Verwerkersovereenkomst
Ingangsdatum: 26 oktober 2026 · Versie 1.1
Partijen
-
de klantorganisatie die de Algemene voorwaarden van Minerva Digital heeft aanvaard (zie artikel 13.4), hierna: Verwerkingsverantwoordelijke;
-
Penningmeester.ai B.V., handelend onder de naam Minerva Digital, gevestigd aan de Professor van der Waalsstraat 32, 2014 EG Haarlem, ingeschreven in het Handelsregister onder nummer 96218886, hierna: Verwerker;
hierna samen: Partijen.
Overwegingen
A. Verwerker levert aan Verwerkingsverantwoordelijke de dienst Vera (ondersteuning van gemeenteraden, griffies en fracties) en/of de dienst Lars (public affairs en landelijke politiek), beide geleverd via het Minerva-platform, en/of de Consultancydiensten die Verwerker in een Opdracht verleent, op grond van de Algemene voorwaarden van Minerva Digital (versie 1.4) met de bijbehorende bestelling, of een afzonderlijke overeenkomst (hierna: de Hoofdovereenkomst).
B. Bij de uitvoering van de Hoofdovereenkomst verwerkt Verwerker persoonsgegevens ten behoeve van Verwerkingsverantwoordelijke. Verwerkingsverantwoordelijke bepaalt doel en middelen van die verwerking; Verwerker is verwerker in de zin van artikel 4, punt 8, en artikel 28 van de Algemene verordening gegevensbescherming (AVG).
C. Partijen leggen hun afspraken over deze verwerking vast in deze Verwerkersovereenkomst, die ook zonder ondertekening via de Algemene voorwaarden geldt (artikel 13.4). De opbouw volgt de in Nederland gangbare modelverwerkersovereenkomsten.
Artikel 1. Definities
1.1 Begrippen in deze Verwerkersovereenkomst hebben de betekenis die de AVG eraan geeft, zoals persoonsgegevens, verwerking, betrokkene, verwerkingsverantwoordelijke, verwerker en inbreuk in verband met persoonsgegevens (hierna: Datalek).
1.2 Klantgegevens: de persoonsgegevens die Verwerker ten behoeve van Verwerkingsverantwoordelijke verwerkt bij het leveren van de Diensten, waaronder persoonsgegevens in documenten, berichten, gesprekken met de AI-assistent, notities, dossiers en uitvoer die Verwerkingsverantwoordelijke of haar gebruikers in het platform plaatsen, aanmaken of laten genereren. Bijlage A specificeert deze gegevens. Bij een Opdracht gelden de begrippen van artikel 14.2.
1.3 Diensten: de diensten Vera en/of Lars zoals omschreven in de Hoofdovereenkomst, en/of de Consultancydiensten als bedoeld in artikel 14.
1.4 Subverwerker: een derde die Verwerker inschakelt en die bij de Diensten Klantgegevens verwerkt.
Artikel 2. Onderwerp en instructies
2.1 Verwerker verwerkt Klantgegevens uitsluitend in opdracht van Verwerkingsverantwoordelijke en op basis van haar schriftelijke instructies, ook wat betreft doorgiften van persoonsgegevens naar een derde land of een internationale organisatie, tenzij een op Verwerker toepasselijke bepaling van Unierecht of lidstatelijk recht hem tot verwerking verplicht. In dat geval stelt Verwerker Verwerkingsverantwoordelijke vóór de verwerking van dat wettelijk voorschrift in kennis, tenzij die wetgeving dat verbiedt.
2.2 Als schriftelijke instructies gelden: deze Verwerkersovereenkomst met bijlagen, de Hoofdovereenkomst, en de keuzes die Verwerkingsverantwoordelijke of haar beheerders in het platform maken (zoals welke documenten worden toegevoegd, welke functies en koppelingen worden ingeschakeld en welke gebruikers toegang krijgen).
2.3 Verwerker verwerkt Klantgegevens niet voor eigen doeleinden. Verwerker gebruikt Klantgegevens niet om AI-modellen te trainen of te laten trainen. Bij aanbieders die standaard op gegevens trainen tenzij dat is uitgezet (Mistral en Cohere), zorgt Verwerker dat dit is uitgezet. Voor zover de Hoofdovereenkomst of de privacyverklaring van Verwerker ruimere gebruiksrechten op klantinhoud bevat, gelden die niet voor Klantgegevens.
2.4 Verwerker informeert Verwerkingsverantwoordelijke onmiddellijk als een instructie naar zijn oordeel inbreuk maakt op de AVG of op andere Unierechtelijke of lidstatelijke bepalingen inzake gegevensbescherming.
2.5 Verwerkingsverantwoordelijke is verantwoordelijk voor de rechtmatigheid van de verwerking, waaronder de grondslag, de verwerking van bijzondere categorieën van persoonsgegevens, en de informatie aan betrokkenen. Verwerkingsverantwoordelijke plaatst geen persoonsgegevens in het platform die voor de Diensten niet nodig zijn, en in elk geval geen burgerservicenummers.
2.6 Verwerker houdt een register bij van de verwerkingsactiviteiten die hij ten behoeve van Verwerkingsverantwoordelijke verricht, zoals bedoeld in artikel 30, tweede lid, AVG.
2.7 Verwerker verwerkt daarnaast als zelfstandig verwerkingsverantwoordelijke een beperkte set gegevens over gebruikers voor eigen doelen (facturering, beveiliging en fraudepreventie, wettelijke verplichtingen), zoals beschreven in zijn privacyverklaring. Die verwerking valt buiten deze Verwerkersovereenkomst.
Artikel 3. Geheimhouding
3.1 Verwerker waarborgt dat de personen die onder zijn gezag Klantgegevens kunnen inzien zich tot geheimhouding hebben verbonden of door een passende wettelijke geheimhoudingsplicht zijn gebonden.
3.2 Verwerker beperkt de toegang tot Klantgegevens tot wat nodig is voor beheer, ondersteuning en het oplossen van storingen. Verwerker zet bij ontwikkeling en beheer van het platform geautomatiseerde (AI-)hulpmiddelen in; voor zover die Klantgegevens kunnen verwerken, gelden zij als Subverwerker en staan zij in Bijlage B.
Artikel 4. Beveiliging
4.1 Verwerker neemt passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG om Klantgegevens te beveiligen tegen verlies en onrechtmatige verwerking. Bijlage C beschrijft de maatregelen en de punten die in uitvoering zijn.
4.2 Verwerker mag de maatregelen aanpassen aan nieuwe ontwikkelingen, mits het beveiligingsniveau daardoor niet daalt. Verwerker meldt wezenlijke wijzigingen aan Verwerkingsverantwoordelijke.
4.3 Verwerkingsverantwoordelijke beoordeelt zelf of de maatregelen in Bijlage C passen bij de risico's van haar verwerking, mede aan de hand van haar eigen gegevensbeschermingseffectbeoordeling (DPIA).
Artikel 5. Subverwerkers
5.1 Verwerkingsverantwoordelijke verleent Verwerker algemene schriftelijke toestemming om de Subverwerkers in Bijlage B in te schakelen.
5.2 Verwerker informeert Verwerkingsverantwoordelijke ten minste 30 dagen vooraf per e-mail over een voorgenomen toevoeging of vervanging van een Subverwerker. Verwerkingsverantwoordelijke kan binnen 14 dagen na die mededeling op redelijke gronden bezwaar maken. Komen Partijen er niet uit, dan mag Verwerkingsverantwoordelijke het betrokken deel van de Diensten kosteloos opzeggen.
5.3 Verwerker legt elke Subverwerker bij overeenkomst verplichtingen inzake gegevensbescherming op die ten minste een gelijkwaardig beschermingsniveau bieden als deze Verwerkersovereenkomst (artikel 28, vierde lid, AVG), in het bijzonder passende technische en organisatorische maatregelen. Komt een Subverwerker zijn verplichtingen niet na, dan blijft Verwerker jegens Verwerkingsverantwoordelijke volledig aansprakelijk voor het nakomen van die verplichtingen.
Artikel 6. Doorgifte buiten de EER
6.1 Verwerker geeft Klantgegevens alleen door naar landen buiten de Europese Economische Ruimte via de Subverwerkers en voor de doelen in Bijlage B, en alleen met een passende waarborg als bedoeld in hoofdstuk V AVG: een adequaatheidsbesluit (waaronder het EU-VS Data Privacy Framework voor gecertificeerde ontvangers) of de standaardcontractbepalingen van de Europese Commissie (Besluit 2021/914, module 3 voor doorgifte van verwerker aan subverwerker), aangevuld met maatregelen waar nodig.
6.2 Bij de standaardinrichting wordt een deel van de verwerking uitgevoerd door aanbieders in de Verenigde Staten (zie Bijlage B). Verwerkingsverantwoordelijke kan kiezen voor verwerking alleen in de EU. De taalmodellen komen dan alleen van aanbieders die in de EU draaien (Mistral, open-source modellen bij Lyceum en Gemini in de EU-regio). Sommige functies kunnen dan beperkter zijn: heeft een functie geen aanbieder in de EU, dan is die functie beperkt of niet beschikbaar. Partijen leggen de precieze inrichting vooraf schriftelijk vast.
6.3 Verwerker verstrekt Verwerkingsverantwoordelijke op verzoek een afschrift van de toepasselijke standaardcontractbepalingen en de beschikbare informatie over de beoordeling van de doorgifte. Voor elke betrokken aanbieder is een doorgiftetoetsing (TIA) opgesteld.
Artikel 7. Datalekken
7.1 Verwerker meldt een Datalek dat Klantgegevens betreft zonder onredelijke vertraging aan Verwerkingsverantwoordelijke, en in elk geval binnen 24 uur nadat Verwerker ervan kennis heeft genomen. Verwerker vult de melding aan zodra meer informatie beschikbaar is, en levert binnen 48 uur na kennisname een zo volledig mogelijke rapportage.
7.2 De melding bevat ten minste de gegevens uit Bijlage D, waaronder de informatie die Verwerkingsverantwoordelijke nodig heeft voor een melding aan de Autoriteit Persoonsgegevens en aan betrokkenen (artikelen 33 en 34 AVG).
7.3 Verwerker neemt onverwijld redelijke maatregelen om het Datalek te beperken en herhaling te voorkomen, documenteert elk Datalek, en meldt een Datalek niet zelf aan de toezichthouder of aan betrokkenen, tenzij Verwerkingsverantwoordelijke daarom vraagt of de wet dat vereist.
Artikel 8. Rechten van betrokkenen
8.1 Verwerker helpt Verwerkingsverantwoordelijke met passende technische en organisatorische maatregelen, voor zover mogelijk, bij het beantwoorden van verzoeken van betrokkenen (inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar). In het platform kunnen beheerders en gebruikers documenten en eigen gegevens zelf verwijderen; een gebruiker kan zijn eigen account wissen.
8.2 Ontvangt Verwerker rechtstreeks een verzoek van een betrokkene dat Klantgegevens betreft, dan stuurt hij dit binnen 5 werkdagen door naar Verwerkingsverantwoordelijke en beantwoordt hij het niet zelf, tenzij Verwerkingsverantwoordelijke daarom vraagt.
Artikel 9. Bijstand
9.1 Verwerker helpt Verwerkingsverantwoordelijke bij het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG (beveiliging, meldingen van Datalekken, gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging), rekening houdend met de aard van de verwerking en de informatie waarover Verwerker beschikt. Verwerker stelt daartoe onder meer het document "DPIA-input" beschikbaar.
9.2 Bijstand die redelijkerwijs buiten de normale dienstverlening valt, kan Verwerker tegen vooraf afgesproken tarieven in rekening brengen; bijstand bij een Datalek dat aan Verwerker te wijten is, is kosteloos.
Artikel 10. Informatie en audit
10.1 Verwerker stelt alle informatie ter beschikking die nodig is om aan te tonen dat de verplichtingen uit artikel 28 AVG en deze Verwerkersovereenkomst worden nagekomen, en maakt audits, waaronder inspecties, door Verwerkingsverantwoordelijke of een door haar gemachtigde controleur mogelijk en draagt daaraan bij.
10.2 Een audit vindt hoogstens eenmaal per jaar plaats, tenzij er een concrete aanleiding is (zoals een Datalek), wordt ten minste 30 dagen vooraf aangekondigd, en wordt uitgevoerd door Verwerkingsverantwoordelijke of een door haar aangewezen deskundige die tot geheimhouding is verplicht. Onderzoek door een toezichthouder valt niet onder deze beperkingen. De audit verstoort de bedrijfsvoering niet onnodig en geeft geen toegang tot gegevens van andere klanten.
10.3 De kosten van een audit zijn voor Verwerkingsverantwoordelijke, tenzij de audit tekortkomingen van betekenis aan het licht brengt die aan Verwerker te wijten zijn. Verwerker herstelt vastgestelde tekortkomingen binnen een redelijke termijn.
10.4 Verwerker beschikt op dit moment niet over een certificering (zoals ISO 27001) en heeft nog geen externe penetratietest laten uitvoeren (zie Bijlage C). Zodra een externe penetratietest is uitgevoerd, deelt Verwerker op verzoek een samenvatting van de bevindingen en de opvolging.
Artikel 11. Aansprakelijkheid
11.1 Voor de aansprakelijkheid van Partijen onder deze Verwerkersovereenkomst geldt de regeling in de Hoofdovereenkomst. Volgens de Algemene voorwaarden (artikel 13) is de totale aansprakelijkheid van elke Partij beperkt tot het hoogste van (a) de vergoedingen die Verwerkingsverantwoordelijke in de twaalf maanden vóór de schadeveroorzakende gebeurtenis heeft betaald of verschuldigd is, of (b) € 500, en is indirecte schade uitgesloten. Voor Opdrachten geldt artikel 16.
11.2 In aanvulling op de Algemene voorwaarden geldt: de uitsluiting van verlies van gegevens in artikel 13.1 van de Algemene voorwaarden geldt niet voor schade door schending van deze Verwerkersovereenkomst, en de beperking van aansprakelijkheid geldt niet bij opzet of bewuste roekeloosheid. Dit artikel laat de aansprakelijkheid jegens betrokkenen op grond van artikel 82 AVG en de verdeling daarvan tussen Partijen onverlet. Er geldt geen afzonderlijk aansprakelijkheidsplafond voor schending van deze Verwerkersovereenkomst.
Artikel 12. Duur, beëindiging, teruggave en verwijdering
12.1 Deze Verwerkersovereenkomst geldt zolang Verwerker Klantgegevens verwerkt in het kader van de Hoofdovereenkomst. Bepalingen die naar hun aard doorlopen, blijven na beëindiging gelden.
12.2 Na afloop van de Diensten stelt Verwerker de Klantgegevens, naar keuze van Verwerkingsverantwoordelijke, aan haar ter beschikking in een gangbaar bestandsformaat (de oorspronkelijke bestanden, en gesprekken en dossiers als export) en/of verwijdert hij ze. Verwerker verwijdert de Klantgegevens binnen 30 dagen na het einde van de Diensten, inclusief bestaande kopieën, tenzij Unierecht of lidstatelijk recht opslag voorschrijft. Voor Opdrachten geldt artikel 15.
12.3 Documenten die in het platform worden verwijderd, worden eerst als verwijderd gemarkeerd. Verwerker wist zulke gegevens definitief uiterlijk 30 dagen na verwijdering. Back-ups worden niet afzonderlijk bewerkt; zij verlopen volgens de vaste back-upcyclus (herstelpunten tot 7 dagen terug en dagelijkse back-ups waarvan er 7 worden bewaard). Na definitieve wissing verdwijnen gegevens daardoor binnen ten hoogste circa 8 dagen ook uit de back-ups.
12.4 Verwerker voert de verwijdering na afloop uit volgens een vaste, vastgelegde procedure en bevestigt de verwijdering op verzoek schriftelijk.
12.5 Openbare documenten die Verwerker zelf uit openbare bronnen verzamelt (zoals raadsstukken uit openbare raadsinformatiesystemen) en die in een gedeelde gemeentelijke collectie staan, zijn geen Klantgegevens en blijven na beëindiging bestaan. Documenten die Verwerkingsverantwoordelijke zelf heeft geüpload, zijn wel Klantgegevens en worden verwijderd volgens artikel 12.2. Alleen als zo'n document een openbaar raadsstuk is, kan Verwerker het met instemming van Verwerkingsverantwoordelijke aan de gedeelde gemeentelijke collectie toevoegen; het valt dan onder de eerste zin.
Artikel 13. Slotbepalingen
13.1 Bij strijd gaat, wat de verwerking van persoonsgegevens betreft, deze Verwerkersovereenkomst voor op de Hoofdovereenkomst, op de Algemene voorwaarden en op de privacyverklaring van Verwerker. Deze Verwerkersovereenkomst vervangt de verwerkersregeling die tot versie 1.3 in paragraaf 11 van de privacyverklaring stond. De artikelen 14 tot en met 16 gelden voor Opdrachten en gaan voor, voor zover zij afwijken van de artikelen 11 en 12.
13.2 Wijzigingen van deze Verwerkersovereenkomst en haar bijlagen zijn alleen geldig als Partijen ze schriftelijk overeenkomen. Bijlage B wordt bijgewerkt volgens artikel 5.
13.3 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter te Haarlem, zoals bepaald in de Hoofdovereenkomst.
13.4 Deze Verwerkersovereenkomst geldt als standaardvoorwaarden. Zij is via de Algemene voorwaarden van toepassing op iedere klant die de Diensten afneemt, ook zonder ondertekening, tenzij Partijen een ondertekende verwerkersovereenkomst sluiten die haar vervangt. Bij toepassing zonder ondertekening geldt als Verwerkingsverantwoordelijke de klantorganisatie die de Algemene voorwaarden heeft aanvaard, als Hoofdovereenkomst de Algemene voorwaarden met de bijbehorende bestelling, en als aanspreekpunt van Verwerkingsverantwoordelijke de beheerder die de klant in het platform heeft opgegeven. Verwerker publiceert de geldende versie en de actuele Bijlage B op zijn website (app.minerva-digital.io/nl/verwerkersovereenkomst).
Wilt u deze Verwerkersovereenkomst ondertekend hebben, mail dan naar privacy@minerva-digital.io. Een ondertekende verwerkersovereenkomst vervangt deze tekst (artikel 13.4).
Artikel 14. Consultancydiensten
14.1 Deze Verwerkersovereenkomst geldt ook voor de verwerking van persoonsgegevens tijdens een Opdracht (Consultancydiensten, hoofdstuk 12 van de Algemene voorwaarden). Verwerker is verwerker zolang hij tijdens of voor een Opdracht toegang heeft tot de Omgeving van de Klant of Klantgegevens onder zich heeft. Is Verwerkingsverantwoordelijke zelf verwerker voor haar eigen klant, dan is Verwerker subverwerker; dan geldt deze Verwerkersovereenkomst op dezelfde wijze, binnen de instructies van die klant, en staat Verwerkingsverantwoordelijke ervoor in dat zij die instructies mag geven.
14.2 Voor een Opdracht gelden deze begrippen: Klantgegevens heeft de betekenis uit de Algemene voorwaarden, voor zover het persoonsgegevens zijn; Diensten omvat ook de Consultancydiensten; Hoofdovereenkomst omvat ook de Offerte; Opdracht, Omgeving van de Klant, Oplevering en Oplossing hebben de betekenis uit de Algemene voorwaarden.
14.3 Als schriftelijke instructies (artikel 2.2) gelden bij een Opdracht ook de Offerte, de accounts en rechten die Verwerkingsverantwoordelijke aan Verwerker verstrekt, en haar instructies per e-mail. Verwerker verwerkt de persoonsgegevens uitsluitend voor het uitvoeren van de Opdracht. Artikel 2.3 geldt volledig: geen eigen doeleinden, geen hergebruik en geen training van AI-modellen.
14.4 Voor de beveiliging (artikel 4) geldt bij een Opdracht in elk geval: werken via de accounts die Verwerkingsverantwoordelijke verstrekt, met alleen de rechten die nodig zijn; toegang beperkt tot wie het nodig heeft; versleutelde verbindingen. Bijlage C geldt voor de eigen systemen en hulpmiddelen van Verwerker die bij de Opdracht worden gebruikt, zoals werkomgevingen van AI-agents.
14.5 Voor de Subverwerkers (artikel 5) geldt bij een Opdracht: Verwerker schakelt alleen Subverwerkers uit Bijlage B in. Artikel 5.2 geldt voor toevoeging of vervanging. Komen Partijen er na bezwaar niet uit, dan mag Verwerkingsverantwoordelijke de lopende Opdracht kosteloos en zonder opzegtermijn beëindigen, met betaling van het tot dan verrichte werk.
14.6 Voor doorgifte buiten de EER (artikel 6) geldt bij een Opdracht hetzelfde als voor het platform: alleen via Subverwerkers uit Bijlage B en onder artikel 6.
14.7 Verwerker legt medewerkers en ingeschakelde derden die namens hem toegang krijgen tot Klantgegevens vooraf schriftelijk geheimhouding op (artikel 3 en artikel 12.7 van de Algemene voorwaarden). Die geheimhouding heeft voor Klantgegevens geen einddatum.
14.8 De artikelen 7 (Datalekken), 8 (Rechten van betrokkenen), 9 (Bijstand) en 10 (Informatie en audit) gelden ongewijzigd. Een audit bij een Opdracht gaat alleen over de verwerking bij die Opdracht.
Artikel 15. Verwijdering na een Opdracht
15.1 In afwijking van artikel 12.2 verwijdert Verwerker de Klantgegevens die hij voor een Opdracht onder zich heeft, inclusief kopieën, binnen 14 dagen na Oplevering of, als dat eerder is, na het einde van de Opdracht.
15.2 Teruggave is bij een Opdracht in de regel niet nodig, omdat de brongegevens in de Omgeving van de Klant blijven. Op verzoek van Verwerkingsverantwoordelijke levert Verwerker vóór de verwijdering op wat dan gereed is, met de bijbehorende documentatie.
15.3 Back-ups zet Verwerker niet terug; zij verlopen binnen 30 dagen. De artikelen 12.3 en 12.5 gelden niet voor Opdrachten.
15.4 Verwerker bevestigt de verwijdering op verzoek schriftelijk (artikel 12.4). Een verzoek van Verwerkingsverantwoordelijke om eerder te verwijderen voert Verwerker uit binnen 14 dagen na dat verzoek.
15.5 Alleen wat Unierecht of lidstatelijk recht Verwerker verplicht te bewaren, mag blijven, en dan alleen de factuur- en administratiegegevens van Verwerker zelf. Klantgegevens vallen daar nooit onder.
Artikel 16. Aansprakelijkheid bij een Opdracht
16.1 Voor Opdrachten geldt in plaats van artikel 11.1 de regeling in de artikelen 12.12 tot en met 12.14 van de Algemene voorwaarden. Voor schending van artikel 14.7 en van artikel 15 geldt het afzonderlijke maximum van artikel 12.13 van de Algemene voorwaarden, naast het plafond van artikel 12.12.
16.2 Artikel 11.2 geldt ook voor Opdrachten. Artikel 82 AVG blijft onverlet.
Bijlage A. Specificatie van de verwerking
| Onderdeel | Omschrijving |
|---|---|
| Diensten | Vera: AI-ondersteuning voor gemeenteraden, griffies en fracties (zoeken en vragen stellen in raadsdocumenten, briefings, analyses van begroting en jaarstukken, concepten van moties, amendementen en vragen). Lars: AI-ondersteuning voor public affairs en landelijke politiek (dossiers met besluiten, stakeholders en hun standpunten, acties, tijdlijn en scenario's; briefings en concepten). |
| Diensten: Consultancydiensten | Advies, consultancy en het bouwen van een Oplossing in een Opdracht (bijvoorbeeld met Microsoft 365, SharePoint, Power Automate, n8n, Zapier of Make, of op het Minerva Platform). Verwerker verwerkt persoonsgegevens alleen voor zover hij daarbij toegang heeft tot de Omgeving van de Klant, tot kopieën of voorbeelden die voor de Opdracht nodig zijn, of tot gegevens in het Minerva Platform; voor dat laatste gelden ook de bepalingen voor de Platformdiensten. Categorieën betrokkenen en persoonsgegevens: die in de Omgeving van de Klant staan en voor de Opdracht worden gebruikt; per Opdracht in de Offerte genoemd, voor zover bekend. Bewaartermijn: verwijdering binnen 14 dagen na Oplevering of einde van de Opdracht (artikel 15). |
| Aard van de verwerking | Opslaan en hosten; documenten inlezen, in passages opdelen, omzetten naar zoekvectoren en indexeren; doorzoeken; AI-analyse en -generatie (chat met de AI-assistent, briefings, concepten); spraak omzetten naar tekst, van audio die de gebruiker aanlevert en van opnames van openbare raads- en commissievergaderingen; transactionele e-mail; registratie van acties (audit) en van modelaanroepen. |
| Doel | Het leveren van de Diensten aan Verwerkingsverantwoordelijke en haar gebruikers, zoals bepaald door Verwerkingsverantwoordelijke. |
| Categorieën betrokkenen | Gebruikers van Verwerkingsverantwoordelijke (zoals raadsleden, fractiemedewerkers, griffiemedewerkers, public-affairsmedewerkers). Personen die voorkomen in documenten en gesprekken: raads- en Kamerleden, wethouders en bewindspersonen, ambtenaren, insprekers, indieners van brieven en bezwaren en andere burgers die in raadsstukken worden genoemd, stakeholders en contactpersonen. |
| Categorieën persoonsgegevens | Identificatie- en contactgegevens van gebruikers; rol en rechten binnen de organisatie; gesprekken met de AI-assistent, door het systeem bijgehouden samenvattingen en geheugen per gebruiker en per dossier; inhoud van geüploade en gegenereerde documenten; audio en transcripties, waaronder transcripties van openbare vergaderingen (met de stemmen van sprekers); technische gegevens (IP-adres, sessiegegevens, auditregels). |
| Bijzondere en gevoelige gegevens | Kunnen voorkomen. Politieke opvattingen komen naar de aard van de Diensten voor: standpunten en stemgedrag van politici, en de eigen politieke lijn van een fractie of organisatie. In raadsstukken en burgerbrieven kunnen ook andere bijzondere persoonsgegevens (bijvoorbeeld over gezondheid) of strafrechtelijke gegevens staan. Verwerkingsverantwoordelijke beoordeelt de uitzonderingsgrond (artikel 9, tweede lid, AVG) en de grondslag voor strafrechtelijke gegevens (artikel 10 AVG in samenhang met de artikelen 31 tot en met 33 UAVG). |
| Bewaartermijnen | Zie de tabel hieronder. |
| Locatie | Opslag in de EU (Google Cloud, europe-west1, België). AI-verwerking deels buiten de EU; zie Bijlage B. |
| Contactpersonen | Verwerkingsverantwoordelijke: de beheerder die de klant in het platform heeft opgegeven (artikel 13.4). Verwerker: privacy@minerva-digital.io (Verwerker heeft geen functionaris gegevensbescherming; dat is niet verplicht). |
Bewaartermijnen
| Gegevens | Bewaartermijn | Hoe geregeld |
|---|---|---|
| Documenten, gesprekken, dossiers en geheugen | Tot verwijdering door de klant of gebruiker; uiterlijk 30 dagen na het einde van de Diensten | Verwijderen in het platform markeert eerst als verwijderd; definitief wissen 30 dagen daarna. Geen automatische vervaldatum. |
| Gebruikersaccount | Zolang het account bestaat | Gebruiker kan zelf wissen: direct geanonimiseerd en onbruikbaar |
| Agent-sporen (prompts en ruwe tool-resultaten) | 14 dagen (staan standaard uit) | Automatisch, dagelijkse opschoning |
| Vastlegging van flowstappen (invoer en uitvoer per stap) | Als klantinhoud: tot verwijdering, uiterlijk 30 dagen na het einde van de Diensten | Nu geen automatische opschoning |
| Auditregels | 2 jaar | Automatische verwijdering, ingericht vóór maart 2028 |
| Register van modelaanroepen | 7 jaar, als facturatiegegevens van Verwerker | Nu geen automatische opschoning |
| Back-ups | Herstelpunten 7 dagen; 7 dagelijkse back-ups | Automatisch door Google Cloud SQL |
| Na beëindiging | Verwijdering binnen 30 dagen | Volgens een vaste, vastgelegde procedure; schriftelijke bevestiging op verzoek |
Bijlage B. Subverwerkers
Stand 22 oktober 2026. De locaties zijn de locaties van verwerking zoals ingericht in het platform. De Google Cloud-regio is europe-west1 (België); eerdere documenten die europe-west4 (Nederland) noemen, zijn op dit punt achterhaald.
| Subverwerker | Wat | Locatie van verwerking | Doorgifte en waarborg | Wanneer actief |
|---|---|---|---|---|
| Google Cloud Platform (Google Cloud EMEA Ltd) | Rekenkracht (Cloud Run), database (Cloud SQL, PostgreSQL), bestandsopslag, sleutelbeheer (Secret Manager), logging | europe-west1, België (EU) | Geen doorgifte voor opslag. Voor eventuele toegang vanuit de VS: Data Privacy Framework (Google LLC) en standaardcontractbepalingen | Altijd |
| Google Vertex AI (Gemini) | AI-taalmodellen | Deels europe-west1, België (EU); deels het wereldwijde endpoint van Google, locatie niet gegarandeerd | Bij het wereldwijde endpoint: Data Privacy Framework (Google LLC) en standaardcontractbepalingen | Afhankelijk van het taaktype |
| OpenAI (OpenAI Ireland Ltd) | AI-taalmodellen; een tweede (reserve-)zoekvector van elk ingelezen document; spraak-naar-tekst, ook van opnames van openbare vergaderingen | Verenigde Staten | Standaardcontractbepalingen | Standaard actief; reservevector bij elk ingelezen document |
| Cohere | Zoekvectoren (embeddings) van alle documenten en zoekvragen; herordenen van zoekresultaten. Training staat uit (opt-out ingesteld) | Verenigde Staten (Cohere Inc. is een Canadees bedrijf; de API draait op servers in de VS) | Standaardcontractbepalingen | Standaard actief; bij elk ingelezen document en elke zoekvraag |
| Mistral AI | AI-taalmodellen. Training staat uit (opt-out ingesteld) | Frankrijk (EU) | Geen doorgifte | Afhankelijk van het taaktype |
| Lyceum | Open-source AI-taalmodellen (o.a. Qwen) | Frankrijk en Finland (EU) | Geen doorgifte | Afhankelijk van het taaktype |
| Anthropic (Anthropic Ireland Ltd) | AI-taalmodellen (Claude), alleen als reserve- of terugvalmodel | Verwerking wereldwijd, opslag in de VS | Standaardcontractbepalingen | Bij uitval van een ander model of als reserve |
| Perplexity AI | Zoeken op internet; alleen de zoekvraag gaat naar de aanbieder | Verenigde Staten | Standaardcontractbepalingen (verwerkersovereenkomst van Perplexity) | Alleen als een webzoekopdracht wordt uitgevoerd |
| Brave Search | Zoeken op internet; alleen de zoekvraag gaat naar de aanbieder (voor zoekvragen deels zelfstandig verwerkingsverantwoordelijke) | Verenigde Staten | Standaardcontractbepalingen | Alleen als een webzoekopdracht wordt uitgevoerd |
| Google Places | Zoeken naar bedrijven en plaatsen; alleen de zoekvraag gaat naar de aanbieder | Wereldwijd (Google) | Google Ireland Ltd treedt op als zelfstandig verwerkingsverantwoordelijke | Alleen bij een zoekopdracht naar plaatsen |
| fal.ai (Features & Labels Inc.) | Genereren van afbeeldingen (zelden gebruikt); mag gede-identificeerde gegevens gebruiken om zijn dienst te verbeteren | Verenigde Staten | Standaardcontractbepalingen | Alleen bij het genereren van een afbeelding |
| Vercel | Hosting van de webapplicatie | Frankfurt (EU); Vercel Inc. is een Amerikaanse onderneming | Data Privacy Framework (Vercel Inc.) en standaardcontractbepalingen | Altijd |
| Upstash | Wachtrijen, cache en sessieopslag (Redis) | EU (Frankfurt): primaire database en kopie allebei in Frankfurt (eu-central-1) | Data Privacy Framework (Upstash Inc.) en standaardcontractbepalingen | Altijd |
| Mailgun (Sinch), EU-regio | Transactionele e-mail en, bij Lars, verzending van rapporten per e-mail | EU | Data Privacy Framework (Mailgun Technologies Inc.) en standaardcontractbepalingen, voor zover nodig | Altijd |
| Hetzner Online GmbH | Server van Verwerker in de EU | Falkenstein, Duitsland (EU) | Geen doorgifte | Bij ontwikkeling en beheer |
| Nylas | Koppeling met e-mail en agenda: in de productieomgeving niet in gebruik | Bij inschakeling de EU-regio van Nylas (Londen, Verenigd Koninkrijk) | Adequaatheidsbesluit Verenigd Koninkrijk; Data Privacy Framework (Nylas) | Niet in gebruik; pas na voorafgaande kennisgeving (artikel 5.2) |
Stripe verwerkt betalingen en gegevens van het factuurcontact; daarvoor is Verwerker zelf verwerkingsverantwoordelijke, zodat Stripe geen subverwerker voor Klantgegevens is.
Andere functies van het Minerva-platform (zoals verkoop- en marketingplugins) maken gebruik van andere diensten; die vallen buiten Vera en Lars en zijn hier niet opgenomen.
Bijlage C. Technische en organisatorische beveiligingsmaatregelen
Alleen maatregelen die in de code of in productie aantoonbaar bestaan, stand 8 oktober 2026. Punten die nog niet zijn ingericht, staan apart vermeld.
C.1 Aanwezig
| Maatregel | Stand op 8 oktober 2026 |
|---|---|
| Hosting | Backend en database op Google Cloud Run en Cloud SQL in europe-west1 (België); webapplicatie via Vercel, Frankfurt. |
| Inloggen | E-mail en wachtwoord met e-mailverificatie en rate limiting; foutmeldingen verraden niet of een e-mailadres bestaat. |
| Meerfactorauthenticatie | Beschikbaar voor gebruikers en voor beheerders van Minerva (authenticator-app, e-mailcodes, back-upcodes). Kan voor gebruikers nog niet per organisatie verplicht worden gesteld. |
| Scheiding tussen klanten | Afgedwongen in de applicatie: elke databasevraag en elke tool-aanroep van een AI-agent wordt op de server beperkt tot de eigen organisatie; het taalmodel bepaalt niet zelf wat het mag zien. |
| Menselijke goedkeuring | Acties van AI-agents die iets wegschrijven of versturen, wachten op goedkeuring door een mens. Uitzondering sinds 24-7-2026: Vera start twee flows (vergadervoorbereiding en coalitieakkoord-analyse) zonder aparte goedkeuring als de geschatte prijs onder een per organisatie instelbare drempel ligt (standaard 15 credits); een beheerder kan per hulpmiddel automatische goedkeuring instellen. |
| Audittrail | Wijzigingen worden vastgelegd met de uitvoerende gebruiker en het tijdstip, en waar beschikbaar het IP-adres en de browser. |
| Register van modelaanroepen | Elke aanroep van een AI-model krijgt een regel: model, tokens, kosten en de flow en stap waarvoor hij diende. |
| Versleuteling onderweg | Webverkeer versleuteld met TLS. Databaseverbindingen in de praktijk versleuteld (op 2-10-2026 geen onversleutelde verbindingen gemeten), maar nog niet door de database afgedwongen (zie C.2). |
| Versleuteling in rust | Opgeslagen gegevens versleuteld met de standaardversleuteling van Google Cloud. |
| Geheimen | Sleutels en wachtwoorden in Google Secret Manager; diensten draaien onder gekoppelde serviceaccounts, zonder sleutelbestanden. |
| Toegang tot productiedatabase | Alleen bereikbaar vanaf drie vaste IP-adressen op een witte lijst (de ontwikkelserver en twee beheermachines). |
| Back-ups en herstel | Herstel naar elk moment in de laatste 7 dagen, plus een dagelijkse back-up waarvan er 7 worden bewaard. |
| Beperkte bewaring van foutopsporingsgegevens | Agent-sporen met prompts en ruwe tool-resultaten staan standaard uit en kunnen alleen per organisatie worden aangezet (op 8-10-2026 bij geen enkele organisatie); als ze aanstaan, worden ze na 14 dagen automatisch verwijderd. |
| Zelfverwijdering | Een gebruiker kan zijn eigen account wissen; het account wordt geanonimiseerd en alle sessies worden ingetrokken. |
| Betrouwbaarheid van uitvoer | Antwoorden met bronvermelding; in briefings mogen cijfers alleen uit een gecontroleerd cijferregister komen; een citatiecontrole schrapt niet-bestaande bronnen; kwaliteitspoorten laten een run falen in plaats van een slecht resultaat op te leveren. |
| Interne controles | Onder meer een dagelijkse controle van databasecapaciteit en kosten, kwaliteitscontroles op ingelezen documenten en controles van de draaiende omgeving. |
C.2 Nog niet aanwezig of in uitvoering
| Onderdeel | Stand op 8 oktober 2026 |
|---|---|
| Database strakker afschermen | In uitvoering: SSL verplicht stellen en database-auditing (pgaudit) aanzetten; een alleen-lezen rol voor agents (nu delen de agents op de ontwikkelserver één databaserol die eigenaar is van alle tabellen); later een privé-IP-adres of IAM-proxy. |
| Externe penetratietest | Nog nooit uitgevoerd; gepland. |
| ISO 27001 / BIO | Geen certificering en geen formele toetsing. |
| Beveiliging op databaseniveau | Geen row-level security; de scheiding tussen klanten hangt volledig af van de applicatie. |
| Testomgeving (staging) | Bestaat niet; wijzigingen gaan na lokale tests naar productie. |
| Releasepoort | Alleen adviserend: een release vraagt een pull request, maar geen verplichte goedkeuring of geslaagde controles. |
| Externe monitoring | Geen externe foutmonitoring en geen automatische alarmering bij uitval; audit-events voor in- en uitloggen worden niet vastgelegd. |
| Sessies | Uitloggen met een verouderd vernieuwingstoken laat de huidige sessie tot 7 dagen actief. |
| Organisatie | Eén persoon (de oprichter) beslist, reviewt en geeft releases vrij; ontwikkeling gebeurt met AI-agents. |
Bijlage D. Procedure bij Datalekken
Termijn. Eerste melding zonder onredelijke vertraging en uiterlijk binnen 24 uur na kennisname; zo volledig mogelijke rapportage binnen 48 uur; daarna aanvullingen tot afronding. De termijn van 24 uur staat ook in de privacyverklaring (versie 1.4). Deze Verwerkersovereenkomst gaat voor.
Kanaal. Per e-mail en telefonisch aan het aanspreekpunt van Verwerkingsverantwoordelijke uit Bijlage A. Verwerker is bereikbaar via privacy@minerva-digital.io.
Inhoud van de melding (voor zover bekend; ontbrekende informatie wordt later aangevuld):
- de aard van het Datalek, het tijdstip van ontstaan en van ontdekking;
- de categorieën en het geschatte aantal betrokkenen en gegevensregels;
- de getroffen systemen, Subverwerkers en soorten gegevens, en of bijzondere persoonsgegevens zijn geraakt;
- de waarschijnlijke gevolgen voor betrokkenen;
- de genomen en voorgestelde maatregelen om het lek te beperken en herhaling te voorkomen;
- of de gegevens versleuteld of anderszins onbegrijpelijk waren;
- naam en contactgegevens van het aanspreekpunt bij Verwerker.
Detectie. Verwerker heeft op dit moment geen externe foutmonitoring of automatische alarmering; ontdekking steunt op interne controles (zie Bijlage C). Dit kan de ontdekking van een Datalek vertragen.