Verwerkersovereenkomst

Laatst bijgewerkt: 8 oktober 2026

Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van Notulist en geldt voor iedere zakelijke gebruiker en organisatie die Notulist gebruikt (“de klant”). Je hoeft hem niet apart te ondertekenen: hij geldt zodra je Notulist zakelijk gebruikt. Wil je toch een ondertekende versie, mail dan hello@notulist.io.

1. Partijen en rollen

1. De klant is verwerkingsverantwoordelijke voor de persoonsgegevens in de inhoud die hij met Notulist vastlegt.
2. KKX B.V., Keulenstraat 1, Deventer, KvK 93019424 (“KKX”), is verwerker en verwerkt die persoonsgegevens alleen in opdracht van de klant.
3. Begrippen uit de Algemene Verordening Gegevensbescherming (AVG) hebben in deze overeenkomst dezelfde betekenis.

2. Onderwerp en duur

1. Onderwerp en doel: het leveren van Notulist: vergaderingen opnemen en opslaan, uitschrijven met sprekers, verslagen maken, doorzoeken, delen en koppelen met agenda’s en andere apps, zoals beschreven op notulist.io.
2. Soorten persoonsgegevens: stemgeluid en gesproken inhoud in opnames; transcripten en verslagen en alle persoonsgegevens die daarin voorkomen; namen, e-mailadressen, bedrijven en beschrijvingen van personen in de bibliotheek; sprekers en spreektijd; genodigden van gekoppelde agenda-afspraken; tags, woordenlijsten en chats.
3. Betrokkenen: gebruikers, deelnemers aan opgenomen vergaderingen, personen in de bibliotheek, genodigden van agenda-afspraken en anderen die in de inhoud voorkomen.
4. Bijzondere persoonsgegevens: Notulist is daar niet voor bedoeld, maar ze kunnen in gesproken inhoud voorkomen. De klant beoordeelt of hij die mag verwerken. Notulist maakt geen stemprofielen en verwerkt geen biometrische gegevens om personen te identificeren.
5. Duur: zolang de klant Notulist gebruikt, en daarna tot de gegevens volgens artikel 10 zijn verwijderd.

3. Instructies

1. KKX verwerkt de persoonsgegevens alleen op gedocumenteerde instructies van de klant. Het gebruik en de instellingen van Notulist door de klant en zijn gebruikers gelden als die instructies.
2. KKX laat het de klant weten als een instructie naar haar oordeel in strijd is met de AVG of andere wetgeving.
3. Verplicht de wet KKX tot een verwerking buiten de instructies, dan laat KKX dat vooraf weten, tenzij de wet dat verbiedt.

4. Vertrouwelijkheid

KKX zorgt dat iedereen die namens haar toegang heeft tot de persoonsgegevens tot geheimhouding verplicht is. Medewerkers van KKX bekijken de inhoud alleen als een gebruiker daar voor een supportvraag uitdrukkelijk om vraagt, of als de wet daartoe verplicht.

5. Beveiliging

KKX neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen, rekening houdend met de stand van de techniek, de kosten en de risico’s (artikel 32 AVG). De belangrijkste staan in bijlage 2. KKX mag de maatregelen aanpassen, zolang het beveiligingsniveau niet daalt.

6. Subverwerkers

1. De klant geeft KKX algemene toestemming om de subverwerkers in bijlage 1 in te schakelen.
2. KKX maakt een nieuwe of andere subverwerker minstens 14 dagen van tevoren bekend via deze pagina, en per e-mail aan de beheerders van organisaties. De klant kan binnen die termijn op redelijke gronden bezwaar maken. Komen we er samen niet uit, dan kan de klant zijn gebruik van Notulist beëindigen.
3. KKX legt subverwerkers schriftelijk ten minste dezelfde verplichtingen op als in deze overeenkomst, en blijft tegenover de klant verantwoordelijk voor hun nakoming.

7. Doorgifte buiten de EER

Een aantal subverwerkers verwerkt gegevens in de Verenigde Staten (zie bijlage 1). Die doorgifte vindt plaats op basis van het EU-VS-gegevensprivacykader (Data Privacy Framework), voor zover de subverwerker daaronder is gecertificeerd, en anders op basis van de standaardcontractbepalingen van de Europese Commissie met aanvullende maatregelen.

8. Bijstand

1. Rechten van betrokkenen. Notulist laat de klant zelf gegevens inzien, aanpassen, exporteren en verwijderen. KKX helpt de klant verder bij verzoeken van betrokkenen, en stuurt verzoeken die zij rechtstreeks ontvangt door aan de klant.
2. DPIA en voorafgaande raadpleging. KKX geeft de klant de informatie die hij redelijkerwijs nodig heeft voor een gegevensbeschermingseffectbeoordeling of een raadpleging van de toezichthouder.

9. Datalekken

1. KKX meldt een inbreuk op de beveiliging die betrekking heeft op persoonsgegevens van de klant zonder onredelijke vertraging, en uiterlijk 48 uur nadat KKX ervan op de hoogte is, aan de beheerders van de organisatie of aan de gebruiker.
2. KKX geeft daarbij alle informatie die de klant nodig heeft om zelf aan zijn meldplichten te voldoen: de aard van de inbreuk, de betrokken gegevens en betrokkenen, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. Is niet alles meteen bekend, dan volgt de rest zo snel mogelijk.
3. KKX neemt direct maatregelen om de gevolgen te beperken en herhaling te voorkomen.

10. Einde van de verwerking

1. Bij het einde van het gebruik kan de klant zijn gegevens exporteren via Instellingen.
2. Verwijdert de klant een account, dan wordt dat na 7 dagen definitief verwijderd, met alle inhoud. Back-ups en verwijderde audio verdwijnen uiterlijk 14 dagen later.
3. KKX bewaart geen kopieën, tenzij de wet dat verplicht.

11. Informatie en audits

1. KKX geeft de klant op verzoek schriftelijke informatie waarmee zij aantoont dat zij deze overeenkomst naleeft, zoals een beschrijving van haar beveiligingsmaatregelen.
2. Alleen als die informatie aantoonbaar onvoldoende is, of als een toezichthouder erom vraagt, mag de klant de naleving laten controleren door een onafhankelijke auditor die tot geheimhouding is verplicht. De klant kondigt de audit minstens 30 dagen van tevoren aan en draagt de kosten ervan. Een audit verstoort de dienst niet onnodig en geeft geen toegang tot gegevens van andere klanten, of tot vertrouwelijke informatie van KKX die voor de audit niet nodig is.

12. Aansprakelijkheid en rangorde

1. Voor de aansprakelijkheid van partijen geldt wat in de algemene voorwaarden staat.
2. Spreken de algemene voorwaarden en deze overeenkomst elkaar tegen over de verwerking van persoonsgegevens, dan gaat deze overeenkomst voor.
3. Deze overeenkomst is opgesteld in het Nederlands en het Engels. Bij verschil gaat de Nederlandse tekst voor.

Bijlage 1: subverwerkers

Subverwerker	Waarvoor	Locatie van verwerking
Microsoft (Azure)	Hosting, database, opslag van audio	EU (Nederland)
ElevenLabs	Transcriptie van audio	Verenigde Staten
Anthropic	Verslagen, chat, titels, tag- en sprekersuggesties (Claude)	Verenigde Staten
OpenAI	Embeddings voor zoeken op betekenis	Verenigde Staten
Lettermint	Versturen van e-mail (meldingen van gedeelde vergaderingen, uitnodigingen)	EU
Sentry	Foutmeldingen, met alleen een gebruikers-ID en geen inhoud	EU (Duitsland)

Bijlage 2: beveiligingsmaatregelen

• Versleuteling: alle verbindingen met TLS; opslag van database en audio versleuteld; toegangssleutels voor agenda’s en Apple versleuteld met een eigen sleutel; inlog- en koppeltokens alleen gehasht opgeslagen.
• Toegang voor gebruikers: inloggen via Microsoft, Google of Apple, zonder wachtwoorden bij KKX; kortlevende toegangstokens en roterende sessies, met detectie van hergebruik; organisaties bepalen welke inlogmethodes hun leden gebruiken; delen alleen expliciet en per persoon, en altijd in te trekken.
• Toegang voor medewerkers: alleen voor wie dat nodig heeft; het beheerportaal draait apart van de dienst, met een eigen inlog, en toont geen inhoud van vergaderingen.
• Hosting: Microsoft Azure in de EU (Nederland), met gescheiden containers voor de onderdelen van de dienst.
• Back-ups en herstel: point-in-time back-ups van de database van 14 dagen; verwijderde audio blijft 14 dagen herstelbaar; periodieke hersteltests.
• Monitoring: beschikbaarheidscontroles en meldingen bij storingen; foutmeldingen zonder inhoud of persoonsgegevens behalve een gebruikers-ID.
• Gegevensbeperking: geen tracking of analytics; serverlogs worden na 30 dagen verwijderd; onafgemaakte opnames na 30 dagen.
• Auditlog: beheerwijzigingen binnen een organisatie worden een jaar vastgelegd en zijn zichtbaar voor eigenaren en beheerders.