Verwerkersovereenkomst

1. Doel

Deze Verwerkersovereenkomst (“DPA”) maakt integraal deel uit van de Hoofdovereenkomst (Algemene Gebruiksvoorwaarden) gesloten tussen Avlex Belgium SRL (“Verwerker”) en de Klant (“Verwerkingsverantwoordelijke”). Zij bepaalt de voorwaarden waaronder de Verwerker persoonsgegevens verwerkt voor rekening van de Klant in het kader van de levering van de SaaS-diensten voor juridische bijstand via artificiële intelligentie.

2. Definities

Voor de toepassing van deze Overeenkomst:

• “Persoonsgegevens” : alle informatie met betrekking tot een geïdentificeerde of identificeerbare natuurlijke persoon die door de Verwerker wordt verwerkt voor rekening van de Verwerkingsverantwoordelijke.
• “Verwerking” : elke bewerking met betrekking tot Persoonsgegevens (verzamelen, opslaan, analyseren, wissen, enz.).
• “AVG” : Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016.
• “Datalek” : een inbreuk op de beveiliging die leidt tot accidentele of onrechtmatige vernietiging, verlies, wijziging of ongeoorloofde openbaarmaking van Persoonsgegevens.
• “Bijzondere categorieën van gegevens” : gegevens bedoeld in artikel 9 AVG (gezondheidsgegevens, gegevens betreffende strafrechtelijke inbreuken en veroordelingen, enz.) die kunnen voorkomen in de juridische dossiers die de Klant indient.

3. Rollen en verantwoordelijkheden

3.1 Verwerkingsverantwoordelijke (Klant)

De Klant, in zijn hoedanigheid van advocaat of juridisch professional, bepaalt de doeleinden en de middelen van de verwerking van de persoonsgegevens van zijn eigen cliënten. Hij waarborgt dat hij over alle rechten, toestemmingen en rechtsgronden beschikt die nodig zijn om deze gegevens aan de Verwerker toe te vertrouwen, in het bijzonder gelet op zijn beroepsgeheim (art. 458 van het Belgisch Strafwetboek).

3.2 Verwerker (Avlex Belgium SRL)

Avlex Belgium SRL verwerkt de Persoonsgegevens uitsluitend voor rekening van de Klant, overeenkomstig diens gedocumenteerde instructies en deze Overeenkomst. Avlex Belgium treedt daarnaast op als Verwerkingsverantwoordelijke voor de gegevens van het accountbeheer (facturatie, authenticatie) van de Abonnee.

4. Instructies van de Verwerkingsverantwoordelijke

De Verwerker verbindt zich ertoe de Persoonsgegevens uitsluitend te verwerken op gedocumenteerde instructie van de Verwerkingsverantwoordelijke, zoals bepaald in het Dienstencontract. De Verwerker zal de Klant onmiddellijk informeren indien naar zijn mening een instructie een inbreuk vormt op de AVG of op het toepasselijke Belgische recht.

5. Aard, Doel en AI-clausule

Aard van de verwerking : Analyse van juridische documenten, rechtspraakonderzoek, ondersteuning bij de redactie, beveiligde opslag en geautomatiseerde verwerking door artificiële intelligentie.

Doel : Uitsluitend de levering van de door de Klant afgenomen Diensten.

Duur : De duur van de Hoofdovereenkomst, vermeerderd met de technische termijnen voor het wissen van de back-ups (maximaal 30 dagen na beëindiging).

Verwerkte soorten Gegevens :

• Identificatiegegevens van de partijen (namen, adressen, contactgegevens)
• Gegevens vervat in de ingediende juridische dossiers
• Bijzondere categorieën van gegevens (art. 9 AVG) : gegevens betreffende strafrechtelijke inbreuken, gezondheidsgegevens of andere gevoelige gegevens die in de processtukken kunnen voorkomen

Rechtsgrond voor de bijzondere categorieën van gegevens : Art. 9.2.f AVG, verwerking noodzakelijk voor de instelling, uitoefening of onderbouwing van een rechtsvordering, uitsluitend in het kader van de beroepsactiviteit van de Klant.

Betrokkenen : Eindcliënten van de Verwerkingsverantwoordelijke, tegenpartijen en derden die in de ingediende juridische dossiers worden vermeld.

AI-vertrouwelijkheidsclausule, Garantie van niet-training

Avlex Belgium SRL waarborgt uitdrukkelijk dat de Persoonsgegevens en documenten die de Klant indient (Inkomende Inhoud) nooit worden gebruikt voor het trainen, verbeteren, bijsturen of verfijnen van generatieve AI-modellen, of het nu gaat om de modellen van Avlex Belgium dan wel om die van haar subverwerkers. De gegevens van de Klant worden in een gesloten omgeving verwerkt, uitsluitend voor zijn eigen behoeften, overeenkomstig de contractuele verbintenissen die met elke subverwerker zijn aangegaan (zie Bijlage).

6. Verplichtingen van de Verwerker

6.1 Vertrouwelijkheid

De Verwerker ziet erop toe dat de personen die gemachtigd zijn de gegevens te verwerken (werknemers, medewerkers, dienstverleners) zich contractueel tot vertrouwelijkheid verbinden of onderworpen zijn aan een passende wettelijke geheimhoudingsplicht, mede gelet op het beroepsgeheim van de advocaat.

6.2 Beveiliging (art. 32 AVG)

De Verwerker treft de passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, met name :

• Versleuteling van gegevens tijdens de doorvoer (TLS 1.2/1.3) en in rust (AES-256)
• Strikt toegangsbeheer en versterkte authenticatie
• Logging van de toegang tot vertrouwelijke gegevens
• Regelmatige versleutelde back-ups gehost binnen de Europese Unie
• Isolatie van de productieomgevingen

6.3 Subverwerking

De Klant machtigt de Verwerker een beroep te doen op de subverwerkers die in de Bijlage bij deze Overeenkomst zijn opgesomd. De Verwerker informeert de Klant over elke toevoeging of vervanging van een subverwerker ten minste dertig (30) dagen vóór de wijziging in werking treedt, zodat hij gemotiveerd bezwaar kan maken. Kan een gegrond bezwaar technisch niet worden opgelost, dan kan de Klant de Overeenkomst beëindigen en zijn gegevens recupereren volgens de in de AGV bepaalde modaliteiten.

6.4 Bijstand

De Verwerker helpt de Klant, voor zover mogelijk en op schriftelijk verzoek :

• Bij het beantwoorden van verzoeken tot uitoefening van de rechten van betrokkenen (inzage, rectificatie, wissing, overdraagbaarheid, bezwaar)
• Bij het uitvoeren van gegevensbeschermingseffectbeoordelingen (GEB/DPIA) indien nodig
• Bij het melden aan de Gegevensbeschermingsautoriteit (GBA) in geval van een inbreuk

6.5 Melding van een datalek

Bij een vastgesteld of vermoed Datalek stelt de Verwerker de Klant per e-mail (op het adres dat op de account geregistreerd staat) in kennis zo spoedig mogelijk en uiterlijk binnen tweeënzeventig (72) uur nadat hij er kennis van heeft genomen, overeenkomstig artikel 33 AVG. De melding bevat ten minste : de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen, de waarschijnlijke gevolgen en de genomen of voorgenomen maatregelen.

6.6 Verwijdering en omkeerbaarheid van de gegevens

Na afloop van de Overeenkomst verbindt Avlex Belgium SRL zich ertoe, naar keuze van de Klant :

• Alle Persoonsgegevens terug te bezorgen in een gestructureerd en leesbaar formaat (export JSON/CSV) binnen een termijn van dertig (30) dagen na de beëindiging
• Alle Persoonsgegevens op beveiligde en definitieve wijze te wissen, en de Klant een schriftelijk attest van verwijdering te bezorgen

Tenzij het Unierecht of het Belgisch recht de bewaring ervan gedurende een bepaalde termijn vereist.

7. Internationale doorgiften

De gegevens van de Klant (juridische dossiers, Inkomende Inhoud) worden uitsluitend binnen de Europese Economische Ruimte (EER) gehost, op de infrastructuur van OVHcloud SAS (Frankrijk).

Bepaalde subverwerkers (onze AI-subverwerker voor de AI-verwerking, Stripe voor de betalingen) kunnen doorgiften van gegevens naar derde landen met zich meebrengen. Deze doorgiften worden strikt omkaderd door :

• De Standaardcontractbepalingen (SCC) van de Europese Commissie
• Het EU-VS-kader voor gegevensbescherming (EU-US Data Privacy Framework) voor doorgiften naar de Verenigde Staten

De details per subverwerker staan in de Bijlage.

8. Audit en aantonen van naleving

De Verwerker stelt de Klant de informatie ter beschikking die nodig is om de naleving van de in deze Overeenkomst bepaalde verplichtingen aan te tonen (technische documentatie, beveiligingsbeleid, beschikbare certificeringen).

Audits of inspecties kunnen worden uitgevoerd door de Klant of door een gemandateerde auditor, op voorwaarde :

• Van een schriftelijke opzegtermijn van dertig (30) dagen
• Dat de werking van de Verwerker niet wordt verstoord
• Dat de auditor vooraf een vertrouwelijkheidsovereenkomst ondertekent

De eerste jaarlijkse audit gebeurt zonder bijkomende kosten voor de Klant. Volgende audits zijn ten laste van de Klant.

9. Beperking van aansprakelijkheid

De aansprakelijkheid van Avlex Belgium SRL uit hoofde van deze DPA is onderworpen aan de beperkingen en aansprakelijkheidsplafonds die zijn vastgelegd in de Algemene Gebruiksvoorwaarden (Hoofdovereenkomst), behoudens bedrog of zware fout.

10. Toepasselijk recht en bevoegde rechtbank

Deze Overeenkomst wordt beheerst door het Belgisch recht. Elk geschil dat voortvloeit uit of verband houdt met deze Overeenkomst behoort tot de uitsluitende bevoegdheid van de Franstalige rechtbanken van Brussel, België.

Bijlage, Lijst van Toegestane Subverwerkers

Op de datum van bijwerking van deze Overeenkomst machtigt de Klant uitdrukkelijk de volgende subverwerkers :

Subverwerker	Zetel / Locatie van de gegevens	Rol	Garantie van niet-training	Doorgifte buiten de EER
Google Cloud EMEA Limited	Ierland / Gegevens verwerkt in de EU (regio europe-west1)	AI-verwerking via Vertex AI (analyse en redactie van documenten)	Contractueel gewaarborgd	Via EU-US DPF + SCC
OVHcloud SAS	2 rue Kellermann, 59100 Roubaix, Frankrijk	Hosting van de applicatie, database, back-ups	Contractueel gewaarborgd	Geen doorgifte buiten de EER
Stripe Payments Europe Ltd	1 Grand Canal Street Lower, Dublin 2, Ierland	Verwerking van beveiligde betalingen (uitsluitend facturatiegegevens, geen juridische gegevens)	N.v.t.	Via SCC (Stripe Inc., VS)
Hostinger International Ltd	61 Lordou Vironos Street, 6023 Larnaca, Cyprus	Hosting van de institutionele website avlex.be (geen vertrouwelijke cliëntgegevens)	N.v.t.	Volgens gekozen regio

Belangrijke opmerking : De vertrouwelijke juridische dossiers en cliëntgegevens worden uitsluitend verwerkt door onze AI-subverwerker (verwerking in doorvoer) en OVHcloud SAS (opslag). Stripe en Hostinger verwerken geen enkel vertrouwelijk juridisch gegeven.

Avlex Belgium BV, Keizerslaan 10, 1000 Brussel, België , BTW : [BE 1036.582.778] Contact DPA : [email protected]