Versie 2.06 · van kracht sinds 2026-08-17

Verwerkersovereenkomst

PARTIJEN

1. NotulAI B.V., gevestigd te Parelmoervlinderlaan 59, 2288HR Rijswijk, met KVK-nummer 42122931, hierna: NotulAI (de "Verwerker"); en
2. De Gebruiker, zoals benoemd in de Gebruikersovereenkomst, hierna: Gebruiker (de "Verwerkingsverantwoordelijke").

NotulAI en Gebruiker hierna samen: Partijen.

Achtergrond

1. Gebruiker heeft met NotulAI een overeenkomst gesloten (de "Gebruikersovereenkomst") op grond waarvan NotulAI aan Gebruiker toegang verleent tot de Software: een applicatie waarmee audio-opnames van vergaderingen worden geüpload, automatisch worden getranscribeerd en waarmee met behulp van kunstmatige intelligentie (AI) notulen worden gegenereerd.
2. Bij het gebruik van de Software worden persoonsgegevens verwerkt van betrokkenen (de "Betrokkenen") in de zin van de AVG. Gebruiker is verwerkingsverantwoordelijke; NotulAI is verwerker in de zin van artikel 4 AVG.
3. Artikel 28 lid 3 AVG vereist dat Partijen een verwerkersovereenkomst sluiten. De specificatie van de verwerking is opgenomen in Bijlage 1, de subverwerkers in Bijlage 2 en de beveiligingsmaatregelen in Bijlage 3.

Artikel 1 – Uitvoering verwerking

1. NotulAI verwerkt de persoonsgegevens uitsluitend in opdracht en op basis van schriftelijke instructies van Gebruiker, zoals vastgelegd in de Gebruikersovereenkomst, deze Overeenkomst en de instellingen die Gebruiker zelf in de Software configureert (waaronder de bewaartermijn). NotulAI heeft geen zeggenschap over doel en middelen van de verwerking.
2. NotulAI gebruikt de persoonsgegevens niet voor eigen doeleinden. NotulAI en haar subverwerkers gebruiken de persoonsgegevens in het bijzonder niet voor het trainen of verbeteren van AI-modellen.
3. NotulAI staat ervoor in dat personen die onder haar gezag handelen tot geheimhouding verplicht zijn en de persoonsgegevens alleen rechtmatig en conform deze Overeenkomst en de AVG verwerken.
4. Als NotulAI van mening is dat een instructie van Gebruiker in strijd is met de AVG, stelt zij Gebruiker daarvan onmiddellijk in kennis.

Artikel 2 – Garantie Gebruiker

1. Gebruiker garandeert dat de verwerking van de persoonsgegevens rechtmatig is en geen inbreuk maakt op rechten van derden. Gebruiker is als verwerkingsverantwoordelijke verantwoordelijk voor het informeren van vergaderdeelnemers en het verkrijgen van een geldige grondslag voor het opnemen, transcriberen en automatisch notuleren van gesprekken, voordat de opname wordt gestart en geüpload.
2. Gebruiker vrijwaart NotulAI tegen alle aanspraken van derden die verband houden met een schending van lid 1.

Artikel 3 – Doorgifte van persoonsgegevens

1. NotulAI slaat de persoonsgegevens (waaronder audio-opnames, transcripties en notulen) uitsluitend op binnen de Europese Economische Ruimte (EER), in datacenters in Ierland (AWS-regio eu-west-1).
2. Doorgifte naar landen buiten de EER vindt alleen plaats indien passende waarborgen zijn getroffen, zoals de standaardcontractbepalingen (SCC's) van de Europese Commissie. De geldende mechanismen per subverwerker zijn opgenomen in Bijlage 2.

Artikel 4 – Beveiligingsmaatregelen

NotulAI neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies of onrechtmatige verwerking (Bijlage 3). NotulAI mag de maatregelen aanpassen, mits het beveiligingsniveau ten minste gelijkwaardig blijft.

Artikel 5 – Beveiligingsincidenten (datalekken)

1. NotulAI meldt een inbreuk in verband met persoonsgegevens (een "datalek") zonder onredelijke vertraging, en uiterlijk binnen 48 uur na ontdekking, aan Gebruiker. De melding omvat, voor zover mogelijk: de aard van de inbreuk, de categorieën en omvang van de betrokken persoonsgegevens en Betrokkenen, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen en een contactpunt. Als nog niet alle informatie beschikbaar is, verstrekt NotulAI deze in stappen.
2. De beoordeling of het datalek moet worden gemeld aan de Autoriteit Persoonsgegevens en/of Betrokkenen, ligt bij Gebruiker. NotulAI verleent daarbij alle redelijkerwijs benodigde medewerking.

Artikel 6 – Bewaartermijnen, duur en beëindiging

1. Gebruiker stelt de bewaartermijn voor transcripties en notulen zelf in via de Software. De standaardbewaartermijn bedraagt drie jaar. De maximaal instelbare bewaartermijn is zeven jaar, in lijn met de wettelijke bewaarplicht. Na het verstrijken van de ingestelde bewaartermijn verwijdert NotulAI de betreffende gegevens automatisch en onomkeerbaar, inclusief back-ups binnen 35 dagen. Audio-opnames worden direct na transcriptie verwijderd, tenzij Gebruiker via de Software bewaring van opnames heeft ingeschakeld; in dat geval wordt de audio-opname maximaal 30 dagen bewaard (en is deze in die periode terug te luisteren via de Software), waarna NotulAI de opname automatisch en onomkeerbaar verwijdert.
2. Deze Overeenkomst geldt zolang de Gebruikersovereenkomst loopt en eindigt automatisch wanneer deze eindigt.
3. Na het einde van de Gebruikersovereenkomst kan Gebruiker zijn gegevens gedurende 30 dagen zelf exporteren via de Software. Na afloop van deze termijn verwijdert NotulAI alle persoonsgegevens (inclusief kopieën) op veilige wijze, tenzij een wettelijke plicht tot langere opslag bestaat.
4. Bepalingen die naar hun aard voortduren (waaronder geheimhouding, aansprakelijkheid en vrijwaring) blijven na het einde van kracht.

Artikel 7 – Vertrouwelijkheid en geheimhouding

1. NotulAI behandelt alle persoonsgegevens en overige gegevens van Gebruiker vertrouwelijk. De inhoud van vergaderingen wordt niet ingezien door medewerkers van NotulAI, behalve voor zover strikt noodzakelijk voor het oplossen van een door Gebruiker gemeld incident en uitsluitend met voorafgaande toestemming van Gebruiker.
2. NotulAI beperkt de toegang tot personen die deze nodig hebben voor de uitvoering van de Opdracht en verstrekt de persoonsgegevens niet aan derden, behoudens de subverwerkers uit Bijlage 2 of met toestemming van Gebruiker.

Artikel 8 – Rechten van Betrokkenen en bijstand

1. Gebruiker kan verzoeken van Betrokkenen (inzage, rectificatie, gegevenswissing) in beginsel zelfstandig afhandelen via de functionaliteit van de Software (inzien, exporteren en verwijderen). Waar dat niet mogelijk is, verleent NotulAI binnen redelijke grenzen bijstand.
2. NotulAI verleent Gebruiker daarnaast bijstand bij het nakomen van diens verplichtingen uit artikelen 32 tot en met 36 AVG.
3. Als NotulAI een verzoek van een derde (waaronder een overheidsinstantie) ontvangt om inzage in persoonsgegevens, informeert zij Gebruiker daarover eerst schriftelijk, tenzij dat wettelijk verboden is.

Artikel 9 – Subverwerkers

1. Gebruiker verleent NotulAI hierbij een algemene schriftelijke toestemming om subverwerkers in te schakelen. De bij het sluiten van deze Overeenkomst ingeschakelde subverwerkers zijn opgenomen in Bijlage 2.
2. NotulAI legt aan iedere subverwerker dezelfde verplichtingen op als in deze Overeenkomst. NotulAI blijft jegens Gebruiker volledig verantwoordelijk voor nakoming door haar subverwerkers.
3. NotulAI informeert Gebruiker ten minste 30 dagen voorafgaand aan de toevoeging of vervanging van een subverwerker. Gebruiker kan binnen 14 dagen schriftelijk en gemotiveerd bezwaar maken. Als Partijen geen redelijke oplossing vinden, mag Gebruiker de Gebruikersovereenkomst opzeggen tegen de datum waarop de wijziging ingaat.

Artikel 10 – Controle en verantwoording

1. NotulAI stelt Gebruiker op verzoek alle informatie ter beschikking die redelijkerwijs nodig is om nakoming van artikel 28 AVG aan te tonen.
2. Maximaal éénmaal per jaar mag Gebruiker (of een tot geheimhouding verplichte auditor) op eigen kosten een audit laten uitvoeren. Partijen stemmen omvang en planning vooraf af.

Artikel 11 – Aansprakelijkheid en vrijwaring

1. Voor de aansprakelijkheid van NotulAI geldt de regeling van artikel 9 van de Gebruikersovereenkomst.
2. NotulAI is niet aansprakelijk voor schade die voortvloeit uit instructies van Gebruiker die in strijd zijn met de AVG, mits NotulAI Gebruiker op die strijdigheid heeft gewezen.

Artikel 12 – Slotbepalingen

1. Alleen schriftelijke wijzigingen zijn geldig. Bij strijdigheid tussen deze Overeenkomst en de Gebruikersovereenkomst gaat deze Overeenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.
2. Op deze Overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de Rechtbank Den Haag.

Bijlage 1 – Specificatie van de verwerking

Bijlage 2 – Subverwerkers

Transcriptie vindt plaats bij AssemblyAI, via het EU-endpoint van die provider. NotulAI kondigt een wijziging in deze lijst ten minste 30 dagen vooraf aan.

Met alle subverwerkers is een verwerkersovereenkomst gesloten waarin onder meer is vastgelegd dat klantgegevens niet worden gebruikt voor het trainen van AI-modellen. De actuele lijst staat op de Subverwerkerslijst.

Bijlage 3 – Technische en organisatorische maatregelen

• Versleuteling van gegevens tijdens transport (TLS 1.2 of hoger) en in rust (AES-256 via AWS-versleuteling).
• Opslag uitsluitend in AWS-regio eu-west-1 (Ierland); geen replicatie naar regio's buiten de EER.
• Toegangsbeheer op basis van least privilege; toegang tot productiegegevens beperkt tot geautoriseerde personen, met multifactorauthenticatie.
• Logging van toegang tot en handelingen in systemen en gegevens: per-functie applicatielogging in AWS CloudWatch, en AWS CloudTrail Event history voor beheerhandelingen. De logging maakt onderzoek achteraf mogelijk; er vindt geen doorlopende geautomatiseerde bewaking met alarmering plaats.
• Logische scheiding van gegevens per klant.
• Geautomatiseerde en onomkeerbare verwijdering van gegevens na het verstrijken van de door Gebruiker ingestelde bewaartermijn.
• Back-ups binnen de EER, met dezelfde versleutelingseisen.
• Verplichte tweefactorauthenticatie (authenticator-app (TOTP)) voor alle gebruikersaccounts.
• Intern proces voor het detecteren, beoordelen en melden van beveiligingsincidenten.
• Geheimhoudingsverplichting voor alle medewerkers en ingeschakelde derden.

Deze Overeenkomst maakt als bijlage onlosmakelijk deel uit van de Gebruikersovereenkomst en wordt geacht te zijn aanvaard bij acceptatie in de Software.