Verwerkersovereenkomst

Laatst bijgewerkt: 22 mei 2026 · Versie 1.0

Deze verwerkersovereenkomst (hierna: “DPA”) maakt integraal onderdeel uit van de licentieovereenkomst en de algemene voorwaarden tussen Allround Web B.V. (“Verwerker”) en Klant (“Verwerkingsverantwoordelijke”) met betrekking tot Kai Leeshulp. Bij strijdigheid prevaleert deze DPA voor zover het de verwerking van persoonsgegevens betreft.

1. Partijen en rollen

• Verwerkingsverantwoordelijke: de Klant zoals omschreven in de licentieovereenkomst.
• Verwerker: Allround Web B.V., Parallelweg 14, 5051 HG Goirle, KvK 90772040, e-mail info@allroundweb.nl. Allround Web hosts het Kai-platform zelf in eigen beheer; voor de fysieke serverinfrastructuur en voor specifieke AI-functionaliteit schakelt Allround Web subverwerkers in (zie hoofdstuk 5).

De Klant bepaalt het doel en de middelen van de verwerking; Allround Web verwerkt persoonsgegevens uitsluitend in opdracht van en volgens schriftelijke instructies van de Klant, behalve voor zover een wettelijke verplichting iets anders voorschrijft.

2. Onderwerp en duur

Deze DPA regelt de verwerking van persoonsgegevens die plaatsvindt wanneer de Klant de Kai-leeshulp plugin op zijn website(s) gebruikt. De DPA geldt zolang de licentieovereenkomst van kracht is en daarna voor zover Verwerker nog persoonsgegevens onder zich heeft.

3. Aard, doel en categorieën van verwerking

Element	Omschrijving
Aard van de verwerking	Genereren van voorlees-audio (TTS), vertaling, tekstvereenvoudiging en woorduitleg ten behoeve van eindgebruikers (websitebezoekers).
Doel	Toegankelijker maken van de website van Klant conform WCAG 2.2 / EN 301 549.
Categorieën betrokkenen	Bezoekers van de website van Klant.
Categorieën persoonsgegevens	Tekstfragmenten uit de pagina-inhoud die de Klant publiceert (kunnen incidenteel persoonsgegevens bevatten); technische metadata (IP-adres in serverlogs, taalvoorkeur, paginadomein, hash van het tekstfragment voor caching).
Bijzondere categorieën	Niet bedoeld; Klant zorgt ervoor dat geen bijzondere persoonsgegevens (AVG art. 9) of strafrechtelijke gegevens (art. 10) bewust ter verwerking worden aangeboden.

4. Verplichtingen van Verwerker

1. Verwerker verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Klant, waaronder begrepen het gebruik van de plugin volgens de bijbehorende documentatie.
2. Verwerker zorgt dat personen die de persoonsgegevens verwerken een geheimhoudingsplicht hebben.
3. Verwerker treft passende technische en organisatorische beveiligingsmaatregelen (zie hoofdstuk 7) conform AVG art. 32.
4. Verwerker assisteert de Klant bij verzoeken van betrokkenen (inzage, rectificatie, verwijdering enz.) en bij DPIA’s en voorafgaande raadpleging waar redelijkerwijs van toepassing.
5. Verwerker stelt de Klant onverwijld, en uiterlijk binnen 48 uur, op de hoogte van een (vermoeden van een) datalek dat de gegevens van Klant betreft, met de informatie die nodig is om te kunnen voldoen aan AVG art. 33-34.
6. Na beëindiging verwijdert of retourneert Verwerker alle persoonsgegevens binnen 90 dagen, behoudens wettelijke bewaarplichten.
7. Verwerker stelt op verzoek alle informatie ter beschikking die nodig is om naleving aan te tonen, en maakt audits door Klant of een onafhankelijke auditor mogelijk (maximaal eenmaal per jaar, op kosten van Klant, tenzij de audit een tekortkoming aantoont).

5. Subverwerkers

De Klant geeft Verwerker algemene toestemming voor het inschakelen van subverwerkers. Verwerker zorgt dat met iedere subverwerker een schriftelijke overeenkomst is gesloten met ten minste dezelfde verplichtingen als in deze DPA.

Op het moment van inwerkingtreding zijn de volgende subverwerkers actief:

Subverwerker	Vestiging / data-locatie	Doel
Hetzner Online GmbH	Duitsland (EU); datacenters in Duitsland en/of Finland	Fysieke serverinfrastructuur waarop het centrale Kai-platform en de cache-opslag draaien. Allround Web beheert de servers zelf.
Google Ireland Ltd. (Google Cloud Platform)	EU / Verenigde Staten	Text-to-Speech, Translation API, Google Fonts.
OpenAI Ireland Ltd.	EU / Verenigde Staten	Tekstvereenvoudiging, uitleg van moeilijke woorden.

Wijzigingen in de lijst worden minimaal 30 dagen vooraf aangekondigd via e-mail of via deze pagina. De Klant heeft het recht binnen die termijn bezwaar te maken op redelijke gronden. Komen partijen niet tot overeenstemming, dan mag de Klant de licentie tegen de ingangsdatum van de wijziging opzeggen.

6. Doorgifte buiten de EER

De hosting van het Kai-platform vindt volledig binnen de EER plaats (Hetzner, Duitsland/Finland). Sommige AI-subverwerkers (met name OpenAI en in beperkte mate Google) kunnen gegevens buiten de EER verwerken, met name in de Verenigde Staten. Doorgifte vindt plaats op basis van:

• de Standard Contractual Clauses (SCC’s) van de Europese Commissie (Besluit 2021/914), Module 3 (Verwerker naar Subverwerker), en/of
• het EU-US Data Privacy Framework voor zover de subverwerker daarbij is aangesloten.

Verwerker minimaliseert wat naar deze diensten wordt verzonden: voor vereenvoudiging en uitleg wordt uitsluitend het door de eindgebruiker geselecteerde tekstfragment doorgegeven, zonder identificerende metadata uit de gebruikerssessie.

7. Beveiligingsmaatregelen

Verwerker neemt passende technische en organisatorische maatregelen, waaronder:

• versleuteling van gegevens in transit (TLS 1.2 of hoger);
• versleutelde opslag van API-sleutels en gevoelige configuratie;
• toegangsbeveiliging op need-to-know-basis met sterke wachtwoorden en, waar mogelijk, tweefactorauthenticatie;
• scheiding tussen klantomgevingen (per-licentie quota en caches);
• logging van toegang tot productiesystemen;
• regelmatige software-updates en beveiligingspatches;
• periodieke back-ups van de centrale infrastructuur, opgeslagen binnen de EER;
• geheimhoudingsverplichting voor medewerkers en ingeschakelde derden.

8. Datalekken

Bij een (vermoeden van een) datalek dat (mede) persoonsgegevens van de Klant betreft, informeert Verwerker de Klant binnen 48 uur via het bij Klant bekende contactadres, met ten minste:

• aard van het incident en (mogelijk) getroffen categorieën gegevens;
• (verwachte) gevolgen en getroffen of geadviseerde maatregelen;
• contactpersoon bij Verwerker.

De verantwoordelijkheid tot melding aan de Autoriteit Persoonsgegevens en eventueel aan betrokkenen blijft bij de Klant; Verwerker biedt daarbij redelijke ondersteuning.

9. Aansprakelijkheid

Op de aansprakelijkheid onder deze DPA zijn de aansprakelijkheidsbepalingen uit de algemene voorwaarden (artikel 10) van toepassing, met uitzondering van schade die voortvloeit uit een toerekenbare schending van AVG-verplichtingen door Verwerker; in dat geval geldt het wettelijke kader van AVG art. 82.

10. Slotbepalingen

• Op deze DPA is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Zeeland-West-Brabant, locatie Breda.
• Wijzigingen in deze DPA worden minimaal 30 dagen vooraf aangekondigd. Wijzigingen die nodig zijn om te voldoen aan gewijzigde wet- of regelgeving kunnen direct van kracht worden.
• De actuele versie van deze DPA staat altijd op kai-leeshulp.nl/verwerkersovereenkomst. Een PDF-versie is op verzoek beschikbaar via info@allroundweb.nl.