Verwerkersovereenkomst (Data Processing Agreement)

Dit is de verwerkers­overeenkomst van Rectoria. Hierna noemen we ze de «Verwerkers­overeenkomst» of «DPA», naar de Engelse term data processing agreement. Ze wordt gesloten tussen Rectoria («wij»), ingeschreven in de Kruispuntbank van Ondernemingen onder ondernemingsnummer 1041.668.746, met BTW-nummer BE 1041.668.746 en zetel te Henri Dunantstraat 151, 3620 Lanaken, België, en het advocatenkantoor of de juridische entiteit die de Diensten afneemt (het «Kantoor», in de Algemene Voorwaarden de «Abonnee» genoemd). De AVG werkt met vaste rollen, en die gebruiken we in dit document ook. Het Kantoor is de verwerkings­verantwoordelijke: het beslist wat er met de persoonsgegevens gebeurt en waarom. Rectoria is de verwerker: wij verwerken die gegevens uitsluitend in opdracht van het Kantoor, nooit voor onszelf. Deze Verwerkers­overeenkomst regelt die verwerking voor de persoonsgegevens in de Inhoud, zoals artikel 28 van de AVG vereist.

Deze Verwerkers­overeenkomst hoort onlosmakelijk bij de Algemene Voorwaarden: wie zich registreert voor de Diensten of ze gebruikt, aanvaardt allebei tegelijk. Apart ondertekenen hoeft dus niet. Wilt u toch een ondertekend exemplaar, bijvoorbeeld voor uw eigen administratie, stuur dan een e-mail naar team@rectoria.ai en dan ondertekenen we er samen een. Begrippen met een hoofdletter, zoals Inhoud, Diensten en Output, betekenen hier hetzelfde als in artikel 2 van de Algemene Voorwaarden.

Rectoria verwerkt de persoonsgegevens in de Inhoud voor precies één doel: de Diensten aan het Kantoor leveren. Concreet betekent dat: uw dossiers en documenten opslaan en beheren, ze doorzoekbaar maken, Output genereren wanneer het Kantoor daarom vraagt, en de ondersteuning en beveiliging die daarbij horen. Voor iets anders gebruiken wij die gegevens niet.

Over wie gaan de gegevens? De AVG noemt zo iemand een betrokkene: de persoon over wie de gegevens gaan. Hier zijn dat de cliënten van het Kantoor, tegenpartijen, contactpersonen en alle andere personen die in dossiers of documenten voorkomen. Om welke soorten gegevens gaat het? Identificatie- en contactgegevens, de inhoud van dossiers en documenten, financiële gegevens, en (voor zover ze in dossiers zitten) ook bijzondere categorieën van persoonsgegevens (artikel 9 AVG, bijvoorbeeld over gezondheid) en gegevens over strafrechtelijke veroordelingen (artikel 10 AVG); in advocatendossiers is dat onvermijdelijk. Of er voor die gegevens een geldige rechtsgrond bestaat, blijft de verantwoordelijkheid van het Kantoor. Hoe lang? Zolang de Overeenkomst loopt, plus de export- en wisperiode uit artikel 8 van de Algemene Voorwaarden.

Wat valt hier niet onder? Account-, profiel-, gebruiks- en verbruiks­gegevens van het Kantoor en zijn Eindgebruikers (welke functionaliteiten iemand gebruikt, hoe lang, langs welke weg, en het AI-verbruik per gebruiker, steeds zonder de Inhoud zelf) verwerkt Rectoria voor eigen doeleinden, zoals beschreven in het Privacybeleid. Voor die gegevens zijn wij zelf verwerkings­verantwoordelijke, en die verwerkingen vallen dus buiten deze Verwerkers­overeenkomst. Dat zeggen we er eerlijk bij, zodat de grens duidelijk is.

Rectoria doet met de Inhoud alleen wat het Kantoor vraagt. In AVG-termen: wij verwerken uitsluitend op gedocumenteerde instructie van het Kantoor. Daarvoor hoeft u geen aparte opdrachten te schrijven: het gebruik van de functionaliteiten van het Platform door het Kantoor en zijn Eindgebruikers geldt als die instructie. Menen wij dat een instructie in strijd is met de AVG, dan melden wij dat meteen aan het Kantoor.

Iedereen die bij of voor Rectoria toegang heeft tot de Inhoud, is contractueel tot geheimhouding verplicht. Wij beseffen bovendien goed wat er in uw dossiers zit: de Inhoud valt onder het beroepsgeheim van de advocaat, en wij behandelen ze met de zorg die daarbij hoort. Hoe dat concreet is uitgewerkt, leest u in artikel 10 van de Algemene Voorwaarden.

Rectoria beveiligt de Inhoud met passende technische en organisatorische maatregelen, zoals artikel 32 AVG vereist. De belangrijkste worden hieronder beschreven:

• Versleuteling onderweg en in opslag. De Inhoud is versleuteld wanneer ze over het netwerk reist (TLS 1.3; minstens TLS 1.2) en wanneer ze op de servers staat (AES-256, in vakjargon at-rest).
• Strikte logische scheiding per Kantoor. De gegevens van elk kantoor zijn in de software strikt van elkaar gescheiden; vanuit het ene kantoor kan niemand bij de dossiers van een ander (elk gegeven draagt een kantoorkenmerk waarop de software bij elke opvraging filtert).
• Least-privilege toegangsbeheer. Iedereen krijgt alleen de toegangsrechten die strikt nodig zijn voor zijn taak (rolgebaseerd toegangsbeheer, bij elke aanvraag opnieuw gecontroleerd via een gespecialiseerde authenticatieleverancier).
• Append-only audit-logs. Van belangrijke handelingen houden we logboeken bij waaraan alleen kan worden toegevoegd; achteraf wissen of herschrijven kan niet, zodat altijd te reconstrueren valt wat er gebeurd is (aanmeldingen, het inzien en downloaden van documenten, wijzigingen aan dossiers, cliënten en tijdregels, en exports).
• AI-verwerking binnen de EER en adequaatheidslanden, zonder opslag. Wanneer AI de Inhoud verwerkt, gebeurt dat binnen de EER (de Europese Economische Ruimte: de EU plus Noorwegen, IJsland en Liechtenstein) of in landen met een adequaatheids­besluit, dus landen waarvan de Europese Commissie heeft vastgesteld dat ze persoonsgegevens even goed beschermen. In de praktijk loopt dit via AWS Bedrock met EU-inferentieprofielen, die de verwerking binnen de EU-regio's houden. De AI-dienst slaat de Inhoud daarbij niet op (zero data retention) en de aanbieder van het onderliggende model heeft er geen toegang toe.
• Periodieke veiligheidstests. Wij testen de beveiliging op geregelde tijdstippen op zwakke plekken (kwetsbaarheidsscans op de gebruikte softwarebibliotheken en op de configuratie van het Platform).

Rectoria bouwt niet alles zelf: voor onderdelen van de Diensten schakelen wij gespecialiseerde diensten in. Zo'n dienst heet in de AVG een sub-verwerker: een partij die Rectoria inschakelt en die daarbij persoonsgegevens verwerkt. Het Kantoor geeft ons daarvoor een algemene toestemming. Daar staat tegenover dat wij elke sub-verwerker via een overeenkomst verplichtingen opleggen die gelijkwaardig zijn aan deze Verwerkers­overeenkomst, en dat Rectoria tegenover het Kantoor zelf aansprakelijk blijft voor hun prestaties. Loopt het bij een sub-verwerker fout, dan spreekt u ons aan; u hoeft nooit zelf achter die partij aan.

Op de datum van deze Verwerkers­overeenkomst werken wij met deze sub-verwerkers:

• Clerk, Inc. (VS): authenticatie en identiteits­beheer. Dat is het inloggen en het beheer van gebruikersaccounts.
• Neon (Neon, LLC, onderdeel van Databricks, Inc.; databank in een EU-regio): de gehoste PostgreSQL-database waarin de Inhoud staat.
• Vercel, Inc. (VS; hosting en opslag in een EU-regio): applicatie­hosting en documentopslag.
• Amazon Web Services EMEA SARL (Luxemburg): draait de AI-modellen via AWS Bedrock. Dat zijn de Claude-modellen voor AI-inferentie (het genereren van Output) en de Cohere-modellen voor tekst-embeddings en herrangschikking (waarmee documenten inhoudelijk doorzoekbaar worden). De verwerking blijft binnen de EER en landen met een adequaatheids­besluit (EU-inference-profielen). De Inhoud wordt standaard niet opgeslagen (zero data retention), de aanbieders van de onderliggende modellen hebben er geen toegang toe, en contractueel staat vast dat de Inhoud niet voor modeltraining wordt gebruikt.
• Voyage AI (Voyage AI Innovations, Inc., onderdeel van MongoDB, Inc., VS): tekst-embeddings en herrangschikking, uitsluitend om het publieke juridische bronnencorpus (rechtspraak en wetgeving) te doorzoeken. Voyage ontvangt zoekopdrachten, geen dossierdocumenten of andere Inhoud.
• Tavily (AlphaAI Technologies Inc., VS): webzoekopdrachten voor de onderzoeksfunctie. Tavily ontvangt uitsluitend de zoektermen, geen dossierdocumenten of Inhoud.
• Resend (Plus Five Five, Inc., VS): transactionele e-mail. Dat zijn de berichten die het Platform zelf verstuurt, zoals uitnodigingen en meldingen.
• Recommand (BRBX BV, België): gecertificeerd Peppol-toegangspunt voor de verzending van e-facturen, en alleen wanneer het Kantoor die verzending gebruikt. Recommand ontvangt de factuurgegevens (naam, adres en btw-nummer van de gefactureerde cliënt, bedragen en btw-uitsplitsing), niet de prestatie­omschrijvingen of de opmerkingen uit de ereloonstaat: die vertrekken standaard in beknopte vorm, zoals de Orde van Vlaamse Balies aanbeveelt.
• Microsoft Corporation en/of Google LLC (VS): uitsluitend wanneer het Kantoor zelf een Microsoft 365- of Google Workspace-integratie activeert. Zet u die integratie niet aan, dan gaat er niets naartoe.

Willen wij een sub-verwerker toevoegen of vervangen, dan laten wij dat het Kantoor vooraf weten. U kan daartegen binnen dertig (30) dagen bezwaar maken, op redelijke en onderbouwde gronden die verband houden met de bescherming van persoonsgegevens. Wij nemen dat bezwaar serieus en zoeken samen met u naar een passende oplossing. De keuze van sub-verwerkers blijft wel bij Rectoria: wij selecteren hen op beveiliging, betrouwbaarheid, kwaliteit en de goede werking van de Diensten, en een bezwaar geeft geen vetorecht. Vinden we samen geen oplossing, dan kan het Kantoor de Overeenkomst beëindigen volgens artikel 7 van de Algemene Voorwaarden.

De Inhoud wordt opgeslagen in datacentra binnen de Europese Unie. Toch verwerken sommige sub-verwerkers bepaalde persoonsgegevens buiten de EER, vooral in de Verenigde Staten. De AVG noemt dat een doorgifte, en laat ze alleen toe met een geldige grondslag. Die is er telkens. Ofwel geldt een adequaatheids­besluit van de Europese Commissie, zoals het EU-US Data Privacy Framework. Ofwel steunen wij op de standaard­contract­bepalingen van de Europese Commissie (SCC's): door de Commissie goedgekeurde modelclausules die persoonsgegevens buiten de EER hetzelfde beschermingsniveau garanderen, waar nodig aangevuld met bijkomende maatregelen. Die standaard­contract­bepalingen bestaan in modules, en waar ze van toepassing zijn gebruiken wij er twee: Module Twee regelt de stap van verwerkings­verantwoordelijke naar verwerker, Module Drie de stap van verwerker naar sub-verwerker. Zo is elke schakel, van het Kantoor tot en met de sub-verwerkers van Rectoria, contractueel afgedekt en blijft de beschermings­keten gesloten. Op verzoek bezorgen wij u een kopie van de relevante waarborgen.

Betrokkenen kunnen hun AVG-rechten uitoefenen: inzage, verbetering, verwijdering en de andere rechten uit de artikelen 12 tot 23 AVG. Die verzoeken beantwoorden is de taak van het Kantoor als verwerkings­verantwoordelijke, maar Rectoria verleent daarbij redelijke bijstand, rekening houdend met de aard van de verwerking. Dat gebeurt in de eerste plaats via de export-, correctie- en verwijder­functionaliteiten die in het Platform zelf zitten. Ontvangt Rectoria zo'n verzoek rechtstreeks en gaat het over de Inhoud, dan sturen wij het meteen door aan het Kantoor: het is niet aan ons om erover te beslissen.

Hetzelfde geldt voor de plichten van het Kantoor uit de artikelen 32 tot 36 AVG: beveiliging, het melden van datalekken en gegevens­beschermings­effect­beoordelingen (DPIA's: de risicoanalyse die de AVG vereist bij verwerkingen met een hoog risico). Ook daarbij verleent Rectoria redelijke bijstand, op basis van de informatie waarover wij beschikken.

Treft een inbreuk in verband met persoonsgegevens (een datalek) de Inhoud, dan brengt Rectoria het Kantoor daarvan op de hoogte zonder onredelijke vertraging nadat wij er kennis van hebben genomen. Wij bezorgen u daarbij de informatie die u redelijkerwijs nodig heeft om uw eigen meldplichten na te komen: de melding aan de toezichthouder en, waar nodig, aan de betrokkenen (artikelen 33 en 34 AVG).

Eindigt de Overeenkomst, dan kan het Kantoor de Inhoud nog dertig (30) dagen exporteren. Daarna wist Rectoria de Inhoud, zoals bepaald in artikel 8 van de Algemene Voorwaarden. Alleen wat wij op grond van een dwingende wettelijke bewaarplicht moeten bijhouden, blijft zolang die plicht duurt bewaard. Vraagt u schriftelijk om een bevestiging van de verwijdering, dan bezorgen wij u die.

Het Kantoor moet kunnen nagaan of Rectoria artikel 28 AVG naleeft. Daarom stellen wij u op verzoek alle informatie ter beschikking die daarvoor redelijkerwijs nodig is. Wil het Kantoor verder gaan, dan kan het maximaal één keer per jaar een audit laten uitvoeren: mits kennisgeving dertig (30) dagen vooraf, op eigen kosten en tijdens de kantooruren. Twee vanzelfsprekende grenzen daarbij: de audit geeft geen toegang tot gegevens van andere kantoren en mag de Diensten niet verstoren.

Voor aansprakelijkheid geldt ook onder deze Verwerkers­overeenkomst de regeling van artikel 15 van de Algemene Voorwaarden. Op deze Verwerkers­overeenkomst is het Belgische recht van toepassing. En spreken deze Verwerkers­overeenkomst en de Algemene Voorwaarden elkaar ergens tegen, dan gaat voor de verwerking van persoonsgegevens in de Inhoud deze Verwerkers­overeenkomst voor. Spreekt een door beide partijen ondertekend Orderformulier deze Verwerkers­overeenkomst tegen, dan gaat het Orderformulier voor, maar alleen voor de punten die het uitdrukkelijk regelt en nooit onder wat artikel 28 van de AVG minimaal vereist.