1. Partijen en rollen
Deze verwerkersovereenkomst hoort bij de overeenkomst tussen de organisatie die BrainPen Meet afneemt (de verwerkingsverantwoordelijke, hierna "de organisatie") en O&R Solutions B.V., Swammerdamstraat 1, 2516 GJ Den Haag, KvK 66375940 (de verwerker, hierna "wij"). Ze geeft invulling aan artikel 28 van de AVG.
Deze pagina vat de afspraken samen. Een ondertekende versie kan de organisatie opvragen via info@brainpen.ai. Bij verschil tussen deze samenvatting en de ondertekende versie geldt de ondertekende versie.
2. Onderwerp, aard en doel
Wij verwerken persoonsgegevens om BrainPen Meet te leveren: gesprekken opnemen, transcriberen en live vertalen, met AI verslagen, formulieren en taken opstellen, en sjablonen en documenten bewaren en doorzoekbaar maken. Wij verwerken de gegevens zolang de overeenkomst loopt, en daarna alleen om ze terug te geven of te verwijderen.
| Onderdeel | Inhoud |
|---|---|
| Betrokkenen | Medewerkers en gebruikers van de organisatie, en de mensen die zij spreken, zoals cliënten, patiënten, naasten, klanten en andere deelnemers aan gesprekken |
| Soorten gegevens | Identificatie- en contactgegevens, geluid en beeld van gesprekken, transcripties, vertalingen, verslagen, formulieren, taken, documenten, en gebruiks- en auditgegevens |
| Bijzondere gegevens | Gesprekken kunnen gezondheidsgegevens en andere bijzondere persoonsgegevens bevatten, en het burgerservicenummer. De organisatie zorgt voor een geldige grondslag. |
3. Wat wij als verwerker afspreken
- Wij verwerken de gegevens alleen op schriftelijke instructie van de organisatie, ook bij doorgifte buiten de EU. Vinden wij een instructie in strijd met de wet, dan melden wij dat direct.
- Iedereen die bij ons met de gegevens werkt, heeft een geheimhoudingsplicht.
- Wij nemen passende technische en organisatorische maatregelen volgens artikel 32 AVG, waaronder versleutelde verbindingen, toegang per organisatie en rol, tweestapsverificatie, een auditlogboek dat alleen kan worden aangevuld en hosting in Nederland.
- Wij gebruiken de gegevens nooit voor eigen doelen en nooit om AI-modellen te trainen.
- Wij helpen de organisatie bij verzoeken van betrokkenen, zoals inzage, correctie, verwijdering en overdraagbaarheid. Veel daarvan kan de organisatie zelf in de app, zoals exporteren en verwijderen.
- Wij helpen de organisatie bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij voorafgaande raadpleging van de Autoriteit Persoonsgegevens, met de informatie die wij hebben.
- Wij houden een register bij van de verwerkingen die wij voor de organisatie doen.
4. Subverwerkers
De organisatie geeft algemene toestemming voor de subverwerkers hieronder. Wij leggen hun dezelfde verplichtingen op als in deze overeenkomst en blijven zelf verantwoordelijk voor hun werk.
| Subverwerker | Taak | Locatie |
|---|---|---|
| Worldstream | Hosting van servers, database en opslag | Nederland |
| Mistral AI | Transcriptie, AI-verslagen en -formulieren, tekstherkenning en zoeken in documenten | Europese Unie (Frankrijk) |
| Soniox | Live spraakherkenning, live vertaling en voorgelezen vertaling | Europese Unie (EU-servers) |
| Google (Firebase) | Pushmeldingen in de app, inloggen met Google | Verenigde Staten en EU |
| Apple | Pushmeldingen en inkomende gesprekken op iPhone, inloggen met Apple | Verenigde Staten en EU |
| Stripe | Online betalingen, als de organisatie zo betaalt | Ierland en Verenigde Staten |
| Hostinger | Versturen van e-mail, zoals inlogcodes en uitnodigingen | Duitsland |
Gespreksinhoud wordt opgeslagen in Nederland en door AI verwerkt in de EU. Pushmeldingen bevatten geen gespreksinhoud. Voor doorgifte naar de Verenigde Staten gelden het EU-VS Data Privacy Framework of de standaardcontractbepalingen.
Een nieuwe of andere subverwerker melden wij minstens 30 dagen vooraf. De organisatie kan binnen die termijn met redenen bezwaar maken. Komen wij er samen niet uit, dan mag de organisatie de overeenkomst opzeggen voor het deel dat de wijziging raakt.
5. Datalekken
Ontdekken wij een inbreuk op de beveiliging die persoonsgegevens van de organisatie raakt, dan melden wij dat zonder onnodige vertraging en uiterlijk binnen 24 uur nadat wij het ontdekten, aan het contactpersoon dat de organisatie heeft opgegeven.
Wij geven daarbij wat wij weten over de aard van het lek, de betrokken gegevens en betrokkenen, de waarschijnlijke gevolgen en de maatregelen die wij nemen, en vullen dat aan zodra wij meer weten. Zo kan de organisatie binnen 72 uur melden bij de Autoriteit Persoonsgegevens en waar nodig de betrokkenen informeren.
6. Controle en audit
Wij geven de organisatie alle informatie die nodig is om aan te tonen dat wij deze afspraken nakomen. De organisatie mag eens per jaar, of na een datalek, een audit laten uitvoeren door een onafhankelijke deskundige met een geheimhoudingsplicht, na een aankondiging van minstens 30 dagen. Wij werken daaraan mee. De kosten zijn voor de organisatie, tenzij de audit laat zien dat wij deze afspraken niet nakomen.
7. Einde van de overeenkomst
Voor het einde kan de organisatie zelf al haar gegevens exporteren in een gangbaar formaat. Daarna verwijderen wij de omgeving met alle gesprekken, documenten en bestanden, na een bedenktijd van 30 dagen. Gegevens in back-ups verdwijnen wanneer die back-ups volgens het vaste schema worden overschreven.
Wij bewaren alleen wat de wet ons verplicht te bewaren, zoals factuurgegevens. Op verzoek bevestigen wij schriftelijk dat de gegevens zijn verwijderd.
8. Aansprakelijkheid en looptijd
Voor aansprakelijkheid geldt wat in de hoofdovereenkomst of in onze gebruiksvoorwaarden staat, voor zover de AVG daar niet van afwijkt. Deze verwerkersovereenkomst loopt zolang wij persoonsgegevens voor de organisatie verwerken. Op deze overeenkomst is Nederlands recht van toepassing.
9. Contact
Vragen over deze overeenkomst, of een ondertekende versie: info@brainpen.ai.