Verwerkersovereenkomst

1. Partijen & rollen

• Verwerkingsverantwoordelijke: de Klant (het advocatenkantoor).
• Verwerker: WestAI B.V., handelend onder de naam MatterDesk, KvK 42105814.
• WestAI verwerkt persoonsgegevens uitsluitend in opdracht en volgens instructie van de Klant.

2. Onderwerp, duur, aard & doel

• Onderwerp/duur: de verwerking die voortvloeit uit het gebruik van MatterDesk, voor de looptijd van de hoofdovereenkomst.
• Aard & doel: dossierbeheer in de Klantomgeving. AI-bevraging: bij Managed via een externe AI-provider (WestAI verkoopt tokens door, bewaart niets); bij Foundry in de eigen Azure van de Klant.

3. Reikwijdte per model (belangrijk — leidend: docs/32)

• Alle dossierdata blijft in de Klantomgeving (SharePoint Embedded). WestAI bewaart/host NIETS — geen documenten, geen fragmenten, geen index — in geen van beide modellen.
• Managed AI: de add-in/klant-component doet retrieval in de Klantomgeving en stuurt gefilterde/ gepseudonimiseerde fragmenten naar een externe AI-provider (Claude/OpenAI/Perplexity — TBD). Die provider is (sub)verwerker voor de AI-call; vereist DPA met die provider, EU-dataresidentie, geen training, zero-retention (docs/03 §3.7). WestAI is geen opslaande verwerker — het verkoopt tokens door en meter't; als er een thin routering wordt gebruikt, transiteren fragmenten hooguit zonder opslag.
• Eigen Foundry: geen verwerking én geen index bij WestAI; AI + index blijven in de Azure van de Klant.

4. Categorieën betrokkenen & persoonsgegevens

• Betrokkenen: medewerkers/gebruikers van de Klant; cliënten en (tegen)partijen in dossiers; overige in dossiers voorkomende personen.
• Gegevens: contact-/identiteitsgegevens, dossierinhoud, en (bij Managed AI) daaruit gefilterde fragmenten die naar de externe AI-provider gaan (WestAI bewaart ze niet). Mogelijk bijzondere categorieën (juridische dossiers) → passende waarborgen.

5. Instructies

WestAI verwerkt alleen op gedocumenteerde instructie van de Klant (deze DPA + het gebruik van de dienst) en meldt het als een instructie z.i. in strijd is met de AVG.

6. Vertrouwelijkheid

Personeel/onderaannemers van WestAI zijn tot geheimhouding gebonden.

7. Beveiliging (AVG art. 32)

Passende technische en organisatorische maatregelen (TOM's), zie Bijlage A. O.a.: MFA/SSO, least-privilege + delegated access, ethical walls (container-per-dossier), encryptie in transit/at rest, her-autorisatie bij AI-retrieval, audit logging (docs/11).

7a. Support-toegang tot dossierdata (geen standing toegang)

Voor de advocatuur is dit een kernvraag in due diligence. Uitgangspunt: WestAI-support heeft géén staande toegang tot dossierinhoud (WestAI host geen dossierdata/index — docs/32). Support werkt normaal uitsluitend met metadata, tellers en logs zonder dossierinhoud.

Toegang tot containerinhoud in de Klant-tenant (WestAI houdt zelf géén index of dossier-afgeleide data) is alleen just-in-time en onder alle onderstaande waarborgen:

1. Expliciete goedkeuring van de Klant per geval (geen blanket-toestemming);
2. Vier-ogen — een tweede geautoriseerde WestAI-medewerker;
3. Tijdgebonden — toegang verloopt automatisch na de sessie/[max. duur];
4. Volledige audit-logging (wie, wat, wanneer, waarom) — op verzoek aan de Klant beschikbaar;
5. Geen export/kopie buiten de omgeving; geen gebruik voor andere doeleinden.

Break-glass: alleen bij een zwaarwegend beveiligings-/beschikbaarheidsincident, met dezelfde logging en achteraf melding aan de Klant. Zie ook SLA §4 en DPIA A.4.

8. Subverwerkers

• De Klant geeft algemene toestemming voor subverwerkers; WestAI houdt een actuele lijst bij (Bijlage B) en meldt wijzigingen [30] dagen vooraf, met bezwaarrecht.
• Rolonderscheid Microsoft (belangrijk — laat door de jurist finaliseren):
• Klant-M365 + SharePoint Embedded: de Klant heeft een eigen contract-/billingrelatie met Microsoft (SPE = pass-through, docs/30) → Microsoft is rechtstreeks verwerker van de Klant in beide modellen. Niet subverwerker van WestAI.
• Managed AI — externe AI-provider (Claude/OpenAI/Perplexity — TBD): verwerkt de gefilterde fragmenten voor de AI-call. Kwalificatie: (sub)verwerker — als WestAI de provider contracteert namens de Klant is het subverwerker van WestAI; contracteert de Klant zelf, dan verwerker van de Klant (juridisch bepalen). Vereist EU-dataresidentie + DPA + zero-retention (docs/03 §3.7).
• Eigen Foundry — Klant-Azure-resources: Search + Foundry draaien in de Klant-Azure → rechtstreeks verwerker van de Klant.
• WestAI zelf: geen opslaande verwerker van dossierdata (geen index, geen opslag) — enkel token- doorverkoop/metering + backend (tellers/rechten).
• `[Mollie]` (betaling): aparte kwalificatie afhankelijk van de specifieke verwerking.
• `[hosting statische bundel]`: subverwerker van WestAI (geen dossierdata).
• WestAI houdt een actuele Bijlage B bij met naam, rol (verwerker/subverwerker), dienst, locatie/EER en doel.

9. Internationale doorgifte

Verwerking in de EU/EER (Azure EU-region). Doorgifte buiten de EER alleen met passende waarborgen (bv. EU-modelcontractbepalingen). Support-toegang (§7a) gebeurt vanuit de EER; kan een subverwerker of WestAI-support in een uitzonderlijk geval buiten de EER toegang krijgen, dan geldt dat als doorgifte met verplichte passende waarborgen — expliciet vastleggen in Bijlage B.

10. Bijstand aan de Klant

• Betrokkenenrechten (inzage, correctie, verwijdering enz.) — WestAI verleent redelijke bijstand.
• DPIA & voorafgaande raadpleging — bijstand met informatie (het threat model docs/11 is input).
• Datalekken: WestAI meldt een (vermoed) lek zonder onredelijke vertraging aan de Klant, met relevante info, zodat de Klant kan voldoen aan AVG art. 33/34. Waar NIS2 van toepassing is, sluit het incidentproces aan op de NIS2-termijnen (docs/05 §5.6).

11. Audit

De Klant mag (jaarlijks/na incident) de naleving controleren via rapportages/certificeringen of een audit, met redelijke aankondiging en vertrouwelijkheid.

12. Teruggave & verwijdering

Bij einde: dossierdata staat al bij de Klant (tenant-native). WestAI heeft geen dossierdata of index om te verwijderen — het verwijdert/retourneert alleen de bij hem aanwezige tellers/config/logs binnen 30 dagen na beëindiging, behoudens wettelijke bewaarplicht. Op verzoek een verwijderbewijs. (Bij Foundry wist de Klant zelf de index in zijn eigen Azure; bij Managed is er geen index.) Zelfde termijn in AV art. 8 + SLA §9.

12a. Back-upverantwoordelijkheid (eerlijk vastleggen)

De dossierdata staat in de Klantomgeving (M365/SharePoint). Microsoft 365 biedt geen volledige back-up (alleen beperkte versiehistorie/prullenbak) → de back-up-/recovery-verantwoordelijkheid voor de dossierdata ligt bij de Klant (evt. via een back-upoplossing van een partner). WestAI back-upt uitsluitend zijn eigen state (entitlements, metering, config — RTO/RPO in SLA §6). Dit staat ook in AV art. 9 en SLA §6.

13. Aansprakelijkheid

Conform de hoofdovereenkomst/AVG. [Nader in te vullen.]

---

Bijlage A — TOM's (samenvatting)

MFA/SSO; RBAC least-privilege; ethical walls (container-per-matter); delegated retrieval in de klantomgeving; encryptie in transit/at rest; pseudonimisering + fragment-only vóór de externe AI-provider (Managed); WestAI bewaart geen dossierdata/index; no-content-logging — prompt, opgehaalde fragmenten, AI-response en documenttekst komen nooit in logs, traces, exception-telemetrie of request-capture; alleen metadata (tenant-ID, correlation-ID, model, tokens, latency, status) wordt gelogd (docs/32 §32.8); geen standing support-toegang (§7a); audit logging; supply-chain- maatregelen; minimaal jaarlijkse externe pentest + prompt-injection-testsuite (attest op verzoek); back-up/continuïteit + RTO/RPO (SLA §6). Zie docs/11 en docs/32.

Bijlage B — Subverwerkerslijst

[Actuele lijst met naam, dienst, locatie/EER, doel.]