Naar de inhoud

Verwerkersovereenkomst

Versie 3, 5 oktober 2026 (Kompaan, de assistent in de app, toegevoegd aan bijlage A)

Als je organisatie Qyveno gebruikt, zet je er gegevens in: van je collega's, je klanten en andere mensen. Voor die gegevens ben jij als organisatie verantwoordelijk (de verwerkingsverantwoordelijke) en verwerkt Qyveno ze alleen in jouw opdracht (de verwerker). Deze overeenkomst legt vast wat Qyveno daarbij wel en niet mag, zoals artikel 28 van de Algemene verordening gegevensbescherming (AVG) vraagt. Ze hoort bij de algemene voorwaarden en geldt zodra je organisatie een account bij Qyveno heeft.

1. Partijen

2. Wat Qyveno verwerkt, en waarvoor

Qyveno gebruikt de gegevens van de klant niet voor eigen doeleinden: niet voor reclame, niet om te verkopen, en niet om AI-modellen te trainen of door AI te laten lezen, behalve wat in artikel 5 over support staat.

3. Geheimhouding

Qyveno houdt de gegevens geheim. Alleen wie het voor de dienst nodig heeft, kan erbij, en iedereen die namens Qyveno werkt is aan geheimhouding gebonden. Qyveno kijkt niet in de omgeving van de klant, behalve met supporttoegang (artikel 6) of als de wet het verplicht.

4. Beveiliging

Qyveno neemt passende technische en organisatorische maatregelen om de gegevens te beschermen tegen verlies en onrechtmatig gebruik. De maatregelen staan in bijlage B. Qyveno mag ze verbeteren, maar verlaagt het niveau niet.

5. Subverwerkers

De klant geeft Qyveno toestemming om de subverwerkers uit bijlage A in te schakelen. Qyveno legt hun dezelfde plichten op als in deze overeenkomst en blijft tegenover de klant verantwoordelijk voor hun werk. Wil Qyveno een subverwerker toevoegen of vervangen, dan meldt Qyveno dat minstens 30 dagen vooraf per e-mail aan de beheerders van de klant. Heeft de klant een gegronde reden om bezwaar te maken, dan zoeken we samen een oplossing; lukt dat niet, dan mag de klant de overeenkomst opzeggen.

Gegevens gaan alleen buiten de Europese Economische Ruimte als daar een geldige grond voor is, zoals een adequaatheidsbesluit (bijvoorbeeld het EU-VS Data Privacy Framework) of de modelcontractbepalingen van de Europese Commissie.

6. Supporttoegang

Qyveno kan de omgeving van de klant alleen in als een beheerder van de klant daar in Qyveno toestemming voor geeft, voor een gekozen duur (een dag, een week of een maand). De beheerder kan die toestemming altijd eerder intrekken. Met toegang kan Qyveno meekijken en wijzigen om een probleem op te lossen, maar niet: de organisatie verwijderen, mensen of rollen wijzigen, API-sleutels of koppelingen met wachtwoorden zien of maken, data exporteren, of de toegang zelf verlengen. Elke sessie duurt hooguit 8 uur, start alleen vanuit het beheer van Qyveno met tweestapsverificatie, en wordt gelogd: wie toegang gaf en tot wanneer, elke sessie van wanneer tot wanneer, en elke wijziging op naam van "Qyveno-support". De beheerders krijgen een melding bij begin en einde. Supporttoegang wordt alleen gebruikt door een persoon van Qyveno, niet door geautomatiseerde systemen of AI.

7. Rechten van betrokkenen

Vraagt iemand de klant om inzage, verbetering, verwijdering of overdracht van zijn gegevens, dan kan de klant dat meestal zelf in Qyveno doen. Waar dat niet lukt, helpt Qyveno binnen redelijke termijn. Krijgt Qyveno zo'n verzoek rechtstreeks, dan stuurt Qyveno het door naar de klant en handelt het niet zelf af.

8. Datalekken

Ontdekt Qyveno een inbreuk op de beveiliging waarbij gegevens van de klant (mogelijk) verloren gaan of bij onbevoegden terechtkomen, dan meldt Qyveno dat zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking aan de beheerders van de klant. Qyveno vertelt daarbij wat er gebeurd is, welke gegevens en hoeveel mensen het (waarschijnlijk) raakt, wat de gevolgen kunnen zijn en wat Qyveno doet om het op te lossen. Of het lek gemeld moet worden aan de Autoriteit Persoonsgegevens of aan de betrokkenen, beslist de klant; Qyveno helpt daarbij.

9. Hulp en controle

Qyveno helpt de klant bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij vragen van de Autoriteit Persoonsgegevens, voor zover het om de verwerking door Qyveno gaat. Qyveno geeft de klant op verzoek de informatie die nodig is om te laten zien dat deze overeenkomst wordt nageleefd. Een audit door een onafhankelijke deskundige mag eens per jaar, met minstens vier weken aankondiging, tijdens kantooruren, en op kosten van de klant, tenzij de audit laat zien dat Qyveno deze overeenkomst niet naleeft.

10. Einde van de overeenkomst

Eindigt het gebruik van Qyveno, dan kan de klant nog 30 dagen zijn gegevens exporteren. Daarna verwijdert Qyveno de omgeving van de klant. Kopieën in de versleutelde back-ups verdwijnen vanzelf met het opruimschema van de back-ups, uiterlijk zes maanden later, en worden tot dan niet gebruikt, behalve om een storing te herstellen. Gegevens die Qyveno wettelijk moet bewaren (zoals facturen), bewaart Qyveno zolang de wet dat vraagt.

11. Aansprakelijkheid en looptijd

Voor de aansprakelijkheid geldt wat in de algemene voorwaarden staat. Deze overeenkomst loopt zolang de klant Qyveno gebruikt en daarna zolang Qyveno nog gegevens van de klant heeft. Bij tegenstrijdigheid met de algemene voorwaarden gaat deze overeenkomst voor, voor zover het om persoonsgegevens gaat. Op deze overeenkomst is Nederlands recht van toepassing.

Bijlage A: subverwerkers

Diensten die de klant zelf aanzet, zijn geen subverwerkers van Qyveno maar een keuze van de klant: GIF's via GIPHY (standaard uit; de browser van de gebruiker verbindt dan rechtstreeks met GIPHY), een eigen mailkoppeling (Qyveno verstuurt dan via het mailaccount van de klant bij diens eigen aanbieder), en webhooks of API-tokens waarmee de klant zelf gegevens naar andere systemen stuurt. Net zo de AI-dienst voor Kompaan, de assistent in de app (standaard uit): een beheerder van de klant koppelt dan een eigen API-sleutel van Anthropic (Claude) of van Microsoft (Claude via Microsoft Foundry, in de eigen Azure-omgeving van de klant), en zet de assistent zelf aan. Stelt een gebruiker de assistent een vraag, dan stuurt Qyveno in opdracht van de klant de vraag en de gegevens die de assistent erbij opzoekt (met de rechten van die gebruiker) naar het eigen account van de klant bij die dienst, onder de overeenkomst die de klant zelf met Anthropic of Microsoft heeft. De sleutel staat versleuteld bij Qyveno en verlaat de server niet; een wijziging voert de assistent pas uit als de gebruiker op Uitvoeren klikt.

Bijlage B: beveiligingsmaatregelen

Terug naar de voorpagina