Versie 20 augustus 2026
Verwerkersovereenkomst
Gebruik je Union AI om persoonsgegevens van anderen te verwerken, dan heb je een verwerkersovereenkomst nodig. Dit is de samenvatting; vraag ons om de tekst die je kunt ondertekenen.
Dit is een vertaling. Wijkt deze tekst af van de Engelse versie, dan gaat de Engelse versie voor.
Concept
De versie om te ondertekenen opvragen
Rollen: verwerkingsverantwoordelijke en verwerker
Jij bent verwerkingsverantwoordelijke voor de persoonsgegevens die in je prompts terechtkomen. Union AI is verwerker: we verwerken die gegevens uitsluitend om je request uit te voeren en in jouw opdracht. Voor je eigen accountgegevens zijn we zelf verwerkingsverantwoordelijke, zoals beschreven in het privacybeleid. Welke gegevens überhaupt in een AI-tool thuishoren, is een aparte vraag, uitgewerkt in is ChatGPT AVG-proof voor bedrijfsgegevens.
Onderwerp en duur van de verwerking
De verwerking betreft de inhoud van prompts en de gegenereerde antwoorden, en duurt zolang je de dienst gebruikt. Prompts en antwoorden worden niet opgeslagen: ze bestaan alleen in het geheugen zolang je request wordt verwerkt. Er is dus geen bewaartermijn om af te spreken en aan het einde niets te vernietigen.
Subverwerkers en melding van wijzigingen
We maken gebruik van de subverwerkers op de pagina subverwerkers, de volledige lijst, inclusief de partijen met een Amerikaans moederbedrijf. Wijzigingen kondigen we minstens 30 dagen vooraf aan, zodat je bezwaar kunt maken. Maak je bezwaar en komen we er niet uit, dan mag je de overeenkomst beëindigen met terugbetaling van ongebruikt tegoed.
| Categorie | Wie | Wat ze zien |
|---|---|---|
| Inferentie | Scaleway SAS, Europese Unie | De prompt en het antwoord |
| Hosting | Cloudflare, Inc. | Versleuteld verkeer aan de edge |
| Database | Neon (Databricks), EU-regio | Account en verbruik, geen promptinhoud |
| Betalingen | Stripe Payments Europe Ltd, Ierland | Factuurgegevens |
Doorgifte buiten de EU
De inferentie vindt uitsluitend plaats in de Europese Unie. Onze subverwerkers voor hosting, database en betalingen verwerken in Europese regio’s, maar hebben een Amerikaans moederbedrijf; voor hen gelden de standaardcontractbepalingen van de Europese Commissie, samen met de aanvullende maatregelen die die partijen nemen. We beweren niet dat daarmee elke jurisdictievraag is opgelost: zie subverwerkers voor onze onverbloemde lezing.
Beveiligingsmaatregelen
Versleuteling tijdens transport en in opslag, toegang op need-to-knowbasis, API-keys alleen opgeslagen als hash, secrets in een key vault en niet in de code, en periodiek geteste back-ups van de database. We lezen je prompts niet.
Datalekken en bijstand
Bij een datalek informeren we je zonder onredelijke vertraging, met de informatie die je nodig hebt voor je eigen meldplicht. We helpen je bij verzoeken van betrokkenen, bij een DPIA en bij vragen van de toezichthoudende autoriteit, voor zover dat redelijkerwijs van een verwerker kan worden gevraagd.
Audits: eens per jaar mag je een audit laten uitvoeren door een onafhankelijke partij, of onze rapportage opvragen. Vragen over deze overeenkomst stuur je naar hello@europeanailab.eu.
Veelgestelde vragen
Heb ik een verwerkersovereenkomst nodig om AI op het werk te gebruiken?
Als er persoonsgegevens van anderen in je prompts terechtkomen, ja. Volgens artikel 28 van de AVG moet een verwerkingsverantwoordelijke met elke verwerker een schriftelijke overeenkomst hebben, en een AI-dienst die gegevens van je klanten of medewerkers verwerkt, is een verwerker. Bij consumentenabonnementen krijg je meestal helemaal geen verwerkersovereenkomst.
Wie is verwerkingsverantwoordelijke en wie is verwerker?
Jij bent verwerkingsverantwoordelijke voor de persoonsgegevens in je prompts: jij bepaalt wat erin gaat en waarom. Union AI is verwerker voor die inhoud en handelt in jouw opdracht. Voor je eigen accountgegevens zijn we zelf verwerkingsverantwoordelijke, zoals beschreven in het privacybeleid.
Is een DPIA verplicht voor een AI-tool?
Ja, als de verwerking waarschijnlijk een hoog risico voor mensen oplevert. Toezichthouders denken dan aan verwerking op grote schaal, bijzondere categorieën persoonsgegevens en beslissingen die iemands rechten raken. AI inzetten op medische dossiers, biometrische gegevens of sollicitaties haalt die drempel meestal wel. Voor het samenvatten van je eigen openbare documentatie geldt dat niet.
Hoe krijg ik de verwerkersovereenkomst om te tekenen?
Mail naar hello@europeanailab.eu en we sturen je de volledige verwerkersovereenkomst als document. Er is bewust geen downloadknop zolang de tekst juridisch wordt beoordeeld, want een gedateerd bestand dat blijft rondgaan is lastiger terug te halen dan een e-mail.
Worden er gegevens doorgegeven buiten de EU?
De inferentie blijft binnen de Europese Unie. Hosting, database en betalingen verwerken in Europese regio’s, maar hebben een moederbedrijf in de Verenigde Staten, dus voor hen gelden de standaardcontractbepalingen van de Europese Commissie. We beweren niet dat daarmee elke jurisdictievraag is opgelost; op de pagina subverwerkers staat onze onverbloemde lezing.
Hoe snel worden datalekken gemeld?
We informeren je zonder onredelijke vertraging, met de informatie die je nodig hebt voor je eigen meldplicht, en de toezichthoudende autoriteit wordt binnen 72 uur ingelicht als het lek een risico oplevert. Je mag ook eens per jaar een onafhankelijke audit laten uitvoeren, of in plaats daarvan onze rapportage opvragen.