Verwerkersovereenkomst

Versie: dpa-2026-10-v0.2. De garage accepteert deze overeenkomst bij aanmelding via een checkbox; Blubbot slaat garages.dpa_accepted_at en garages.dpa_version op. Geen gebruik van de dienst met echte klantdata zonder acceptatie.

Partijen: (1) de garage die zich aanmeldt ("Verwerkingsverantwoordelijke") en (2) [BLUBBOT B.V. / KvK / adres] ("Verwerker").

1. Onderwerp en duur

1.1 Verwerker verwerkt persoonsgegevens uitsluitend in opdracht van de Verwerkingsverantwoordelijke om de dienst Blubbot te leveren (schade-intake via chat/widget, AI-schade-indicatie, dashboard, werkplaatsmodus, notificaties). 1.2 Deze overeenkomst loopt zo lang als de hoofdovereenkomst (algemene voorwaarden) en zo lang Verwerker persoonsgegevens verwerkt.

2. Aard, doel en gegevens

• Betrokkenen: klanten van de garage (automobilisten) en medewerkers van de garage.
• Gegevens: naam, telefoon, e-mail, kenteken en RDW-voertuiggegevens, schadefoto's, chatberichten en chatbestanden (foto's, pdf), afspraakvoorkeuren, beoordelingen na reparatie (sterren en opmerking), spraakopnames en transcripten, schadelocatie, status- en notificatiegegevens, IP-adres, spraaknotities en accountgegevens van medewerkers.
• Bijzondere persoonsgegevens: niet beoogd. De dienst instrueert om geen personen te fotograferen; Verwerkingsverantwoordelijke zorgt dat geen gezondheidsgegevens worden gevraagd.
• Doelen: zie 1.1. Verwerker gebruikt de gegevens niet voor eigen doeleinden, niet voor training van AI-modellen, en verkoopt ze niet.

3. Instructies

3.1 Verwerker verwerkt alleen op schriftelijke instructie, waaronder deze overeenkomst en de instellingen in het dashboard (bijv. retention_days). 3.2 Verwerker meldt het als een instructie naar zijn oordeel in strijd is met de AVG.

4. Geheimhouding

Personen die toegang hebben, zijn tot geheimhouding verplicht.

5. Beveiliging

Verwerker neemt de maatregelen uit bijlage 2 (TOMs) en past die aan de stand van de techniek aan.

6. Subverwerkers

6.1 Verwerkingsverantwoordelijke geeft algemene toestemming voor de subverwerkers in bijlage 1. 6.2 Verwerker kondigt nieuwe of vervangende subverwerkers minimaal 30 dagen vooraf aan (e-mail + dashboard); de garage kan op redelijke gronden bezwaar maken en bij aanhoudend bezwaar kosteloos opzeggen. 6.3 Verwerker legt subverwerkers gelijkwaardige verplichtingen op en blijft aansprakelijk.

7. Doorgifte buiten de EER

Primaire opslag en AI-verwerking vinden uitsluitend plaats in de EU. Doorgifte buiten de EER alleen met passende waarborgen (hoofdstuk V AVG), zoals vermeld in bijlage 1 (Resend-metadata).

8. Rechten van betrokkenen

Verwerker helpt de garage bij verzoeken van betrokkenen via: (a) een export van alle gegevens per dossier of per garage (JSON/ZIP), (b) verwijdering per dossier in het dashboard, (c) correctie van contactgegevens. Verzoeken die rechtstreeks bij Verwerker binnenkomen, stuurt Verwerker door naar de garage.

9. Datalekken

Verwerker meldt een inbreuk in verband met persoonsgegevens aan de garage zonder onredelijke vertraging, met als doel binnen 24 uur en uiterlijk binnen 72 uur na ontdekking, met de informatie uit art. 33 lid 3 AVG voor zover beschikbaar (zie datalek-procedure.md). De garage beslist over melding aan de AP en betrokkenen.

10. Bijstand, DPIA en audits

Verwerker helpt bij een DPIA en voorafgaande raadpleging. Verwerker stelt informatie beschikbaar om naleving aan te tonen (TOM-overzicht, certificaten van subverwerkers). Een audit door een onafhankelijke deskundige is mogelijk maximaal één keer per jaar, met 30 dagen aankondiging, op kosten van de garage tenzij er tekortkomingen blijken.

11. Einde

Na afloop verwijdert Verwerker alle persoonsgegevens binnen 30 dagen, tenzij de garage vóór het einde om een export vraagt (exportfunctie). Back-ups worden binnen de reguliere back-uprotatie overschreven (max. [7–30] dagen; vaststellen).

12. Aansprakelijkheid

Volgens de algemene voorwaarden (art. 11), onverminderd art. 82 AVG.

13. Recht

Nederlands recht; Rechtbank Amsterdam.

---

Bijlage 1 – Subverwerkers

Bijlage 2 – Technische en organisatorische maatregelen (TOMs)

Toegang en multi-tenancy

• Row-Level Security op alle tabellen: elke rij hoort bij een garage_id; medewerkers zien alleen hun eigen garage.
• Rollen (owner/staff); service-role-sleutel alleen server-side.
• Inloggen via magic link; sessies via Supabase Auth; geen wachtwoorden in plaintext.

Opslag en transport

• TLS voor alle verbindingen; versleuteling at rest bij de subverwerkers.
• Privé buckets; toegang tot foto's/audio alleen via signed URLs (max. 10 min).

Dataminimalisatie en retentie

• Configureerbare retention_days (default 90) met dagelijkse verwijdering; ruwe audio direct na transcriptie verwijderd (max. voice_audio_retention_days, default 7).
• Fotoregel: geen personen of andere kentekens (automatisch blurren: TODO).
• Geen PII in logs/Sentry; kentekens gemaskeerd.

Misbruik en integriteit

• Rate limits op intake, upload, AI en spraak; validatie (zod) van alle input, mime/lengte-checks.
• Audit-log van inzage/download, statuswijziging, verwijdering, export, retentie-runs.

AI

• Alleen Vertex AI europe-west4; geen andere AI-diensten; geen training; caching uit.

Organisatorisch

• Toegang tot productie alleen voor aangewezen personen met 2FA bij alle providers.
• Datalekprocedure (datalek-procedure.md), register van incidenten.
• Back-ups via Supabase (EU); hersteltest periodiek.
• Wijzigingen via code-review en pull requests; geen direct deploy zonder review.