Model-verwerkersovereenkomst voor AI-bureaus

Je verwerkersovereenkomst
VERWERKERSOVEREENKOMST

CONCEPT van Nul Fout (nulfout.nl), nog niet door een jurist gelezen. Laat het nakijken voordat je het gebruikt. Dit is geen juridisch advies.

Partijen
1. [naam opdrachtgever], hierna: de verwerkingsverantwoordelijke;
2. [naam bureau], hierna: de verwerker.

Artikel 1. Onderwerp, duur, aard en doel
1.1 De verwerker verwerkt persoonsgegevens voor de verwerkingsverantwoordelijke om deze dienst te leveren: [omschrijving van de dienst].
1.2 Deze overeenkomst loopt zolang de verwerker voor de verwerkingsverantwoordelijke persoonsgegevens verwerkt.
1.3 Het gaat om deze soorten persoonsgegevens: namen en adresgegevens en e-mailadressen en telefoonnummers.
1.4 Het gaat om deze betrokkenen: klanten van de opdrachtgever.
1.5 De verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking en houdt de rechten en plichten die de AVG hem geeft.

Artikel 2. Alleen op instructie (art. 28 lid 3 sub a AVG)
2.1 De verwerker verwerkt de persoonsgegevens alleen op schriftelijke instructie van de verwerkingsverantwoordelijke, ook als het gaat om doorgifte naar een land buiten de Europese Economische Ruimte, tenzij de wet hem tot een verwerking verplicht. In dat geval meldt hij dat vooraf, tenzij de wet dat verbiedt.
2.2 Vindt de verwerker dat een instructie in strijd is met de AVG of een andere privacyregel, dan meldt hij dat direct.

Artikel 3. Geheimhouding (sub b)
3.1 Iedereen die bij de verwerker toegang heeft tot de persoonsgegevens, heeft zich tot geheimhouding verplicht of heeft een wettelijke geheimhoudingsplicht.

Artikel 4. Beveiliging (sub c, art. 32 AVG)
4.1 De verwerker neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen. Daarbij hoort in elk geval: tweestapsverificatie op de accounts waarmee hij de persoonsgegevens verwerkt, toegang alleen voor wie die nodig heeft, en accounts en koppelingen waar mogelijk op naam van de verwerkingsverantwoordelijke.

Artikel 5. AI-tools en subverwerkers (sub d)
5.1 De verwerkingsverantwoordelijke geeft toestemming voor deze subverwerkers en AI-diensten: [lijst van diensten en modellen].
5.2 De verwerker gebruikt voor de persoonsgegevens alleen zakelijke accounts of de API van een AI-aanbieder, met de instelling dat ingevoerde gegevens niet worden gebruikt om modellen te trainen. Gratis en persoonlijke accounts gebruikt hij niet voor deze gegevens.
5.3 Wil de verwerker een subverwerker toevoegen of vervangen, dan meldt hij dat vooraf schriftelijk. De verwerkingsverantwoordelijke kan binnen 14 dagen bezwaar maken.
5.4 De verwerker legt elke subverwerker dezelfde plichten op als in deze overeenkomst. Komt een subverwerker die niet na, dan blijft de verwerker daarvoor tegenover de verwerkingsverantwoordelijke aansprakelijk.
5.5 Worden persoonsgegevens doorgegeven buiten de Europese Economische Ruimte, dan gebeurt dat alleen met een geldige grondslag uit hoofdstuk V van de AVG, zoals een adequaatheidsbesluit of standaardcontractbepalingen.

Artikel 6. Rechten van betrokkenen (sub e)
6.1 De verwerker helpt de verwerkingsverantwoordelijke om verzoeken van betrokkenen te beantwoorden, zoals een verzoek om inzage, correctie of verwijdering. Krijgt de verwerker zo’n verzoek zelf, dan stuurt hij het direct door.

Artikel 7. Hulp bij beveiliging, datalekken en DPIA (sub f, art. 32 tot en met 36 AVG)
7.1 Ontdekt de verwerker een inbreuk in verband met persoonsgegevens (datalek), dan meldt hij dat zonder onredelijke vertraging aan de verwerkingsverantwoordelijke, en uiterlijk binnen 24 uur na de ontdekking, met alle informatie die hij heeft.
7.2 De verwerker helpt de verwerkingsverantwoordelijke bij een melding aan de Autoriteit Persoonsgegevens of aan betrokkenen, en bij een gegevensbeschermingseffectbeoordeling (DPIA) als die nodig is.

Artikel 8. Na het einde (sub g)
8.1 Na het einde van de dienstverlening geeft de verwerker binnen 30 dagen alle persoonsgegevens terug of verwijdert hij ze, naar keuze van de verwerkingsverantwoordelijke, en verwijdert hij bestaande kopieën, tenzij de wet hem verplicht ze te bewaren.
8.2 Dat geldt ook voor instructies (prompts), bestanden en geheugen in de gebruikte AI-diensten, voor zover daar persoonsgegevens in staan.

Artikel 9. Informatie en controle (sub h)
9.1 De verwerker geeft de verwerkingsverantwoordelijke alle informatie die nodig is om te laten zien dat hij zich aan deze overeenkomst houdt, en werkt mee aan een controle (audit) door de verwerkingsverantwoordelijke of een controleur die hij aanwijst.

Artikel 10. Slot
10.1 Deze overeenkomst hoort bij de opdracht tussen partijen. Bij strijd gaat deze overeenkomst voor wat betreft de verwerking van persoonsgegevens.
10.2 Op deze overeenkomst is Nederlands recht van toepassing.

Ondertekend,

[naam opdrachtgever]                                   [naam bureau]
Naam:                                        Naam:
Datum:                                       Datum:
Alles blijft in deze pagina: er wordt niets verstuurd of bewaard.
Model-verwerkersovereenkomst voor AI-bureaus

Laat klanten zien dat het bij jou goed zit
