Verwerkersovereenkomst

Deze verwerkersovereenkomst regelt de verwerking van persoonsgegevens door Avantwerk Legal AI namens het afnemend kantoor, op grond van artikel 28 AVG. Zij maakt deel uit van de algemene voorwaarden.

Deze overeenkomst elektronisch ondertekenen: de ondertekenaar namens het kantoor vult naam en e-mailadres in en tekent; daarna tekent Bennovate. Beide partijen ontvangen het ondertekende document per e-mail.

1. Partijen en hoedanigheid

Deze verwerkersovereenkomst wordt gesloten tussen:

1. Het kantoor: het advocatenkantoor dat een abonnement op de dienst neemt, dat optreedt als verwerkingsverantwoordelijke voor de persoonsgegevens die het in zijn rechtspraktijk verwerkt; en
2. Bennovate spółka z ograniczoną odpowiedzialnością, ul. Christiana Andersena 25, 94-118 Łódź, Polen (KRS 0000597272, NIP 7272799328, REGON 363700466), handelend onder de naam Avantwerk Legal AI, die voor de in bijlage 1 genoemde verwerkingen optreedt als verwerker.

Deze overeenkomst is een verwerkersovereenkomst in de zin van artikel 28 lid 3 AVG.

2. Onderwerp en reikwijdte

Deze overeenkomst geldt uitsluitend voor persoonsgegevens die Bennovate namens en volgens de instructies van het kantoor verwerkt: de tijdelijke verwerking van geselecteerde prompts, dossieruittreksels en uitvoer via de beheerde AI-route, de tekst van stukken die aan een dossier worden toegevoegd voor een automatische samenvatting, en materiaal dat het kantoor uitdrukkelijk voor inhoudelijke ondersteuning, gebruikersbeheer of ondertekening verstrekt. Accountbeheer voor eigen contractdoeleinden, facturatie, fraudepreventie, beveiliging en Bennovates eigen gebruiksregistratie zijn verwerkingen van Bennovate als verwerkingsverantwoordelijke en vallen buiten deze overeenkomst.

2.1 Klantbeheerde-kluisafbakening

De canonieke dossierkopie blijft in de versleutelde kluis van het kantoor: een gekozen lokale map in Solo, een door het kantoor beheerde host die bevoegde browsers via geauthenticeerde HTTPS in LAN of VPN bereiken in Practice, en specifieke klantbeheerde infrastructuur in Enterprise. De browser is interface en vervangbare cache. Bennovate host geen centraal dossierarchief. Wanneer een bevoegde gebruiker een beheerde AI-functie start, worden uitsluitend de geselecteerde prompt en dossieruittreksels tijdelijk verwerkt.

1. valt materiaal dat in de lokale opslag blijft buiten deze overeenkomst, maar valt geselecteerde inhoud in de beheerde route er wel onder;
2. is het kantoor zelf verantwoordelijk voor de beveiliging van dossierinhoud op zijn eigen apparaat en opslag;
3. de beheerde route pas voor echte dossiergegevens beschikbaar is nadat de account-specifieke provider, DPA, training, bewaring, regio en verdere doorgiften zijn bewezen; Enterprise is bedoeld voor BYOK. Bij een eigen route hangt de rol van de gekozen aanbieder af van de feitelijke doeleinden en de overeenkomst van het kantoor.

3. Instructies van de verwerkingsverantwoordelijke

De verwerker verwerkt de persoonsgegevens uitsluitend op schriftelijke, gedocumenteerde instructie van het kantoor, ook ten aanzien van doorgifte naar een derde land, tenzij een wettelijke bepaling de verwerker tot verwerking verplicht. In dat geval stelt de verwerker het kantoor vóór de verwerking van die verplichting in kennis, tenzij de wet die kennisgeving verbiedt (artikel 28 lid 3 sub a AVG). Deze overeenkomst, de algemene voorwaarden en het normale gebruik van de dienst gelden als de volledige instructie van het kantoor.

De verwerker stelt het kantoor onmiddellijk in kennis indien naar zijn oordeel een instructie inbreuk maakt op de AVG of op andere gegevensbeschermingsbepalingen (artikel 28 lid 3, slotzin AVG).

4. Geheimhouding

De verwerker waarborgt dat de personen die gemachtigd zijn om de persoonsgegevens te verwerken, zich tot geheimhouding hebben verbonden of door een passende wettelijke verplichting tot geheimhouding zijn gebonden (artikel 28 lid 3 sub b AVG). Toegang tot dossierinhoud wordt niet toegestaan voordat die gedocumenteerde verplichting bestaat. De geheimhouding blijft van kracht na het einde van deze overeenkomst.

4a. Vertrouwelijkheid van dossierinhoud

De verwerker erkent dat de inhoud die hij verwerkt in het kader van clausule 2, met inbegrip van geselecteerde prompts, dossieruittreksels, de tekst van toegevoegde stukken en door de AI-aanbieder gegenereerde uitvoer, vertrouwelijke informatie van het kantoor en zijn cliënten kan bevatten. De geheimhoudingsplicht volgt onder meer uit artikel 11a Advocatenwet en artikel 272 Wetboek van Strafrecht; het processuele verschoningsrecht heeft onder meer een afzonderlijke grondslag in artikel 165 lid 2 onder b Rv en artikel 218 Sv. Deze regels blijven relevant ook voor zover de inhoud niet als persoonsgegevens in de zin van de AVG kwalificeert.

De verwerker en alle personen die namens hem toegang tot die inhoud hebben, zijn gehouden die inhoud als strikt vertrouwelijk te behandelen. Die inhoud mag uitsluitend worden gebruikt voor de uitvoering van de in clausule 2 omschreven dienstverlening. Openbaarmaking aan derden is niet toegestaan, tenzij dit strikt noodzakelijk is voor de in clausule 6 vermelde ingeschakelde subverwerkers en uitsluitend voor zover vereist voor de uitvoering van de dienst.

Deze verplichting is niet afhankelijk van de vraag of de verwerking persoonsgegevens omvat, en blijft na het einde van deze overeenkomst van kracht zolang de verwerker over de betreffende inhoud beschikt.

5. Beveiligingsmaatregelen (artikel 32 AVG)

De verwerker treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, waaronder waar passend:

• versleuteling tijdens transport met TLS 1.2/1.3 en HSTS;
• versleuteld beheer van eigen providerreferenties via de voor het profiel geconfigureerde referentieautoriteit; browseropslag is niet de toegezegde bewaring voor geïnstalleerde profielen;
• toegangscontrole aan de serverzijde, op het principe van minimale rechten, en logregistratie op accountgegevens;
• bescherming tegen aanvallen met brute kracht (fail2ban);
• maatregelen die de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de systemen waarborgen;
• periodieke controle van afhankelijkheden, het scannen op kwetsbaarheden en het testen en beoordelen van de doeltreffendheid van de maatregelen.

De door het kantoor beheerde kluis beperkt de verwerking tot geselecteerde handelingen en voorkomt een centraal Bennovate-dossierarchief. Classificatie, pseudonimisering en uitgaande controles beperken de informatie die mag worden verzonden, maar vervangen niet de beoordeling van het kantoor.

6. Subverwerkers

Het kantoor verleent de verwerker een algemene toestemming om subverwerkers in te schakelen (artikel 28 lid 2 AVG). De verwerker legt elke subverwerker bij overeenkomst dezelfde gegevensbeschermingsverplichtingen op als in deze overeenkomst, en blijft jegens het kantoor volledig aansprakelijk voor de nakoming door de subverwerker (artikel 28 lid 4 AVG).

De onderstaande tabel is de contractuele lijst voor de door deze overeenkomst bestreken dossierroute. De openbare beveiligingspagina is een aanvullend transparantieoverzicht en wijzigt deze overeenkomst niet stilzwijgend. Toevoeging of vervanging van een ingeschakelde subverwerker wordt ten minste 30 dagen vooraf schriftelijk gemeld. Is de kennisgeving verzonden en heeft het kantoor niet op redelijke gronden bezwaar gemaakt binnen de kennisgevingstermijn, dan treedt de wijziging in werking zonder dat een afzonderlijke overeenkomstwijziging vereist is.

Rijen in de tabel aangemerkt als gepland, nog niet in gebruik betreffen aanbieders die contractueel zijn aangegaan of in voorbereiding zijn maar op de versiedatum van dit document nog niet zijn ingeschakeld. Inschakeling vindt niet eerder plaats dan na registerwijziging met de vereiste kennisgeving aan het kantoor. De onderstaande tabel geeft de toestand op de versiedatum van dit document:

Afgrenzing accountbeveiliging. Voor het aanmaken en beveiligen van accounts, het instellen en herstellen van wachtwoorden en het versturen van beveiligingsmeldingen bepaalt Bennovate zelf het doel en de essentiële middelen. Bennovate treedt voor deze verwerking op als verwerkingsverantwoordelijke. Plus Five Five, Inc. (Resend) verwerkt de verzending in opdracht van Bennovate en is voor deze stroom geen subverwerker van het kantoor. Deze verwerking bevat geen dossierinhoud of onder de geheimhoudingsplicht vallend materiaal.

Eigen bedrijfsdiensten van Bennovate. GoHighLevel, Stripe, Mailgun, Resend, de zelf-gehoste ondertekening, Google Workspace, Microsoft 365 en websiteanalyse ondersteunen verwerkingen waarvoor Bennovate zelf doelen en middelen bepaalt. Zij zijn geen subverwerkers van het kantoor voor dossiergegevens tenzij een toekomstige functie hen werkelijk in dat verwerkingspad brengt en overeenkomstig deze clausule wordt gemeld.

Maakt het kantoor binnen 14 dagen na ontvangst van de ten minste 30 dagen vooraf verzonden kennisgeving op redelijke gronden bezwaar tegen een voorgenomen wijziging, dan treden partijen in overleg; komen zij er niet uit, dan kan het kantoor het abonnement voor het betrokken onderdeel beëindigen.

6.5 AI-aanbieder: beheerde sleutel en BYOK

6.5.1 Beheerde toegang. Bennovate mag een aanbieder voor echte dossiergegevens pas inschakelen nadat de account-specifieke bewijsset in clausule 6 is voltooid en de vereiste kennisgeving is gedaan. Tot dat moment mag de beheerde route uitsluitend synthetische gegevens of gegevens bevatten waarvan anonimiteit aantoonbaar is; pseudonimisering alleen volstaat niet. De serverroute faalt gesloten tenzij de markt expliciet als contractueel vrijgegeven is geregistreerd. Een daarna daadwerkelijk ingeschakelde aanbieder is subverwerker en valt onder clausule 6.1 tot en met 6.4.

6.5.1.1 Twee onderscheiden controles vóór verzending. Voordat een oproep de AI-aanbieder bereikt, werken twee afzonderlijke controles. Zij beantwoorden verschillende plichten en de een vervangt de ander niet:

1. De geheimhoudingspoort: een fail-closed uitgangscontrole die elk dossierstuk dat als vertrouwelijk is aangemerkt, en elk stuk dat nog niet is geclassificeerd, tegenhoudt voordat het de provider bereikt. De controle ondersteunt de geheimhoudingsplicht; pseudonimisering is daarvoor geen vervanging. Een beperkte openbaarmaking volgens Gedragsregel 3 vergt de cumulatieve, gedocumenteerde beoordeling door de advocaat. Het processuele verschoningsrecht heeft daarnaast een afzonderlijke functie en grondslag.
2. Pseudonimisering aan de browserzijde: voor het materiaal dat wél uitgaat worden de identificatoren uit de gepubliceerde taxonomie van Bennovate (namen van partijen, adres en postcode, BSN, KvK-nummer, btw-identificatienummer, paspoortnummer, geboortedatum, bank- en zaakgegevens) in de browser van het kantoor vervangen door stabiele tokens. Dit beantwoordt de minimalisatieplicht van art. 5 lid 1 sub c AVG. De volledige klassenlijst, de klassen die in een Nederlands dossier worden geladen en de benoemde grenzen zijn gepubliceerd in bijlage 2 bij deze overeenkomst.

6.5.1.2 Pseudonimisering, geen anonimisering. De vervanging onder 6.5.1.1(b) is omkeerbaar: de koppeltabel ontstaat in de browser van het kantoor, wordt daar gebruikt om de echte waarden in het teruggekeerde concept te herstellen, en wordt nooit doorgegeven aan Bennovate, aan de AI-aanbieder of aan enige andere ontvanger. Het materiaal is daarmee gepseudonimiseerd in de zin van art. 4 lid 5 AVG. Het blijft persoonsgegeven, het blijft binnen het bereik van de AVG en er blijft een grondslag voor vereist. Het is niet geanonimiseerd en Bennovate presenteert het niet als zodanig.

6.5.1.3 Vermelde grenzen. De pseudonimiseringsronde werkt op tekst. Zij bewerkt geen inhoud binnen een afbeelding, schermafbeelding of gescande pagina, en evenmin bijzondere categorieën die als lopende tekst zijn geschreven zonder herkenbaar patroon. Bennovate publiceert de volledige klassenlijst, de klassen die in een Nederlands dossier worden geladen en de vermelde grenzen in bijlage 2 bij deze overeenkomst. Het kantoor mag geen van beide controles beschouwen als vervanging van zijn eigen professionele oordeel over wat verzonden mag worden.

6.5.2 Eigen providerreferentie. Enterprise is bedoeld voor BYOK, maar een ondersteunde eigen providerreferentie kan ook in een ander plan worden geconfigureerd. De technisch compatibele opties zijn Anthropic API, OpenAI API, betaalde Gemini API-diensten, Azure OpenAI Service en Amazon Bedrock in een goedgekeurde EU-regio. Het kantoor sluit rechtstreeks een diensten- en gegevensbeschermingsovereenkomst met de gekozen aanbieder en betaalt het gebruik. De rol van die aanbieder volgt uit de feitelijke doeleinden en overeenkomst en wordt niet uitsluitend door het label BYOK bepaald. Voor zover Bennovate de aanvraag technisch doorstuurt, blijft Bennovate voor die tijdelijke doorgifte verwerker van het kantoor.

7. Bijstand aan het kantoor

De verwerker verleent het kantoor, rekening houdend met de aard van de verwerking en de hem ter beschikking staande informatie, redelijke bijstand bij:

1. het beantwoorden van verzoeken van betrokkenen die hun rechten uitoefenen (hoofdstuk III AVG), door passende technische en organisatorische maatregelen (artikel 28 lid 3 sub e AVG);
2. het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG: beveiliging, melding van inbreuken, gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging (artikel 28 lid 3 sub f AVG).

8. Melding van inbreuken in verband met persoonsgegevens

De verwerker stelt het kantoor zonder onredelijke vertraging in kennis nadat hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens (artikel 33 lid 2 AVG), met de informatie die het kantoor redelijkerwijs nodig heeft om aan zijn eigen meldplicht jegens de toezichthouder en de betrokkenen te voldoen.

9. Audits

De verwerker stelt het kantoor alle informatie ter beschikking die nodig is om de nakoming van de verplichtingen uit artikel 28 AVG aan te tonen, en maakt audits, waaronder inspecties, door het kantoor of een door het kantoor gemachtigde controleur mogelijk en draagt daaraan bij (artikel 28 lid 3 sub h AVG). Audits vinden normaal binnen kantoortijden en na redelijke aankondiging plaats, maar die voorwaarden beperken geen dringende audit die noodzakelijk is wegens een incident, een toezichthouder of een concrete aanwijzing van niet-naleving. De audit wordt evenredig ingericht en beschermt ook de rechten en geheimen van andere klanten.

10. Verwijdering of teruggave na afloop

Na afloop van de dienstverlening verwijdert de verwerker, naar keuze van het kantoor, alle persoonsgegevens of geeft hij die aan het kantoor terug, en verwijdert hij bestaande kopieën, tenzij een wettelijke bepaling de opslag voorschrijft (artikel 28 lid 3 sub g AVG). Bennovate verstrekt desgevraagd een operationeel verwijderings- of retourrecord; een automatisch bewijs voor iedere downstream-kopie bestaat nog niet en mag niet worden verondersteld.

Voor materiaal dat uitsluitend in de lokale dossieropslag blijft, geldt geen verwijder- of retourhandeling door Bennovate. Geselecteerde inhoud die via de beheerde AI-route wordt verwerkt, valt wel onder deze overeenkomst en de toepasselijke verwijder- en retentieafspraken.

11. Duur en toepasselijk recht

Deze verwerkersovereenkomst geldt voor de duur van het abonnement op de dienst. Op deze overeenkomst is Nederlands recht van toepassing, in samenhang met de algemene voorwaarden. Geschillen worden voorgelegd aan de bevoegde rechter zoals bepaald in de algemene voorwaarden.

Bijlage 1: Omschrijving van de verwerking

Bijlage 2: Register van gepseudonimiseerde gegevensklassen

Deze bijlage is het register waarnaar de bepaling over pseudonimisering verwijst. Hij wordt gegenereerd uit de taxonomiebron van het product en bij elke wijziging van een klasse opnieuw opgebouwd, zodat de gepubliceerde lijst en de code niet uit elkaar kunnen lopen.

59 klassen over 5 markten, waarvan er 14 in een Nederlands dossier worden geladen, en 9 benoemde grenzen.

Klassen die in een Nederlands dossier worden geladen

De overige markten

Benoemde grenzen: waar de ronde niet bij komt

* Op een label verankerd. De klasse grijpt op het label naast de waarde; diezelfde waarde kaal in een zin wordt niet bereikt. Hier vermeld in plaats van u het te laten ontdekken.

De vervanging is omkeerbaar en dus pseudonimisering in de zin van art. 4 lid 5 AVG, geen anonimisering. De vertaaltabel ontstaat in de browser van het kantoor, wordt daar gebruikt en gaat nooit mee naar buiten. Verschillende klassen zijn op een label verankerd: ze grijpen op het label naast de waarde, en een kale waarde wordt niet bereikt: de grenzen over de geboortedatum en het zaaknummer geven aan waar.