Verwerkersovereenkomst

Versie: 1.4 · Geldig vanaf: 3 november 2026

Deze Verwerkersovereenkomst (“DPA”) wordt gesloten tussen de Zakelijke klant die de Servicevoorwaarden van Mailistix (de “Voorwaarden”) heeft aanvaard (“Klant”, “u”, “uw”) en Mailistix UG (haftungsbeschränkt), Kolonnenstr. 8, 10827 Berlin, Duitsland, ingeschreven in het handelsregister van het Amtsgericht Charlottenburg (Berlin) onder HRB 291268 B (“Mailistix”, “wij”, “ons”, “onze”). Hierin is vastgelegd hoe wij namens u persoonsgegevens verwerken wanneer u de Dienst van Mailistix gebruikt, zoals vereist krachtens artikel 28 AVG, de UK GDPR en de Zwitserse FADP. De actuele versie is gepubliceerd op https://mailistix.com/legal/dpa.

In het kort (uitsluitend ter oriëntatie; de onderstaande artikelen zijn bepalend):

• Uw e-mail blijft bij uw mailboxproviders (bijvoorbeeld Google of Microsoft) en, als lokale kopie, op uw apparaten. Wij hebben geen toegang tot die kopie. Deze DPA heeft uitsluitend betrekking op gegevens die via onze Clouddiensten lopen of daarin worden bewaard.
• E-mailinhoud bereikt onze Clouddiensten alleen wanneer een van uw gebruikers een AI-functie gebruikt, inclusief het leren van bewerkingen nadat een gewijzigd AI-concept is verzonden. Wij geven die inhoud door aan onze AI-providers, sturen het resultaat terug en slaan de inhoud niet op.
• Namens u bewaren onze servers slechts enkele technische registraties: registraties van pushmeldingen (7 dagen), mailbox-watchregistraties (zolang een mailbox is gekoppeld) en supportuploads (30 dagen). Support-e-mails en berichten uit het contactformulier blijven 2 jaar na het laatste bericht in onze mailbox.
• U bent de verwerkingsverantwoordelijke en wij zijn uw verwerker. Voor de Accounts van uw gebruikers, facturering, beveiliging en optionele telemetrie zijn wij, conform ons Privacybeleid, zelfstandig verwerkingsverantwoordelijke.
• Onze subverwerkers staan in bijlage 3. Wij stellen u 14 dagen voordat wij een subverwerker toevoegen daarvan in kennis, en u kunt bezwaar maken.

1. Totstandkoming, reikwijdte en rangorde

1.1 Totstandkoming. Deze DPA maakt deel uit van de Voorwaarden. Zij is automatisch en zonder handtekening van toepassing op elke Zakelijke klant die de Voorwaarden aanvaardt, vanaf het moment van aanvaarding of, indien dat later is, vanaf de hierboven vermelde ingangsdatum. Zij wordt in elektronische vorm gesloten, waarmee wordt voldaan aan het schriftelijkheidsvereiste van artikel 28, lid 9, AVG. Wanneer een Geautoriseerde gebruiker de Voorwaarden in de Software aanvaardt, leggen wij vast welke versie van de Voorwaarden en van deze DPA is aanvaard, het tijdstip van aanvaarding volgens onze server, of de aanvaarding bij de registratie of naar aanleiding van een latere melding plaatsvond, en de versie van de Software (artikel 1.8 van de Voorwaarden); Instellingen › Juridisch toont sinds wanneer de huidige versie van deze DPA van toepassing is. U kunt deze DPA op elk moment ophalen en opslaan op het bovenstaande adres en in Instellingen › Juridisch, en wij houden eerdere versies beschikbaar. Hebt u voor uw administratie een door ons ondertekend exemplaar nodig, schrijf dan naar legal@mailistix.com; wij sturen u deze DPA dan ondertekend toe. Een ondertekend exemplaar wijzigt de inhoud niet.

1.2 Geautoriseerde gebruikers. U gebruikt de Dienst via de natuurlijke personen die over Accounts beschikken en deze voor uw zakelijke doeleinden gebruiken, zoals uw werknemers en opdrachtnemers (“Geautoriseerde gebruikers”). Elk Account is bestemd voor één natuurlijke persoon (zie de EULA). De persoon die de Voorwaarden namens u aanvaardt, bevestigt daarbij bevoegd te zijn u te binden. U bent verantwoordelijk voor de naleving van deze DPA door uw Geautoriseerde gebruikers. De Dienst kent geen organisatieaccounts: laat ons per e-mail aan legal@mailistix.com weten welke Accounts bij u horen en wie wij krachtens deze DPA moeten informeren (artikel 17.6).

1.3 Reikwijdte. Deze DPA is van toepassing op de verwerking van Persoonsgegevens van de Klant door ons namens u in de Clouddiensten. Zij is niet van toepassing op:

(a) verwerking door de Software op uw apparaten (artikel 3); of

(b) verwerking waarvoor wij een zelfstandige verwerkingsverantwoordelijke zijn (artikel 2.4).

1.4 Rangorde. Bij strijdigheid tussen deze DPA en Deel I van de Voorwaarden, de EULA of het Beleid voor aanvaardbaar gebruik prevaleert deze DPA, voor zover het de verwerking van Persoonsgegevens van de Klant betreft. De Regionale voorwaarden behouden de rangorde die de Voorwaarden daaraan toekennen. Waar de Modelcontractbepalingen van toepassing zijn (artikel 12), prevaleren zij boven deze DPA en de Voorwaarden. Niets in deze DPA of de Voorwaarden beperkt de rechten die betrokkenen of toezichthoudende autoriteiten op grond van de Modelcontractbepalingen of de Wetgeving inzake gegevensbescherming hebben.

1.5 Gebruikte termen. Termen met een hoofdletter die in deze DPA niet zijn gedefinieerd, hebben de betekenis die de Voorwaarden daaraan geven.

2. Definities en rollen

2.1 Definities. In deze DPA wordt verstaan onder:

• “Wetgeving inzake gegevensbescherming”: alle wetten inzake de bescherming van persoonsgegevens die van toepassing zijn op de verwerking krachtens deze DPA, in het bijzonder de AVG, de Duitse federale wet inzake gegevensbescherming (BDSG), de UK GDPR, de FADP en, voor zover van toepassing, de in artikel 16 genoemde wetten van Amerikaanse deelstaten.
• “AVG”: Verordening (EU) 2016/679.
• “UK GDPR”: de AVG zoals deze deel uitmaakt van het recht van het Verenigd Koninkrijk, gelezen in samenhang met de Data Protection Act 2018, zoals gewijzigd, onder meer door de Data (Use and Access) Act 2025.
• “FADP”: de Zwitserse federale wet inzake gegevensbescherming van 25 september 2020 en de uitvoeringsverordeningen daarvan.
• “Dataverordening”: Verordening (EU) 2023/2854 (de Dataverordening van de EU).
• “Persoonsgegevens van de Klant”: persoonsgegevens die in Klantinhoud zijn vervat en die wij namens u in de Clouddiensten verwerken om de Dienst te leveren, zoals beschreven in bijlage 1.
• “Subverwerker”: een door ons ingeschakelde verwerker die Persoonsgegevens van de Klant verwerkt.
• “Inbreuk in verband met persoonsgegevens”: een inbreuk op de beveiliging die per vergissing of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of toegang tot Persoonsgegevens van de Klant die door ons of onze Subverwerkers zijn doorgezonden, opgeslagen of anderszins verwerkt.
• “Modelcontractbepalingen”: de modelcontractbepalingen in de bijlage bij Uitvoeringsbesluit (EU) 2021/914 van de Commissie van 4 juni 2021.
• “VK-addendum”: het International Data Transfer Addendum bij de modelcontractbepalingen van de Europese Commissie, uitgegeven door de Information Commissioner van het Verenigd Koninkrijk, versie B1.0, van kracht sinds 21 maart 2022, zoals herzien door de Information Commissioner krachtens artikel 18 van de Mandatory Clauses daarvan.
• “Doorgifte aan een derde land”: een doorgifte van Persoonsgegevens van de Klant aan een land buiten de EER, het Verenigd Koninkrijk of Zwitserland (naargelang van toepassing) waarvoor op grond van de Wetgeving inzake gegevensbescherming passende waarborgen nodig zijn, omdat geen adequaatheidsbesluit of adequaatheidsregeling daarop van toepassing is.
• “verwerkingsverantwoordelijke”, “verwerker”, “betrokkene”, “persoonsgegevens”, “verwerking” en “toezichthoudende autoriteit” hebben de betekenis die de AVG daaraan geeft. Onder andere Wetgeving inzake gegevensbescherming omvatten deze termen ook de gelijkwaardige termen (bijvoorbeeld “business” en “service provider”).

2.2 U als verwerkingsverantwoordelijke. Voor Persoonsgegevens van de Klant bent u de verwerkingsverantwoordelijke en zijn wij uw verwerker.

2.3 U als verwerker. Indien u Persoonsgegevens van de Klant verwerkt namens een andere verwerkingsverantwoordelijke (bijvoorbeeld een opdrachtgever van u), bent u verwerker en zijn wij uw subverwerker. In dat geval:

(a) bevestigt u dat de andere verwerkingsverantwoordelijke de verwerking op grond van deze DPA heeft toegestaan, daaronder begrepen het inschakelen van ons en van onze Subverwerkers;

(b) bent u voor ons het enige aanspreekpunt van de andere verwerkingsverantwoordelijke; u geeft diens instructies en verzoeken aan ons door, en wij aanvaarden uitsluitend instructies van u;

(c) geeft u onze kennisgevingen en informatie op grond van deze DPA waar nodig door aan de andere verwerkingsverantwoordelijke; en

(d) oefent de andere verwerkingsverantwoordelijke diens informatie- en auditrechten via u uit, overeenkomstig artikel 11; en

(e) zorgt u ervoor dat deze DPA ons de gegevensbeschermingsverplichtingen oplegt die uw overeenkomst met de andere verwerkingsverantwoordelijke voor een subverwerker vereist (artikel 28, lid 4, AVG).

2.4 Onze eigen verwerking als verwerkingsverantwoordelijke. Wij verwerken sommige persoonsgegevens van uw Geautoriseerde gebruikers als zelfstandig verwerkingsverantwoordelijke, op grond van ons Privacybeleid en niet op grond van deze DPA, namelijk voor:

(a) het Account, het inloggen en de authenticatie;

(b) Abonnementen, Credits en facturering; betalingen worden afgehandeld door Polar Software, Inc. als merchant of record (verkoper van record), die optreedt als zelfstandig verwerkingsverantwoordelijke en het e-mailadres en het Mailistix-gebruikers-ID van de Geautoriseerde gebruiker ontvangt (en, bij het afrekenen, het IP-adres);

(c) gebruiksmetagegevens van AI-verzoeken (functie, model, tokenaantallen, Credits, tijdstip, succes of fout, zonder enige inhoud) voor facturering, kostenbeheersing en beveiliging;

(d) beveiliging, snelheidsbeperking (rate limiting) en het voorkomen en onderzoeken van misbruik;

(e) optionele gebruiksanalyses en crashrapporten, uitsluitend na opt-in door de Geautoriseerde gebruiker;

(f) toestemmingsregistraties, de registratie van de aanvaarding van de Voorwaarden en deze DPA (artikel 1.1), de Regio-instelling, app-updates en onze communicatie met Geautoriseerde gebruikers, daaronder begrepen support (met uitzondering van Persoonsgegevens van de Klant in supportuploads en supportberichten, die wij krachtens deze DPA verwerken); en

(g) naleving van onze wettelijke verplichtingen.

Voor zover de Wetgeving inzake gegevensbescherming u verplicht uw Geautoriseerde gebruikers over deze verwerking te informeren, kunt u hen naar het Privacybeleid verwijzen.

3. Gegevens op uw apparaten

3.1 Lokale verwerking onder uw controle. De Software slaat Mailboxgegevens en andere Klantinhoud op in een versleutelde database op de apparaten waarop uw Geautoriseerde gebruikers de Software installeren; de sleutel van die database wordt beschermd door de opslag voor inloggegevens (credential store) van het besturingssysteem. De Software synchroniseert e-mail rechtstreeks tussen het apparaat en de Gekoppelde mailbox. Deze verwerking vindt plaats op uw apparaten onder de uitsluitende controle van u en uw Geautoriseerde gebruikers. Wij hebben geen toegang tot de lokale database, de sleutel ervan, de op het apparaat opgeslagen mailboxtokens of de e-mail die de database bevat. Wij ontvangen daarvan geen kopieën en verwerken deze niet namens u. Het leveren van de Software maakt ons voor die gegevens niet uw verwerker.

3.2 Mailboxproviders. Uw mailboxproviders (Google, Microsoft of de provider van een via IMAP gekoppelde mailbox) leveren uw Gekoppelde mailboxen op grond van uw eigen overeenkomsten met hen. Zij zijn niet onze Subverwerkers. Dit geldt ook wanneer Google of Microsoft mailboxtoegang via OAuth toestaan en wanneer Microsoft wijzigingsmeldingen over uw mailbox naar onze serverfunctie stuurt.

3.3 Wanneer gegevens het apparaat verlaten. Persoonsgegevens van de Klant bereiken de Clouddiensten alleen in de situaties die in bijlage 1 zijn opgesomd, die elk worden gestart door een Geautoriseerde gebruiker of door een mailbox die een Geautoriseerde gebruiker heeft gekoppeld: gebruik van een AI-functie (inclusief het leren van bewerkingen nadat een Geautoriseerde gebruiker een gewijzigd AI-concept verzendt), het koppelen van een mailbox, pushmeldingen over nieuwe e-mail, afmelden voor nieuwsbrieven met één klik en supportuploads.

3.4 Uw verantwoordelijkheden met betrekking tot de apparaten. U bent verantwoordelijk voor het beveiligen van de apparaten en de besturingssysteemaccounts waarop de Software draait, voor back-ups, en voor het verwijderen van lokale gegevens wanneer een Geautoriseerde gebruiker vertrekt of een apparaat buiten gebruik wordt gesteld. Bijlage 2, deel B en de EULA beschrijven de functies van de Software die hiervoor beschikbaar zijn.

4. Instructies

4.1 Verwerking uitsluitend op instructie. Wij verwerken Persoonsgegevens van de Klant uitsluitend op basis van uw gedocumenteerde instructies, onder meer met betrekking tot doorgiften aan derde landen, tenzij het op ons van toepassing zijnde Unierecht of lidstatelijke recht (of, voor Britse of Zwitserse gegevens, Brits of Zwitsers recht) ons tot verwerking verplicht. In dat geval stellen wij u voorafgaand aan de verwerking in kennis van dat wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.

4.2 Uw instructies. Op het moment dat deze DPA wordt gesloten, zijn uw volledige gedocumenteerde instructies:

(a) de Voorwaarden en deze DPA, daaronder begrepen de bijlagen;

(b) het gebruik en de configuratie van de Dienst door u en uw Geautoriseerde gebruikers, in het bijzonder het inschakelen van de AI-functies in het AI-toestemmingsvenster, het starten van een AI-functie, het verzenden van een gewijzigd AI-concept terwijl de AI-functies zijn ingeschakeld (leren van bewerkingen), de Regio-instelling, het koppelen of verwijderen van een mailbox, het starten van een afmelding met één klik en het verzenden van een supportupload; en

(c) elke verdere schriftelijke instructie waarover de partijen overeenstemming hebben bereikt.

4.3 Regio-instelling. Elke Geautoriseerde gebruiker geeft in de Software aan waar die gebruiker is gevestigd (de Regio-instelling in de zin van de Voorwaarden). Deze instelling is uw instructie over de plaats waar AI-verzoeken worden verwerkt:

(a) “In Europa” (de EU, de EER, het Verenigd Koninkrijk of Zwitserland), of geen antwoord: alle AI-verwerking vindt plaats in de EU (bijlage 3);

(b) “Buiten Europa”: sommige Gemini-modellen worden uitgevoerd op het wereldwijde (global) eindpunt van Google, dat gegevens kan verwerken in elk land waar Google actief is; alle overige AI-verwerking blijft in de EU.

U bent ervoor verantwoordelijk dat uw Geautoriseerde gebruikers hun antwoord afstemmen op uw eisen. Een Geautoriseerde gebruiker kan de Regio-instelling wijzigen in Instellingen › Privacy & AI. Een wijziging geldt uitsluitend voor latere verzoeken.

4.4 Verdere instructies. Verdere instructies moeten schriftelijk worden gegeven (e-mail volstaat) en moeten verenigbaar zijn met de Voorwaarden en met de Dienst zoals die wordt aangeboden. Indien wij door een instructie de Dienst zouden moeten wijzigen, of Persoonsgegevens van de Klant zouden moeten verwerken op een wijze die de Dienst niet ondersteunt, mogen wij die instructie weigeren. U kunt de Voorwaarden dan voor de betrokken Accounts beëindigen.

4.5 Onrechtmatige instructies. Wij stellen u zonder onnodige vertraging in kennis indien een instructie naar onze mening inbreuk vormt op de Wetgeving inzake gegevensbescherming. Wij kunnen de uitvoering van die instructie opschorten totdat u deze bevestigt of wijzigt.

4.6 Geen gebruik voor onze eigen doeleinden. Wij verwerken Persoonsgegevens van de Klant niet voor onze eigen doeleinden. In het bijzonder verkopen wij ze niet, gebruiken wij ze niet voor reclame of profilering, en gebruiken wij ze niet om modellen voor kunstmatige intelligentie of machinaal leren te trainen, te ontwikkelen of te verbeteren, hetzij van onszelf, hetzij van derden. Onze AI-Subverwerkers mogen deze gegevens contractueel niet gebruiken om hun modellen te trainen. De in bijlage 1 beschreven personalisatie van concepten werkt door voorbeelden aan het verzoek toe te voegen; er wordt geen model getraind of gewijzigd.

5. Vertrouwelijkheid

5.1 Wij verlenen uitsluitend toegang tot Persoonsgegevens van de Klant aan personen die deze nodig hebben om de Dienst te leveren. Elk van hen heeft zich ertoe verbonden vertrouwelijkheid in acht te nemen of is door een passende wettelijke verplichting inzake vertrouwelijkheid gebonden; die verbintenis of verplichting blijft ook gelden nadat hun betrokkenheid is geëindigd.

5.2 Wij slaan de inhoud van AI-verzoeken en van AI-Output niet op (bijlage 1). Ons personeel leest Persoonsgegevens van de Klant niet, behalve:

(a) wanneer u of een Geautoriseerde gebruiker ons verzoekt specifieke inhoud te bekijken, bijvoorbeeld in een supportzaak;

(b) wanneer dit nodig is om een beveiligingsincident of misbruik te onderzoeken; of

(c) wanneer de wet dit vereist.

Elke zodanige toegang blijft beperkt tot hetgeen het doel daarvan vereist.

5.3 Beroepsgeheim. Indien u gebonden bent aan een beroepsgeheim, in het bijzonder krachtens § 203, leden 1 tot en met 3, van het Duitse Wetboek van Strafrecht (StGB), § 43e van de Duitse Federale advocatenwet (BRAO), § 62a van de Duitse Belastingadviseurswet (StBerG) of vergelijkbare regels, treden wij op als een bij uw beroepsuitoefening betrokken persoon (mitwirkende Person, § 203, lid 3, zin 2, StGB), voor zover wij krachtens deze DPA aan u toevertrouwde geheimen verwerken. In dat geval:

(a) verbinden wij ons ertoe dergelijke geheimen vertrouwelijk te houden, en wij zijn ons ervan bewust dat een ongeoorloofde openbaarmaking strafbaar is krachtens § 203, lid 4, zin 1, StGB;

(b) verkrijgen wij kennis van dergelijke geheimen slechts voor zover het leveren van de Dienst dit vereist (artikel 5.2);

(c) verplichten wij de personen die voor ons werken in tekstvorm tot geheimhouding en informeren wij hen over de strafrechtelijke gevolgen van een schending; en

(d) schakelen wij Subverwerkers uitsluitend in met inachtneming van artikel 7. Zij zijn door hun verwerkingsvoorwaarden tot vertrouwelijkheid verplicht (artikel 7.2), maar hebben ons geen specifiek op § 203 StGB gerichte verbintenis gegeven, en sommigen van hen zijn gevestigd, of hebben hun moedermaatschappij, buiten de EU (bijlage 3).

Dit artikel 5.3 is de vertrouwelijkheidsverbintenis waarnaar artikel 9.6 van de Voorwaarden verwijst; op verzoek sturen wij u een door ons ondertekend exemplaar. Of uw beroepsregels u toestaan de AI-functies of de Clouddiensten te gebruiken met aan u toevertrouwde geheimen, in het bijzonder gelet op onderdeel (d) (bijvoorbeeld § 43e, leden 3 en 4, BRAO), moet u zelf beoordelen (artikel 14.3(d) en artikel 9.6 van de Voorwaarden).

6. Beveiliging

6.1 Wij treffen de in bijlage 2 beschreven technische en organisatorische maatregelen en handhaven deze. Deze maatregelen waarborgen een op het risico afgestemd beveiligingsniveau, rekening houdend met de stand van de techniek, de uitvoeringskosten, de aard, de omvang, de context en de verwerkingsdoeleinden, en de risico’s voor de rechten en vrijheden van natuurlijke personen (artikel 32 AVG).

6.2 De maatregelen kunnen worden aangepast aan de technische vooruitgang. Wij mogen ze wijzigen, mits het algehele beschermingsniveau daardoor niet wordt verlaagd. Wij documenteren wezenlijke wijzigingen en werken bijlage 2 dienovereenkomstig bij.

6.3 U bent verantwoordelijk voor het beoordelen of de maatregelen aan uw eisen voldoen, en voor de maatregelen die onder uw eigen controle vallen (artikel 3.4 en bijlage 2, deel B).

7. Subverwerkers

7.1 Algemene toestemming. U geeft ons algemene schriftelijke toestemming om Subverwerkers in te schakelen. De Subverwerkers die op het moment van het sluiten van deze DPA zijn vermeld in bijlage 3 en op https://mailistix.com/legal/subprocessors, zijn toegestaan.

7.2 Vereisten. Voordat een Subverwerker Persoonsgegevens van de Klant verwerkt:

(a) controleren wij dat deze voldoende garanties biedt voor het toepassen van passende technische en organisatorische maatregelen;

(b) sluiten wij met deze een schriftelijke overeenkomst die gegevensbeschermingsverplichtingen oplegt die ten minste hetzelfde beschermingsniveau bieden als deze DPA, zoals vereist door artikel 28, lid 4, AVG; en

(c) zorgen wij voor een rechtmatig doorgiftemechanisme overal waar een Doorgifte aan een derde land plaatsvindt (artikel 12).

Wij blijven jegens u volledig aansprakelijk voor de nakoming van de verplichtingen van elke Subverwerker.

7.3 Kennisgeving van wijzigingen. Wij stellen u ten minste 14 dagen voordat een Subverwerker Persoonsgegevens van de Klant gaat verwerken, in kennis van elke beoogde toevoeging of vervanging van een Subverwerker. Wij doen dit door de pagina met Subverwerkers bij te werken, door een kennisgeving aan de e-mailadressen van de Accounts van uw Geautoriseerde gebruikers of in de Software, en per e-mail aan uw contactpersoon voor gegevensbescherming, indien u ons een contactpersoon hebt opgegeven (artikel 17.6). De kennisgeving vermeldt de Subverwerker, de dienst die deze verleent, de verwerkingslocatie en het doorgiftemechanisme.

7.4 Bezwaar. U kunt bezwaar maken tegen een nieuwe Subverwerker door binnen 14 dagen na de kennisgeving te schrijven naar legal@mailistix.com, op redelijke gronden die verband houden met gegevensbescherming. Wij bespreken het bezwaar te goeder trouw met u en kunnen een oplossing voorstellen, bijvoorbeeld door de nieuwe Subverwerker niet voor uw Accounts te gebruiken of de betrokken functie voor die Accounts uit te schakelen. Indien wij het bezwaar niet kunnen oplossen, kunt u de Voorwaarden voor de betrokken Accounts per schriftelijke kennisgeving beëindigen, met ingang van uiterlijk de datum waarop de nieuwe Subverwerker voor u Persoonsgegevens van de Klant zou gaan verwerken. Wij betalen dan de vergoedingen die u hebt vooruitbetaald voor de periode na de beëindiging, naar rato, aan u terug via Polar als onze merchant of record. Uw overige rechten op grond van de Wetgeving inzake gegevensbescherming blijven onverlet.

7.5 Dringende vervanging. Indien wij een Subverwerker op korte termijn moeten vervangen om redenen die redelijkerwijs buiten onze macht liggen (bijvoorbeeld een beveiligingsincident bij de Subverwerker, of het feit dat de Subverwerker zijn dienstverlening beëindigt), en de vervanging noodzakelijk is om de Dienst veilig of beschikbaar te houden, mogen wij de vervanger inschakelen voordat de termijn van 14 dagen is verstreken. Wij stellen u dan zonder onnodige vertraging in kennis, en vanaf die kennisgeving is artikel 7.4 van toepassing. Waar de Modelcontractbepalingen van toepassing zijn, prevaleert clausule 9 daarvan.

7.6 Kopieën. Op verzoek verstrekken wij u een kopie van de gegevensbeschermingsvoorwaarden die wij met een Subverwerker zijn overeengekomen, of een link naar de standaardvoorwaarden van die Subverwerker. Wij mogen commerciële informatie en bepalingen die geen verband houden met gegevensbescherming weglaten.

7.7 Geen Subverwerkers. De volgende partijen zijn niet onze Subverwerkers: uw mailboxproviders (artikel 3.2); Polar als merchant of record (artikel 2.4); de afzenders van nieuwsbrieven aan wie op verzoek van een Geautoriseerde gebruiker een afmeldverzoek wordt gestuurd; en de aanbieders van uw besturingssystemen.

8. Bijstand

8.1 Verzoeken van betrokkenen. De meeste persoonsgegevens over uw Geautoriseerde gebruikers en hun correspondenten worden bewaard door uw mailboxprovider en op uw apparaten, niet door ons (artikel 3). Met inachtneming hiervan verlenen wij u, door middel van passende technische en organisatorische maatregelen, bijstand bij het beantwoorden van verzoeken van betrokkenen tot uitoefening van hun rechten op grond van hoofdstuk III van de AVG en van de gelijkwaardige rechten op grond van andere Wetgeving inzake gegevensbescherming:

(a) Met de Software kan elke Geautoriseerde gebruiker de gegevens exporteren die wij voor het eigen Account bewaren, inclusief registraties van pushmeldingen en registraties van supportuploads (Instellingen › Algemeen › Account › “Gegevens exporteren”); een Gekoppelde mailbox verwijderen; AI-toestemming intrekken en de Regio-instelling wijzigen (Instellingen › Privacy & AI); en het Account verwijderen.

(b) Indien een betrokkene rechtstreeks contact met ons opneemt over Persoonsgegevens van de Klant en wij u als verwerkingsverantwoordelijke kunnen identificeren, sturen wij het verzoek zonder onnodige vertraging naar u door. Wij beantwoorden het zelf niet, behalve om de betrokkene naar u te verwijzen of voor zover de wet anders bepaalt.

(c) Wij verlenen op verzoek verdere redelijke bijstand.

8.2 Beveiliging, inbreuken, effectbeoordelingen en raadpleging. Rekening houdend met de aard van de verwerking en de ons ter beschikking staande informatie, verlenen wij u bijstand bij het nakomen van de verplichtingen uit hoofde van de artikelen 32 tot en met 36 AVG. In het bijzonder verstrekken wij deze DPA en de bijlagen daarvan, de Kennisgeving over AI-functies en, op verzoek, verdere informatie over de verwerking binnen de AI-functies die u nodig hebt voor een gegevensbeschermingseffectbeoordeling of een voorafgaande raadpleging van een toezichthoudende autoriteit.

8.3 Kosten. De zelfbedieningsfuncties en de bijstand die in deze DPA zijn beschreven, zijn in de Dienst inbegrepen. Voor bijstand die verder gaat dan dit en niet het gevolg is van een schending van deze DPA door ons, mogen wij redelijke kosten in rekening brengen, mits wij u dit vooraf melden.

8.4 Autoriteiten en registers. Wij werken op verzoek samen met toezichthoudende autoriteiten bij de uitvoering van hun taken. Wij houden een register van verwerkingsactiviteiten bij zoals vereist door artikel 30, lid 2, AVG.

8.5 Contactpersoon voor gegevensbescherming. Onze contactpersoon voor gegevensbescherming is legal@mailistix.com.

9. Inbreuken in verband met persoonsgegevens

9.1 Kennisgeving. Wij stellen u zonder onnodige vertraging in kennis nadat wij kennis hebben genomen van een Inbreuk in verband met persoonsgegevens. Wij streven ernaar u binnen 48 uur in kennis te stellen.

9.2 Inhoud. De kennisgeving bevat, voor zover de informatie beschikbaar is:

(a) een beschrijving van de aard van de inbreuk, waar mogelijk met vermelding van de categorieën en het geschatte aantal betrokkenen en van de betrokken persoonsgegevensregisters;

(b) de naam en contactgegevens van ons contactpunt voor meer informatie;

(c) de waarschijnlijke gevolgen van de inbreuk; en

(d) de maatregelen die wij hebben genomen of voornemens zijn te nemen om de inbreuk aan te pakken en de mogelijke nadelige gevolgen ervan te beperken.

Indien wij niet alle informatie tegelijk kunnen verstrekken, verstrekken wij die in fasen, zonder verdere onnodige vertraging.

9.3 Onze maatregelen. Wij nemen zonder onnodige vertraging redelijke stappen om de inbreuk in te dammen en te onderzoeken, de gevolgen ervan te beperken en herhaling te voorkomen. Wij documenteren de inbreuk en houden u op de hoogte.

9.4 Wijze van kennisgeving. Wij sturen de kennisgeving per e-mail naar de e-mailadressen van de Accounts van de getroffen Geautoriseerde gebruikers en naar de contactpersoon voor gegevensbescherming die u ons overeenkomstig artikel 17.6 hebt opgegeven.

9.5 Uw verplichtingen. U beslist of de inbreuk moet worden gemeld aan een toezichthoudende autoriteit of aan betrokkenen, en u doet die meldingen. Wij doen deze meldingen niet namens u, tenzij u ons daartoe instrueert of de wet dit vereist.

9.6 Geen erkenning. Onze kennisgeving is geen erkenning van schuld of aansprakelijkheid.

9.7 Meldingen aan ons. Wij verzoeken u vermoede beveiligingsincidenten met betrekking tot de Dienst te melden aan legal@mailistix.com, met een onderwerpregel die begint met “Security:”, zoals beschreven in ons Beleid voor het melden van kwetsbaarheden.

10. Verwijdering en teruggave

10.1 Tijdens de looptijd. Wij bewaren Persoonsgegevens van de Klant in de Clouddiensten uitsluitend zolang als bijlage 1, deel H aangeeft. Geautomatiseerde dagelijkse taken verwijderen registraties waarvan de bewaartermijn is verstreken.

10.2 Verwijdering van het Account. Een Geautoriseerde gebruiker kan het eigen Account op elk moment in de Software verwijderen (Instellingen › Algemeen › Account › “Account verwijderen”); artikel 15.3 van de Voorwaarden beschrijft wanneer verwijdering wordt geweigerd (bijvoorbeeld zolang een betaald Abonnement nog kan worden afgeschreven). Daarbij worden de Persoonsgegevens van de Klant van dat Account uit de Clouddiensten verwijderd. Op het voor de verwijdering gebruikte apparaat stopt de Software tevens de pushmeldingen, trekt de Software de eigen toegang tot gekoppelde Google-mailboxen in en wist de Software de lokale gegevens van dat Account. U kunt ons ook schriftelijk verzoeken de Accounts van uw Geautoriseerde gebruikers te verwijderen; wij doen dit nadat wij uw bevoegdheid daartoe hebben vastgesteld.

10.3 Einde van de Voorwaarden voor een Account. Aan het einde van de levering van de Dienst voor een Account geven wij de Persoonsgegevens van de Klant van dat Account naar uw keuze terug of verwijderen wij deze (artikel 28, lid 3, onder g), AVG), als volgt (artikel 15.10 van de Voorwaarden):

(a) Teruggave. U verkrijgt een kopie via de export in de Software (artikel 8.1(a)), die een Geautoriseerde gebruiker op elk moment kan uitvoeren zolang het Account bestaat. Export en verwijdering zijn kosteloos.

(b) Gegevensophaalperiode. Nadat de Voorwaarden voor een Account zijn geëindigd, om welke reden ook, blijven de Persoonsgegevens van de Klant van dat Account gedurende 30 dagen beschikbaar om te worden opgehaald (de gegevensophaalperiode in de zin van artikel 15.10(d) van de Voorwaarden en artikel 25, lid 2, onder g), van de Dataverordening). Gedurende die periode blijft het Account bestaan en kan de Geautoriseerde gebruiker inloggen om te exporteren; indien dat niet mogelijk is, sturen wij u de export toe op een verzoek dat u richt aan legal@mailistix.com. Aan het einde van de periode verwijderen wij de Persoonsgegevens van de Klant van dat Account uit de Clouddiensten, tenzij wij op grond van het Unierecht of het lidstatelijke recht verplicht zijn deze op te slaan. De bewaartermijnen in bijlage 1, deel H blijven tijdens die periode van toepassing.

(c) Onmiddellijke verwijdering. Indien een Geautoriseerde gebruiker het Account in de Software verwijdert (artikel 10.2), of u ons verzoekt het Account te verwijderen, kiest u voor onmiddellijke verwijdering in plaats van een gegevensophaalperiode: wij verwijderen de Persoonsgegevens van de Klant van dat Account onmiddellijk.

(d) Exporteerbare gegevens. Voor Persoonsgegevens van de Klant bevat het exportbestand de meldingsregistraties van Gmail en Outlook, de registraties van Gmail-watches en Outlook-meldingsabonnementen, en de registraties van supportuploads (bijvoorbeeld tijdstip, appversie en omvang); de inhoud van supportuploads verstrekken wij op verzoek (artikel 15.10(b) van de Voorwaarden). Uw Mailboxgegevens blijven voor u beschikbaar bij uw mailboxprovider en in de lokale database van de Software op uw apparaten; wij bewaren daarvan geen kopie die wij zouden kunnen teruggeven. Omdat wij de inhoud van AI-verzoeken en AI-Output niet opslaan, is er niets wat kan worden teruggegeven of verwijderd.

10.4 Back-ups. Van de database van de Clouddiensten wordt eenmaal per dag automatisch een back-up gemaakt. Elke back-up wordt 7 dagen bewaard, en Persoonsgegevens van de Klant in een back-up worden verwijderd wanneer de back-up verloopt. Back-ups blijven onder deze DPA beschermd en worden alleen naar het live-systeem teruggezet om te herstellen van een incident; na een dergelijk herstel passen wij de sindsdien uitgevoerde verwijderingen opnieuw toe.

10.5 Subverwerkers. Onze AI-Subverwerkers mogen verzoekgegevens op grond van hun voorwaarden gedurende beperkte tijd bewaren voor operationele doeleinden of misbruikmonitoring, zoals beschreven in bijlage 1, deel H.

10.6 Bevestiging. Op verzoek bevestigen wij de verwijdering schriftelijk.

11. Informatie en audits

11.1 Informatie. Wij stellen u de informatie ter beschikking die nodig is om de naleving van artikel 28 AVG en deze DPA aan te tonen, in het bijzonder:

(a) deze DPA, de bijlagen daarvan en de pagina met Subverwerkers;

(b) antwoorden op een redelijke beveiligingsvragenlijst, eenmaal per kalenderjaar; en

(c) de certificeringen en auditrapporten van onze Subverwerkers, voor zover zij deze daartoe aan ons beschikbaar stellen.

11.2 Audits en inspecties. Indien de informatie op grond van artikel 11.1 niet volstaat om onze naleving aan te tonen, indien een toezichthoudende autoriteit dit vereist, of na een Inbreuk in verband met persoonsgegevens, mag u onze naleving van deze DPA onderwerpen aan een audit, daaronder begrepen inspecties. U mag de audit zelf uitvoeren of laten uitvoeren door een onafhankelijke auditor die tot vertrouwelijkheid is gebonden en niet onze concurrent is. Tenzij een toezichthoudende autoriteit anders vereist of de audit volgt op een Inbreuk in verband met persoonsgegevens:

(a) vinden audits niet vaker dan eenmaal in een periode van 12 maanden plaats;

(b) geeft u ons ten minste 30 dagen van tevoren schriftelijk kennis en stemt u de reikwijdte en het plan van de audit vooraf met ons af; en

(c) vinden audits plaats tijdens normale kantooruren zonder onze bedrijfsvoering onredelijk te verstoren.

Audits strekken zich niet uit tot de gegevens van andere klanten of tot onze bedrijfsgeheimen, voor zover de audit dit niet vereist. Wij exploiteren geen eigen datacenters of servers. Voor de faciliteiten van onze Subverwerkers baseert de audit zich op hun certificeringen en auditrapporten als bedoeld in artikel 11.1(c).

11.3 Kosten. U draagt uw eigen kosten van een audit. U vergoedt onze redelijke, gedocumenteerde kosten voor het ondersteunen van een audit ter plaatse, tenzij de audit een wezenlijke schending van deze DPA door ons aantoont.

11.4 Resultaten. Auditresultaten zijn vertrouwelijk. U verstrekt ons een kopie van het auditrapport. Wij verhelpen elke vastgestelde niet-naleving zonder onnodige vertraging.

11.5 Modelcontractbepalingen. Waar de Modelcontractbepalingen van toepassing zijn, worden audits op grond van clausule 8.9 daarvan uitgevoerd overeenkomstig dit artikel 11, voor zover dit met de Modelcontractbepalingen verenigbaar is.

12. Internationale doorgiften

12.1 Waar wij verwerken. Wij zijn gevestigd in Duitsland, een lidstaat van de Europese Unie. Wij en onze Subverwerkers verwerken Persoonsgegevens van de Klant in de EU, behalve in de volgende gevallen (details in bijlage 3):

(a) voor Geautoriseerde gebruikers die “Buiten Europa” hebben geantwoord, worden sommige Gemini-modellen uitgevoerd op het wereldwijde (global) eindpunt van Google (artikel 4.3);

(b) Subverwerkers die buiten de EU zijn gevestigd of hun moedermaatschappij buiten de EU hebben, kunnen vanuit een plaats buiten de EU toegang hebben tot Persoonsgegevens van de Klant voor support en operationele werkzaamheden, overeenkomstig hun verwerkingsvoorwaarden; dit geldt voor onze contractpartner voor hosting, Supabase Pte. Ltd. in Singapore, en de groep waartoe deze behoort, en voor de Amerikaanse moedermaatschappijen van onze andere Subverwerkers;

(c) uitsluitend de serverfuncties voor AI-verzoeken zijn aan EU-regio’s gebonden. De overige serverfuncties (bijvoorbeeld mailboxkoppeling, het instellen en doorsturen van pushmeldingen, afmelden met één klik, supportupload en gegevensexport) worden uitgevoerd in de edge-regio van Supabase die het dichtst bij de aanroeper ligt. Voor Geautoriseerde gebruikers buiten Europa, en voor meldingen die Google of Microsoft verzendt, kunnen deze serverfuncties dus buiten de EU worden uitgevoerd. De database en bestandsopslag blijven in Frankfurt; en

(d) Gmail-wijzigingsmeldingen lopen via Google Cloud Pub/Sub, dat geen vaste verwerkingsregio heeft.

12.2 Verdere doorgiften door ons. Wij verrichten een Doorgifte aan een derde land uitsluitend op uw gedocumenteerde instructies (deze DPA, bijlage 3 en de Regio-instelling) en uitsluitend indien is voldaan aan de voorwaarden van hoofdstuk V van de AVG en aan de gelijkwaardige regels van de UK GDPR en de FADP. Voor onze Subverwerkers baseren wij ons op:

(a) een adequaatheidsbesluit, daaronder begrepen het EU-VS-kader voor gegevensbescherming, de VK-uitbreiding daarvan en het Zwitsers-VS-kader voor gegevensbescherming, voor gecertificeerde ontvangers; of

(b) de Modelcontractbepalingen (Module 3) of gelijkwaardige clausules in de verwerkingsvoorwaarden van de Subverwerker, samen met eventuele aanvullende maatregelen die volgens onze beoordeling van de gevolgen van de doorgifte (transfer impact assessment) nodig blijken te zijn. Voor Supabase zijn dit de Modelcontractbepalingen in het addendum inzake gegevensverwerking van Supabase, met Supabase Pte. Ltd. (Singapore) als gegevensimporteur; verdere doorgiften aan de eigen subverwerkers van Supabase worden door dat addendum geregeld.

12.3 Doorgiften tussen u en ons. Of de Modelcontractbepalingen tussen u en ons van toepassing zijn, hangt af van waar u bent gevestigd:

(a) U bent gevestigd in de EER: het verzenden van gegevens naar ons in de EU, en het door ons terugzenden daarvan aan u, vormt geen Doorgifte aan een derde land. De Modelcontractbepalingen zijn tussen ons niet van toepassing.

(b) U bent gevestigd in het Verenigd Koninkrijk, Zwitserland of een ander land met een adequaatheidsbesluit van de Europese Commissie: het Britse en Zwitserse recht erkennen de EER als een gebied met een passend beschermingsniveau, en de EU erkent hetzelfde voor het Verenigd Koninkrijk, Zwitserland en de andere betrokken landen. De Modelcontractbepalingen zijn tussen ons niet van toepassing, tenzij artikel 12.3(d) van toepassing is.

(c) U bent gevestigd in enig ander land: het door u verzenden van gegevens naar ons is op grond van de AVG geen Doorgifte aan een derde land, maar het door ons terugzenden van Persoonsgegevens van de Klant aan u (bijvoorbeeld AI-Output of een export) is dat wel. Voor dit geval is Module 4 (van verwerker aan verwerkingsverantwoordelijke) van de Modelcontractbepalingen van toepassing, met ons als gegevensexporteur en u als gegevensimporteur, ook wanneer u als verwerker voor een andere verwerkingsverantwoordelijke optreedt (artikel 2.3). Indien uw verwerking van de gegevens zelf onder de AVG valt (artikel 3, lid 2, AVG), zijn de Modelcontractbepalingen van toepassing voor zover zij voor een dergelijke doorgifte kunnen worden gebruikt, en blijft u rechtstreeks aan de AVG gebonden.

(d) Wij verwerken buiten de EER: indien wij in een derde land zonder adequaatheidsbesluit zijn of worden gevestigd, of daar zelf Persoonsgegevens van de Klant verwerken, is Module 2 (waar u verwerkingsverantwoordelijke bent) of Module 3 (waar u verwerker bent) van de Modelcontractbepalingen van toepassing, met u als gegevensexporteur en ons als gegevensimporteur.

12.4 Modelcontractbepalingen: opneming en opties. Waar de Modelcontractbepalingen op grond van artikel 12.3 van toepassing zijn, worden zij bij verwijzing in deze DPA opgenomen, in de module die bij het betrokken geval past, en gaan u en wij deze aan door het sluiten van deze DPA. Aanvaarding van de Voorwaarden geldt als ondertekening van de Modelcontractbepalingen en de bijlagen daarvan. De volgende opties en bijzonderheden zijn van toepassing:

(a) Clausule 7 (koppelingsclausule): van toepassing.

(b) Clausule 9(a) (Modules 2 en 3): Optie 2, algemene schriftelijke toestemming; de termijn is 14 dagen, en de kennisgeving wordt gedaan overeenkomstig artikel 7.3.

(c) Clausule 11(a): de optionele tekst is niet van toepassing.

(d) Clausule 13(a) (Modules 2 en 3): de bevoegde toezichthoudende autoriteit wordt bepaald zoals vermeld in bijlage 1, deel J.

(e) Clausule 17: voor Modules 2 en 3 is Optie 1 van toepassing, en de Modelcontractbepalingen worden beheerst door het recht van Duitsland. Voor Module 4 worden de Modelcontractbepalingen beheerst door het recht van Duitsland.

(f) Clausule 18: geschillen worden beslecht door de gerechten van Duitsland, waarbij de rechter van onze statutaire zetel (Berlijn, Duitsland) bevoegd is. Clausule 18(c) van Modules 2 en 3 blijft onverlet.

(g) Bijlage I.A (lijst van partijen) is bijlage 1, deel A; bijlage I.B (beschrijving van de doorgifte) is bijlage 1; bijlage I.C (bevoegde toezichthoudende autoriteit) is bijlage 1, deel J; bijlage II (technische en organisatorische maatregelen) is bijlage 2; bijlage III (lijst van subverwerkers) is bijlage 3.

(h) De certificering van de verwijdering krachtens clausule 8.5 wordt op verzoek verstrekt overeenkomstig artikel 10.6; audits krachtens clausule 8.9 volgen artikel 11.

12.5 Doorgiften vanuit het VK. Indien een doorgifte van Persoonsgegevens van de Klant tussen u en ons op grond van de UK GDPR een Doorgifte aan een derde land vormt, wordt het VK-addendum in deze DPA opgenomen en is het van toepassing op de Modelcontractbepalingen die krachtens artikel 12.4 zijn opgenomen. De tabellen van dat addendum worden als volgt ingevuld:

(a) Tabel 1 (Partijen): de partijen, hun gegevens en hun contactpersonen zoals vermeld in bijlage 1, deel A; de startdatum is de datum waarop deze DPA tussen ons bindend werd.

(b) Tabel 2 (Geselecteerde modelcontractbepalingen, modules en geselecteerde clausules): de versie van de goedgekeurde EU-modelcontractbepalingen (Approved EU SCCs) die krachtens artikel 12.4 is opgenomen, daaronder begrepen de bijlage-informatie (Appendix Information), met de daar gekozen modules en opties.

(c) Tabel 3 (Bijlage-informatie): de lijst van partijen is bijlage 1, deel A; de beschrijving van de doorgifte is bijlage 1; de technische en organisatorische maatregelen zijn bijlage 2; de lijst van subverwerkers is bijlage 3.

(d) Tabel 4 (Beëindiging van dit addendum wanneer het goedgekeurde addendum wijzigt): de importeur mag het VK-addendum beëindigen.

Deel 2 van het VK-addendum, de Mandatory Clauses van het goedgekeurde addendum (sjabloon Addendum B1.0 uitgegeven door de Information Commissioner en voorgelegd aan het Parlement krachtens artikel 119A van de Data Protection Act 2018, zoals herzien krachtens artikel 18 van die Mandatory Clauses), is van toepassing.

12.6 Doorgiften vanuit Zwitserland. Indien een doorgifte onder de FADP valt:

(a) worden verwijzingen naar de AVG in de Modelcontractbepalingen gelezen als verwijzingen naar de FADP, voor zover de doorgifte onder de FADP valt;

(b) is de Federal Data Protection and Information Commissioner (FDPIC) de bevoegde toezichthoudende autoriteit krachtens clausule 13 voor doorgiften die onder de FADP vallen; indien een doorgifte onder zowel de FADP als de AVG valt, blijft de autoriteit krachtens bijlage 1, deel J bevoegd voor het deel dat onder de AVG valt;

(c) blijft het toepasselijke recht krachtens clausule 17 het recht dat in artikel 12.4(e) is gekozen; en

(d) mag de term “lidstaat” in clausule 18(c) niet zo worden uitgelegd dat betrokkenen in Zwitserland worden uitgesloten van het instellen van een rechtsvordering ter zake van hun rechten in hun gewone verblijfplaats, Zwitserland.

12.7 Wijzigingen in doorgiftemechanismen. Indien een doorgiftemechanisme waarop wij ons krachtens dit artikel 12 beroepen ongeldig wordt verklaard, wordt gewijzigd of vervangen, werken wij met u samen om een alternatief rechtmatig mechanisme te treffen. Wij mogen dit artikel 12 bij kennisgeving aan u aanpassen aan een nieuwe versie van de Modelcontractbepalingen of het VK-addendum; de aanpassing wordt van kracht wanneer de wet dit vereist.

13. Verzoeken van overheidsinstanties

13.1 Wij verstrekken Persoonsgegevens van de Klant aan een overheidsinstantie alleen indien een bindend bevel ons daartoe wettelijk verplicht. Wij verstrekken ze niet vrijwillig, en wij hebben geen voorzieningen ingebouwd waarmee instanties er rechtstreeks toegang toe kunnen krijgen.

13.2 Indien wij een dergelijk bevel ontvangen:

(a) proberen wij de instantie door te verwijzen om de gegevens rechtstreeks bij u op te vragen;

(b) stellen wij u onverwijld in kennis, tenzij de wet dit verbiedt; indien de wet dit verbiedt, spannen wij ons redelijkerwijs in om een ontheffing van het verbod te verkrijgen zodat wij u zo spoedig mogelijk kunnen informeren;

(c) toetsen wij de rechtmatigheid van het bevel en betwisten wij dit indien wij na zorgvuldige beoordeling tot de conclusie komen dat er redelijke gronden zijn om het onrechtmatig te achten naar het recht van het betrokken land, op grond van toepasselijke verplichtingen uit het internationaal recht of op grond van beginselen van internationale comitas (comity), daaronder begrepen, waar passend, het verzoeken om voorlopige maatregelen, en verstrekken wij de gegevens niet totdat de toepasselijke procesregels ons daartoe verplichten;

(d) verstrekken wij uitsluitend het minimum aan gegevens dat het bevel vereist, op basis van een redelijke uitleg ervan; en

(e) documenteren wij het bevel, onze beoordeling en onze reactie, en stellen wij deze documentatie op verzoek aan u beschikbaar, voor zover de wet dit toestaat.

13.3 Wij kunnen alleen verstrekken wat wij bewaren (bijlage 1, deel H). Wij bewaren uw Mailboxgegevens en de lokale kopie in de Software niet, en wij slaan de inhoud van AI-verzoeken en AI-Output niet op.

13.4 Op het moment van publicatie van deze DPA hebben wij geen bevel of verzoek van een overheidsinstantie met betrekking tot Persoonsgegevens van de Klant ontvangen, en hebben wij geen reden om aan te nemen dat de wetten die op ons van toepassing zijn ons beletten onze verplichtingen krachtens deze DPA na te komen.

13.5 Niet-persoonsgebonden gegevens (artikel 32 van de Dataverordening). De artikelen 13.1 tot en met 13.3 zijn evenzeer van toepassing op niet-persoonsgebonden gegevens in Klantinhoud die wij in de EU in de Clouddiensten bewaren. Wij verlenen een gerecht of autoriteit van een land buiten de EU uitsluitend toegang tot dergelijke gegevens, of dragen deze uitsluitend aan zodanig gerecht of zodanige autoriteit over, onder de voorwaarden van artikel 32, leden 2 en 3, van de Dataverordening, en verstrekken dan uitsluitend het minimaal toelaatbare gegevensvolume, op basis van een redelijke uitleg van het verzoek. Wij stellen u van een dergelijk verzoek in kennis voordat wij eraan voldoen, tenzij het verzoek wetshandhavingsdoeleinden dient en zolang dit nodig is om de doeltreffendheid van de wetshandhavingsactiviteit te waarborgen.

13.6 Informatie op grond van artikel 28, lid 1, van de Dataverordening. Artikel 4 van onze pagina met Subverwerkers (onderdeel van bijlage 3) vermeldt de jurisdictie waaraan de ICT-infrastructuur van de Clouddiensten is onderworpen en de maatregelen die wij nemen tegen onrechtmatige internationale toegang door overheden; dit artikel 13 en bijlage 2 beschrijven die maatregelen in detail.

14. Uw verplichtingen

14.1 Rechtmatigheid. U bent verantwoordelijk voor de rechtmatigheid van de verwerking van Persoonsgegevens van de Klant. Daaronder valt dat u beschikt over een rechtsgrond voor het gebruik van de AI-functies met de e-mails van uw correspondenten en andere derden, en dat u betrokkenen informeert voor zover de Wetgeving inzake gegevensbescherming dit vereist.

14.2 Bijzondere categorieën van persoonsgegevens en strafrechtelijke gegevens. De Dienst is niet ontworpen om bijzondere categorieën van persoonsgegevens (artikel 9 AVG) of persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten (artikel 10 AVG) te verwerken, en wij verwerken dergelijke gegevens niet opzettelijk. Zij kunnen echter voorkomen in e-mails die de AI-functies verwerken. U beslist of uw Geautoriseerde gebruikers de AI-functies met dergelijke inhoud mogen gebruiken, en u zorgt ervoor dat daarvoor een rechtsgrond bestaat (zie het Beleid voor aanvaardbaar gebruik).

14.3 Uw gebruikers en uw inrichting. U zorgt ervoor dat:

(a) uw Geautoriseerde gebruikers de Dienst gebruiken overeenkomstig uw instructies en deze DPA, daaronder begrepen de Regio-instelling (artikel 4.3) en het besluit om de AI-functies in te schakelen;

(b) elke toestemming van of betrokkenheid van werknemersvertegenwoordigers die voor uw gebruik van de Dienst vereist is, is verkregen;

(c) elke beheerderstoestemming die uw mailboxprovider vereist, is verleend; en

(d) u zich houdt aan alle verplichtingen inzake beroepsgeheim die op u van toepassing zijn.

14.4 Onregelmatigheden. U stelt ons zonder onnodige vertraging in kennis indien u fouten of onregelmatigheden constateert in de verwerking van Persoonsgegevens van de Klant.

15. Aansprakelijkheid

15.1 Onze aansprakelijkheid uit hoofde van of in verband met deze DPA, daaronder begrepen de Modelcontractbepalingen voor zover deze dit toestaan, is onderworpen aan de uitsluitingen en beperkingen van aansprakelijkheid in de Voorwaarden (Deel II, artikel A.1 of, indien dat van toepassing is, de artikelen 16 en 17 van Deel I), voor zover artikel 82 AVG en ander toepasselijk recht dit toestaan. Voor uw aansprakelijkheid gelden de wettelijke bepalingen.

15.2 Artikel 15.1 beperkt niet:

(a) de aansprakelijkheid van een van de partijen jegens betrokkenen, onder meer op grond van artikel 82 AVG, de gelijkwaardige bepalingen van andere Wetgeving inzake gegevensbescherming en de rechten van derde-begunstigden krachtens de Modelcontractbepalingen; of

(b) enige aansprakelijkheid die op grond van het toepasselijke recht niet kan worden beperkt of uitgesloten.

15.3 In de onderlinge verhouding tussen de partijen, en binnen de grenzen van artikel 15.1, draagt elke partij het deel van een aan een betrokkene betaalde schadevergoeding dat overeenkomt met haar aandeel in de verantwoordelijkheid voor de schade (artikel 82, lid 5, AVG).

16. Privacywetgeving van Amerikaanse deelstaten

16.1 Voor zover de California Consumer Privacy Act (zoals gewijzigd door de California Privacy Rights Act) of een vergelijkbare privacywet van een Amerikaanse deelstaat van toepassing is op Persoonsgegevens van de Klant, treden wij op als uw “service provider” of “processor”. Wij:

(a) verkopen of delen Persoonsgegevens van de Klant niet, zoals die termen in die wetten zijn gedefinieerd;

(b) bewaren, gebruiken of verstrekken Persoonsgegevens van de Klant niet voor enig doel, daaronder begrepen enig commercieel doel, anders dan de zakelijke doeleinden die in de Voorwaarden en deze DPA zijn bepaald, noch buiten de directe zakelijke relatie tussen u en ons;

(c) combineren Persoonsgegevens van de Klant niet met persoonsgegevens die wij van of namens anderen ontvangen, of verzamelen uit onze eigen interacties met consumenten, behalve voor zover die wetten dit toestaan;

(d) leven de verplichtingen uit die wetten die op ons van toepassing zijn na en bieden hetzelfde niveau van privacybescherming als die wetten vereisen; en

(e) stellen u in kennis indien wij vaststellen dat wij onze verplichtingen op grond van die wetten niet langer kunnen nakomen.

16.2 U mag op grond van de artikelen 9 en 11 redelijke en passende stappen nemen om ervoor te zorgen dat wij Persoonsgegevens van de Klant overeenkomstig die wetten gebruiken, en om ongeoorloofd gebruik te doen stoppen en te verhelpen. Wij verklaren dat wij de beperkingen in dit artikel 16 begrijpen en zullen naleven.

17. Looptijd en algemene bepalingen

17.1 Looptijd. Deze DPA is van toepassing zolang de Voorwaarden voor een van uw Accounts van kracht zijn en daarna zolang wij namens u Persoonsgegevens van de Klant verwerken. Zij kan niet los van de Voorwaarden worden beëindigd. De artikelen 5, 10, 13 en 15 blijven na het einde van deze DPA van kracht.

17.2 Wijzigingen. Wij mogen deze DPA wijzigen volgens de regels voor wijzigingen in de Voorwaarden (artikelen 19.3 en 19.6 van de Voorwaarden), in het bijzonder om rekening te houden met wijzigingen in de Wetgeving inzake gegevensbescherming, besluiten van autoriteiten of rechterlijke instanties, nieuwe versies van de Modelcontractbepalingen of het VK-addendum, of wijzigingen in de Dienst. Een nieuwe versie van deze DPA krijgt een nieuw versienummer, en de Software vraagt uw Geautoriseerde gebruikers om deze te aanvaarden (artikel 1.1 en artikel 1.8(b) van de Voorwaarden). Een wijziging die de bescherming van Persoonsgegevens van de Klant vermindert, treedt voor u pas in werking indien u ermee instemt. Wijzigingen die de wet vereist, treden in werking op het tijdstip waarop de wet dit vereist. Voor wijzigingen van Subverwerkers geldt in plaats daarvan artikel 7.

17.3 Salvatoire clausule. Indien een bepaling van deze DPA ongeldig of niet afdwingbaar is of wordt, blijven de overige bepalingen van kracht; artikel 23.3 van de Voorwaarden is van toepassing.

17.4 Toepasselijk recht en bevoegde rechter. Op deze DPA is het recht van de Bondsrepubliek Duitsland van toepassing, ook wanneer op de Voorwaarden een ander recht van toepassing is, omdat artikel 28, lid 3, AVG een overeenkomst krachtens het Unierecht of het lidstatelijke recht vereist. De bepalingen van de Voorwaarden over de bevoegde rechter en geschillenbeslechting zijn van toepassing, tenzij de Modelcontractbepalingen of de Wetgeving inzake gegevensbescherming anders vereisen.

17.5 Taal. De Engelse versie van deze DPA is het origineel. Vertalingen worden ter informatie verstrekt. Waar dwingend recht in uw land vereist dat de versie in uw taal prevaleert, prevaleert zij.

17.6 Kennisgevingen. Wij sturen kennisgevingen krachtens deze DPA per e-mail naar de e-mailadressen van de Accounts van uw Geautoriseerde gebruikers en, indien u ons een contactpersoon voor gegevensbescherming hebt opgegeven, ook naar die contactpersoon. Wij verzoeken u kennisgevingen aan ons te richten aan legal@mailistix.com. Op dat adres kunt u ons op elk moment een contactpersoon voor gegevensbescherming opgeven of wijzigen.

Ondertekening (alleen voor exemplaren die op verzoek zijn ondertekend krachtens artikel 1.1)

Bijlage 1 — Beschrijving van de verwerking

Deze bijlage beschrijft de verwerking als bedoeld in artikel 28, lid 3, AVG en dient, waar de Modelcontractbepalingen van toepassing zijn, als bijlage I daarbij.

Deel A — Partijen

Deel B — Categorieën van betrokkenen

• Geautoriseerde gebruikers: uw werknemers, opdrachtnemers en andere personen die de Dienst met Accounts voor uw zakelijke doeleinden gebruiken, daaronder begrepen de houders van Gekoppelde mailboxen.
• Correspondenten: afzenders en ontvangers (Aan, Cc) van de verwerkte e-mails, en andere deelnemers aan de betrokken e-mailgesprekken.
• Personen die in e-mailtekst, onderwerpen, handtekeningen, namen van bijlagen, tekstfragmenten uit bijlagen en links worden genoemd of anderszins identificeerbaar zijn.
• Organisatoren en deelnemers van vergaderingen waarvoor een briefing wordt gevraagd, en personen die in de uitnodiging worden genoemd.
• Contactpersonen wier namen en e-mailadressen met een Ask AI-vraag worden meegestuurd als de meest frequente correspondenten van de Geautoriseerde gebruiker, of wier taal- en formaliteitsvoorkeuren met een conceptverzoek worden meegestuurd.

Deel C — Categorieën van persoonsgegevens

Verzoeken om een concept op te stellen of te herschrijven bevatten ook de naam, het e-mailadres en de tijdzone van de Geautoriseerde gebruiker die ze start; verzoeken voor Ask AI en vergaderbriefings bevatten de huidige datum en de tijdzone van de Geautoriseerde gebruiker.

De modellen die bij de in bijlage 3 genoemde aanbieders worden gebruikt, kunnen veranderen, ook voor kwaliteitsvergelijkingen. Dergelijke wijzigingen blijven altijd binnen de in bijlage 3 vermelde Subverwerkers en verwerkingsregio’s en binnen de Regio-instelling van de Geautoriseerde gebruiker.

Deel D — Bijzondere categorieën van persoonsgegevens en gegevens over strafrechtelijke feiten

De Dienst verwerkt niet opzettelijk bijzondere categorieën van persoonsgegevens of gegevens betreffende strafrechtelijke veroordelingen en strafbare feiten. Dergelijke gegevens kunnen incidenteel voorkomen in de inhoud van e-mails, bijlagen of vergaderingen die een Geautoriseerde gebruiker naar een AI-functie verzendt (artikel 14.2). De volgende waarborgen zijn van toepassing op alle Persoonsgegevens van de Klant, daaronder begrepen dergelijke gegevens: verwerking uitsluitend wanneer een Geautoriseerde gebruiker een functie start; geen opslag van de inhoud van AI-verzoeken en AI-Output; geen gebruik voor training; geen menselijke beoordeling behalve overeenkomstig artikel 5.2; versleuteling tijdens het transport; verwerking in de EU voor Geautoriseerde gebruikers met de Regio-instelling “In Europa” of zonder antwoord; en de maatregelen in bijlage 2.

Deel E — Aard van de verwerking

Het ontvangen van het verzoek van de Software; het op de server samenstellen van de prompt uit de gegevens die de functie nodig heeft; het doorgeven ervan aan een AI-model van een Subverwerker en het teruggeven van de Output aan de Software (gestreamd waar de functie dat ondersteunt); het doorsturen van OAuth-uitwisselingen en van verzoeken om met één klik af te melden; het ontvangen, kortstondig opslaan en doorsturen van pushmeldingen; het opslaan van supportuploads; het volgens schema verwijderen van dit alles.

Deel F — Doeleinden

Het leveren van de Dienst aan u, namelijk: het genereren van de AI-Output die een Geautoriseerde gebruiker aanvraagt; het koppelen van Gekoppelde mailboxen; de Software in realtime op de hoogte stellen van nieuwe of gewijzigde e-mail; het afmelden voor nieuwsbrieven zonder het IP-adres van de Geautoriseerde gebruiker aan de afzender bekend te maken; en het afhandelen van supportverzoeken.

Deel G — Duur en frequentie

De verwerking duurt gedurende de looptijd van deze DPA (artikel 17.1), vermeerderd met de verwijderingstermijnen in deel H. Zij vindt doorlopend plaats, telkens wanneer een Geautoriseerde gebruiker een functie start of een Gekoppelde mailbox verandert.

Deel H — Bewaring

Ter informatie: gebruiksmetagegevens van AI-verzoeken (zonder inhoud) worden 180 dagen bewaard, en registraties van beveiligingsgebeurtenissen eveneens 180 dagen. Wij verwerken deze als zelfstandig verwerkingsverantwoordelijke (artikel 2.4).

Deel I — Verwerkingslocaties

• Database en bestandsopslag van de Clouddiensten: Frankfurt, Duitsland (Amazon Web Services, beheerd door Supabase). Supabase Pte. Ltd. (Singapore) en de groep waartoe deze behoort, kunnen daartoe toegang hebben voor support en operationele werkzaamheden (artikel 12.1(b)).
• Serverfuncties voor AI-verzoeken: uitsluitend EU-edge-regio’s van Supabase; standaard Frankfurt; de configuratie staat uitsluitend Frankfurt, Ierland en Parijs toe.
• AI-modellen: Microsoft Azure OpenAI in de EU Data Zone; Google Vertex AI in de EU-multiregio; voor Geautoriseerde gebruikers die “Buiten Europa” hebben geantwoord, sommige Gemini-modellen op het wereldwijde eindpunt van Google.
• Gmail-meldingen: Google Cloud Pub/Sub (wereldwijde infrastructuur van Google, geen vaste regio).
• Support-e-mails en berichten uit het contactformulier: Microsoft 365, EU Data Boundary; berichten uit het contactformulier lopen via het netwerk van Cloudflare.
• Overige serverfuncties: de edge-regio van Supabase die het dichtst bij de aanroeper ligt; deze kan buiten de EU liggen (artikel 12.1(c)).

Deel J — Bevoegde toezichthoudende autoriteit

• Voor Modules 2 en 3 (clausule 13): (i) indien u in een lidstaat van de EU bent gevestigd, de daar voor u bevoegde toezichthoudende autoriteit; (ii) indien u niet in de EU bent gevestigd maar krachtens artikel 3, lid 2, AVG aan de AVG bent onderworpen en overeenkomstig artikel 27, lid 1, een vertegenwoordiger hebt aangewezen, de toezichthoudende autoriteit van de lidstaat waarin uw vertegenwoordiger is gevestigd; (iii) indien u niet in de EU bent gevestigd, krachtens artikel 3, lid 2, AVG aan de AVG bent onderworpen en geen vertegenwoordiger hoeft aan te wijzen (artikel 27, lid 2), de Berlijnse Commissaris voor gegevensbescherming en informatievrijheid (Berliner Beauftragte für Datenschutz und Informationsfreiheit), Alt-Moabit 59–61, 10555 Berlin, Duitsland, als de autoriteit van een lidstaat waarin de desbetreffende betrokkenen zich bevinden.
• Voor doorgiften die onder de UK GDPR vallen: het Information Commissioner’s Office. Voor doorgiften die onder de FADP vallen: de FDPIC (artikel 12.6).
• Onze eigen toezichthoudende autoriteit: de Berlijnse Commissaris voor gegevensbescherming en informatievrijheid (Berliner Beauftragte für Datenschutz und Informationsfreiheit), Alt-Moabit 59–61, 10555 Berlin, Duitsland.

Bijlage 2 — Technische en organisatorische maatregelen

Deze bijlage beschrijft de maatregelen als bedoeld in artikel 32 AVG, gestructureerd aan de hand van de rubrieken van artikel 32 AVG en ISO/IEC 27001. Deel A betreft de Clouddiensten, die onder onze verantwoordelijkheid vallen. Deel B beschrijft de beveiligingsfuncties van de Software, die onder uw controle draait (artikel 3). Deze bijlage beschrijft uitsluitend maatregelen die daadwerkelijk zijn getroffen.

Deel A — Clouddiensten

A.1 Governance en personeel

• Verantwoordelijkheid voor informatiebeveiliging en gegevensbescherming: Marvin Muvunyi (bestuurder). Contactpersoon voor gegevensbescherming: legal@mailistix.com.
• Intern beleid inzake bewaring en verwijdering en inzake incidentafhandeling en melding van inbreuken, dat ten minste eenmaal per jaar wordt herzien.
• Personen met toegang tot Persoonsgegevens van de Klant zijn tot vertrouwelijkheid gebonden (artikel 5) en geïnstrueerd over gegevensbescherming en beveiliging. De toegang eindigt zodra deze niet langer nodig is.
• Er is geen beheerinterface voor de applicatie. Beheer vindt alleen plaats in de consoles van onze aanbieders (Supabase, Google Cloud, Microsoft Azure en Entra, Polar, GitHub, Cloudflare). De toegang daartoe is beperkt tot onze bestuurder.

A.2 Fysieke toegangscontrole

• Wij exploiteren geen eigen datacenters of servers. De Clouddiensten worden uitgevoerd in datacenters van Supabase (op Amazon Web Services), Google en Microsoft, waarvan de fysieke beveiliging is gecertificeerd volgens erkende normen zoals ISO/IEC 27001 en SOC 2.
• Apparaten die voor beheer worden gebruikt, beschikken over volledige schijfversleuteling, een automatische schermvergrendeling en een ondersteund besturingssysteem.

A.3 Systeemtoegangscontrole (authenticatie)

Voor Geautoriseerde gebruikers (Supabase Auth):

• Geen wachtwoorden: registreren en inloggen uitsluitend met een eenmalige code van 6 cijfers die naar het Account-e-mailadres wordt gestuurd, 15 minuten geldig, voor eenmalig gebruik, gegenereerd uit een cryptografisch veilige willekeurige bron; de code bevestigt ook het e-mailadres.
• Snelheidsbeperkingen (rate limits) per IP-adres voor inloggen, registreren en codeverificatie, en een limiet op account-e-mails.
• Sessies: toegangstokens zijn 1 uur geldig; vernieuwingstokens roteren; een sessie eindigt na 90 dagen zonder gebruik. Uitloggen trekt alle vernieuwingstokens van de gebruiker in.
• Het verwijderen van een Account vereist een eenmalige code die naar het Account-e-mailadres is gestuurd en in de afgelopen 10 minuten is ingevoerd, en een getypte bevestiging. Een wijziging van het e-mailadres moet vanaf beide adressen worden bevestigd.
• Er zijn geen standaardaccounts en geen statische beheerderssleutels op enige blootgestelde interface.
• Mailboxtoegang gebruikt de OAuth 2.0-autorisatiecodestroom met PKCE (S256) in de systeembrowser. De state-waarde is willekeurig, voor eenmalig gebruik en 10 minuten geldig. Clientgeheimen bevinden zich uitsluitend op de server.

Voor beheerders:

• Beheer vindt alleen plaats in de in A.1 genoemde consoles van de aanbieders, via persoonlijke accounts van onze bestuurder; er zijn geen gedeelde beheerdersaccounts.
• Bevoorrechte databasefuncties, zoals het op verzoek verwijderen van een Account of het verlengen van een proefperiode, kunnen alleen worden uitgevoerd door de rol van database-eigenaar in de console van de aanbieder, niet via de API van de Clouddiensten.

A.4 Gegevenstoegangscontrole (autorisatie)

• Beveiliging op rijniveau (row-level security) is ingeschakeld op alle tabellen van het publieke databaseschema; beleidsregels vergelijken de gebruiker van elke registratie met de geauthenticeerde gebruiker. De enige gedeelde tabel is een alleen-lezentabel met Abonnementslimieten.
• De anonieme rol heeft geen tabelrechten. De geauthenticeerde rol heeft uitsluitend de rechten die door een beleidsregel worden gedekt. Databaserechten worden na elke databasemigratie vergeleken met een beoordeelde momentopname.
• Alle bevoorrechte databasefuncties (SECURITY DEFINER) gebruiken een leeg zoekpad; de functies die gebruikers kunnen aanroepen, leiden de gebruiker af uit het geverifieerde token.
• Serverfuncties verifiëren het toegangstoken en bepalen de gebruiker via Supabase Auth. Zij nemen nooit een gebruikers-ID uit het verzoek over, beperken elke query tot die gebruiker en weigeren bij een fout de toegang (fail closed).
• Webhooks bepalen de mailboxeigenaar uit serverzijdige registers die onder de geauthenticeerde gebruiker zijn vastgelegd, nooit uit de inhoud van de melding.
• Supportuploads worden opgeslagen in een privé-opslagbucket en worden nooit teruggeleverd.
• Serverzijdige geheimen worden bewaard in de Edge Function-secrets en Vault van Supabase, niet in de broncode. Scans op geheimen (secret scanning) bestrijken de broncode en de volledige geschiedenis daarvan. Het pakket van de Software bevat uitsluitend een publieke configuratie die op een toelatingslijst staat.

A.5 Scheidingscontrole

• De registraties van elke gebruiker worden logisch gescheiden door beveiliging op rijniveau en queries die tot de gebruiker beperkt zijn.
• Elk AI-verzoek wordt afzonderlijk verwerkt; niets daarvan wordt tussen verzoeken op de server bewaard.

A.6 Pseudonimisering en gegevensminimalisatie

• De inhoud van AI-verzoeken en AI-Output wordt niet opgeslagen; gebruik wordt vastgelegd als metagegevens zonder inhoud.
• Prompts worden op de server uitsluitend samengesteld uit de gegevens die de functie nodig heeft, binnen vaste groottelimieten (bijlage 1, deel C).
• Logboeken van serverfuncties bevatten alleen codes en aantallen, geen tokens, adressen of inhoud; onze hostingprovider bewaart ze tot 90 dagen.
• Pushmeldingen bevatten geen e-mailinhoud. Afmeldlinks worden niet gelogd en niet opgeslagen.
• Webhookgeheimen per meldingsabonnement worden uitsluitend als SHA-256-hashes opgeslagen.
• Registraties van beveiligingsgebeurtenissen verliezen het gebruikers-ID wanneer het Account wordt verwijderd.
• Optionele telemetrie gebruikt een willekeurige pseudonieme identificatiecode en bevat nooit e-mailinhoud of AI-teksten.

A.7 Versleuteling

• Tijdens transport: TLS 1.2 of 1.3 op alle verbindingen tussen de Software, de Clouddiensten, onze Subverwerkers en de mailboxproviders. Nergens is een certificaatcontrole uitgeschakeld, en releasebuilds van de Software weigeren schakelaars die TLS verzwakken. De API-eindpunten gebruiken HSTS.
• In rust: de database en bestandsopslag worden door Supabase versleuteld (AES-256); serverzijdige geheimen worden door het platform in rust versleuteld.

A.8 Doorgiftecontrole

• AI-verzoeken worden uitsluitend uitgevoerd in EU-edge-regio’s van Supabase; de serverfuncties weigeren AI-verzoeken in elke andere regio te verwerken.
• AI-providers worden alleen aangeroepen op vaste eindpunten. Microsoft Azure OpenAI wordt aangeroepen met uitgeschakelde opslag van antwoorden.
• Webhooks worden geauthenticeerd: Polar via HMAC-SHA256 over de ruwe body met vergelijking in constante tijd en tijdstempels die niet ouder zijn dan 5 minuten; Google Pub/Sub via een door Google ondertekend OIDC-token dat wordt gecontroleerd op uitgever, doelgroep (audience), het vastgezette serviceaccount en een levensduur van ten hoogste 1 uur; Microsoft Graph via een willekeurig geheim van 256 bits per meldingsabonnement. De omvang van verzoeken (request bodies) is beperkt.
• Cross-origin-verzoeken worden beperkt door een toelatingslijst, zonder inloggegevens.
• Verzoeken om met één klik af te melden gaan uitsluitend naar HTTPS-adressen die naar openbare IP-adressen worden omgezet, zonder cookies, inloggegevens of referrer, en omleidingen worden niet gevolgd.
• Persoonsgegevens van de Klant worden uitsluitend doorgegeven aan de in bijlage 3 genoemde Subverwerkers.

A.9 Invoercontrole (logging)

• Een auditspoor van beveiligingsgebeurtenissen legt gebeurtenissen vast zoals een gekoppelde mailbox of een mislukte koppeling, een door een beheerder verlengde proefperiode, of een door de lekbeveiliging (leak guard) achtergehouden AI-antwoord, met tijdstip, resultaat en code (180 dagen).
• AI-gebruiksregistraties bevatten functie, model, status, tokens, Credits en tijdstip, zonder inhoud (180 dagen).
• Logboeken van de Software en van de serverfuncties worden centraal ontdaan van inloggegevens, tokens en e-mailinhoud (redaction).
• Beheeracties in Google Cloud worden door Google gelogd (Admin Activity-auditlogboeken).

A.10 Beschikbaarheid en veerkracht

• De Clouddiensten worden uitgevoerd op beheerde infrastructuur (Supabase op Amazon Web Services, Frankfurt).
• Back-ups: een dagelijkse back-up van de database van de Clouddiensten, 7 dagen bewaard (artikel 10.4); na een herstel worden de sinds de back-up uitgevoerde verwijderingen opnieuw toegepast. Persoonsgegevens van de Klant in de Clouddiensten worden slechts kortstondig bewaard (bijlage 1, deel H), en Mailboxgegevens zijn niet afhankelijk van de Clouddiensten.
• AI-verzoeken gebruiken terugvalketens over Microsoft Azure OpenAI en Google Vertex AI, en een circuit breaker voor falende AI-providers, zodat de uitval van één AI-provider de AI-functies niet stillegt.
• Snelheidsbeperkingen en een dagelijkse AI-bestedingslimiet per gebruiker beschermen tegen overbelasting en misbruik.
• Mailboxgegevens blijven bij de mailboxprovider beschikbaar, onafhankelijk van de Clouddiensten.
• Fouten van de serverfuncties worden aan Sentry (EU-regio) gemeld als foutcodes, zonder inhoud; een alarm over een achtergehouden AI-antwoord bevat ook een hash van het gebruikers-ID.

A.11 Incidentbeheer

• Een gedocumenteerde procedure voor detectie, beheersing, beoordeling, melding, herstel en evaluatie van incidenten; kennisgeving aan Zakelijke klanten overeenkomstig artikel 9.
• Een openbaar meldkanaal voor kwetsbaarheden overeenkomstig het Beleid voor het melden van kwetsbaarheden.

A.12 Regelmatig testen, beoordelen en evalueren

• Statische code-analyse van de Software en de serverfuncties vóór de release.
• Geautomatiseerde testsuites, daaronder begrepen tests van de beveiligingsgrenzen van de Software en de serverfuncties; geplande CI-runs.
• Geautomatiseerde afhankelijkheidswaarschuwingen en beveiligingsupdates; kwetsbaarheidscontroles van productieafhankelijkheden (npm audit, OSV); geheimenscans.
• Controles van de TLS-configuratie van onze eindpunten.
• Beoordeling van deze bijlage ten minste eenmaal per jaar en na wezenlijke wijzigingen.

A.13 Opdrachtcontrole (Subverwerkers)

• Subverwerkers worden geselecteerd op hun beveiligings- en gegevensbeschermingsgaranties en zijn gebonden door overeenkomsten als bedoeld in artikel 28, lid 4, AVG.
• Configuratie die de verwerking beperkt: EU-regio’s voor AI-verzoeken en AI-modellen (voor de Regio-instelling “In Europa” of zonder antwoord), Azure OpenAI in de EU Data Zone, opslag van antwoorden uitgeschakeld, geen training krachtens de voorwaarden van de aanbieders.
• Personeel handelt uitsluitend op instructie; Persoonsgegevens van de Klant worden niet voor onze eigen doeleinden gebruikt (artikel 4.6).

A.14 Gegevensbescherming door ontwerp en door standaardinstellingen

• De AI-functies staan uit totdat een Geautoriseerde gebruiker ze inschakelt in een toestemmingsvenster, en kunnen op elk moment worden uitgeschakeld.
• De standaardregio is de EU: zonder antwoord blijft de AI-verwerking in de EU.
• Telemetrie en crashrapporten alleen met opt-in.
• De Software verzendt nooit zelfstandig een e-mail of vergaderreactie; concepten worden uitsluitend door de Geautoriseerde gebruiker verzonden.
• Externe afbeeldingen in e-mails worden standaard geblokkeerd.
• Geautomatiseerde verwijderingstaken handhaven de bewaartermijnen in bijlage 1, deel H.

A.15 Specifieke waarborgen voor AI

• E-mailinhoud wordt aan het model doorgegeven als gemarkeerde, niet-vertrouwde gegevens; instructies aan het model worden uitsluitend op de server bewaard.
• Een lekbeveiliging (leak guard) houdt antwoorden tegen die interne instructies reproduceren en legt de gebeurtenis vast zonder de tekst van het antwoord.
• De modellen kunnen geen acties ondernemen: zij kunnen niets in een mailbox verzenden, verwijderen of wijzigen, en elke Output wordt aan de Geautoriseerde gebruiker getoond.

Deel B — Beveiligingsfuncties van de Software (onder uw controle)

• De lokale e-maildatabase is versleuteld met ChaCha20-Poly1305 (SQLite3MultipleCiphers) onder een willekeurige sleutel van 256 bits, die door de opslag voor inloggegevens (credential store) van het besturingssysteem wordt beschermd (macOS Keychain, Windows Data Protection API). Het sleutelbestand is alleen door de eigenaar leesbaar. Releasebuilds weigeren een niet-versleutelde database te openen.
• Mailboxtokens en de Mailistix-sessie worden versleuteld met behulp van de opslag voor inloggegevens van het besturingssysteem en worden niet in de opslag van de browser bewaard.
• Geopende bijlagen worden versleuteld (AES-256-GCM) in de cache bewaard gedurende ten hoogste 7 dagen en tot ten hoogste 512 MiB; tijdelijke ongeversleutelde kopieën worden na 10 minuten verwijderd. Het lokale supportlogboek is versleuteld en wordt ten hoogste 7 dagen bewaard.
• Loguitvoer wordt ontdaan van inloggegevens, tokens, adressen en e-mailinhoud.
• E-mail-HTML wordt gezuiverd en weergegeven in een afgeschermd frame (sandbox) zonder scripts, onder een Content Security Policy. Externe afbeeldingen worden standaard geblokkeerd. Voorbeeldweergaven van bijlagen draaien in een sandbox zonder netwerktoegang. Bestandstoegang is beperkt tot de eigen mappen van de Software.
• Het inloggen bij de mailbox vindt plaats in de systeembrowser, niet in een ingebedde browser.
• De macOS-build gebruikt de hardened runtime. Updates worden via HTTPS gedownload en pas geïnstalleerd nadat de gebruiker heeft bevestigd; de handtekening van het Windows-installatieprogramma wordt gecontroleerd.
• Het verwijderen van een Gekoppelde mailbox stopt de pushmeldingen daarvan, verwijdert de lokale e-mail daarvan en trekt de toegang tot een Google-mailbox in. Het verwijderen van het Account wist de lokale gegevens van dat Account op het apparaat.
• Uw verantwoordelijkheid: beveiliging van apparaten en besturingssysteemaccounts, apparaatversleuteling, schermvergrendeling, back-ups en verwijdering van lokale gegevens wanneer een apparaat buiten gebruik wordt gesteld.

Bijlage 3 — Subverwerkers

De toegestane Subverwerkers, met de gegevens die zij verwerken, hun verwerkingslocaties en de doorgiftewaarborgen, staan op onze pagina met Subverwerkers. Die pagina maakt deel uit van deze bijlage; wijzigingen volgen artikel 7. De onderstaande tabel vat de Subverwerkers samen die Persoonsgegevens van de Klant verwerken. Aanbieders die uitsluitend gegevens verwerken waarvoor wij zelfstandig verwerkingsverantwoordelijke zijn (bijvoorbeeld optionele productanalyses, foutrapporten van de app en account-e-mails) staan ook op die pagina, maar zijn geen Subverwerkers krachtens deze DPA.

Elke Subverwerker schakelt eigen subverwerkers in (Supabase gebruikt bijvoorbeeld Amazon Web Services), die hij in zijn eigen documentatie vermeldt.