Verwerkersovereenkomst

Laatst bijgewerkt: 24 oktober 2026

Deze vertaling dient alleen om het lezen te vergemakkelijken. Bij verschillen is de Spaanse versie doorslaggevend.

Dit document regelt de verwerking van persoonsgegevens die BIOMAG, S.L.U. (de „Verwerker”) namens de Klant (de „Verwerkingsverantwoordelijke”) uitvoert bij het leveren van de dienst AIM CODEX, overeenkomstig artikel 28 AVG. Het maakt deel uit van de Contractvoorwaarden en is van toepassing wanneer de Klant persoonsgegevens van derden opneemt in de documenten die hij via de Dienst verwerkt.

1. Onderwerp en rol van de partijen

De Verwerkingsverantwoordelijke (de Klant) bepaalt de doeleinden en middelen van de verwerking van de persoonsgegevens in zijn documenten en over zijn ontvangers. De Verwerker (BIOMAG, S.L.U.) verwerkt ze alleen om de Dienst te leveren en volgens de gedocumenteerde instructies van de Verwerkingsverantwoordelijke, zoals vastgelegd in deze overeenkomst en in het gebruik dat hij van de Dienst maakt.

2. Beschrijving van de verwerking

• Aard en doel: de documenten van de Verwerkingsverantwoordelijke hosten, verzegelen, bewaren en verifiëren, het delen en aanvaarden ervan mogelijk maken, en het bijbehorende bewijs aanmaken en bewaren.
• Duur: zolang de dienstrelatie loopt, onverminderd de bewaartermijnen van het bewijs die de Verwerkingsverantwoordelijke bepaalt.
• Soorten gegevens: de gegevens die de Verwerkingsverantwoordelijke in zijn documenten opneemt (meestal identificatie- en contactgegevens; bijzondere categorieën moet hij vermijden tenzij hij een rechtsgrond heeft en dat meldt).
• Categorieën betrokkenen: die de Verwerkingsverantwoordelijke bepaalt (bv. klanten, werknemers, ondertekenaars, ontvangers).

De openbare tijdstempelketen ontvangt alleen de cryptografische vingerafdruk (hash) van het document; ze ontvangt noch de inhoud noch persoonsgegevens.

3. Verplichtingen van de Verwerker (art. 28 lid 3 AVG)

• De gegevens alleen verwerken op gedocumenteerde instructie van de Verwerkingsverantwoordelijke, ook bij internationale doorgiften, tenzij de wet iets anders verplicht (dan informeert hij de Verwerkingsverantwoordelijke, voor zover de wet dat toestaat).
• Waarborgen dat de personen die de gegevens mogen verwerken zich tot geheimhouding hebben verplicht.
• Passende technische en organisatorische beveiligingsmaatregelen toepassen (art. 32 AVG): toegangscontrole, versleuteling tijdens de overdracht, integriteit en verzegeling van het bewijs, registratie van incidenten en back-ups.
• De Verwerkingsverantwoordelijke bijstaan bij het beantwoorden van verzoeken van betrokkenen en het nakomen van zijn verplichtingen (beveiliging, melding van inbreuken, effectbeoordelingen en voorafgaande raadplegingen).
• Inbreuken in verband met persoonsgegevens waarvan hij kennisneemt zonder onredelijke vertraging melden aan de Verwerkingsverantwoordelijke.
• Naar keuze van de Verwerkingsverantwoordelijke de gegevens na afloop van de dienst wissen of terugbezorgen, tenzij de wet bewaring vereist.
• De Verwerkingsverantwoordelijke alle informatie verstrekken die nodig is om de naleving aan te tonen en audits, waaronder inspecties, mogelijk maken en eraan bijdragen.

4. Subverwerkers

De Verwerkingsverantwoordelijke staat de Verwerker toe gebruik te maken van de subverwerkers op aim-codex.ai/subencargados: Railway (hosting, servers in Nederland), Resend (e-mail, Europese regio), Migadu-Mail GmbH (mailbox en reserve-e-mail, Zwitserland) en, alleen wanneer de Verwerkingsverantwoordelijke of zijn gebruikers de functies voor kunstmatige intelligentie gebruiken, OpenRouter, Inc. (VS), met doorsturing naar aanbieders die de gegevens niet bewaren en niet gebruiken voor training. De Verwerker legt elke subverwerker contractueel dezelfde verplichtingen inzake gegevensbescherming op die dit document hem oplegt, en blijft tegenover de Verwerkingsverantwoordelijke aansprakelijk voor de naleving ervan. Elke nieuwe of gewijzigde subverwerker wordt op die pagina gepubliceerd voordat die ingaat; de Verwerkingsverantwoordelijke kan bezwaar maken via hola@aim-codex.ai.

De functies voor kunstmatige intelligentie zijn optioneel en verwerken alleen wat ernaar wordt gestuurd: de tekst en, bij vergadernotulen, de audio-opname, die naar de aanbieder van kunstmatige intelligentie wordt gestuurd om te worden getranscribeerd en die CODEX niet bewaart (alleen de vingerafdruk en de grootte). De Verwerkingsverantwoordelijke beslist of hij ze gebruikt, informeert de betrokkenen van wie gegevens in die documenten kunnen staan – en de deelnemers voordat een vergadering wordt opgenomen – en gebruikt ze niet met bijzondere categorieën van gegevens.

5. Internationale doorgiften

De gegevens worden gehost in de Europese Unie. Elke doorgifte of toegang van buiten de Europese Economische Ruimte – omdat Railway, Resend en OpenRouter Amerikaanse bedrijven zijn, en omdat de tekst en de audio die naar de kunstmatige intelligentie worden gestuurd in de Verenigde Staten worden verwerkt – valt onder de modelcontractbepalingen van de Europese Commissie in de verwerkersovereenkomsten van die aanbieders (module 2 in die van OpenRouter) en, bij Resend, ook onder het EU-VS-kader voor gegevensbescherming. Voor Zwitserland en het Verenigd Koninkrijk bestaat een adequaatheidsbesluit.

6. Verplichtingen van de Verwerkingsverantwoordelijke

De Verwerkingsverantwoordelijke garandeert dat hij een rechtsgrond heeft voor de verwerking van de gegevens die hij in de Dienst opneemt, de betrokkenen waar nodig heeft geïnformeerd en de Verwerker rechtmatige instructies geeft. Hij is als enige verantwoordelijk voor de rechtmatigheid van de inhoud die hij verzegelt of deelt.

7. Totstandkoming

Met de aanvaarding van de Contractvoorwaarden wordt ook deze Verwerkersovereenkomst aanvaard. Heeft de Verwerkingsverantwoordelijke voor zijn complianceadministratie een specifiek ondertekend document nodig, dan kan hij het aanvragen via hola@aim-codex.ai.