Verwerkersovereenkomst (sjabloon)

Dit is het sjabloon van de verwerkersovereenkomst (DPA) die GPT Workspace met zakelijke klanten sluit. Om een ingevulde versie te ontvangen, schrijf naar contact@gpt.space met de juridische naam van uw bedrijf, adres, contactpersoon en aantal licenties. De verwerkers die erin worden genoemd, staan vermeld en worden actueel gehouden in het Trust Center.

Dit sjabloon is uitsluitend ter informatie verstrekt en vormt geen juridisch advies. Laat het door uw juridisch adviseur controleren voordat u het ondertekent. Velden tussen vierkante haakjes worden voor ondertekening ingevuld.

---

Deze verwerkersovereenkomst (de “DPA”) maakt deel uit van de overeenkomst voor het gebruik van GPT Workspace (de “Service”) tussen:

• [JURIDISCHE NAAM KLANT], [ADRES KLANT], [REGISTRATIENUMMER] (de “Klant” of “Verwerkingsverantwoordelijke”), en
• GPTW LLC, 150 Central Park, Los Alamos, New Mexico, USA (de “Aanbieder” of “Verwerker”),

gezamenlijk de “Partijen”. Zij wordt gesloten op [EFFECTIEVE DATUM] en is van toepassing zolang de Aanbieder Persoonsgegevens verwerkt namens de Klant.

“GDPR” betekent Verordening (EU) 2016/679 en, indien van toepassing, de Britse GDPR zoals gedefinieerd in de Data Protection Act 2018. “Persoonsgegevens”, “Verwerking”, “Verwerkingsverantwoordelijke”, “Verwerker”, “Betrokkene”, “Toezichthoudende autoriteit” en “Privacyincident” hebben de betekenis die daaraan is gegeven in artikel 4 GDPR. “Onderverwerker” betekent een derde partij die door de Aanbieder is ingeschakeld om Persoonsgegevens namens de Klant te verwerken. “Klantgegevens” betekent de Persoonsgegevens die de Aanbieder voor de Klant verwerkt onder de serviceovereenkomst, zoals beschreven in Bijlage 1.

2.1 De Klant is de Verwerkingsverantwoordelijke en de Aanbieder is de Verwerker van de Klantgegevens. Wanneer de Klant optreedt als verwerker voor haar eigen klanten, treedt de Aanbieder op als onderverwerker en garandeert de Klant dat haar eigen instructies door de relevante verwerkingsverantwoordelijke zijn geautoriseerd.

2.2 Het onderwerp, de duur, de aard en het doel van de Verwerking, de soorten Persoonsgegevens en de categorieën van Betrokkenen zijn vastgelegd in Bijlage 1.

3.1 De Aanbieder verwerkt Klantgegevens uitsluitend op basis van de gedocumenteerde instructies van de Klant, inclusief met betrekking tot doorgifte naar een derde land, tenzij Unierecht of lidstatenrecht waaraan de Aanbieder onderworpen is dit vereist; in dat geval informeert de Aanbieder de Klant over die wettelijke verplichting voordat de verwerking plaatsvindt, tenzij de wet dit verbiedt.

3.2 De instructies van de Klant zijn: de serviceovereenkomst, deze DPA, de configuratie die de Klant en haar gebruikers in de Service instellen, en de verzoeken die de gebruikers van de Klant naar de Service sturen. De Aanbieder informeert de Klant onverwijld indien naar zijn mening een instructie inbreuk maakt op de GDPR.

De Aanbieder zorgt ervoor dat personen die bevoegd zijn om de Klantgegevens te verwerken een vertrouwelijkheidsverklaring hebben ondertekend of onder een passende wettelijke geheimhoudingsplicht vallen, en dat de toegang wordt beperkt tot wat elke persoon nodig heeft om de Service uit te voeren.

De Aanbieder implementeert de in Bijlage 2 genoemde technische en organisatorische maatregelen en herziet deze regelmatig. Rekening houdend met de stand van de techniek, de implementatiekosten en de aard, omvang, context en doeleinden van de Verwerking, zorgen de maatregelen voor een beveiligingsniveau dat passend is voor het risico.

6.1 De Klant verleent de Aanbieder een algemene schriftelijke autorisatie om de in Bijlage 3 genoemde Onderverwerkers in te schakelen.

6.2 De Aanbieder informeert de Klant over elke voorgenomen toevoeging of vervanging van een Onderverwerker ten minste [30] dagen voordat de wijziging ingaat, per e-mail naar [E-MAILADRES VOOR KLANTMELDINGEN] en door het bijwerken van de lijst op https://gpt.space/trust. De Klant kan om redenen die verband houden met gegevensbescherming bezwaar maken binnen die periode; als de Partijen het bezwaar niet kunnen oplossen, kan de Klant het betreffende deel van de Service zonder boete beëindigen.

6.3 De Aanbieder legt aan elke Onderverwerker bij wijze van overeenkomst dezelfde gegevensbeschermingsverplichtingen op als in deze DPA zijn vastgelegd, in het bijzonder voldoende garanties voor het implementeren van passende technische en organisatorische maatregelen. Indien een Onderverwerker niet aan haar verplichtingen voldoet, blijft de Aanbieder volledig aansprakelijk tegenover de Klant voor de nakoming van de verplichtingen van die Onderverwerker.

Rekening houdend met de aard van de Verwerking, assists de Aanbieder de Klant met passende technische en organisatorische maatregelen, voor zover dit mogelijk is, bij het voldoen aan de verplichting van de Klant om te reageren op verzoeken tot uitoefening van de rechten van de Betrokkene onder hoofdstuk III GDPR. De Aanbieder stuurt elke aanvraag die hij rechtstreeks van een Betrokkene ontvangt en die betrekking heeft op Klantgegevens zonder onredelijke vertraging door aan de Klant, en reageert daarop niet, behalve op instructie van de Klant of waar de wet dit vereist.

De Aanbieder helpt de Klant bij het waarborgen van de naleving van de verplichtingen onder artikel 32 tot en met 36 GDPR (beveiliging, melding van datalekken, gegevensbeschermingsimpactbeoordelingen en voorafgaande raadpleging), rekening houdend met de aard van de Verwerking en de informatie die voor de Aanbieder beschikbaar is.

De Aanbieder stelt de Klant zonder onredelijke vertraging, en in elk geval binnen [48] uur, op de hoogte nadat hij zich bewust is geworden van een Privacyincident dat Klantgegevens treft, per e-mail naar [E-MAILADRES VOOR KLANTMELDINGEN]. De melding beschrijft, voor zover op dat moment bekend, de aard van het incident, de categorieën en geschatte aantal Betrokkenen en betrokken records, de mogelijke gevolgen, de genomen of voorgestelde maatregelen, en een contactpunt; informatie die nog niet beschikbaar is, wordt in fasen verstrekt zonder verdere onredelijke vertraging.

10.1 Naar keuze van de Klant verwijdert de Aanbieder alle Klantgegevens na het einde van de levering van de Service of retourneert deze, en verwijdert bestaande kopieën, tenzij Unierecht of lidstatenrecht opslag van de Persoonsgegevens vereist.

10.2 Onafhankelijk van punt 10.1 kunnen de Klant en elk van haar gebruikers op elk moment hun account en de door de Aanbieder in de Service vastgehouden gegevens verwijderen; de verwijdering wordt binnen 24 uur na het verzoek uitgevoerd. Facturen en betalingsregistraties worden bewaard gedurende de termijn die het belastingrecht vereist.

11.1 De Aanbieder stelt alle informatie die nodig is om naleving van de verplichtingen van artikel 28 GDPR aan te tonen ter beschikking van de Klant, en staat audits toe en werkt daaraan mee, inclusief inspecties, uitgevoerd door de Klant of een door de Klant gemandateerde auditor.

11.2 De Aanbieder voldoet in de eerste plaats aan auditverzoeken door zijn ISO 27001-certificaat en auditrapport (https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media), zijn CASA Tier III-beoordeling en schriftelijke antwoorden op een beveiligingsvragenlijst te verstrekken. Een inspectie op locatie of op afstand wordt ten hoogste [eenmaal per jaar] uitgevoerd, bij [30] dagen schriftelijke kennisgeving, tijdens kantooruren, onder een geheimhoudingsovereenkomst en voor rekening van de Klant, tenzij een Toezichthoudende autoriteit anders vereist of er een Privacyincident heeft plaatsgevonden.

12.1 De Aanbieder is gevestigd in de Verenigde Staten en de Service wordt gehost op Google Cloud Platform in de Verenigde Staten. Wanneer Klantgegevens van Betrokkenen in de EER, het Verenigd Koninkrijk of Zwitserland worden doorgegeven naar een land zonder adequaatheidsbesluit, berusten de Partijen op de Standaardcontractbepalingen die door de Europese Commissie zijn vastgesteld in Besluit (EU) 2021/914 (Module Twee, verwerkingsverantwoordelijke tot verwerker, of Module Drie, verwerker tot verwerker, waarvan toepassing), die door verwijzing zijn opgenomen, samen met de UK International Data Transfer Addendum waar het Britse gegevens betreft. De Onderverwerkers van de Aanbieder die Klantgegevens ontvangen, nemen deel aan het EU-US Data Privacy Framework waar dat framework voor hen beschikbaar is; de Standaardcontractbepalingen zijn van toepassing op elke doorgifte die de Aanbieder zelf uitvoert.

12.2 Voor de opties in de Standaardcontractbepalingen: Clausule 7 (dockering) is van toepassing; Clausule 9 optie 2 (algemene autorisatie) met de kennisgevingstermijn van punt 6.2; de optionele taal van Clausule 11 is niet van toepassing; Clausule 13 en Clausule 17: het recht van [LIDSTAAT, bijv. Ierland]; Clausule 18: de rechtbanken van [LIDSTAAT]. Bijlage I en Bijlage II van de Clausules zijn Bijlage 1 en Bijlage 2 van deze DPA.

13.1 De aansprakelijkheid van elke Partij onder deze DPA is onderworpen aan de beperkingen en uitsluitingen van aansprakelijkheid in de serviceovereenkomst, behalve voor zover deze onder het toepasselijke gegevensbeschermingsrecht niet kunnen worden beperkt.

13.2 Deze DPA treedt in werking op de Effectieve Datum en blijft van kracht zolang de Aanbieder Klantgegevens verwerkt. Bij een conflict tussen deze DPA en de serviceovereenkomst prevaleert deze DPA voor de Verwerking van Persoonsgegevens.

13.3 Deze DPA valt onder het recht dat ook op de serviceovereenkomst van toepassing is, met dien verstande dat de Standaardcontractbepalingen onder het recht vallen dat in punt 12.2 is gekozen.

Voor de Klant	Voor de Aanbieder
Naam: [NAAM]	Naam: [NAAM]
Functie: [FUNCTIE]	Functie: [FUNCTIE]
Datum: [DATUM]	Datum: [DATUM]
Handtekening:	Handtekening:

---

Onderdeel	Beschrijving
Onderwerp	Levering van de GPT Workspace Service: AI-ondersteuning binnen Google Docs, Sheets, Slides, Forms, Gmail, Drive, Google Chat, de Chrome-extensie en MCP-servers.
Duur	De looptijd van de serviceovereenkomst, plus de bewaartermijnen in Bijlage 2.
Aard en doel	Het lezen van de inhoud waarnaar de gebruiker in zijn Google-account verwijst, het verzenden daarvan met de prompt van de gebruiker naar een AI-modelaanbieder, en het terugschrijven van het antwoord naar het bestand of de chat van de gebruiker. Accountbeheer, facturering en ondersteuning.
Categorieën van Betrokkenen	Medewerkers en onderaannemers van de Klant die de Service gebruiken; personen van wie gegevens voorkomen in de documenten, spreadsheets, e-mails en bestanden van de Klant die via de Service worden verwerkt.
Soorten Persoonsgegevens	Accountgegevens (naam, e-mailadres, profielfoto, Google-accountidentificator); factureringsgegevens (facturatienaam, adres, btw-nummer); gebruiksmetadata (aantal verzoeken, datums, documenttitels); de inhoud van de prompts en van de Google-bestanden, e-mails en bijlagen die de gebruiker indient, die elke categorie Persoonsgegevens kunnen bevatten die de Klant daar plaatst.
Bijzondere categorieën	Geen, door het ontwerp. De Service vereist geen bijzondere categorieën gegevens; de Klant bepaalt wat haar gebruikers indienen. [Klant aan te geven of bijzondere categorieën worden verwacht: GEEN / BESCHRIJVEN]
Frequentie	Doorlopend, bij elk verzoek dat een gebruiker doet.
Bewaartermijn	Zie Bijlage 2, “Bewaartermijn”.

Gebied	Maatregel
Certificeringen	ISO 27001-gecertificeerd managementsysteem voor informatiebeveiliging (auditrapport beschikbaar). CASA Tier III (App Defense Alliance)-beoordeling voor de Google Workspace-integratie. Naleving van het Google API Services User Data Policy, inclusief de Limited Use-vereisten.
Hosting	Google Cloud Platform (Firebase), Verenigde Staten, regio’s US East en US West. Componenten die Klantgegevens verwerken draaien binnen het particuliere netwerk van de Aanbieder achter load balancers en een web application firewall.
Versleuteling	TLS 1.2 of hoger voor alle gegevens in transit. AES-256 server-side encryptie at rest op Firebase, sleutelbeheer via GCP IAM. Google access en refresh tokens versleuteld at rest.
Geen kopie van klantbestanden	Google-bestanden, e-mails en spreadsheets worden realtime gelezen met het eigen OAuth-token van de gebruiker en worden niet gekopieerd naar de opslag van de Aanbieder. De enige uitzondering is een bestand dat de gebruiker bijvoegt voor bestandszoek, dat wordt geüpload naar een OpenAI vector store (zie Bijlage 3): de zoekindex wordt 1 dag na laatste gebruik verwijderd en de kopie wordt na 7 dagen verwijderd.
Modelaanbieders	Gebruikt onder API-voorwaarden die training op de verzoeken verbieden. De Aanbieder traint of fine-tunes nooit een model op Klantgegevens.
Toegangsbeheer	Toegang tot productiesystemen beperkt tot bevoegd personeel met individuele accounts, multi-factor authenticatie en least privilege via GCP IAM. Per-gebruiker gegevensisolatie afgedwongen door Firebase security rules. Multi-factor authenticatie is verplicht voor elk account met productietoegang; toegangsrechten worden wekelijks gecontroleerd.
Monitoring en testing	GCP Security Command Center doorlopende kwetsbaarheidsscans van alle assets in scope; vulnerability disclosure policy voor externe onderzoekers.
Bewaartermijn	Accountgegevens, chatgesprekken, instellingen en gebruiksmetadata: 18 maanden na de laatste activiteit van de gebruiker, of 24 uur na een verwijderingsverzoek. Bestanden bijgevoegd voor bestandszoek: zoekindex verwijderd 1 dag na laatste gebruik, geüploade kopie verwijderd na 7 dagen. Model gateway request logs: 30 dagen, uitsluitend voor ondersteuning. Prompts en antwoorden: realtime verwerkt, niet langdurig opgeslagen door de Aanbieder. Facturen: de termijn die het belastingrecht vereist.
Verwijdering	Selfservice verwijdering van het account en alle gerelateerde gegevens in de Service; verwijdering op verzoek binnen 24 uur.
Bedrijfscontinuïteit	Native Google Cloud-backup en multi-region beschikbaarheidstools; volledige back-ups elke 7 dagen.
Personeel	Vertrouwelijkheidsverplichtingen in arbeids- en onderaannemersovereenkomsten; beveiligingsbewustzijn voor personeel met productietoegang.

De actuele lijst wordt onderhouden op https://gpt.space/trust en hier weergegeven zoals op de Effectieve Datum.

Onderverwerker	Doel	Locatie
Google Cloud Platform / Firebase (Google LLC)	Hosting, database, opslag, authenticatie, secrets	Verenigde Staten
OpenRouter, Inc.	Gateway die elk modelverzoek routeert naar de onderstaande aanbieder; request logs 30 dagen bewaard uitsluitend voor ondersteuning, nooit gebruikt voor training	Verenigde Staten
OpenAI	Tekst- en beeldmodellen; vector store voor bestandszoek	Verenigde Staten
Anthropic	Claude-modellen (gekoppeld aan Anthropic’s eigen endpoint)	Verenigde Staten
Google (AI Studio)	Gemini tekst- en beeldmodellen	Verenigde Staten
Perplexity	Webzoekmodellen	Verenigde Staten
OpenRouter inference hosts	Inference hosts voor de open-weight GLM-5.3-flash en gpt-oss-120b modellen	Via OpenRouter
Typesafe	Beslissingsmodel achter de GPT_CLASSIFY-formule	Via OpenRouter
Google Programmable Search	Opzoeken van stockafbeeldingen voor gegenereerde slides (alleen query)	Verenigde Staten
Stripe	Betalingen, facturen, facturatiesportal	Verenigde Staten en Ierland, onder de Stripe DPA
PostHog (self-hosted instance)	Productanalytics	Europese Unie
Sentry	Foutbewaking	Europese Unie (EU-dataregio)