Juridisch
Verwerkersovereenkomst
Concept, nog niet juridisch getoetst. Deze tekst is een voorbereiding voor onze jurist en geen bindend advies. Punten die de jurist nog moet bekijken, staan gemarkeerd als [JURIST].
Kort samengevat
- Zet je persoonsgegevens in je projecten (bijvoorbeeld klanten van je eigen app), dan ben jij de verantwoordelijke en is Vibe-it je verwerker.
- We verwerken die gegevens alleen op jouw instructie: om je projecten te bewaren, te bouwen, te publiceren en te back-uppen.
- Alles staat in de EU, in de eerste plaats in België (Brussel).
- We werken met een beperkte lijst subverwerkers (onderaan). Een nieuwe subverwerker melden we 30 dagen vooraf; je kunt bezwaar maken.
- Bij een datalek verwittigen we je zonder onnodige vertraging, uiterlijk binnen 48 uur nadat we het vaststellen.
- Je eigen AI-aanbieder is geen subverwerker van ons: jij kiest en contracteert die zelf.
1. Partijen en onderwerp
1.1 Deze verwerkersovereenkomst hoort bij de algemene voorwaarden en geldt tussen jou (de klant, "verantwoordelijke") en AirVoice, België, BE 1036.000.580, handelend onder de naam Vibe-it ("verwerker"). Ben je zelf verwerker voor jouw klanten, dan zijn wij jouw subverwerker en geldt deze overeenkomst op dezelfde manier.
1.2 Ze regelt de verwerking van persoonsgegevens die jij of je gekoppelde AI in de dienst plaatst, zoals bedoeld in artikel 28 van de AVG.
1.3 Je aanvaardt deze overeenkomst samen met de voorwaarden. Een ondertekende versie op papier of in pdf is mogelijk op verzoek. [JURIST J-E4: volstaat aanvaarding met een vinkje voor art. 28 lid 9 (schriftelijk, ook elektronisch)?]
2. Beschrijving van de verwerking
| Aard en doel | bewaren, bouwen, publiceren, uitvoeren en back-uppen van de projecten van de klant; technische opvolging en beveiliging |
| Soorten gegevens | alles wat de klant of zijn AI in een project plaatst: code, configuratie, databases, bestanden, geheugentekst; daarnaast request-logs van bezoekers van gepubliceerde apps (IP-adres, tijdstip, opgevraagd adres, zonder inhoud) |
| Betrokkenen | de eindgebruikers en klanten van de klant, zijn medewerkers en iedereen van wie de klant gegevens in zijn projecten plaatst |
| Bijzondere gegevens | niet voorzien; de klant plaatst ze alleen als hij zelf een rechtsgrond heeft en ons dat vooraf meldt [JURIST J-V6] |
| Duur | zolang het abonnement loopt, plus 30 dagen voor export; back-ups volgen hun eigen bewaartermijn van 30 dagen |
| Locatie | België (Brussel), met Nederland als uitwijkdatacenter van onze hostingleverancier; back-ups in de EU |
3. Verplichtingen van Vibe-it
3.1 Alleen op instructie. We verwerken de gegevens alleen op jouw gedocumenteerde instructie. Je instructies zijn: deze overeenkomst, de voorwaarden en wat je in het dashboard of via je gekoppelde AI instelt. Krijgen we een instructie die volgens ons de wet schendt, dan melden we dat.
3.2 Vertrouwelijkheid. Wie bij ons toegang heeft, is tot geheimhouding verplicht. Toegang is beperkt tot wat nodig is voor beheer en beveiliging, en elke beheertoegang wordt gelogd.
3.3 Beveiliging (art. 32). We nemen passende maatregelen, onder meer: afscherming per project en per klant; rijbeveiliging per klant in de database; versleutelde schijven en versleutelde back-ups; logs zonder prompts, wachtwoorden of geheimen; toegang tot de servers alleen met sleutels en vanaf vaste adressen; beveiligingsupdates; een runbook voor incidenten en datalekken. De actuele lijst staat in onze beveiligingsbijlage. [JURIST J-V7: beveiligingsbijlage als apart document of hier opnemen.]
3.4 Hulp bij rechten van betrokkenen. Vraagt een betrokkene inzage, verbetering of verwijdering, dan help je jezelf meestal via het dashboard of je AI. Lukt dat niet, dan helpen we je binnen een redelijke termijn. Een verzoek dat rechtstreeks bij ons binnenkomt, sturen we door naar jou.
3.5 Datalekken. Stellen we een inbreuk vast op gegevens in je projecten, dan verwittigen we je zonder onnodige vertraging en uiterlijk binnen 48 uur, met wat we op dat moment weten. Zo kun je zelf de 72-uurstermijn tegenover de toezichthouder halen. [JURIST J-E12: termijnen in beide rollen; drempel voor melding aan betrokkenen.]
3.6 DPIA en voorafgaande raadpleging. We geven je de informatie die je redelijkerwijs nodig hebt voor een gegevensbeschermingseffectbeoordeling.
3.7 Einde. Na het einde van de dienst kun je 30 dagen alles exporteren. Daarna wissen we de gegevens; uit de back-ups verdwijnen ze binnen hun bewaartermijn van 30 dagen. Een herstelde back-up wist opnieuw wat al verwijderd was. Op verzoek bevestigen we de verwijdering schriftelijk.
3.8 Audit. We stellen de informatie ter beschikking die nodig is om aan te tonen dat we ons aan deze overeenkomst houden. Een audit ter plaatse door jou of een onafhankelijke auditor is mogelijk na aankondiging van 30 dagen, maximaal eenmaal per jaar, op jouw kosten, en zonder dat andere klanten erdoor worden geraakt. [JURIST J-E4: audit-recht.]
4. De datagrens: geen kopieën bij ons beheer
4.1 Je projectgegevens blijven op de Vibe-it-servers (de Core en de servers waarop je projecten draaien). Ze gaan niet naar andere systemen van AirVoice, ook niet naar onze interne hulpmiddelen voor tickets, monitoring of documentatie. Van daaruit halen we alleen technische metingen op (zoals CPU, geheugen, schijfruimte en dienststatus), zonder klantgegevens.
4.2 Voor beheer en incidenten gebruiken we eigen AI-hulpmiddelen die via een beveiligde verbinding op de servers werken. Ze krijgen geen kopie van je projecten. [JURIST J-E7: moeten de toeleveranciers van die hulpmiddelen toch als subverwerker in de lijst?]
5. Subverwerkers
5.1 Je geeft ons een algemene toestemming om de subverwerkers uit de lijst hieronder in te schakelen. Met elke subverwerker sluiten we een overeenkomst met minstens dezelfde verplichtingen als deze.
5.2 Een nieuwe of vervangende subverwerker melden we 30 dagen vooraf in het dashboard en per mail. Je kunt binnen die termijn gemotiveerd bezwaar maken. Vinden we samen geen oplossing, dan mag je kosteloos opzeggen vóór de wijziging ingaat.
5.3 Gegevens gaan niet naar landen buiten de Europese Economische Ruimte, tenzij een subverwerker in de lijst dat uitdrukkelijk vermeldt met de passende waarborgen.
Lijst van subverwerkers (versie 2026-10-26)
| Subverwerker | Wat ze doen | Welke gegevens | Locatie | Status |
|---|---|---|---|---|
| mijn.host | hosting van de Core, de gedeelde servers en de Enterprise-servers | alle projectgegevens, versleuteld op schijf | Brussel (BE), uitwijk NL | actief |
| Container-registry | opslag van de gebouwde images van je projecten | je gebouwde code | Brussel (BE), op onze eigen Core bij mijn.host | geen aparte partij: zelf gehost |
| Objectopslag voor back-ups | versleutelde back-ups van projecten en geheugen | versleutelde kopieën; de sleutels blijven bij ons | EU | nog te kiezen, vóór de eerste back-up naar buiten; komt met 30 dagen voormelding in deze lijst |
| Mistral AI (Frankrijk) | beheer-AI die technische beslissingen voorbereidt (bijvoorbeeld: is deze server overbelast?); later ook zoekvectoren voor het geheugen | alleen technische metadata (status, metingen, foutcodes), nooit code, prompts of klanttekst; voor het geheugen alleen als jij het per project aanzet | EU (FR) | nog niet actief; wordt actief bij livegang, met 30 dagen voormelding [JURIST J-E6] |
| Mollie (Nederland) | betalingen | bedrag, betaalstatus, betaalmethode (gemaskeerd) van de klant; geen projectgegevens | NL | nog niet actief; kwalificatie open [JURIST J-E3] |
| Billit (België) | elektronische facturen en Peppol | factuurgegevens van de klant; geen projectgegevens | BE | nog niet actief; kwalificatie open [JURIST J-E3] |
Mollie en Billit verwerken alleen gegevens van jou als klant (facturatie), niet de gegevens in je projecten. Ze staan in deze lijst voor de volledigheid; mogelijk zijn ze zelfstandig verantwoordelijke en geen subverwerker.
6. Je eigen AI-aanbieder
6.1 Koppel je een AI (bijvoorbeeld Claude van Anthropic, ChatGPT van OpenAI of Kimi van Moonshot AI), dan geef je ons de instructie om die AI toegang te geven tot de projecten en tools die jij in het dashboard toestaat.
6.2 Die AI-aanbieder is geen subverwerker van Vibe-it. Jij kiest hem, jij hebt het contract met hem, en zijn voorwaarden bepalen wat hij met de gegevens doet. Sommige aanbieders verwerken gegevens buiten de EU (bijvoorbeeld in de Verenigde Staten of China); voor die doorgifte ben jij verantwoordelijk. Lees de uitleg over je AI. [JURIST J-E2: kwalificatie van de klant-AI en onze informatieplicht.]
7. Geheugen (optie)
7.1 Neem je de optie Geheugen, dan geldt deze overeenkomst ook voor de tekst die je daarin bewaart. Toegang van je AI tot het geheugen staat standaard uit en zet je per project aan.
7.2 Niemand bij Vibe-it leest je geheugentekst, behalve in een noodprocedure die gelogd wordt en die we je meteen melden. [JURIST J-E5: noodtoegang en meldplicht.]
8. Aansprakelijkheid en rangorde
8.1 De aansprakelijkheid onder deze overeenkomst volgt de algemene voorwaarden, onverminderd artikel 82 AVG.
8.2 Bij strijdigheid gaat deze overeenkomst voor op de voorwaarden voor alles wat over persoonsgegevens gaat.
Open punten voor de jurist
| # | Punt |
|---|---|
| J-E2 | Kwalificatie van de klant-AI en informatieplicht (art. 6) |
| J-E3 | Mollie en Billit: subverwerker of zelfstandig verantwoordelijke |
| J-E4 | Art. 28-tekst, elektronische aanvaarding, audit-recht |
| J-E5 | Noodtoegang tot geheugentekst |
| J-E6 | Mistral als subverwerker en de AI Act-rol |
| J-E7 | Toeleveranciers van onze beheerhulpmiddelen |
| J-E12 | Datalektermijnen |
| J-V6 | Bijzondere categorieën van persoonsgegevens |
| J-V7 | Beveiligingsbijlage |