Verwerkersovereenkomst

Deze verwerkersovereenkomst regelt de verwerking van persoonsgegevens door Avantwerk Legal AI namens het afnemend kantoor, op grond van artikel 28 AVG. Zij maakt deel uit van de algemene voorwaarden.

1. Partijen en hoedanigheid

Deze verwerkersovereenkomst wordt gesloten tussen:

1. Het kantoor — het advocatenkantoor dat een abonnement op de dienst neemt, dat optreedt als verwerkingsverantwoordelijke voor de persoonsgegevens die het in zijn rechtspraktijk verwerkt; en
2. Bennovate spółka z ograniczoną odpowiedzialnością, ul. Christiana Andersena 25, 94-118 Łódź, Polen (KRS 0000597272, NIP 7272799328, REGON 363700466), handelend onder de naam Avantwerk Legal AI, die voor de in bijlage 1 genoemde verwerkingen optreedt als verwerker.

Deze overeenkomst is een verwerkersovereenkomst in de zin van artikel 28 lid 3 AVG.

2. Onderwerp en reikwijdte

De verwerker verwerkt persoonsgegevens uitsluitend voor het leveren en in stand houden van de dienst: het beheren van accounts, het verlenen van toegang onder het abonnement, het opmaken van facturen en het bieden van ondersteuning. Het onderwerp, de aard, het doel en de duur van de verwerking, de soorten persoonsgegevens en de categorieën betrokkenen zijn omschreven in bijlage 1.

2.1 Wat buiten deze overeenkomst valt — local-first

De dossierinhoud van het kantoor (cliëntdossiers, onder de geheimhouding vallende stukken, correspondentie, processtukken en ander werkproduct) blijft op de eigen computer en schijf van het kantoor en verlaat die nooit. Dossierinhoud passeert de servers van de verwerker niet. De verwerker komt op geen enkel moment in het bezit van dossierinhoud. Daarom:

1. valt dossierinhoud buiten de werkingssfeer van deze verwerkersovereenkomst, omdat de verwerker die niet verwerkt;
2. is het kantoor zelf verantwoordelijk voor de beveiliging van dossierinhoud op zijn eigen apparaat en opslag;
3. geldt de volgende splitsing naar abonnementsvorm: op de Starter- en Practice-abonnementen (beheerde sleutel) verzorgt Bennovate de API-sleutel van onze AI-aanbieder; die AI-aanbieder is in dat geval subverwerker van Bennovate in de zin van artikel 28 lid 2 AVG (zie clausule 6.5.1) en valt daarmee onder de kennisgevings-, bezwaar- en aansprakelijkheidsbepalingen van clausule 6.1 tot en met 6.4. Op het Enterprise-abonnement (BYOK) levert het kantoor zijn eigen sleutel; de gekozen AI-aanbieder is in dat geval de eigen verwerker van het kantoor onder zijn eigen overeenkomst — geen subverwerker van Bennovate (zie clausule 6.5.2).

3. Instructies van de verwerkingsverantwoordelijke

De verwerker verwerkt de persoonsgegevens uitsluitend op schriftelijke, gedocumenteerde instructie van het kantoor, ook ten aanzien van doorgifte naar een derde land, tenzij een wettelijke bepaling de verwerker tot verwerking verplicht. In dat geval stelt de verwerker het kantoor vóór de verwerking van die verplichting in kennis, tenzij de wet die kennisgeving verbiedt (artikel 28 lid 3 sub a AVG). Deze overeenkomst, de algemene voorwaarden en het normale gebruik van de dienst gelden als de volledige instructie van het kantoor.

De verwerker stelt het kantoor onmiddellijk in kennis indien naar zijn oordeel een instructie inbreuk maakt op de AVG of op andere gegevensbeschermingsbepalingen (artikel 28 lid 3, slotzin AVG).

4. Geheimhouding

De verwerker waarborgt dat de personen die gemachtigd zijn om de persoonsgegevens te verwerken, zich tot geheimhouding hebben verbonden of door een passende wettelijke verplichting tot geheimhouding zijn gebonden (artikel 28 lid 3 sub b AVG). De geheimhouding blijft van kracht na het einde van deze overeenkomst.

5. Beveiligingsmaatregelen (artikel 32 AVG)

De verwerker treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, waaronder waar passend:

• versleuteling tijdens transport met TLS 1.2/1.3 en HSTS;
• versleuteling van de BYOK-sleutel in rust in de IndexedDB van de browser; de sleutel verlaat het apparaat van het kantoor niet;
• toegangscontrole aan de serverzijde, op het principe van minimale rechten, en logregistratie op accountgegevens;
• bescherming tegen aanvallen met brute kracht (fail2ban);
• maatregelen die de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de systemen waarborgen;
• periodieke controle van afhankelijkheden, het scannen op kwetsbaarheden en het testen en beoordelen van de doeltreffendheid van de maatregelen.

De local-first-architectuur is zelf een structurele maatregel van gegevensbescherming door ontwerp (artikel 25 AVG): de meest gevoelige gegevens — de dossierinhoud — bereiken de infrastructuur van de verwerker nooit.

6. Subverwerkers

Het kantoor verleent de verwerker een algemene toestemming om subverwerkers in te schakelen (artikel 28 lid 2 AVG). De verwerker legt elke subverwerker bij overeenkomst dezelfde gegevensbeschermingsverplichtingen op als in deze overeenkomst, en blijft jegens het kantoor volledig aansprakelijk voor de nakoming door de subverwerker (artikel 28 lid 4 AVG).

De bindende en actuele lijst van ingeschakelde subverwerkers wordt bijgehouden in het openbare subverwerkersregister, beschikbaar op advocaat.avantwerk.nl/beveiliging. Dat register heeft voorrang boven de tabel hieronder, die de toestand weergeeft op de versiedatum van dit document. Toevoeging of vervanging van een subverwerker wordt doorgevoerd via het register; het kantoor wordt ten minste 30 dagen vooraf schriftelijk in kennis gesteld. Is de kennisgeving verzonden en heeft het kantoor niet op redelijke gronden bezwaar gemaakt binnen de kennisgevingstermijn, dan treedt de wijziging in werking zonder dat een afzonderlijke overeenkomstwijziging vereist is.

Rijen in de tabel aangemerkt als gepland, nog niet in gebruik betreffen aanbieders die contractueel zijn aangegaan of in voorbereiding zijn maar op de versiedatum van dit document nog niet zijn ingeschakeld. Inschakeling vindt niet eerder plaats dan na registerwijziging met de vereiste kennisgeving aan het kantoor. De onderstaande tabel geeft de toestand op de versiedatum van dit document:

Maakt het kantoor binnen de in het subverwerkersregister vermelde kennisgevingstermijn op redelijke gronden bezwaar tegen een voorgenomen wijziging, dan treden partijen in overleg; komen zij er niet uit, dan kan het kantoor het abonnement voor het betrokken onderdeel beëindigen.

6.5 AI-aanbieder — beheerde sleutel en BYOK

6.5.1 Starter- en Practice-abonnementen (beheerde sleutel). Op deze abonnementen verzorgt Bennovate de API-sleutel van de actieve AI-aanbieder(s). Elke aldus ingeschakelde AI-aanbieder treedt op als subverwerker in de zin van artikel 28 lid 2 AVG; de op enig moment actieve aanbieders staan vermeld in het subverwerkersregister en de tabel hierboven, en vallen onder de subverwerkerverplichtingen van clausule 6.1 tot en met 6.4 (algemene toestemming; kennisgeving van wijzigingen; bezwaarrecht van het kantoor; aansprakelijkheid Bennovate). Elke actieve AI-aanbieder is contractueel verbonden de ontvangen gegevens niet voor modeltraining te gebruiken.

6.5.1.1 Twee onderscheiden controles vóór verzending. Voordat een oproep de AI-aanbieder bereikt, werken twee afzonderlijke controles. Zij beantwoorden verschillende plichten en de een vervangt de ander niet:

1. De geheimhoudingspoort — een fail-closed uitgangscontrole die elk dossierstuk dat als vertrouwelijk is aangemerkt, en elk stuk dat nog niet is geclassificeerd, volledig tegenhoudt zodat het het apparaat van het kantoor niet verlaat. Dit beantwoordt de geheimhoudingsplicht en het verschoningsrecht (art. 11a Advocatenwet, art. 272 Sr). Die zien op de communicatie en op de inhoud van het advies, niet op de naam van de cliënt: een processtuk blijft vertrouwelijk als elke naam is weggelakt. Geen enkele vorm van naamvervanging beantwoordt deze plicht, en zij wordt ook niet als zodanig aangeboden.
2. Pseudonimisering aan de browserzijde — voor het materiaal dat wél uitgaat worden de identificatoren uit de gepubliceerde taxonomie van Bennovate (namen van partijen, adres en postcode, BSN, KvK-nummer, btw-identificatienummer, paspoortnummer, geboortedatum, bank- en zaakgegevens) in de browser van het kantoor vervangen door stabiele tokens. Dit beantwoordt de minimalisatieplicht van art. 5 lid 1 sub c AVG. De volledige klassenlijst, de klassen die in een Nederlands dossier worden geladen en de benoemde grenzen zijn gepubliceerd in bijlage 2 bij deze overeenkomst.

6.5.1.2 Pseudonimisering, geen anonimisering. De vervanging onder 6.5.1.1(b) is omkeerbaar: de koppeltabel ontstaat in de browser van het kantoor, wordt daar gebruikt om de echte waarden in het teruggekeerde concept te herstellen, en wordt nooit doorgegeven aan Bennovate, aan de AI-aanbieder of aan enige andere ontvanger. Het materiaal is daarmee gepseudonimiseerd in de zin van art. 4 lid 5 AVG. Het blijft persoonsgegeven, het blijft binnen het bereik van de AVG en er blijft een grondslag voor vereist. Het is niet geanonimiseerd en Bennovate presenteert het niet als zodanig.

6.5.1.3 Vermelde grenzen. De pseudonimiseringsronde werkt op tekst. Zij bewerkt geen inhoud binnen een afbeelding, schermafbeelding of gescande pagina, en evenmin bijzondere categorieën die als lopende tekst zijn geschreven zonder herkenbaar patroon. Bennovate publiceert de volledige klassenlijst, de klassen die in een Nederlands dossier worden geladen en de vermelde grenzen in bijlage 2 bij deze overeenkomst. Het kantoor mag geen van beide controles beschouwen als vervanging van zijn eigen professionele oordeel over wat verzonden mag worden.

6.5.2 Enterprise-abonnement (BYOK). Schakelt het kantoor de eigen-sleutel-functie (BYOK) in, dan levert het kantoor zijn eigen API-sleutel. Die sleutel wordt opgeslagen in de IndexedDB van de browser en wordt nooit doorgegeven aan de servers van Bennovate. De gekozen AI-aanbieder is in dat geval de eigen verwerker van het kantoor onder zijn eigen overeenkomst en verwerkersovereenkomst met die aanbieder — niet een subverwerker van Bennovate in de zin van artikel 28 AVG. Dossierinhoud die via BYOK bij de AI-aanbieder terechtkomt, wordt verwerkt onder de eigen relatie van het kantoor met die aanbieder; het tokengebruik wordt het kantoor rechtstreeks door die aanbieder in rekening gebracht. Het kantoor is zelf verantwoordelijk voor zijn AVG-naleving in die verwerkingsketen, waaronder eventuele doorgifteverplichtingen voor doorgifte naar een derde land.

7. Bijstand aan het kantoor

De verwerker verleent het kantoor, rekening houdend met de aard van de verwerking en de hem ter beschikking staande informatie, redelijke bijstand bij:

1. het beantwoorden van verzoeken van betrokkenen die hun rechten uitoefenen (hoofdstuk III AVG), door passende technische en organisatorische maatregelen (artikel 28 lid 3 sub e AVG);
2. het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG — beveiliging, melding van inbreuken, gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging (artikel 28 lid 3 sub f AVG).

8. Melding van inbreuken in verband met persoonsgegevens

De verwerker stelt het kantoor zonder onredelijke vertraging in kennis nadat hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens (artikel 33 lid 2 AVG), met de informatie die het kantoor redelijkerwijs nodig heeft om aan zijn eigen meldplicht jegens de toezichthouder en de betrokkenen te voldoen.

9. Audits

De verwerker stelt het kantoor alle informatie ter beschikking die nodig is om de nakoming van de verplichtingen uit artikel 28 AVG aan te tonen, en maakt audits — waaronder inspecties — door het kantoor of een door het kantoor gemachtigde controleur mogelijk en draagt daaraan bij (artikel 28 lid 3 sub h AVG). Audits vinden plaats binnen kantoortijden, na redelijke aankondiging en op zodanige wijze dat de bedrijfsvoering en de geheimhoudingsverplichtingen van de verwerker zo min mogelijk worden verstoord.

10. Verwijdering of teruggave na afloop

Na afloop van de dienstverlening verwijdert de verwerker, naar keuze van het kantoor, alle persoonsgegevens of geeft hij die aan het kantoor terug, en verwijdert hij bestaande kopieën, tenzij een wettelijke bepaling de opslag van de persoonsgegevens voorschrijft (artikel 28 lid 3 sub g AVG).

Voor dossierinhoud geldt deze verplichting niet, omdat die op het apparaat van het kantoor blijft en de verwerker die nooit onder zich heeft gehad; het kantoor beheert die gegevens zelf.

11. Duur en toepasselijk recht

Deze verwerkersovereenkomst geldt voor de duur van het abonnement op de dienst. Op deze overeenkomst is Nederlands recht van toepassing, in samenhang met de algemene voorwaarden. Geschillen worden voorgelegd aan de bevoegde rechter zoals bepaald in de algemene voorwaarden.

Bijlage 1 — Omschrijving van de verwerking

Bijlage 2 — Register van gepseudonimiseerde gegevensklassen

Deze bijlage is het register waarnaar de bepaling over pseudonimisering verwijst. Hij wordt gegenereerd uit de taxonomiebron van het product en bij elke wijziging van een klasse opnieuw opgebouwd, zodat de gepubliceerde lijst en de code niet uit elkaar kunnen lopen.

59 klassen over 5 markten, waarvan er 14 in een Nederlands dossier worden geladen, en 9 benoemde grenzen.

Klassen die in een Nederlands dossier worden geladen

De overige markten

Benoemde grenzen — waar de ronde niet bij komt

* Op een label verankerd. De klasse grijpt op het label naast de waarde; diezelfde waarde kaal in een zin wordt niet bereikt. Hier vermeld in plaats van u het te laten ontdekken.

De vervanging is omkeerbaar en dus pseudonimisering in de zin van art. 4 lid 5 AVG, geen anonimisering. De vertaaltabel ontstaat in de browser van het kantoor, wordt daar gebruikt en gaat nooit mee naar buiten. Verschillende klassen zijn op een label verankerd: ze grijpen op het label naast de waarde, en een kale waarde wordt niet bereikt — de grenzen over de geboortedatum en het zaaknummer geven aan waar.