Verwerkersovereenkomst

1. Voorwerp

Bundlr verwerkt persoonsgegevens uitsluitend namens en volgens de instructies van de Klant, in het kader van de Bundlr-dienst (verzamelen, controleren en bundelen van as-builtdossiers).

2. Aard, duur en doel van de verwerking

• Aard: opslaan, structureren, geautomatiseerd controleren (AI als hulpmiddel), bundelen en beschikbaar stellen van documenten en projectgegevens.
• Duur: zolang de Klant een account heeft, plus de bewaartermijn uit de privacyverklaring.
• Doel: het leveren van de dienst zoals door de Klant geconfigureerd.

3. Categorieën betrokkenen en gegevens

• Betrokkenen: medewerkers en contactpersonen van onderaannemers, en personen vermeld in geüploade documenten.
• Gegevens: naam, contactgegevens en gegevens die voorkomen in bouwdocumenten (attesten, keuringen, plannen, facturen). De Klant verbindt zich ertoe geen bijzondere categorieën van gegevens te uploaden tenzij dat noodzakelijk is.

4. Verplichtingen van Bundlr als verwerker

Bundlr verbindt zich ertoe:

1. a)enkel te verwerken op gedocumenteerde instructie van de Klant;
2. b)de vertrouwelijkheid te waarborgen (personeel gebonden aan geheimhouding);
3. c)passende technische en organisatorische beveiligingsmaatregelen te nemen (zie artikel 32 AVG en bijlage A);
4. d)de Klant te helpen bij verzoeken van betrokkenen en bij gegevensbeschermingseffectbeoordelingen en meldingen;
5. e)een datalek zonder onredelijke vertraging aan de Klant te melden, met als streefdoel binnen 72 uur na kennisname;
6. f)na afloop de gegevens te verwijderen of terug te bezorgen, naar keuze van de Klant;
7. g)de Klant de nodige informatie te bezorgen om naleving aan te tonen, en audits redelijkerwijs toe te staan.

5. Subverwerkers

De Klant geeft algemene toestemming voor het gebruik van de subverwerkers vermeld in bijlage B. Bundlr legt aan elke subverwerker gelijkwaardige verplichtingen op en informeert de Klant bij een voorgenomen wijziging, zodat die bezwaar kan maken.

6. Internationale doorgifte

Verwerking vindt in beginsel plaats binnen de EU. Bij eventuele doorgifte buiten de EER gelden passende waarborgen (EU-standaardcontractbepalingen).

7. Aansprakelijkheid

De AI-controle is een hulpmiddel; de Klant blijft verantwoordelijk voor de eindbeoordeling en de goedkeuring van documenten. Aansprakelijkheid wordt geregeld in de algemene voorwaarden.

8. Duur en beëindiging

Deze overeenkomst geldt zolang Bundlr namens de Klant gegevens verwerkt.

Bijlage A — Beveiligingsmaatregelen

Versleuteling in transit (TLS) en at rest; gehashte wachtwoorden (bcrypt); logische scheiding per klant (tenant-isolatie); toegangscontrole; unieke en vervallende uploadtokens; rate limiting; beveiligingsheaders (CSP, HSTS, anti-clickjacking); bestandsvalidatie op werkelijk bestandstype en grootte.

Bijlage B — Lijst van subverwerkers

• Vercel — hosting, EU (Frankfurt)
• Neon — databank, EU (Frankfurt)
• Cloudflare R2 — documentopslag, EU
• Anthropic — AI-controle, zakelijke API zonder modeltraining op klantdata
• Resend — e-mail, EU
• Stripe — betalingen, PCI-DSS-gecertificeerd
• Upstash — rate limiting, EU