Verwerkersovereenkomst

Bijgewerkt 2026-10-24

Concept: deze tekst wordt voor de lancering juridisch gecontroleerd.

Partijen

De klant, het bedrijf of de organisatie die met Tideform een overeenkomst sluit voor een AI-procesaudit. De klant is verwerkingsverantwoordelijke.
[Bedrijfsnaam], [Rechtsvorm], ingeschreven bij de Kamer van Koophandel onder nummer [KvK-nummer], gevestigd op [Adres], handelend onder de naam Tideform. Tideform is verwerker.

Deze verwerkersovereenkomst is onderdeel van de overeenkomst tussen de klant en Tideform en geldt vanaf het moment dat die overeenkomst ingaat.

1. Begrippen

Begrippen uit de AVG, zoals persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, betrokkene, subverwerker en inbreuk in verband met persoonsgegevens, hebben de betekenis uit artikel 4 AVG. Verder:

AVG: Verordening (EU) 2016/679.
Overeenkomst: de afspraak over de audit, inclusief de algemene voorwaarden van Tideform.
Persoonsgegevens: de persoonsgegevens die Tideform voor de klant verwerkt, zoals beschreven in bijlage 1.

2. Onderwerp en duur

Tideform verwerkt persoonsgegevens voor de klant om de audit uit te voeren. Bijlage 1 beschrijft het onderwerp, de duur, de aard en het doel van de verwerking, de soorten gegevens en de categorieën betrokkenen.
Deze verwerkersovereenkomst loopt zolang Tideform persoonsgegevens voor de klant verwerkt.

3. Instructies

Tideform verwerkt de persoonsgegevens alleen op basis van schriftelijke instructies van de klant. De overeenkomst en deze verwerkersovereenkomst zijn die instructies. Ook instructies die de klant geeft via de beheeromgeving tellen mee, zoals het invullen of verwijderen van medewerkers.
Tideform verwerkt de persoonsgegevens niet voor eigen doelen. Tideform gebruikt ze niet om AI-modellen te trainen.
Moet Tideform gegevens verwerken omdat een wet van de EU of een lidstaat dat verplicht, dan laat Tideform dat de klant vooraf weten, tenzij die wet dat verbiedt.
Vindt Tideform dat een instructie in strijd is met de AVG of andere regels over gegevensbescherming, dan meldt Tideform dat direct aan de klant.

4. Verplichtingen van de klant

De klant is verantwoordelijk voor een geldige grondslag, voor het informeren van medewerkers (artikel 13 en 14 AVG) en voor het afhandelen van verzoeken van betrokkenen.
De klant gaat na of een gegevensbeschermingseffectbeoordeling (DPIA) nodig is en of de ondernemingsraad of personeelsvertegenwoordiging instemmingsrecht heeft (onder meer artikel 27 lid 1 sub k en l Wet op de ondernemingsraden).
De klant voert alleen de gegevens in die nodig zijn en houdt de beheerlink geheim.
De klant gebruikt de audit niet om individuele medewerkers te beoordelen, te monitoren of besluiten over hen te nemen.

5. Geheimhouding

Tideform zorgt dat iedereen die toegang heeft tot de persoonsgegevens zich tot geheimhouding heeft verplicht of wettelijk tot geheimhouding is gehouden. Toegang krijgen alleen mensen die dat nodig hebben voor hun werk.

6. Beveiliging

Tideform neemt passende technische en organisatorische maatregelen volgens artikel 32 AVG. Bijlage 2 beschrijft die maatregelen.
Tideform mag de maatregelen aanpassen, zolang het beveiligingsniveau niet lager wordt.

7. Subverwerkers

De klant geeft Tideform algemene schriftelijke toestemming om subverwerkers in te schakelen. Bijlage 3 noemt de subverwerkers die nu worden gebruikt.
Wil Tideform een subverwerker toevoegen of vervangen, dan laat Tideform dat de klant minimaal 30 dagen vooraf weten. De klant kan binnen die termijn met redenen bezwaar maken. Komen we er samen niet uit, dan mag de klant de overeenkomst beëindigen voor de diensten die door de wijziging worden geraakt.
Tideform legt subverwerkers via een overeenkomst dezelfde plichten op als in deze verwerkersovereenkomst staan, in het bijzonder voldoende garanties voor passende beveiliging. Tideform blijft tegenover de klant volledig aansprakelijk voor de subverwerkers.
De optionele subverwerker ElevenLabs in bijlage 3 zet Tideform alleen in als dat vooraf met de klant is afgesproken.

8. Doorgifte buiten de EER

Tideform slaat de persoonsgegevens op in de EU (Fly.io, regio Amsterdam). In productie verwerkt Tideform de AI-verwerking via Google Cloud Vertex AI in de EU-multiregio.
Sommige subverwerkers zijn gevestigd in of verbonden met de Verenigde Staten. Tideform geeft persoonsgegevens alleen door naar een land buiten de EER als daarvoor een geldige grondslag in hoofdstuk V AVG bestaat. Dat is het EU-VS Data Privacy Framework (Uitvoeringsbesluit (EU) 2023/1795) voor gecertificeerde ontvangers, of standaardcontractbepalingen van de Europese Commissie (Uitvoeringsbesluit (EU) 2021/914), aangevuld met aanvullende maatregelen waar nodig.
In testmodus gaat inhoud rechtstreeks naar de API van Anthropic, die niet op de EU is vastgezet. De app toont dan "testmodus". Tideform voert audits voor de klant uit in productie.

9. Hulp aan de klant

Tideform helpt de klant, met passende technische en organisatorische maatregelen, bij het beantwoorden van verzoeken van betrokkenen (artikel 15 tot en met 22 AVG). Krijgt Tideform zelf een verzoek, dan stuurt Tideform dat zonder onredelijke vertraging door naar de klant en beantwoordt Tideform het niet zelf, tenzij de klant daarom vraagt.
Tideform helpt de klant bij de plichten uit artikel 32 tot en met 36 AVG: beveiliging, het melden van datalekken, een DPIA en een voorafgaande raadpleging van de Autoriteit Persoonsgegevens, voor zover dat redelijk is gezien de informatie die Tideform heeft.
Gaat deze hulp duidelijk verder dan normaal, dan mag Tideform redelijke kosten rekenen na overleg met de klant.

10. Datalekken

Ontdekt Tideform een inbreuk in verband met persoonsgegevens, dan meldt Tideform dat aan de klant zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking.
Tideform geeft daarbij zoveel mogelijk de informatie uit artikel 33 lid 3 AVG: wat er is gebeurd, welke gegevens en hoeveel betrokkenen het ongeveer gaat, de waarschijnlijke gevolgen en welke maatregelen zijn of worden genomen. Informatie die nog niet bekend is, levert Tideform zo snel mogelijk na.
Tideform neemt direct redelijke maatregelen om de gevolgen te beperken.
De klant beslist of het lek wordt gemeld aan de Autoriteit Persoonsgegevens en aan betrokkenen.

11. Audit en informatie

Tideform geeft de klant alle informatie die nodig is om aan te tonen dat Tideform zich aan artikel 28 AVG houdt.
De klant mag, maximaal één keer per jaar en met een redelijke aankondiging van minimaal 30 dagen, een audit laten doen door een onafhankelijke deskundige die tot geheimhouding is verplicht. Bij een datalek of een concreet vermoeden van een overtreding mag dat vaker. De kosten zijn voor de klant, tenzij de audit een wezenlijke tekortkoming van Tideform laat zien.

12. Bewaren, teruggeven en verwijderen

Tideform bewaart interviewgegevens tot 12 maanden na het einde van de audit, tenzij de klant eerder om verwijdering vraagt. Audio wordt direct na transcriptie verwijderd en nooit langer bewaard. Back-ups volgen dezelfde termijnen.
Aan het einde van de verwerking verwijdert Tideform de persoonsgegevens, of geeft Tideform ze terug als de klant dat vooraf vraagt. Kopieën worden ook verwijderd, tenzij een wet van de EU of een lidstaat bewaren verplicht.
Op verzoek bevestigt Tideform schriftelijk dat de gegevens zijn verwijderd.

13. Aansprakelijkheid

Voor de aansprakelijkheid van partijen geldt wat in de algemene voorwaarden van Tideform staat, voor zover de AVG (in het bijzonder artikel 82) dat toelaat.

14. Looptijd en einde

Deze verwerkersovereenkomst eindigt als Tideform geen persoonsgegevens meer voor de klant verwerkt.
Plichten die naar hun aard ook na het einde gelden, zoals geheimhouding en verwijdering, blijven gelden.

15. Rangorde, recht en geschillen

Staat er in deze verwerkersovereenkomst iets anders dan in de overeenkomst of de algemene voorwaarden, dan gaat deze verwerkersovereenkomst voor, voor zover het om de verwerking van persoonsgegevens gaat.
Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen gaan naar de bevoegde rechter zoals in de algemene voorwaarden staat.

Versie: [Datum]

Bijlage 1: Beschrijving van de verwerking

Onderwerp: het uitvoeren van een AI-procesaudit voor de klant.

Aard van de verwerking: verzamelen, opslaan, omzetten van spraak naar tekst, analyseren met een AI-model, samenvatten, samenvoegen tot een rapport, tonen aan de klant en verwijderen.

Doel: de klant inzicht geven in terugkerende werkprocessen, de tijd die ze kosten en de kansen voor automatisering, samengevoegd per rol en afdeling.

Hoe het werkt:

De klant vult per medewerker een voornaam in en, als hij wil, een rol, en stuurt elke medewerker een persoonlijke link.
De medewerker praat ongeveer 20 minuten met een AI-interviewer (Claude, van Anthropic), met stem of door te typen, in het Nederlands of het Engels. De interviewer zegt aan het begin dat hij een AI is.
Het gesprek gaat over terugkerende taken: hoe vaak, hoe lang, welke systemen, van en naar wie, wat tijd kost en wat de medewerker kwijt wil.
Aan het einde ziet de medewerker een eigen samenvatting en kan hij taken aanpassen, verwijderen of toevoegen. Alleen na goedkeuring telt het interview mee in het rapport. Niet-goedgekeurde interviews komen niet in het rapport.
Het rapport toont processen, uren en automatiseringskansen per rol en afdeling, samengevoegd. Citaten staan bij een rol, nooit bij een naam. De klant ziet geen transcripties. De beheeromgeving toont per medewerker de voornaam en de status (uitgenodigd, bezig, wacht op goedkeuring, goedgekeurd).
Eén keer voordoen (optioneel, bij het bouwen): een medewerker kan vrijwillig één proces voordoen met scherm delen en uitleg met de microfoon. De medewerker start en stopt de opname zelf, kijkt die eerst terug en kan haar laten wissen. De opname is alleen te zien voor Tideform en de klant en wordt alleen gebruikt om de agent voor dat proces te bouwen.
Systeemscan (optioneel): de klant kan exports en documenten uit de eigen systemen uploaden, zoals lijsten van facturen, offertes, orders of werkbonnen en procedures. Claude telt daarin volumes en legt die naast de interviews. De uitkomst bevat aantallen en werkwijzen, geen gegevens over personen. De klant kan bestanden zelf verwijderen en haalt vooraf weg wat niet nodig is.

Wat niet gebeurt: geen emotieherkenning, geen beoordeling van individuele prestaties, geen scores of beoordelingen van personen, geen geautomatiseerde besluiten over mensen, geen training van AI-modellen met de gegevens.

Categorieën betrokkenen: medewerkers van de klant die voor een interview worden uitgenodigd, en personen die voorkomen in bestanden die de klant voor de systeemscan uploadt (zoals contactpersonen van klanten en leveranciers).

Soorten persoonsgegevens:

voornaam
rol (optioneel)
tekst van het gesprek
gestructureerde gegevens over taken (frequentie, duur, systemen, van en naar wie, knelpunten)
status en goedkeuring van het interview
een optionele opmerking
spraak (audio), alleen tijdelijk tijdens de omzetting naar tekst
bij het voordoen: beeld van het scherm en de stem van de medewerker tijdens die ene opname
bij de systeemscan: de gegevens in de geüploade bestanden, zoals namen van klanten en leveranciers, bedragen en datums

Bijzondere persoonsgegevens: niet bedoeld en niet gevraagd. Medewerkers worden gevraagd ze niet te delen. Noemt een medewerker ze toch, dan kunnen ze in de tekst van het gesprek staan.

Duur: zolang de overeenkomst loopt en daarna tot het einde van de bewaartermijn.

Bewaartermijnen: interviewgegevens tot 12 maanden na het einde van de audit, of eerder op verzoek van de klant. Audio nooit langer dan nodig voor de transcriptie. Back-ups volgen dezelfde termijnen.

Locatie: opslag bij Fly.io in de regio Amsterdam (EU). AI-verwerking in productie via Google Cloud Vertex AI in de EU-multiregio.

Bijlage 2: Beveiligingsmaatregelen

Versleuteling en netwerk

Alle verbindingen tussen browser en server gaan via HTTPS (TLS).
Verkeer naar Google Cloud en andere subverwerkers gaat versleuteld.

Toegang

De klant krijgt toegang via een persoonlijke beheerlink met een lange, willekeurige code die niet te raden is. Er is geen wachtwoord: de link is de sleutel.
Elke medewerker krijgt een eigen link en ziet alleen zijn eigen interview.
De klant ziet geen transcripties, alleen voornaam, status en het samengevoegde rapport.
Binnen Tideform hebben alleen mensen toegang die dat nodig hebben voor hun werk. Zij gebruiken een eigenaarscode en zijn tot geheimhouding verplicht.

Dataminimalisatie

Alleen voornaam en optioneel een rol; geen achternaam, e-mailadres of telefoonnummer van medewerkers.
Spraak wordt op de eigen server van Tideform omgezet naar tekst (open-source Whisper via whisper.cpp). Het audiobestand wordt direct daarna verwijderd.
Tekst-naar-spraak gebeurt in de browser (er wordt niets verstuurd) of via het EU-endpoint van Google Cloud Text-to-Speech, waarbij alleen de tekst van de vraag van de interviewer wordt verstuurd.
Het rapport voegt gegevens samen per rol en afdeling en noemt geen namen.

Opslag en hosting

Server en database (SQLite) draaien bij Fly.io in de regio Amsterdam (EU).
Back-ups volgen dezelfde bewaartermijnen als de gegevens zelf.

Website

Geen cookies, geen analyse- of trackingtools.

In productie loopt Claude via Google Cloud Vertex AI in de EU-multiregio. De app toont "testmodus" als een andere route wordt gebruikt.
Volgens de voorwaarden van Google en Anthropic wordt klantinhoud niet gebruikt om modellen te trainen.

Organisatie

Geheimhoudingsplicht voor iedereen met toegang.
Een vaste werkwijze voor het melden en afhandelen van datalekken (zie artikel 10).
Regelmatige controle en bijwerken van software en afhankelijkheden.

Bijlage 3: Subverwerkers

Fly.io, Inc.

Dienst: hosting van server en database.
Locatie van de verwerking: regio Amsterdam (EU).
Vestiging: Verenigde Staten.
Waarborg bij doorgifte: gecertificeerd onder het EU-VS Data Privacy Framework (ook de Britse en Zwitserse uitbreiding), volgens de eigen DPF-verklaring van Fly.io.

Google Cloud EMEA Limited (Ierland), met Google LLC en gelieerde ondernemingen als verdere subverwerkers

Dienst: Vertex AI, voor het draaien van Claude in de EU-multiregio; en Cloud Text-to-Speech via het EU-endpoint (alleen de tekst van de vragen van de interviewer).
Locatie van de verwerking: EU. Volgens Google blijft de machine learning-verwerking bij het EU-multiregio-endpoint binnen de EU-lidstaten, en blijven gegevens bij het EU-endpoint van Text-to-Speech binnen Europa.
Waarborg bij doorgifte: Cloud Data Processing Addendum van Google met standaardcontractbepalingen; Google LLC is gecertificeerd onder het EU-VS Data Privacy Framework.
Training: volgens de Service Specific Terms van Google gebruikt Google klantgegevens niet om AI-modellen te trainen zonder toestemming.

Anthropic (maker van het AI-model Claude)

Rol bij productie via Vertex AI: Anthropic levert het model. Volgens de documentatie van Google worden prompts en antwoorden bij partnermodellen niet gedeeld met derden, ook niet met de partner. Anthropic ontvangt de inhoud via deze route dus niet rechtstreeks; Google verwerkt die als subverwerker.
Rol in testmodus: inhoud gaat rechtstreeks naar de API van Anthropic. Die route is niet op de EU vastgezet.
Waarborg bij doorgifte: de Data Processing Addendum van Anthropic en standaardcontractbepalingen, zoals Anthropic in zijn privacybeleid beschrijft.
Training: volgens de Commercial Terms van Anthropic traint Anthropic geen modellen op klantinhoud.

ElevenLabs (optioneel, standaard niet in gebruik)

Dienst: tekst-naar-spraak voor de vragen van de interviewer.
Wordt alleen ingezet als dat vooraf met de klant is afgesproken.
Waarborg bij doorgifte: ElevenLabs verklaart deel te nemen aan het EU-VS Data Privacy Framework (ook de Britse en Zwitserse uitbreiding).