtmatige oplossing. Minuut hoeft geen klantspecifieke infrastructuur op eigen kosten te realiseren. Ontbreekt een oplossing, dan kan het betrokken onderdeel worden beëindigd met inachtneming van wettelijke rechten en de gegevensafwikkeling.

6.4 Minuut legt subverwerkers de gegevensbeschermingsverplichtingen op die artikel 28 AVG verlangt en blijft tegenover de Klant verantwoordelijk voor hun nakoming overeenkomstig artikel 28 lid 4 AVG.

6.5 Doorgifte of toegang buiten de Europese Economische Ruimte (EER) is uitsluitend toegestaan op gedocumenteerde instructie en met een geldige grondslag onder hoofdstuk V AVG. Minuut legt de toepasselijke standaardcontractbepalingen of dekkende adequaatheidsgrondslag en noodzakelijke aanvullende maatregelen vast.

Artikel 7 – Datalekken en bijstand

7.1 Minuut informeert de Klant zonder onredelijke vertraging zodra Minuut kennis heeft van een inbreuk in verband met namens de Klant verwerkte persoonsgegevens.

7.2 Minuut verstrekt de beschikbare informatie over aard en waarschijnlijke gevolgen, betrokken categorieën en aantallen personen en gegevens, genomen of voorgestelde maatregelen en een contactpunt. Ontbrekende informatie mag gefaseerd worden aangevuld.

7.3 De Klant beslist over meldingen aan toezichthouders en betrokkenen. Minuut verleent de vereiste bijstand en komt eigen wettelijke plichten na. Rekening houdend met de aard van de verwerking en beschikbare informatie ondersteunt Minuut tevens bij rechtenverzoeken, beveiligingsverplichtingen, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging overeenkomstig artikel 28 lid 3 onder e en f AVG.

7.4 Rechtstreeks ontvangen verzoeken over klantinhoud worden zonder onredelijke vertraging doorgestuurd of op klantinstructie behandeld, tenzij de wet anders voorschrijft. Contact voor verzoeken en incidenten: lucas@minuut.eu.

Artikel 8 – Informatie, controle en kosten

8.1 Minuut verstrekt alle informatie die nodig is om naleving van artikel 28 AVG aan te tonen en maakt audits en inspecties door de Klant of diens gemachtigde auditor mogelijk en werkt daaraan mee. Bestaande documentatie wordt eerst benut voor zover deze afdoende is.

8.2 Partijen stemmen doel, omvang en uitvoering af, met passende geheimhouding en bescherming van andere klanten en bedrijfsgeheimen. Controles verstoren de bedrijfsvoering niet onnodig. Praktische afspraken mogen wettelijk noodzakelijke verificatie niet verhinderen en laten toezichthoudersbevoegdheden onverlet.

8.3 Aanvullende werkzaamheden mogen tegen een vooraf meegedeeld en overeengekomen tarief worden gefactureerd voor zover wettelijk toegestaan. Wettelijk noodzakelijke bijstand wordt niet afhankelijk gemaakt van vooruitbetaling of uitgestelde tariefafspraken. Herstel wegens niet-naleving door Minuut wordt niet als aanvullende dienstverlening in rekening gebracht.

Artikel 9 – Teruggave en verwijdering

9.1 De Klant kan via lucas@minuut.eu teruggave of verwijdering instrueren. Bij einde van de verwerking geeft Minuut de persoonsgegevens naar keuze van de Klant terug en verwijdert daarna de kopieën, of verwijdert ze rechtstreeks, met inachtneming van toepasselijke export- en ophaalafspraken.

9.2 Verwijdering uit actieve systemen vindt zonder onnodige vertraging en uiterlijk binnen dertig dagen na een geldige instructie plaats, tenzij een kortere wettelijke termijn geldt. Bij het eindigen van een ophaalperiode geldt de daarvoor overeengekomen afwikkeling. Minuut gebruikt een geautomatiseerd verwijderproces en verzorgt de noodzakelijke afhandeling bij uitvoerders.

9.3 Back-ups worden dagelijks gemaakt en uiterlijk zeven dagen na het maken verwijderd of overschreven. Na verwijdering uit actieve systemen wordt verwijderde inhoud niet opnieuw in een reguliere back-up opgenomen en resteert zij maximaal zeven dagen in eerdere back-ups. Die kopieën blijven afgeschermd van regulier gebruik. Bij herstel worden eerdere verwijderinstructies opnieuw uitgevoerd voordat de betrokken inhoud weer voor regulier gebruik beschikbaar komt.

9.4 Langere bewaring van namens de Klant verwerkte persoonsgegevens is uitsluitend toegestaan voor zover Unierecht of lidstatelijk recht daartoe verplicht. Deze overeenkomst, geheimhouding en beveiliging blijven gelden zolang Minuut nog zulke persoonsgegevens verwerkt. Minuut bevestigt teruggave of verwijdering op verzoek schriftelijk.

Bijlage A – Uitvoerders en gegevensstromen

A.1 Uitvoerders voor klantinhoud

Dit overzicht beschrijft de productieketen voor de opdracht. Minuut legt voor inschakeling van iedere uitvoerder de in artikel 6 vereiste contractuele aansluiting voor de concrete verwerking vast. Wijzigingen worden behandeld volgens artikel 6.

A.2 AI-inrichting

De beschreven route gebruikt Fireworks via Vercel AI Gateway, met een verplichte ZDR-instelling per verzoek. Verzoek- en antwoordinhoud worden bij de ingeschakelde AI-diensten niet blijvend als inhoudelijke logs bewaard of voor modeltraining gebruikt. Tijdelijke verwerking en noodzakelijke technische dienstmetadata zijn hiervan onderscheiden. Klantinhoud blijft bij Minuut opgeslagen volgens artikel 9. Een model- of routewijziging moet voldoen aan artikel 6 en de overeengekomen gebruiksbeperkingen.

A.3 Ondersteunende leveranciers

Voor eigen accountbeheer en communicatie worden tevens Backpack Internet Pty. Ltd. (Bento, Australië; transactionele e-mail t.b.v. login en registratie), PostHog, Inc. (functiebeheer in de gekozen EU-omgeving in Frankfurt) en een zakelijke e-maildienst gebruikt. PostHog ontvangt geen dossierinhoud. Deze leveranciers vallen alleen onder deze Verwerkersovereenkomst voor zover zij daadwerkelijk persoonsgegevens namens de Klant verwerken. Vóór verwerking van klantinhoud via een aanvullende leverancier verstrekt Minuut diens identiteit, functie, locaties en verwerkers- en doorgifteafspraken overeenkomstig artikel 6. De Privacyverklaring beschrijft de eigen verwerkingen.

Bijlage B – Technische en organisatorische maatregelen

B.1 Toegang en bevoegdheden

Gebruikers krijgen toegang met per e-mail verstrekte inloglinks. Authenticatie en sessiebeheer vinden binnen de eigen applicatie en database plaats; verificatietokens voor inloglinks worden gehasht opgeslagen. Binnen Minuut is toegang tot productiegegevens beperkt tot de eigenaar en worden toegangsmiddelen vertrouwelijk beheerd. Voor inhoudelijke inzage geldt artikel 4. De Klant beheert zijn gebruikersbevoegdheden en eigen toegangsbeveiliging.

B.2 Transport en klantafscherming

Webverkeer wordt via HTTPS beveiligd. De applicatie past toegangscontroles en afscherming tussen klantomgevingen toe; toegang is beperkt tot bevoegde gebruikers en noodzakelijke uitvoerders.

B.3 Hosting en AI

Applicatie, database, bestanden en back-ups worden bij Hetzner in Duitsland ondergebracht. De AI-route en inhoudelijke gebruiksbeperkingen staan in bijlage A. Slechts voor de opdracht noodzakelijke context wordt doorgestuurd. Gevoelige gegevens uit artikel 4.5 van de Dienstvoorwaarden behoren niet tot de standaardopdracht.

B.4 Herstel en verwijdering

De dagelijkse back-ups dienen technisch herstel en worden maximaal zeven dagen vanaf hun aanmaak bewaard. Minuut behandelt herstel en verwijdering volgens artikel 9, inclusief het opnieuw toepassen van verwijderinstructies na herstel. Herstelkopieën zijn afgeschermd van regulier gebruik en vormen geen afzonderlijk dossierarchief.

B.5 Ontwikkeling, logging en onderhoud

Productiegegevens zijn niet bestemd voor ontwikkel- of testomgevingen. Inhoudelijke logs en dossiergegevens blijven onder de opdracht, toegangsbeperkingen en gebruiksverboden vallen. Minuut verzorgt noodzakelijke beveiligingsupdates en herstelmaatregelen en beoordeelt de effectiviteit van maatregelen risicogericht.

B.6 Incidentbehandeling

Minuut onderzoekt relevante beveiligingsincidenten, beperkt gevolgen, neemt noodzakelijke herstelmaatregelen en verzorgt wettelijke meldingen en bijstand volgens artikel 7. Ontvangst en opvolging van leveranciersmeldingen worden in de incidentafhandeling betrokken. Extra klantspecifieke maatregelen volgen artikel 5.3.