Verwerkersovereenkomst

Versie van 14 oktober 2026

In het portaal staat werk van de fractie waar persoonsgegevens in zitten: namen in notities, post van inwoners, declaraties, wie wat schreef. De fractie bepaalt wat daarmee gebeurt; wij bewaren en verwerken het alleen om de dienst te leveren. Deze overeenkomst legt dat vast, zoals artikel 28 van de AVG voorschrijft. Zij hoort bij de voorwaarden en gaat in zodra de fractie het portaal in gebruik neemt.

Partijen

Artikel 1 — Onderwerp en duur

Wij verwerken persoonsgegevens in opdracht van de fractie, voor zover dat nodig is om het portaal te leveren. Deze overeenkomst loopt zolang de fractie het portaal gebruikt, en de verplichtingen over geheimhouding, teruggave en verwijdering blijven daarna gelden.

Artikel 2 — Aard, doel en categorieën

Zie bijlage 1. De fractie staat ervoor in dat zij de gegevens die zij in het portaal zet rechtmatig verwerkt, en dat zij de mensen om wie het gaat daarover heeft geïnformeerd.

Artikel 3 — Alleen in opdracht

Wij verwerken de gegevens alleen volgens de schriftelijke instructies van de fractie. Het gebruik van het portaal en deze overeenkomst gelden als die instructie. Verplicht een wet ons tot iets anders, dan melden wij dat vooraf, tenzij die wet dat verbiedt. Vinden wij dat een instructie in strijd is met de AVG, dan zeggen wij dat.

Wij gebruiken de gegevens van een fractie nooit voor onszelf: niet om de dienst te verbeteren, niet om modellen te trainen, niet voor analyses buiten die fractie en niet voor andere klanten.

Artikel 4 — Geheimhouding

Iedereen die bij ons toegang tot de gegevens kan krijgen, is tot geheimhouding verplicht. Wij komen niet in het werk van een fractie, behalve wanneer dat nodig is voor onderhoud of om een storing op te lossen, en dan zo min mogelijk. De beheerconsole waarmee wij het platform beheren toont geen inhoud, alleen tellingen: hoeveel gebruikers een fractie heeft, wanneer er voor het laatst iemand was en hoeveel opslag zij gebruikt.

Artikel 5 — Beveiliging

Wij nemen passende technische en organisatorische maatregelen, beschreven in bijlage 2. Wij mogen die maatregelen veranderen zolang het beschermingsniveau gelijk blijft of beter wordt.

Artikel 6 — Subverwerkers

De fractie geeft algemene toestemming voor de subverwerkers in bijlage 3. Willen wij er een toevoegen of vervangen, dan melden wij dat minstens dertig dagen vooraf. Maakt de fractie binnen die termijn gemotiveerd bezwaar en komen wij er samen niet uit, dan mag zij opzeggen tegen de datum waarop de wijziging ingaat, met terugbetaling van het resterende deel van het jaar.

Wij leggen elke subverwerker dezelfde verplichtingen op als hier staan, en blijven zelf aansprakelijk voor wat zij doen.

Artikel 7 — Hulp aan de fractie

Krijgt de fractie een verzoek van iemand die zijn gegevens wil inzien, corrigeren of verwijderen, dan helpen wij haar daarbij; het portaal heeft daar functies voor. Komt zo'n verzoek bij ons binnen, dan sturen wij het door naar de fractie en beantwoorden wij het niet zelf. Wij helpen ook bij een beoordeling van de gevolgen voor de gegevensbescherming (DPIA) als de fractie die maakt. Voor werk dat daar substantieel bovenuit gaat mogen wij een redelijke vergoeding vragen; dat zeggen wij dan vooraf.

Artikel 8 — Doorgifte buiten de EER

De gegevens staan op een server in Nederland. Er gaat alleen iets buiten de Europese Economische Ruimte bij onderdelen waarvoor dat nodig is:

• de ingebouwde AI-assistent en het uitzoeken van een sjabloon (Anthropic, Verenigde Staten);
• het uitschrijven van vergaderaudio, het herkennen van sprekers daarin, de hulpfunctie in het portaal en de tips tijdens een vergadering (xAI, Verenigde Staten);
• de e-mail die het portaal verstuurt (Resend, Verenigde Staten);
• het plaatsen van berichten op de socialaccounts van de fractie (Post for Me, Verenigde Staten);
• meldingen via Telegram.

Voor Anthropic, xAI, Resend en Telegram gelden de modelcontractbepalingen van de Europese Commissie. Met Post for Me zijn die op dit moment niet overeengekomen. Zolang dat zo is, gaat naar die dienst alleen wat de fractie zelf naar buiten brengt: de tekst van een bericht, de foto of video erbij, het gekozen moment, en de sleutels waarmee de dienst namens de fractie op haar eigen accounts mag plaatsen. Er gaan geen gegevens van inwoners heen en geen stukken of notities uit het portaal.

Wat naar xAI gaat is de tekst of het geluid van een openbare raadsvergadering, en bij de hulpfunctie de vraag die iemand typt; de categorieën uit bijlage 1 die nooit naar een AI gaan, gaan ook hier niet heen. Naar Resend gaat het adres van de ontvanger en de inhoud van het bericht dat het portaal stuurt.

De AI-assistent, Google, Telegram en het onderdeel Social media zet de fractie zelf aan of uit; laat zij die uit, dan gaat er via die weg niets de EER uit. De vier functies bij xAI en het versturen van e-mail zijn geen knop van de fractie maar een onderdeel van het portaal zelf. Wil een fractie geen enkele doorgifte buiten de EER, laat het ons dan weten; dan bekijken wij samen wat er dan wel en niet kan.

Artikel 9 — Datalekken

Ontdekken wij een inbreuk in verband met persoonsgegevens van de fractie, dan melden wij dat zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat wij ervan wisten. Wij melden wat er is gebeurd, om welke gegevens en hoeveel mensen het gaat, wat de vermoedelijke gevolgen zijn en wat wij eraan doen. Melden bij de Autoriteit Persoonsgegevens of bij betrokkenen doet de fractie; wij leveren wat zij daarvoor nodig heeft.

Artikel 10 — Controle

De fractie mag één keer per jaar controleren of wij ons aan deze overeenkomst houden. Wij beantwoorden vragen en laten desgevraagd zien hoe de beveiliging is ingericht. Wil de fractie een audit door een onafhankelijke deskundige, dan werken wij daaraan mee; die deskundige tekent voor geheimhouding, de audit wordt minstens twee weken vooraf aangekondigd en verstoort de dienst niet. De kosten zijn voor de fractie, tenzij uit de audit blijkt dat wij ons niet aan deze overeenkomst hielden.

Artikel 11 — Teruggave en verwijdering

Bij het einde van de overeenkomst krijgt de fractie een export van haar gegevens. Daarna verwijderen wij haar database en haar bestanden binnen dertig dagen, tenzij een wet ons verplicht iets te bewaren — dan bewaren wij alleen dat, en niet langer dan nodig.

Artikel 12 — Aansprakelijkheid

Voor aansprakelijkheid geldt wat in artikel 13 van de voorwaarden staat. Boetes die een toezichthouder oplegt omdat wij ons niet aan deze overeenkomst hielden, komen voor onze rekening.

Artikel 13 — Rangorde en wijziging

Spreken deze overeenkomst en de voorwaarden elkaar tegen over de verwerking van persoonsgegevens, dan gaat deze overeenkomst voor. Wij mogen haar aanpassen als de wet of de dienst daarom vraagt; dat melden wij minstens een maand van tevoren, en artikel 6 geldt dan overeenkomstig.

Bijlage 1 — De verwerking

Aard en doel. Het bewaren, tonen, doorzoeken en bewerken van het werk van een fractie in de gemeenteraad, het versturen van meldingen die de fractie instelt, en het beantwoorden van vragen met de AI-assistent als de fractie die gebruikt.

Categorieën betrokkenen. Leden en medewerkers van de fractie; raadsleden, wethouders en ambtenaren die in openbare raadsinformatie voorkomen; inwoners die de fractie schrijven of die in stukken of notities van de fractie worden genoemd.

Soorten gegevens. Naam, e-mailadres, rol en rechten; inloggegevens (wachtwoord als hash, tweestapsgeheim versleuteld); een logboek van handelingen; alles wat de fractie zelf invoert of uploadt, waaronder notities, concepten, spreekteksten, agenda's, bestanden, declaraties en post van inwoners; en de openbare raadsinformatie van de gemeente.

Bijzondere persoonsgegevens. Het portaal is daar niet voor bedoeld. Post van inwoners kan gevoelige informatie bevatten; die gaat nooit naar een AI-model en is alleen te lezen door wie daar binnen de fractie recht op heeft.

Duur. Zolang de fractie het portaal gebruikt, plus de termijnen uit artikel 11.

Bijlage 2 — Beveiligingsmaatregelen

• Een eigen database per fractie, in een eigen map met een eigen sleutel — geen gedeelde tabellen met een kolom "welke fractie", zodat een fout nooit werk van de ene fractie bij de andere brengt.
• Versleuteld verkeer over https, met HSTS; de code en de databases staan buiten de map die de webserver bedient.
• Wachtwoorden alleen als hash (argon2id waar beschikbaar); sleutels van koppelingen versleuteld met AES-256-GCM, met een sleutel per fractie die naast de database staat.
• Tweestapsverificatie beschikbaar voor iedereen en door de fractie verplicht te stellen; herstelcodes voor wie zijn telefoon kwijtraakt.
• Rechten per taak, zodat niet iedereen alles kan, en een logboek van wie wat deed.
• Grenzen tegen misbruik: een beperkt aantal inlogpogingen, korte sessies, en controle op de herkomst van elk formulier.
• Beheer op afstand: de server is alleen met een sleutel te benaderen, niet met een wachtwoord; de beheerconsole staat op een eigen adres met verplichte tweestapsverificatie en een eigen logboek.
• Back-ups: de hostingprovider maakt elke vier uur een back-up van de hele server en daarnaast een wekelijkse, beide in Nederland. Daarmee is een server na een storing of een fout terug te zetten. Ze staan in hetzelfde datacenter als de server zelf.
• Herstel: de fractie kan daarnaast op elk moment een export van al haar gegevens opvragen — een zip met haar stukken, bestanden en database, zonder wachtwoorden en sleutels.
• Updates: beveiligingsupdates van het besturingssysteem worden automatisch geïnstalleerd.

Bijlage 3 — Subverwerkers

Koppelt de fractie haar eigen AI (Claude of ChatGPT) of haar eigen mailbox, dan is dat haar eigen leverancier en geen subverwerker van ons. De openbare bronnen waaruit het portaal leest — het raadsinformatiesysteem van de gemeente, het CBS, DUO, Rijkswaterstaat en nieuwsbronnen — verwerken niets voor ons.