Verwerkersovereenkomst (DPA)

Waarom een DPA?

Wanneer jouw organisatie persoonsgegevens van cliënten of derden door ons laat verwerken, ben jij volgens AVG artikel 28 verplicht om met ons een schriftelijke verwerkersovereenkomst te sluiten. Deze legt vast wie wat doet, hoe wij data beveiligen, en wat er gebeurt bij een incident.

Hieronder vind je de inhoudelijke afspraken. Het officiële DPA-document bevat dezelfde clausules plus handtekeningvelden, partij-gegevens en datum.

1. Partijen

• Verwerker: Notore — [KvK-naam] te Lelystad
• Verwerkingsverantwoordelijke: de Klant (jouw organisatie)

2. Voorwerp en duur

Deze DPA is van kracht voor de duur van de hoofdovereenkomst tussen Notore en de Klant (zie algemene voorwaarden). Bij beëindiging vervalt deze DPA automatisch, met inachtneming van de slotbepalingen over retentie en vernietiging.

3. Aard en doel van verwerking

• Aard: opslag, structurering en AI-gedreven transformatie van gespreksaantekeningen tot gestructureerde verslagen
• Doel: ondersteuning van de Klant bij administratieve verslaglegging in zijn primaire werkproces
• Soort persoonsgegevens: beperkt — wij blokkeren actief BSN, namen, adressen en geboortedatums vóór verwerking. Daarna alleen contextuele beschrijvingen (zonder identificeerbare gegevens)
• Categorieën betrokkenen: cliënten, patiënten of gesprekspartners van de Klant

4. Verplichtingen van de verwerker (Notore)

Notore verbindt zich tot:

• Persoonsgegevens uitsluitend verwerken op gedocumenteerde instructie van de Klant
• Een passend beveiligingsniveau waarborgen (zie artikel 6)
• Geheimhoudingsverplichting opleggen aan alle personen die met de gegevens werken
• De Klant bijstaan bij verzoeken van betrokkenen (inzage, rectificatie, vergetelheid)
• De Klant onverwijld informeren bij elke inbreuk op de beveiliging (zie datalek-procedure)
• Op verzoek alle gegevens retourneren of verwijderen na beëindiging
• De Klant alle informatie verschaffen die nodig is om naleving aan te tonen

5. Verplichtingen van de verantwoordelijke (Klant)

De Klant verbindt zich tot:

• Een rechtmatige grondslag hebben voor elke verwerking die hij in Notore uitvoert
• Geen persoonsgegevens invoeren die door Notore's PII-blokkade worden geweigerd — niet alsnog forceren via override zonder valide reden
• Gebruikers binnen zijn organisatie correct autoriseren (rollen, tenant-grens)
• Betrokkenen informeren over de verwerking conform AVG artikel 13/14
• Notore in kennis stellen van eigen DPO/FG-contact indien aanwezig

6. Beveiligingsmaatregelen

Notore neemt minimaal de volgende technische en organisatorische maatregelen:

Technisch

• TLS 1.3 voor al het verkeer (transport-encryptie)
• AES-256 encryptie at rest (database, backups)
• Row-level security per tenant in de database
• Service-role-key uitsluitend serverside, nooit in client-code
• PII-detectie en -blokkade vóór elke AI-call (server-side, niet omzeilbaar)
• Onveranderbaar audit-log (DB-trigger-level)
• Rate-limiting per gebruiker en per IP
• Beveiligde authenticatie via Supabase Auth (cookie-gebaseerd, met expiratie)

Organisatorisch

• Need-to-know toegang voor medewerkers (geen standaard productie-toegang)
• Wachtwoord-policy en MFA voor alle medewerkers met toegang tot productie-omgeving
• Onboarding-training over AVG en datalek-procedure
• Periodieke evaluatie van beveiligingsmaatregelen (jaarlijks)

7. Subverwerkers

Notore zet de volgende subverwerkers in: zie /subverwerkers voor de actuele lijst met locaties, DPA-status en privacybeleid.

De Klant geeft hierbij toestemming voor de inzet van de subverwerkers die op het moment van ondertekening op die lijst staan. Nieuwe of vervangende subverwerkers worden minimaal 30 dagen van tevoren aangekondigd; bij bezwaar kan de Klant kosteloos opzeggen.

8. Internationale doorgifte

Notore verwerkt alle persoonsgegevens binnen de Europese Unie. Doorgifte buiten de EU/EER vindt niet plaats. Onze AI-provider (Anthropic) bedient ons via een EU-endpoint zonder verdere doorgifte naar de Verenigde Staten voor onze workload.

9. Datalekken

Bij een inbreuk op de beveiliging informeert Notore de Klant onverwijld (zonder onredelijke vertraging) — in elk geval binnen 24 uur na ontdekking. De volledige procedure staat in onze datalek-procedure en geldt als onderdeel van deze DPA.

10. Audit-rechten

De Klant heeft het recht om jaarlijks een audit uit te voeren naar de naleving van deze DPA, op eigen kosten en met inachtneming van een redelijke aankondigingstermijn (minimaal 30 dagen). Notore stelt op verzoek aan tenant-admins een audit-log-export ter beschikking die als reductie van de noodzakelijke audit-omvang kan dienen.

11. Aansprakelijkheid

De aansprakelijkheid is geregeld in de hoofdovereenkomst (zie algemene voorwaarden artikel 12). AVG-boetes die voortvloeien uit een toerekenbare tekortkoming van Notore komen voor rekening van Notore, met inachtneming van het in de hoofdovereenkomst genoemde plafond.

12. Beëindiging en gegevensretentie

Bij beëindiging van de hoofdovereenkomst geldt:

• Eerste 30 dagen: de Klant kan zijn data exporteren via de admin-interface (JSON/PDF)
• Na 30 dagen: Notore verwijdert alle persoonsgegevens van de Klant uit operationele systemen
• Backups: binnen 90 dagen volledig overschreven
• Audit-log: 7 jaar bewaard conform belastingplicht, daarna verwijderd

13. Slotbepalingen

• Bij tegenstrijdigheid tussen deze DPA en de hoofdovereenkomst prevaleert deze DPA voor onderwerpen die de verwerking van persoonsgegevens betreffen
• Wijzigingen vereisen schriftelijk akkoord van beide partijen, of een unilaterale Notore-update met 60 dagen aankondiging waartegen de Klant kosteloos kan opzeggen
• Nederlands recht is van toepassing

Hoe sluiten we deze DPA?

Voor de pilot-fase: deze publicatie geldt als referentiedocument. Voor een rechtsgeldig ondertekende DPA per tenant: stuur een mail naar hallo@notore.nl met:

• Naam van de organisatie (jouw kant)
• KvK-nummer (jouw kant)
• Naam en functie van de bevoegde ondertekenaar
• E-mailadres voor de DocuSign-flow

Je hebt de ondertekende PDF binnen 1 werkdag terug.