Verwerkersovereenkomst (sjabloon)

Dit is het sjabloon van de verwerkersovereenkomst (DPA) die GPT Workspace sluit met zakelijke klanten. Om deze vooraf ingevuld te ontvangen, schrijf naar contact@gpt.space met de juridische naam van uw bedrijf, adres, contactpersoon en aantal licenties. De verwerkers die erin worden genoemd, staan vermeld en worden actueel gehouden in het Trust Center.

Dit sjabloon is bedoeld ter informatie en is geen juridisch advies. Laat het controleren door uw juridisch adviseur voordat u ondertekent. Velden tussen vierkante haken worden ingevuld vóór ondertekening.

---

Deze verwerkersovereenkomst (de “DPA”) vormt deel van de overeenkomst voor het gebruik van GPT Workspace (de “Service”) tussen:

• [CUSTOMER LEGAL NAME], [CUSTOMER ADDRESS], [REGISTRATION NUMBER] (de “Klant” of “Verwerkingsverantwoordelijke”), en
• GPTW LLC, 150 Central Park, Los Alamos, New Mexico, VS (de “Aanbieder” of “Verwerker”),

samen de “Partijen”. Het wordt aangegaan op [EFFECTIVE DATE] en is van toepassing zolang de Aanbieder Persoonsgegevens verwerkt namens de Klant.

“AVG” betekent Verordening (EU) 2016/679 en, indien van toepassing, de UK GDPR zoals gedefinieerd in de Data Protection Act 2018. “Persoonsgegevens”, “Verwerking”, “Verwerkingsverantwoordelijke”, “Verwerker”, “Betrokkene”, “Toezichthoudende autoriteit” en “**Datalek” hebben de betekenis die eraan wordt gegeven in artikel 4 van de AVG. “Subverwerker” betekent een derde partij die door de Aanbieder is ingeschakeld om Persoonsgegevens namens de Klant te verwerken. “Klantgegevens” betekent de Persoonsgegevens die de Aanbieder voor de Klant verwerkt onder de serviceovereenkomst, zoals beschreven in Bijlage 1.

2.1 De Klant is de Verwerkingsverantwoordelijke en de Aanbieder is de Verwerker van de Klantgegevens. Indien de Klant optreedt als verwerker voor zijn eigen cliënten, treedt de Aanbieder op als subverwerker en staat de Klant ervoor in dat zijn eigen instructies zijn geautoriseerd door de relevante verwerkingsverantwoordelijke.

2.2 Het onderwerp, de duur, de aard en het doel van de Verwerking, de soorten Persoonsgegevens en de categorieën van Betrokkenen worden uiteengezet in Bijlage 1.

3.1 De Aanbieder verwerkt Klantgegevens uitsluitend op gedocumenteerde instructies van de Klant, inclusief met betrekking tot doorgiften naar een derde land, tenzij de Aanbieder op grond van Unie- of lidstatenrecht waaraan hij onderworpen is, tot verwerking verplicht is; in dat geval informeert de Aanbieder de Klant vóór de verwerking over die wettelijke verplichting, tenzij de wet dat verbiedt.

3.2 De instructies van de Klant zijn: de serviceovereenkomst, deze DPA, de configuratie die de Klant en zijn gebruikers in de Service instellen, en de verzoeken die de gebruikers van de Klant naar de Service sturen. De Aanbieder informeert de Klant onmiddellijk indien naar zijn mening een instructie inbreuk maakt op de AVG.

De Aanbieder zorgt ervoor dat personen die bevoegd zijn om de Klantgegevens te verwerken, zich aan geheimhouding hebben verbonden of onder een passende wettelijke geheimhoudingsplicht vallen, en dat de toegang beperkt is tot wat elke persoon nodig heeft om de Service uit te voeren.

De Aanbieder implementeert de in Bijlage 2 genoemde technische en organisatorische maatregelen en herziet deze voortdurend. Rekening houdend met de stand van de techniek, de implementatiekosten en de aard, omvang, context en doeleinden van de Verwerking, waarborgen de maatregelen een beveiligingsniveau dat passend is voor het risico.

6.1 De Klant geeft een algemene schriftelijke autorisatie aan de Aanbieder om de in Bijlage 3 genoemde Subverwerkers in te schakelen.

6.2 De Aanbieder informeert de Klant over elke voorgenomen toevoeging of vervanging van een Subverwerker ten minste [30] dagen voordat de wijziging ingaat, via e-mail naar [CUSTOMER NOTIFICATION E-MAIL] en door de lijst bij te werken op https://gpt.space/trust. De Klant kan binnen die periode om redenen die verband houden met gegevensbescherming bezwaar maken; indien de Partijen het bezwaar niet kunnen oplossen, kan de Klant het betreffende deel van de Service zonder boete beëindigen.

6.3 De Aanbieder legt elke Subverwerker bij wijze van contract dezelfde gegevensbeschermingsverplichtingen op als uiteengezet in deze DPA, in het bijzonder door voldoende garanties te bieden voor de implementatie van passende technische en organisatorische maatregelen. Indien een Subverwerker niet aan zijn verplichtingen voldoet, blijft de Aanbieder volledig aansprakelijk jegens de Klant voor de nakoming van de verplichtingen van die Subverwerker.

Rekening houdend met de aard van de Verwerking, helpt de Aanbieder de Klant met passende technische en organisatorische maatregelen, voor zover dit mogelijk is, bij het vervullen van de verplichting van de Klant om te reageren op verzoeken tot uitoefening van de rechten van de Betrokkene onder hoofdstuk III van de AVG. De Aanbieder stuurt elke rechtstreeks door een Betrokkene ontvangen verzoek met betrekking tot Klantgegevens zonder onredelijke vertraging door aan de Klant, en reageert er niet op, behalve op instructie van de Klant of waar vereist door de wet.

De Aanbieder helpt de Klant bij het waarborgen van de naleving van de verplichtingen onder de artikelen 32 tot en met 36 van de AVG (beveiliging, melding van datalekken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging), rekening houdend met de aard van de Verwerking en de informatie die beschikbaar is voor de Aanbieder.

De Aanbieder stelt de Klant zonder onredelijke vertraging, en in ieder geval binnen [48] uur, na de vaststelling van een Datalek met betrekking tot Klantgegevens op de hoogte, via e-mail naar [CUSTOMER NOTIFICATION E-MAIL]. De melding beschrijft, voor zover op dat moment bekend, de aard van het lek, de categorieën en het geschatte aantal betrokken Betrokkenen en registers, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen en een contactpunt; informatie die nog niet beschikbaar is, wordt in fasen verstrekt zonder verdere onredelijke vertraging.

10.1 Naar keuze van de Klant verwijdert of retourneert de Aanbieder alle Klantgegevens na het einde van de levering van de Service, en verwijdert bestaande kopieën, tenzij Unie- of lidstatenrecht opslag van de Persoonsgegevens vereist.

10.2 Onafhankelijk van 10.1 kunnen de Klant en elk van zijn gebruikers te allen tijde hun account en de door de Aanbieder in de Service bewaarde gegevens verwijderen; de verwijdering wordt binnen 24 uur na het verzoek uitgevoerd. Facturen en betalingsregistraties worden bewaard gedurende de periode die vereist is door de belastingwetgeving.

11.1 De Aanbieder stelt de Klant alle informatie ter beschikking die noodzakelijk is om aan te tonen dat aan de verplichtingen van artikel 28 van de AVG wordt voldaan, en maakt audits mogelijk en werkt eraan mee, inclusief inspecties, die door de Klant of een door de Klant gemandateerde auditor worden uitgevoerd.

11.2 De Aanbieder voldoet eerst aan auditverzoeken door zijn ISO 27001-certificaat en auditrapport (https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media), zijn CASA Tier III-beoordeling en schriftelijke antwoorden op een beveiligingsvragenlijst te verstrekken. Een locatiegebonden of externe inspectie wordt maximaal [once per year] uitgevoerd, op [30] dagen schriftelijke kennisgeving, tijdens kantooruren, onder een geheimhoudingsovereenkomst en op kosten van de Klant, tenzij een Toezichthoudende autoriteit anders vereist of er een Datalek is opgetreden.

12.1 De Aanbieder is gevestigd in de Verenigde Staten en de Service wordt gehost op Google Cloud Platform in de Verenigde Staten. Wanneer Klantgegevens van Betrokkenen in de EER, het Verenigd Koninkrijk of Zwitserland worden overgedragen naar een land zonder een passendheidsbesluit, vertrouwen de Partijen op de Standaardcontractbepalingen die door de Europese Commissie zijn aangenomen in Besluit (EU) 2021/914 (Module Twee, van verwerkingsverantwoordelijke naar verwerker, of Module Drie, van verwerker naar verwerker, indien van toepassing), die bij verwijzing worden opgenomen, samen met de UK International Data Transfer Addendum waar het Britse gegevens betreft. De Subverwerkers van de Aanbieder die Klantgegevens ontvangen, nemen deel aan het EU-US Data Privacy Framework waar dat raamwerk voor hen beschikbaar is; de Standaardcontractbepalingen bepalen elke overdracht die de Aanbieder zelf uitvoert.

12.2 Voor de opties in de Standaardcontractbepalingen: Clausule 7 (toetreding) is van toepassing; Clausule 9, optie 2 (algemene autorisatie) met de kennisgevingsperiode van sectie 6.2; Clausule 11, optionele tekst is niet van toepassing; Clausule 13 en Clausule 17: het recht van [MEMBER STATE, e.g. Ireland]; Clausule 18: de rechtbanken van [MEMBER STATE]. Bijlage I en Bijlage II van de Clausules zijn Bijlagen 1 en 2 van deze DPA.

13.1 De aansprakelijkheid van elke Partij onder deze DPA is onderworpen aan de beperkingen en uitsluitingen van aansprakelijkheid in de serviceovereenkomst, behalve waar deze niet kunnen worden beperkt onder het toepasselijke gegevensbeschermingsrecht.

13.2 Deze DPA treedt in werking op de Ingangsdatum en blijft van kracht zolang de Aanbieder Klantgegevens verwerkt. In geval van strijdigheid tussen deze DPA en de serviceovereenkomst, prevaleert deze DPA voor de Verwerking van Persoonsgegevens.

13.3 Op deze DPA is het recht van toepassing dat geldt voor de serviceovereenkomst, met uitzondering van de Standaardcontractbepalingen waarop het recht van toepassing is dat is gekozen in sectie 12.2.

Voor de Klant	Voor de Aanbieder
Naam: [NAME]	Naam: [NAME]
Functie: [TITLE]	Functie: [TITLE]
Datum: [DATE]	Datum: [DATE]
Handtekening:	Handtekening:

---

Onderdeel	Beschrijving
Onderwerp	Levering van de GPT Workspace Service: AI-ondersteuning binnen Google Docs, Sheets, Slides, Forms, Gmail, Drive, Google Chat, de Chrome-extensie en MCP-servers.
Duur	De looptijd van de serviceovereenkomst, plus de bewaartermijnen in Bijlage 2.
Aard en doel	Het lezen van de content waarnaar de gebruiker in zijn Google-account wijst, het samen met de prompt van de gebruiker verzenden naar een AI-modelprovider, en het terugschrijven van het antwoord naar het bestand of de chat van de gebruiker. Accountbeheer, facturering en ondersteuning.
Categorieën van Betrokkenen	Werknemers en aannemers van de Klant die de Service gebruiken; personen van wie de gegevens voorkomen in de documenten, spreadsheets, e-mails en bestanden van de Klant die via de Service worden verwerkt.
Soorten Persoonsgegevens	Accountgegevens (naam, e-mailadres, profielfoto, Google-accountidentificator); factureringsgegevens (facturatienaam, adres, btw-nummer); metadata over gebruik (aantal verzoeken, datums, documenttitels); de inhoud van de prompts en van de Google-bestanden, e-mails en bijlagen die de gebruiker indient, die elke categorie van Persoonsgegevens kunnen bevatten die de Klant daar plaatst.
Bijzondere categorieën	Geen door het ontwerp. De Service vereist geen gegevens in een bijzondere categorie; de Klant bepaalt wat zijn gebruikers indienen. [Customer to indicate if special categories are expected: NONE / DESCRIBE]
Frequentie	Doorlopend, bij elk verzoek dat een gebruiker doet.
Bewaartermijn	Zie Bijlage 2, “Bewaartermijn”.

Gebied	Maatregel
Certificeringen	ISO 27001-gecertificeerd informatiebeveiligingsmanagementsysteem (auditrapport beschikbaar). CASA Tier III (App Defense Alliance) beoordeling voor de Google Workspace-integratie. Naleving van het Google API Services User Data Policy, inclusief de vereisten voor beperkt gebruik.
Hosting	Google Cloud Platform (Firebase), Verenigde Staten, regio’s US East en US West. Componenten die Klantgegevens verwerken, draaien binnen het privénetwork van de Aanbieder achter load balancers en een web application firewall.
Versleuteling	TLS 1.2 of hoger voor alle data in transit. AES-256 server-side encryptie at rest op Firebase, key management via GCP IAM. Google access- en refresh-tokens versleuteld at rest.
Geen kopie van klantbestanden	Google-bestanden, e-mails en spreadsheets worden in realtime gelezen met het eigen OAuth-token van de gebruiker en worden niet gekopieerd naar de opslag van de Aanbieder. De enige uitzondering is een bestand dat de gebruiker bijvoegt voor bestandszoekopdrachten, dat wordt geüpload naar een OpenAI vector store (zie Bijlage 3): de zoekindex wordt 1 dag na laatste gebruik verwijderd en de kopie wordt na 7 dagen verwijderd.
Modelproviders	Gebruikt onder API-voorwaarden die training op de verzoeken verbieden. De Aanbieder traint of fine-tunes nooit een model op Klantgegevens.
Toegangsbeheer	Toegang tot productiesystemen beperkt tot bevoegde medewerkers met individuele accounts, multi-factor authenticatie en minimale bevoegdheden via GCP IAM. Per-user data-isolatie afgedwongen door Firebase-beveiligingsregels. Multi-factor authenticatie is verplicht voor elk account met productietoegang; toegangsrechten worden wekelijks gecontroleerd.
Monitoring en testen	Continue kwetsbaarheidsscans door GCP Security Command Center van alle assets binnen de reikwijdte; vulnerability disclosure-beleid voor externe onderzoekers.
Bewaartermijn	Accountgegevens, chatgesprekken, instellingen en metadata over gebruik: 18 maanden na de laatste activiteit van de gebruiker, of 24 uur na een verwijderingsverzoek. Bestanden die zijn bijgevoegd voor bestandszoekopdrachten: zoekindex 1 dag na laatste gebruik verwijderd, geüploade kopie na 7 dagen verwijderd. Model gateway-aanvraaglogboeken: 30 dagen, alleen voor ondersteuning. Prompts en antwoorden: in realtime verwerkt, niet langdurig opgeslagen door de Aanbieder. Facturen: de periode die vereist is door de belastingwetgeving.
Verwijdering	Zelfservice verwijdering van het account en alle gerelateerde gegevens in de Service; verwijdering op verzoek binnen 24 uur.
Bedrijfscontinuïteit	Backups van Google Cloud en tooling voor multi-regio beschikbaarheid; volledige backups elke 7 dagen.
Personeel	Geheimhoudingsverplichtingen in arbeids- en aannemersovereenkomsten; beveiligingsbewustzijn voor personeel met productietoegang.

De actuele lijst wordt onderhouden op https://gpt.space/trust en hier weergegeven zoals op de Ingangsdatum.

Subverwerker	Doel	Locatie
Google Cloud Platform / Firebase (Google LLC)	Hosting, database, opslag, authenticatie, geheimen	Verenigde Staten
OpenRouter, Inc.	Gateway die elk modelverzoek routeert naar de onderstaande provider; aanvraaglogboeken 30 dagen bewaard, uitsluitend voor ondersteuning, nooit gebruikt voor training	Verenigde Staten
OpenAI	Tekst- en beeldmodellen; vector store voor bestandszoekopdrachten	Verenigde Staten
Anthropic	Claude-modellen (vastgemaakt aan het eigen endpoint van Anthropic)	Verenigde Staten
Google (AI Studio)	Gemini tekst- en beeldmodellen	Verenigde Staten
Perplexity	Webzoekmodellen	Verenigde Staten
OpenRouter inference hosts	Inference hosts voor de open-weight GLM-5.3-flash en gpt-oss-120b modellen	Via OpenRouter
Typesafe	Beslissingsmodel achter de GPT_CLASSIFY-formule	Via OpenRouter
Google Programmable Search	Opzoeken van stockafbeeldingen voor gegenereerde dia’s (alleen query)	Verenigde Staten
Stripe	Betalingen, facturen, facturatieportaal	Verenigde Staten en Ierland, onder de Stripe DPA
PostHog (self-hosted instance)	Productanalytics	Europese Unie
Sentry	Foutbewaking	Europese Unie (EU-dataregio)