Verwerkersovereenkomst.

1. Mirre B.V., handelend onder de naam Norde, gevestigd te Heersweg 13, 6651 BP Druten, ingeschreven bij de Kamer van Koophandel onder nummer 42055201, hierna te noemen: “Norde”; en

2. de natuurlijke persoon of rechtspersoon die handelt in de uitoefening van een beroep of bedrijf en op wiens naam een account voor de Dienst is geregistreerd, of met wie Norde een overeenkomst over de Dienst heeft gesloten, zoals blijkt uit de registratie-, account-, abonnements- of facturatiegegevens, hierna te noemen: “Afnemer”;

hierna gezamenlijk: “Partijen” en ieder afzonderlijk: “Partij”.

Deze verwerkersovereenkomst (de “Overeenkomst”) legt vast hoe Norde persoonsgegevens verwerkt ten behoeve van en op instructie van Afnemer bij het gebruik van de Dienst. Norde is een AI-ondersteunde juridische en fiscale onderzoeksomgeving.

Deze Overeenkomst vormt een aanvulling op en maakt deel uit van de Hoofdovereenkomst tussen Norde en Afnemer, met inbegrip van de Algemene Voorwaarden. Voor zover Norde persoonsgegevens ten behoeve van Afnemer verwerkt, treedt Afnemer op als verwerkingsverantwoordelijke en Norde als verwerker in de zin van artikel 28 AVG. Partijen leggen daarmee de afspraken vast die, gelet op de aard van de Dienst, van belang zijn voor het verwerken van persoonsgegevens binnen een AI-ondersteunde juridische en fiscale werkomgeving.

1.1 In deze Overeenkomst hebben de volgende met een hoofdletter geschreven begrippen de navolgende betekenis:

1.2 De begrippen “persoonsgegevens”, “verwerking”, “betrokkene”, “inbreuk in verband met persoonsgegevens” (datalek), “verwerkingsverantwoordelijke”, “verwerker” en “subverwerker” hebben de betekenis die de AVG daaraan toekent (artikel 4 AVG).

2.1 Afnemer treedt, voor zover zij het doel en de middelen van de verwerking van persoonsgegevens binnen de Dienst bepaalt, op als verwerkingsverantwoordelijke.

2.2 Norde treedt, voor zover zij persoonsgegevens verwerkt ten behoeve van Afnemer en op instructie van Afnemer, op als verwerker.

2.3 Voor zover Norde persoonsgegevens verwerkt voor eigen doeleinden, waaronder contractbeheer, facturatie, relatiebeheer, beveiliging van de eigen organisatie, wettelijke administratieverplichtingen of eigen compliance, treedt Norde op als zelfstandig verwerkingsverantwoordelijke. Die verwerkingen vallen niet onder deze Overeenkomst.

2.4 Indien en voor zover een verwerking niet zonder meer binnen één rol kan worden geplaatst, stellen Partijen in redelijkheid vast welke rolverdeling voor die concrete verwerking geldt en welke aanvullende afspraken daarvoor eventueel noodzakelijk zijn.

3.1 Deze Overeenkomst is van toepassing op iedere verwerking van persoonsgegevens die Norde als verwerker uitvoert in het kader van het gebruik van de Dienst door Afnemer.

3.2 Bepalingen uit de Hoofdovereenkomst en de Algemene Voorwaarden, waaronder die over vertrouwelijkheid, aansprakelijkheid, gebruiksbeperkingen, beveiliging, duur en beëindiging, zijn ook op deze Overeenkomst van toepassing, voor zover daarvan in deze Overeenkomst niet uitdrukkelijk wordt afgeweken.

3.3 Bij strijdigheid tussen deze Overeenkomst en de Hoofdovereenkomst of de Algemene Voorwaarden prevaleert deze Overeenkomst, doch uitsluitend voor zover het de verwerking van persoonsgegevens betreft.

4.1 Norde verwerkt persoonsgegevens in het kader van het beschikbaar stellen, gebruiken, beveiligen, onderhouden, ondersteunen en doorontwikkelen van de Dienst gedurende de Gebruiksperiode.

4.2 De verwerking vangt aan op het moment waarop Afnemer of een Gebruiker persoonsgegevens in de Dienst invoert, uploadt, koppelt, laat analyseren of anderszins laat verwerken, dan wel op het moment waarop persoonsgegevens noodzakelijk zijn voor toegang tot of gebruik van de Dienst.

4.3 De verwerking duurt voort zolang Afnemer de Dienst onder de Hoofdovereenkomst gebruikt en eindigt — behoudens het bepaalde over teruggaaf, verwijdering, back-ups, beveiligingslogs en wettelijke bewaartermijnen — op het moment waarop de Gebruiksperiode eindigt.

4.4 Voor zover persoonsgegevens na beëindiging nog tijdelijk aanwezig zijn in back-ups, beveiligingslogs of technische retentieomgevingen, verwerkt Norde die niet langer actief en verwijdert of overschrijft zij deze uiterlijk binnen dertig (30) dagen, tenzij een wettelijke bewaarplicht of schriftelijke instructie van Afnemer een langere bewaring vereist.

5.1 De verwerking kan, afhankelijk van het gebruik door Afnemer en Gebruikers, onder meer bestaan uit het verzamelen, ontvangen, vastleggen, ordenen, structureren, opslaan, raadplegen, doorzoeken, analyseren, combineren, verrijken, weergeven, beschikbaar stellen, afschermen, pseudonimiseren, exporteren, verwijderen en vernietigen van persoonsgegevens.

5.2 Norde verwerkt persoonsgegevens uitsluitend voor zover dat noodzakelijk is voor de uitvoering van de Dienst onder de Hoofdovereenkomst.

5.3 De doeleinden van de verwerking zijn in ieder geval:

5.4 Norde neemt geen zelfstandige beslissingen over de inhoudelijke verwerking van de persoonsgegevens die Afnemer als Klantdata in de Dienst verwerkt. De keuze welke persoonsgegevens worden ingevoerd, welke documenten worden geüpload en welke analyses worden gevraagd, berust bij Afnemer en haar Gebruikers.

6.1 De verwerking kan betrekking hebben op de volgende categorieën betrokkenen:

6.2 Afnemer is ervoor verantwoordelijk dat zij de verwerking van persoonsgegevens van deze betrokkenen binnen de Dienst rechtmatig kan laten plaatsvinden.

7.1 De categorieën persoonsgegevens die binnen de Dienst kunnen worden verwerkt zijn afhankelijk van het gebruik door Afnemer en Gebruikers en kunnen onder meer betrekking hebben op:

7.2 Afnemer zal geen persoonsgegevens in de Dienst verwerken indien zij daarvoor geen rechtsgeldige grondslag heeft of indien verwerking binnen de Dienst onverenigbaar is met een geheimhoudingsplicht, beroepsregel, rechterlijk bevel, contractuele beperking of andere voor Afnemer geldende verplichting. Afnemer is verantwoordelijk voor de rechtmatigheid en proportionaliteit van het invoeren van bijzondere of strafrechtelijke persoonsgegevens.

8.1 Norde verwerkt persoonsgegevens uitsluitend op basis van de Hoofdovereenkomst, deze Overeenkomst en redelijke schriftelijke instructies van Afnemer, mede ten aanzien van doorgifte naar een derde land, tenzij een Unierechtelijke of lidstaatrechtelijke bepaling Norde tot verwerking verplicht.

8.2 Onder schriftelijke instructies worden mede verstaan de instellingen, opdrachten, prompts, uploads, autorisaties en functionele keuzes die Afnemer of haar Gebruikers binnen de Dienst maken.

8.3 Afnemer staat ervoor in dat haar instructies rechtmatig zijn en dat de verwerking overeenkomstig die instructies geen inbreuk maakt op toepasselijke wetgeving, rechten van betrokkenen, rechten van derden, beroepsregels of geheimhoudingsverplichtingen.

8.4 Indien Norde van oordeel is dat een instructie in strijd is met toepasselijke privacywetgeving, informeert Norde Afnemer daarover, tenzij wetgeving deze informatie verbiedt.

8.5 Norde is gerechtigd een instructie op te schorten indien uitvoering daarvan naar haar redelijke oordeel kan leiden tot een beveiligingsrisico, een onrechtmatige verwerking, strijd met toepasselijke wetgeving of een wezenlijke aantasting van de Dienst.

9.1 Afnemer erkent dat de Dienst gebruikmaakt van AI-functionaliteit voor het verwerken van prompts, uploads, projectdocumenten, bronmateriaal en Output.

9.2 Norde verwerkt Klantdata binnen de AI-functionaliteit uitsluitend voor de uitvoering van opdrachten van Afnemer of Gebruikers en voor de in deze Overeenkomst omschreven doeleinden.

9.3 Norde gebruikt Klantdata niet voor training van generieke AI-modellen, tenzij Partijen dat vooraf uitdrukkelijk schriftelijk zijn overeengekomen.

9.4 Norde mag Klantdata en gebruiksgegevens wel gebruiken voor beveiliging, foutopsporing, kwaliteitscontrole, misbruikdetectie, logging, support en verbetering van de technische werking van de Dienst, voor zover dit plaatsvindt binnen de grenzen van de Hoofdovereenkomst, deze Overeenkomst en toepasselijke wetgeving.

9.5 Voor zover bij de uitvoering van de Dienst externe AI-, hosting-, infrastructuur-, database-, monitoring-, logging- of supportleveranciers worden ingezet, kwalificeren deze partijen als subverwerker voor zover zij persoonsgegevens verwerken ten behoeve van Afnemer (zie Bijlage A).

9.6 Norde treft redelijke maatregelen om te voorkomen dat Klantdata ongecontroleerd beschikbaar komt voor andere klanten, onbevoegde derden of openbare AI-omgevingen.

10.1 Norde treft passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies, vernietiging, wijziging, onbevoegde verstrekking, onbevoegde toegang en andere vormen van onrechtmatige verwerking. Een nadere omschrijving is opgenomen in Bijlage B (artikel 32 AVG).

10.2 Bij het bepalen van het passende beveiligingsniveau houdt Norde rekening met de stand van de techniek, de uitvoeringskosten, de aard, omvang, context en doeleinden van de verwerking, alsmede met de risico's voor betrokkenen.

10.3 De maatregelen kunnen onder meer bestaan uit:

10.4 Norde mag beveiligingsmaatregelen wijzigen indien het beschermingsniveau daardoor niet wezenlijk wordt verminderd.

10.5 Afnemer is verantwoordelijk voor de beveiliging van haar eigen systemen, apparatuur, netwerken, accounts, Inloggegevens, autorisaties, gebruikersbeheer en interne procedures.

11.1 Norde zorgt ervoor dat personen die onder haar gezag persoonsgegevens verwerken, gebonden zijn aan een passende geheimhoudingsverplichting.

11.2 Toegang door medewerkers, opdrachtnemers of hulppersonen van Norde tot persoonsgegevens van Afnemer vindt slechts plaats voor zover dit noodzakelijk is voor de uitvoering van de Dienst, support, onderhoud, beveiliging, incidentonderzoek of naleving van wettelijke verplichtingen.

11.3 Norde treft redelijke organisatorische maatregelen om toegang tot persoonsgegevens te beperken tot personen die die toegang nodig hebben voor hun werkzaamheden.

11.4 Norde is zich ervan bewust dat de Klantdata vertrouwelijke en mogelijk onder een beroepsgeheim of verschoningsrecht vallende gegevens kan bevatten, en behandelt deze met de daarbij passende vertrouwelijkheid.

11.5 De geheimhoudingsverplichting geldt niet voor zover openbaarmaking verplicht is op grond van wetgeving, een rechterlijk bevel, een toezichthouder of een andere bevoegde instantie.

12.1 Afnemer verleent Norde algemene toestemming om subverwerkers in te schakelen voor de uitvoering van de Dienst. De ten tijde van het aangaan van deze Overeenkomst ingeschakelde subverwerkers zijn opgenomen in Bijlage A.

12.2 Subverwerkers kunnen onder meer worden ingeschakeld voor hosting, cloudinfrastructuur, databasebeheer, AI-functionaliteit, zoektechnologie, documentverwerking, logging, monitoring, e-mailverkeer, support, beveiliging, back-ups en technisch beheer.

12.3 Norde maakt met subverwerkers schriftelijke afspraken die, gelet op de aard van de dienstverlening, een passend niveau van bescherming bieden en die waarborgen bevatten voor de verwerking van persoonsgegevens.

12.4 Norde blijft tegenover Afnemer verantwoordelijk voor de nakoming van de verplichtingen van subverwerkers voor zover Norde daarvoor op grond van toepasselijke privacywetgeving verantwoordelijk is.

12.5 Norde informeert Afnemer over materiële wijzigingen in de ingeschakelde subverwerkers, voor zover die wijziging redelijkerwijs relevant is voor de verwerking van persoonsgegevens van Afnemer.

12.6 Indien Afnemer redelijke en zwaarwegende bezwaren heeft tegen een nieuwe subverwerker, maakt zij die binnen een redelijke termijn schriftelijk en gemotiveerd aan Norde kenbaar. Partijen treden in dat geval in overleg over een passende oplossing.

12.7 Bereiken Partijen geen passende oplossing en is de inzet van de betreffende subverwerker noodzakelijk voor de Dienst, dan kan Norde het betreffende onderdeel van de Dienst opschorten, aanpassen of beëindigen, voor zover dat redelijkerwijs noodzakelijk is.

13.1 Norde verwerkt persoonsgegevens bij voorkeur binnen de Europese Economische Ruimte (EER).

13.2 Doorgifte van persoonsgegevens buiten de EER vindt slechts plaats indien daarvoor een geldige grondslag en passende waarborgen bestaan onder toepasselijke privacywetgeving, zoals de modelcontractbepalingen (SCC's) van de Europese Commissie.

13.3 Indien doorgifte buiten de EER plaatsvindt via een subverwerker of leverancier, ziet Norde erop toe dat met die partij passende afspraken worden gemaakt over de bescherming van persoonsgegevens. Bijlage A vermeldt het toepasselijke mechanisme per subverwerker.

13.4 Afnemer erkent dat bepaalde AI-, cloud-, beveiligings- of supportleveranciers buiten de EER gevestigd kunnen zijn of vanuit landen buiten de EER toegang kunnen hebben tot persoonsgegevens, mits daarbij passende waarborgen worden toegepast.

14.1 Norde informeert Afnemer zonder onredelijke vertraging, en uiterlijk binnen zesendertig (36) uur nadat Norde kennis heeft genomen van een inbreuk in verband met persoonsgegevens (datalek) die Norde als verwerker ten behoeve van Afnemer verwerkt.

14.2 Norde informeert Afnemer, voor zover redelijkerwijs beschikbaar en relevant, over:

14.3 Afnemer is verantwoordelijk voor de beoordeling of een inbreuk moet worden gemeld aan de toezichthouder of aan betrokkenen, tenzij toepasselijke wetgeving anders bepaalt.

14.4 Norde verleent redelijke medewerking aan Afnemer bij het onderzoeken, beperken en documenteren van een inbreuk die betrekking heeft op persoonsgegevens die Norde als verwerker ten behoeve van Afnemer verwerkt.

14.5 Een melding door Norde aan Afnemer houdt niet in dat Norde erkent dat sprake is van een toerekenbare tekortkoming, onrechtmatige daad of aansprakelijkheid.

15.1 Indien een betrokkene een verzoek richt aan Norde met betrekking tot persoonsgegevens die Norde als verwerker ten behoeve van Afnemer verwerkt, geleidt Norde dat verzoek in beginsel door aan Afnemer en beantwoordt het niet zelf, tenzij wetgeving anders vereist.

15.2 Voor zover Afnemer redelijkerwijs niet zelf via de Dienst aan een verzoek van een betrokkene kan voldoen, verleent Norde redelijke medewerking aan verzoeken tot inzage, rectificatie, verwijdering, beperking, overdraagbaarheid of bezwaar.

15.3 Norde mag redelijke kosten in rekening brengen voor medewerking die buiten de standaardfunctionaliteit van de Dienst of buiten de normale support valt.

15.4 Afnemer blijft verantwoordelijk voor de inhoudelijke beoordeling en afhandeling van verzoeken van betrokkenen.

16.1 Norde verleent Afnemer, voor zover redelijk en voor zover de informatie bij Norde beschikbaar is, bijstand bij het nakomen van verplichtingen die rechtstreeks verband houden met de verwerking van persoonsgegevens door Norde als verwerker.

16.2 Die bijstand kan onder meer betrekking hebben op beveiliging, datalekken, verzoeken van betrokkenen, gegevensbeschermingseffectbeoordelingen (DPIA's) en voorafgaande raadpleging van een toezichthouder (artikelen 32 tot en met 36 AVG).

16.3 Norde mag redelijke kosten in rekening brengen voor bijstand die buiten de normale uitvoering van de Dienst valt.

17.1 Norde verstrekt Afnemer op redelijk verzoek de informatie die nodig is om naleving van deze Overeenkomst aan te tonen, in beginsel door middel van documentatie, beveiligingsverklaringen, certificeringen, auditrapporten of een vragenlijst, en — zodra beschikbaar — een ISO/IEC 27001-certificering (thans in voorbereiding).

17.2 Een audit ter plaatse kan slechts plaatsvinden na voorafgaande schriftelijke afstemming tussen Partijen, tijdens normale kantooruren en met inachtneming van redelijke beveiligings-, vertrouwelijkheids- en continuïteitseisen van Norde.

17.3 Afnemer voert een audit niet vaker uit dan redelijkerwijs noodzakelijk is, tenzij sprake is van een concreet en aantoonbaar beveiligingsincident of een zwaarwegende aanleiding.

17.4 Afnemer zorgt ervoor dat degene die de audit uitvoert onafhankelijk, deskundig en gebonden is aan passende geheimhouding.

17.5 Een audit mag geen toegang geven tot gegevens van andere klanten van Norde, vertrouwelijke bedrijfsinformatie van Norde, broncode, modelinstructies, beveiligingsconfiguraties, technische kwetsbaarheden of informatie waarvan openbaarmaking de veiligheid van de Dienst kan aantasten.

17.6 Norde mag redelijke kosten in rekening brengen voor medewerking aan een audit, tenzij de audit noodzakelijk is als gevolg van een aan Norde toerekenbare ernstige tekortkoming.

18.1 Na beëindiging van de Gebruiksperiode verwijdert Norde Klantdata en daarin opgenomen persoonsgegevens uiterlijk binnen dertig (30) dagen of stelt deze, indien redelijkerwijs mogelijk en schriftelijk verzocht, aan Afnemer ter beschikking in een gangbaar formaat.

18.2 Afnemer dient een verzoek tot export of teruggave vóór het einde van de Gebruiksperiode of uiterlijk binnen dertig (30) dagen daarna te doen.

18.3 Norde mag persoonsgegevens na deze termijn uitsluitend bewaren voor zover dat noodzakelijk is op grond van wetgeving of een schriftelijke instructie van Afnemer. Verdere verwerking wordt beperkt tot dat doel.

18.4 Back-ups worden uiterlijk binnen dertig (30) dagen na beëindiging verwijderd of overschreven, tenzij artikel 18.3 van toepassing is.

18.5 Na verwijdering kan Norde niet gehouden worden tot herstel of reconstructie van verwijderde Klantdata, tenzij Partijen daarover schriftelijk afwijkende afspraken hebben gemaakt.

19.1 Norde bewaart persoonsgegevens niet langer dan noodzakelijk is voor de doeleinden waarvoor zij als verwerker worden verwerkt en verwijdert deze uiterlijk binnen dertig (30) dagen nadat Afnemer of een Gebruiker deze heeft verwijderd of de Gebruiksperiode is geëindigd, behoudens voor zover artikel 18.3 van toepassing is.

19.2 Logging, metadata en beveiligingsgegevens kunnen gedurende een beperkte periode worden bewaard voor beveiliging, foutopsporing, misbruikdetectie, beschikbaarheid, integriteit en bewijspositie.

19.3 Norde gebruikt logging en metadata niet voor zelfstandige inhoudelijke analyse van dossiers van Afnemer, behoudens voor zover dat noodzakelijk is voor support, beveiliging, incidentonderzoek of uitvoering van de Dienst.

20.1 Afnemer verstrekt Norde alle informatie en medewerking die redelijkerwijs noodzakelijk is voor een zorgvuldige uitvoering van deze Overeenkomst.

20.2 Afnemer is verantwoordelijk voor juist gebruik van de Dienst door Gebruikers, waaronder het beperken van onnodige verwerking van gevoelige persoonsgegevens en het zorgvuldig beheren van autorisaties.

20.3 Afnemer informeert Norde onverwijld indien zij kennis krijgt van een beveiligingsincident, onrechtmatige verwerking, onbevoegde toegang of een verzoek van een betrokkene dat mede betrekking kan hebben op de Dienst.

21.1 Op de aansprakelijkheid van Partijen onder deze Overeenkomst is de aansprakelijkheidsregeling uit artikel 24 van de Algemene Voorwaarden van overeenkomstige toepassing, onverminderd het dwingend recht van artikel 82 AVG.

21.2 Afnemer vrijwaart Norde tegen aanspraken, schade, boetes, kosten en uitgaven die voortvloeien uit of verband houden met onrechtmatige instructies van Afnemer, onrechtmatige Klantdata, onvoldoende grondslag voor verwerking, schending van informatieplichten jegens betrokkenen, onjuist gebruik van de Dienst door Gebruikers of andere omstandigheden waarvoor Afnemer verantwoordelijk is.

21.3 De in dit artikel opgenomen beperkingen en vrijwaringen laten onverlet dat Partijen gehouden zijn hun eigen verplichtingen onder toepasselijke privacywetgeving na te leven.

22.1 Deze versie van de Overeenkomst is van toepassing vanaf 1 mei 2026 en treedt voor Afnemer in werking op het moment waarop de Aanvaardende Gebruiker haar elektronisch namens Afnemer aanvaardt overeenkomstig artikel 24, en in ieder geval voordat Norde als verwerker persoonsgegevens ten behoeve van Afnemer verwerkt.

22.2 Deze Overeenkomst blijft van kracht zolang Norde persoonsgegevens verwerkt als verwerker ten behoeve van Afnemer.

22.3 Beëindiging van de Gebruiksperiode brengt in beginsel beëindiging van deze Overeenkomst mee, met dien verstande dat bepalingen over geheimhouding, beveiliging, verwijdering, back-ups, aansprakelijkheid, audits voor zover noodzakelijk en doorgifte van kracht blijven voor zover dat naar hun aard noodzakelijk is.

22.4 Voor zover Norde na beëindiging nog persoonsgegevens bewaart op grond van deze Overeenkomst, de Hoofdovereenkomst of toepasselijke wetgeving, blijft deze Overeenkomst van toepassing op die beperkte verwerking.

23.1 Op deze Overeenkomst is Nederlands recht van toepassing.

23.2 Geschillen worden voorgelegd aan de bevoegde rechter overeenkomstig artikel 31 van de Algemene Voorwaarden, tenzij dwingend recht anders bepaalt.

23.3 Norde stelt wijzigingen van deze Overeenkomst elektronisch aan Afnemer beschikbaar. Materiële wijzigingen worden vooraf meegedeeld en, voor zover zij de verwerking wezenlijk wijzigen of hernieuwde instemming vereisen, opnieuw elektronisch aanvaard overeenkomstig artikel 24. Is een bepaling nietig of vernietigbaar, dan blijven de overige bepalingen van kracht en treden Partijen in overleg over een vervangende bepaling.

23.4 Contact inzake gegevensbescherming: info@norde.ai.

24.1 Deze Overeenkomst wordt langs elektronische weg gesloten en geldt als schriftelijke overeenkomst in elektronische vorm.

24.2 De Overeenkomst wordt vóór de eerste verwerking onder de aandacht van de Aanvaardende Gebruiker gebracht. Aanvaarding vindt plaats doordat de Aanvaardende Gebruiker tijdens het inloggen of activeren van een account het selectievak met de verklaring “Ik heb de Verwerkersovereenkomst gelezen en aanvaard deze namens Afnemer” aanvinkt en de aanmelding of activatie voortzet. Het selectievak is niet vooraf aangevinkt.

24.3 De Aanvaardende Gebruiker verklaart bevoegd te zijn om Afnemer aan deze Overeenkomst te binden. Handelt de Aanvaardende Gebruiker als zelfstandig ondernemer of eenmanszaak, dan aanvaardt zij de Overeenkomst voor zichzelf in haar zakelijke hoedanigheid. Zonder toereikende bevoegdheid mag een Gebruiker de Overeenkomst niet namens een ander aanvaarden of de Dienst namens die ander activeren.

24.4 De identiteit van Afnemer wordt vastgesteld aan de hand van de registratie-, account-, abonnements- en facturatiegegevens die bij Norde bekend zijn. Norde legt ten minste de toepasselijke versie, het tijdstip van aanvaarding en de identificerende account-, organisatie- en gebruikersgegevens vast, zodat de totstandkoming en de toepasselijke versie achteraf kunnen worden aangetoond.

24.5 Norde stelt de toepasselijke versie vóór aanvaarding raadpleegbaar en downloadbaar beschikbaar en houdt deze na aanvaarding op duurzame wijze toegankelijk voor Afnemer. Indien een nieuwe aanvaarding nodig is, krijgt de Gebruiker pas toegang tot de Dienst nadat de nieuwe versie overeenkomstig dit artikel is aanvaard.

De volgende sub-verwerkers worden ten tijde van het aangaan van deze Overeenkomst ingeschakeld:

Norde houdt deze lijst actueel en informeert Afnemer vooraf over materiële wijzigingen, overeenkomstig artikel 12 van deze Overeenkomst en EDPB-Opinie 22/2024.

Norde treft ten minste de volgende maatregelen (artikel 32 AVG):

• Versleuteling tijdens transport: TLS 1.3 (minimaal TLS 1.2).
• Toegangsbeheer: rolgebaseerde toegangscontrole (RBAC) met audit logging.
• Authenticatie: tweefactorauthenticatie (2FA).
• Blackbox systeem
• Data-residentie: persoonsgegevens worden bij voorkeur binnen de EER verwerkt. Doorgifte buiten de EER vindt alleen plaats op een geldige grondslag en met passende waarborgen overeenkomstig artikel 13.
• Scheiding van klantomgevingen, projecten en datasets.
• Pseudonimisering: een automatisch privacyfilter vervangt herleidbare gegevens (zoals namen en KVK-nummers) voordat gegevens aan AI-modellen worden aangeboden.
• Modeltraining: Klantdata wordt niet gebruikt voor het trainen van generieke AI-modellen, tenzij Partijen dat vooraf uitdrukkelijk schriftelijk overeenkomen.
• Incidentrespons, herstelprocedures en back-upbeleid.
• Organisatorisch: toegang op basis van need-to-know; ISO/IEC 27001-certificering in voorbereiding.