Verwerkersovereenkomst (DPA)
Data Processing Agreement voor GovGPT AI-diensten
1. Partijen
Deze Verwerkersovereenkomst ("DPA") is aangegaan tussen de klantorganisatie ("Verwerkingsverantwoordelijke") en:
CivAI B.V.
Hoge Zand 39, 2512 EL Den Haag
KvK-nummer: 98956221
("Verwerker")
2. Onderwerp en Duur
De Verwerker verwerkt persoonsgegevens namens de Verwerkingsverantwoordelijke in het kader van het leveren van AI-diensten (GovGPT). Deze DPA geldt voor de duur van de dienstverleningsovereenkomst tussen partijen.
3. Aard en Doel van de Verwerking
Persoonsgegevens worden verwerkt met als doel het leveren van AI-ondersteunde diensten, waaronder maar niet beperkt tot: tekstgeneratie, documentanalyse, beantwoording van vragen en informatieophaling. Verwerking geschiedt uitsluitend op basis van de gedocumenteerde instructies van de Verwerkingsverantwoordelijke.
4. Categorieën van Betrokkenen en Persoonsgegevens
Betrokkenen
- Medewerkers en personeel van de Verwerkingsverantwoordelijke
- Eindgebruikers van de diensten
- Burgers, medewerkers of anderen wier data in de diensten kan worden ingevoerd
Categorieën persoonsgegevens
- Accountgegevens (naam, e-mail, rol, organisatie)
- Gebruiksgegevens (prompts, queries, gegenereerde outputs)
- Technische gegevens (IP-adres, logdata)
- Alle persoonsgegevens die door eindgebruikers in de AI-diensten worden ingevoerd
5. Verplichtingen van de Verwerker
Persoonsgegevens uitsluitend verwerken op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke.
Waarborgen dat personen die bevoegd zijn persoonsgegevens te verwerken, zich tot geheimhouding hebben verplicht.
Passende technische en organisatorische beveiligingsmaatregelen implementeren (Artikel 32 AVG).
De Verwerkingsverantwoordelijke bijstaan bij het vervullen van verzoeken van betrokkenen.
De Verwerkingsverantwoordelijke zonder onredelijke vertraging en uiterlijk binnen 24 uur na ontdekking informeren over elk datalek (zie artikel 8).
Alle persoonsgegevens binnen maximaal 60 dagen na beëindiging van de diensten verwijderen of retourneren, naar keuze van de Verwerkingsverantwoordelijke (zie artikel 9).
Alle informatie beschikbaar stellen die nodig is om naleving aan te tonen.
Klantdata wordt nooit gebruikt voor modeltraining.
6. Sub-verwerkers
De Verwerker schakelt geen andere verwerker (sub-verwerker) in zonder voorafgaande specifieke of algemene schriftelijke toestemming van de Verwerkingsverantwoordelijke. Een actuele lijst van sub-verwerkers is beschikbaar op govgpt.nl/sub-verwerkers.
De Verwerkingsverantwoordelijke wordt geïnformeerd over eventuele voorgenomen wijzigingen betreffende toevoeging of vervanging van sub-verwerkers, met de mogelijkheid om bezwaar te maken.
7. Internationale Doorgifte
Alle persoonsgegevens worden opgeslagen binnen de Europese Economische Ruimte (EER); verwerking vindt plaats binnen de EER, of bij de optionele Azure-route binnen de EU Data Zone (EU-lidstaten, Noorwegen en Zwitserland). CivAI draagt geen persoonsgegevens over naar landen buiten de EER, tenzij passende waarborgen zijn getroffen als vereist door Hoofdstuk V van de AVG, en uitsluitend na voorafgaande kennisgeving aan de Verwerkingsverantwoordelijke.
8. Datalekken en Beveiligingsincidenten
De Verwerker meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en uiterlijk binnen 24 uur na ontdekking aan de Verwerkingsverantwoordelijke, tenzij aantoonbaar onmogelijk, en verstrekt vervolgens aanvullende informatie zodra deze beschikbaar komt. Zo houdt de Verwerkingsverantwoordelijke voldoende tijd om binnen de wettelijke termijn van 72 uur te melden bij de Autoriteit Persoonsgegevens.
Elke melding bevat, voor zover bekend, de informatie zoals gevraagd in het meldformulier datalekken van de Autoriteit Persoonsgegevens: de aard van het incident, de (mogelijke) gevolgen, de betrokken categorieën persoonsgegevens en betrokkenen, de genomen en voorgenomen maatregelen en een contactpunt voor follow-up. De Verwerker houdt een register bij van alle datalekken en ondersteunt de Verwerkingsverantwoordelijke bij het voldoen aan diens meldplichten richting toezichthouder en betrokkenen. De Verwerker meldt datalekken niet zelfstandig aan de Autoriteit Persoonsgegevens of aan betrokkenen, tenzij wettelijk verplicht of schriftelijk gevraagd door de Verwerkingsverantwoordelijke.
Contactpunt bij datalekken: privacy@civai.eu, tel. +31 6 21991666.
9. Bewaring en Verwijdering
Na beëindiging van de diensten zal de Verwerker, naar keuze van de Verwerkingsverantwoordelijke, persoonsgegevens retourneren en vervolgens verwijderen, of direct verwijderen, binnen maximaal 60 dagen, tenzij een wettelijke bewaarplicht geldt. De Verwerker faciliteert export van data in gangbare formaten.
De onderstaande bewaartermijnen prevaleren voor deze specifieke gegevenscategorieën; voor alle overige persoonsgegevens geldt de algemene verwijdertermijn hierboven (maximaal 60 dagen na beëindiging).
Accountgegevens: gedurende de looptijd en tot 90 dagen daarna.
Prompts en content: standaard 90 dagen, tenzij in overleg met de klant anders overeengekomen of technisch anders geconfigureerd op klantniveau.
Audit- en security-logs: standaard 90 dagen, tenzij in overleg met de klant anders overeengekomen.
Supporttickets: tot 24 maanden na afhandeling.
Klantdata wordt gedurende de looptijd nooit gebruikt voor modeltraining en wordt uitsluitend binnen de Europese Economische Ruimte opgeslagen.
10. Beveiligingsmaatregelen
Versleuteling tijdens transport (TLS 1.2+) en in opslag (AES-256)
Rolgebaseerde toegangscontrole en multi-factor authenticatie
Regelmatige beveiligingsaudits en penetratietests
Geautomatiseerde backup- en disaster recovery-procedures
Logging en monitoring van toegang tot persoonsgegevens
Tenant-isolatie tussen verschillende klantorganisaties
11. Audits
De Verwerkingsverantwoordelijke heeft het recht audits uit te voeren, inclusief inspecties, om naleving van deze DPA te verifiëren. De Verwerker werkt mee aan dergelijke audits. De kosten van door de Verwerkingsverantwoordelijke geïnitieerde audits komen voor rekening van de Verwerkingsverantwoordelijke, tenzij de audit niet-naleving door de Verwerker aan het licht brengt.
12. Aansprakelijkheid
De aansprakelijkheid van de Verwerker onder deze DPA is onderworpen aan de beperkingen zoals vastgelegd in de onderliggende dienstverleningsovereenkomst tussen partijen.
Een getekende DPA aanvragen
Om een op uw organisatie afgestemde getekende Verwerkersovereenkomst te ontvangen, neem contact met ons op:
DPA aanvragen via privacy@govgpt.nl© 2026 CivAI B.V. Alle rechten voorbehouden.