Gegevensverwerkingsovereenkomst

Laatst bijgewerkt: 1 mei 2026

Deze DPA is opgenomen in en vormt deel uit van de Commerciële Dienstvoorwaarden of een andere overeenkomst tussen de partijen die het gebruik van de Diensten door de Klant regelt (de “Overeenkomst”). In geval van enige tegenstrijdigheid tussen de bepalingen van deze DPA en de Overeenkomst, prevaleren de bepalingen van deze DPA met betrekking tot de hierin behandelde materie. Hoofdletterwoorden die in deze DPA worden gebruikt maar niet worden gedefinieerd, hebben de betekenis die in de Overeenkomst aan hen wordt gegeven.

1. Definities

“Toepasselijke Gegevensbeschermingswetgeving” betekent alle toepasselijke gegevensbeschermings- en privacywetgeving, waaronder: (a) de Algemene Verordening Gegevensbescherming van de EU (Verordening (EU) 2016/679) (“AVG”); (b) de UK GDPR en de Data Protection Act 2018; (c) de Zwitserse nFADP; en (d) toepasselijke privacywetgeving van de Amerikaanse deelstaten, waaronder de CCPA en vergelijkbare deelstaatwetgeving, in elk geval zoals van tijd tot tijd gewijzigd.
“Persoonlijke Gegevens van de Klant” betekent alle persoonsgegevens in de Klantgegevens die via de Diensten worden ingediend door of namens de Klant of een Gelieerde Onderneming van de Klant.
“Gelieerde Onderneming van de Klant” betekent een entiteit die (a) volgens de Overeenkomst tussen Plaud en de Klant is toegestaan de Diensten te gebruiken, en (b) rechtstreeks of indirect de Klant controleert, door de Klant wordt gecontroleerd, of onder gemeenschappelijke controle valt, waarbij “controle” betekent dat de entiteit meer dan 50% van de stemrechten van de betreffende entiteit bezit.
“Verzoek van Betrokkene” betekent een verzoek van een individu om rechten uit te oefenen die beschikbaar zijn onder de Toepasselijke Gegevensbeschermingswetgeving met betrekking tot Persoonlijke Gegevens van de Klant (bijv. inzage, rectificatie, verwijdering, draagbaarheid of beperking).
“SCC's” betekent de Standaardcontractuele Clausules bijgevoegd bij Uitvoeringsbesluit (EU) 2021/914 van de Europese Commissie van 4 juni 2021 over standaardcontractuele clausules voor de overdracht van persoonsgegevens naar derde landen in overeenstemming met de AVG.
“Beveiligingsincident” betekent een bevestigde schending van de beveiligingsmaatregelen van Plaud die leidt tot de onbedoelde of onrechtmatige vernietiging, het verlies, de wijziging, de onbevoegde openbaarmaking van, of onbevoegde toegang tot Persoonlijke Gegevens van de Klant.
“Verwerker” betekent elke derde partij die door Plaud (of Gelieerde Ondernemingen van Plaud) wordt ingeschakeld om Persoonlijke Gegevens van de Klant te verwerken in verband met het verstrekken van de Diensten.
“UK Addendum” betekent het International Data Transfer Addendum voor de Standaardcontractuele Clausules van de Europese Commissie, uitgegeven door het Britse Information Commissioner’s Office onder Artikel 119A(1) van de Data Protection Act 2018.
De termen “persoonsgegevens,” “betrokkene,” “verwerking,” “verwerkingsverantwoordelijke,” en “verwerker” hebben de betekenissen die aan hen worden gegeven door de Toepasselijke Gegevensbeschermingswetgeving, of, bij gebrek aan dergelijke definities, door de AVG. De termen “verwerkingsverantwoordelijke” en “verwerker” omvatten respectievelijk “onderneming” en “dienstverlener”, zoals vereist door de Toepasselijke Gegevensbeschermingswetgeving.

2. Rollen en reikwijdte

2.1 Rollen. Met betrekking tot Persoonlijke Gegevens van de Klant treedt de Klant op als verwerkingsverantwoordelijke (of onderneming) en treedt Plaud op als verwerker (of dienstverlener) namens de Klant. Elke partij zal haar respectievelijke verplichtingen nakomen onder de Toepasselijke Gegevensbeschermingswetgeving.
2.2 Doel en instructies. Plaud zal Persoonlijke Gegevens van de Klant uitsluitend verwerken: (a) om de Diensten te verstrekken, te onderhouden en te ondersteunen; (b) om te voldoen aan de toepasselijke wetgeving; (c) om de beveiliging en integriteit van de Diensten te beschermen; en (d) in overeenstemming met de andere gedocumenteerde instructies van de Klant, zoals wederzijds schriftelijk overeengekomen. De Overeenkomst en deze DPA vormen de gedocumenteerde instructies van de Klant vanaf de Inwerkingtredendatum. Plaud zal de Klant onverwijld informeren als een verwerkingsinstructie naar redelijkerwijs oordeel van Plaud de Toepasselijke Gegevensbeschermingswetgeving zou schenden.
2.3 Geen training. In overeenstemming met Artikel 4.4 van de Overeenkomst zal Plaud Persoonlijke Gegevens van de Klant niet gebruiken om de AI-modellen voor algemeen gebruik van Plaud of die van zijn Verwerkers te trainen of te verbeteren, tenzij de Klant hier schriftelijk apart mee instemt.

3. Verplichtingen van Plaud

3.1 Vertrouwelijkheid van de verwerking. Plaud zal ervoor zorgen dat alle personeelsleden die zijn geautoriseerd om Persoonlijke Gegevens van de Klant te verwerken, gebonden zijn aan passende vertrouwelijkheidsverplichtingen en zijn getraind op de gegevensbeschermingseisen die van toepassing zijn op hun rol.
3.2 Kennisgeving. Plaud zal de Klant onverwijld informeren als Plaud vaststelt dat het zijn verplichtingen onder deze DPA niet langer kan nakomen, en de Klant kan redelijke stappen ondernemen om onbevoegde verwerking te stoppen of te herstellen.
3.3 Verwerkers. De Klant verleent Plaud algemene toestemming om de Verwerkers in te schakelen die vermeld staan op https://eu.plaud.ai/pages/trust-center (de “Verwerkerslijst”), zoals gewijzigd in overeenstemming met dit Artikel. Plaud zal ten minste dertig (30) dagen vooraf schriftelijk kennis geven voordat een nieuwe Verwerker wordt ingeschakeld die Persoonlijke Gegevens van de Klant zal verwerken. De Klant kan binnen vijftien (15) dagen bezwaar maken op redelijke gegevensbeschermingsgronden. Als er geen commercieel haalbaar alternatief beschikbaar is en het bezwaar niet wordt opgelost, kan de Klant de betreffende Dienst met een geldige reden beëindigen en een rato vergoeding ontvangen van vooraf betaalde ongebruikte kosten. Dit beëindigingsrecht is het enige rechtsmiddel van de Klant voor een bezwaar tegen een nieuwe Verwerker.
Plaud zal elke Verwerker gegevensbeschermingsverplichtingen opleggen die niet minder beschermend zijn dan die in deze DPA en blijft aansprakelijk voor de naleving van elke Verwerker in dezelfde mate als wanneer Plaud de diensten rechtstreeks zou uitvoeren.
3.4 Rechten van Betrokkene. Plaud zal redelijke technische en organisatorische ondersteuning verlenen om de Klant te helpen te reageren op Verzoeken van Betrokkene en, waar vereist door de Toepasselijke Gegevensbeschermingswetgeving, om gegevensbeschermingsimpactbeoordelingen en gerelateerde overleggen met toezichthoudende autoriteiten uit te voeren.
3.5 Beveiliging. Plaud zal de technische en organisatorische beveiligingsmaatregelen implementeren en onderhouden zoals beschreven in Bijlage 2, ontworpen om Persoonlijke Gegevens van de Klant te beschermen tegen onbevoegde toegang, vernietiging, verlies, wijziging of openbaarmaking. Plaud mag deze maatregelen bijwerken, mits dergelijke updates het algehele beschermingsniveau niet wezenlijk verminderen.

4. Verplichtingen van de Klant

4.1 Rechtsgrondslag en Toestemmingen. De Klant verklaart en garandeert dat hij beschikt over alle noodzakelijke rechten, toestemmingen, kennisgevingen en autorisaties die vereist zijn onder de Toepasselijke Gegevensbeschermingswetgeving om Persoonlijke Gegevens van de Klant aan de Diensten te overhandigen en Plaud te autoriseren deze te verwerken zoals beschreven in deze DPA. Zonder dat het voornoemde wordt beperkt, is de Klant uitsluitend verantwoordelijk voor het verkrijgen van alle vereiste opname-toestemmingen en het verstrekken van de vereiste kennisgevingen aan personen wiens stem of persoonsgegevens worden vastgelegd via de Diensten of Plaud-apparaten.
4.2 Configuratie. De Klant is verantwoordelijk voor het configureren van de Diensten op een wijze die in overeenstemming is met zijn wettelijke verplichtingen. De Klant zal Persoonlijke Gegevens van de Klant niet via onbeveiligde kanalen of in technische ondersteuningstickets overhandigen.
4.3 Samenwerking. De Klant zal redelijkerwijs meewerken met Plaud om Plaud te helpen zijn verplichtingen na te komen onder de Toepasselijke Gegevensbeschermingswetgeving met betrekking tot Persoonlijke Gegevens van de Klant.

5. Beveiligingsincidenten

5.1 Kennisgeving. Plaud zal de Klant zonder onnodige vertraging, en in elk geval binnen zeventig-twee (72) uur, schriftelijk informeren nadat Plaud op de hoogte is gekomen van een Beveiligingsincident. Kennisgeving vormt geen erkenning van schuld of aansprakelijkheid.
5.2 Inhoud. Voor zover informatie beschikbaar is, zal de kennisgeving de volgende informatie bevatten: (a) de aard van het Beveiligingsincident en, indien mogelijk, de categorieën en het geschatte aantal betrokkene en records die zijn getroffen; (b) de waarschijnlijke gevolgen; en (c) de maatregelen die zijn genomen of voorgesteld om het incident aan te pakken. Plaud zal aanvullende details verstrekken zodra deze beschikbaar komen.
5.3 Samenwerking. Plaud zal meewerken aan het onderzoek van de Klant en redelijke stappen ondernemen zoals door de Klant voorgeschreven om het Beveiligingsincident te beperken en de naleving van de Klant van de Toepasselijke Gegevensbeschermingswetgeving te ondersteunen.

6. Audits en Naleving

6.1 Certificeringen. Plaud wordt ten minste jaarlijks geaudit op erkende beveiligingsstandaarden (bijv. SOC 2 Type II) door onafhankelijke derde partij-auditors. Op schriftelijk verzoek van de Klant (niet meer dan één keer per 12-maandperiode, tenzij vereist door de Toepasselijke Gegevensbeschermingswetgeving of als reactie op een Beveiligingsincident), zal Plaud zijn meest recente toepasselijke auditrapport of certificering verstrekken. Huidige certificeringen zijn beschikbaar op https://eu.plaud.ai/pages/trust-center.
6.2 Audits door de Klant. De Klant kan, op schriftelijk verzoek en redelijke voorafgaande kennisgeving (niet minder dan dertig (30) dagen), een audit uitvoeren of laten uitvoeren van de naleving van Plaud van deze DPA, onder voorbehoud van: (a) wederzijdse overeenstemming over de reikwijdte, timing en toepasselijke vertrouwelijkheidscontroles; (b) de audit wordt uitgevoerd tijdens kantooruren met minimale operationele verstoring; en (c) de Klant alle bijbehorende kosten draagt. Auditbevindingen zijn de Vertrouwelijke Informatie van beide partijen en mogen uitsluitend worden gebruikt om de naleving van deze DPA te bevestigen.

7. Teruggave en verwijdering van gegevens

7.1 Teruggave en verwijdering. Na beëindiging of verloop van de Overeenkomst zal Plaud, op instructie van de Klant, alle Persoonlijke Gegevens van de Klant teruggeven of verwijderen, inclusief alle bestaande kopieën daarvan.
7.2 Uitzonderingen. Plaud mag Persoonlijke Gegevens van de Klant langer bewaren dan de periode in Artikel 7.1 alleen in de mate dat dit vereist wordt door de Toepasselijke Gegevensbeschermingswetgeving of andere wettelijke verplichtingen, om een geschil tussen de partijen op te lossen, of om schadelijk of frauduleus gebruik van de Diensten te voorkomen. De bewaarde gegevens blijven onderworpen aan deze DPA.

8. Internationale gegevensoverdrachten

8.1 Algemeen. De Klant erkent dat Plaud en zijn Verwerkers Persoonlijke Gegevens van de Klant kunnen verwerken in de Verenigde Staten en andere landen waar Plaud of zijn Verwerkers actief zijn. Plaud zal ervoor zorgen dat alle dergelijke overdrachten in overeenstemming zijn met de Toepasselijke Gegevensbeschermingswetgeving, onder meer door passende overdrachtsmechanismen te implementeren.
8.2 EU/EERZ-overdrachten. Voor zover overdrachten van Persoonlijke Gegevens van de Klant vanuit de EERZ naar Plaud een overdrachtsmechanisme onder de AVG vereisen, is Module Twee (Verwerkingsverantwoordelijke naar Verwerker) van de SCC's bij verwijzing opgenomen in deze DPA en wordt beschouwd als door de partijen uitgevoerd, waarbij de Klant de gegevensuitvoerder is en Plaud de gegevensontvanger. De SCC's worden ingevuld zoals gespecificeerd in Bijlage 3(A).
8.3 UK-overdrachten. Voor zover overdrachten onderworpen zijn aan de Britse gegevensbeschermingswetgeving, is het UK Addendum zoals uiteengezet in Bijlage 3(B) bij verwijzing opgenomen en wordt beschouwd als door de partijen uitgevoerd.
8.4 Zwitserse overdrachten. Voor zover overdrachten onderworpen zijn aan de Zwitserse gegevensbeschermingswetgeving (nFADP), is het Zwitserse Addendum zoals uiteengezet in Bijlage 3(C) bij verwijzing opgenomen en wordt beschouwd als door de partijen uitgevoerd.
8.5 Voorrang. In geval van tegenstrijdigheid tussen toepasselijke overdrachtsmechanismen (SCC's, UK Addendum of Zwitserse Addendum), deze DPA en de Overeenkomst, prevaleert het toepasselijke overdrachtsmechanisme, gevolgd door deze DPA.

9. Privacywetgeving van Amerikaanse deelstaten

Voor zover privacywetgeving van Amerikaanse deelstaten (inclusief de CCPA) van toepassing is, treedt Plaud op als “dienstverlener” of “verwerker” en certificeert dat hij:
  • Persoonlijke Gegevens van de Klant uitsluitend verwerkt voor de bedrijfsdoeleinden zoals beschreven in deze DPA en de Overeenkomst;
  • Persoonlijke Gegevens van de Klant niet “verkoopt” of “deelt” (zoals gedefinieerd door de CCPA);
  • Persoonlijke Gegevens van de Klant niet buiten de directe zakelijke relatie tussen de partijen bewaart, gebruikt of openbaarmaakt, behalve als vereist door de wet;
  • Persoonlijke Gegevens van de Klant niet combineert met persoonsgegevens uit andere bronnen, behalve als toegestaan door de toepasselijke wetgeving of zoals door de Klant voorgeschreven;
  • De Klant het recht verleent om redelijke stappen te ondernemen om ervoor te zorgen dat de verwerking door Plaud in overeenstemming is met de verplichtingen van de Klant onder de toepasselijke wetgeving; en
  • De Klant onverwijld informeert als Plaud vaststelt dat het deze Artikel 9 niet langer kan nakomen.

10. Looptijd en wijziging

10.1 Looptijd. Deze DPA blijft van kracht gedurende de looptijd van de Overeenkomst en blijft na beëindiging van kracht totdat Plaud zijn verwijderingsverplichtingen onder Artikel 7 heeft voltooid.
10.2 Wijziging. Plaud mag deze DPA wijzigen met een redelijke schriftelijke voorafkennis indien dit vereist wordt door wijzigingen in de Toepasselijke Gegevensbeschermingswetgeving of bindende regelgevende richtlijnen. Wezenlijke wijzigingen die de rechten van de Klant wezenlijk verminderen, kunnen binnen vijftien (15) dagen na kennisgeving worden betwist; als deze binnen dertig (30) dagen niet worden opgelost, kan elke partij de Overeenkomst opzeggen met een schriftelijke kennisgeving van dertig (30) dagen.
Bijlage 1 Details van de verwerking
A. Partijen
Gegevensuitvoerder: De Klant en/of Gelieerde Ondernemingen van de Klant. Contactgegevens zoals gespecificeerd in het Bestelformulier.
Gegevensontvanger: Plaud, Inc., 8 The Green, Ste A, Dover, Delaware 19901. Contactpersoon gegevensbescherming: privacy@plaud.ai.
B. Beschrijving van de verwerking
Categorieën van betrokkene. (a) Geautoriseerde gebruikers; (b) derden wiens persoonsgegevens worden vastgelegd in audio-opnames of andere Klantgegevens die via de Diensten worden ingediend (bijv. vergaderdeelnemers, klanten, collega's).
Categorieën van persoonsgegevens. Bepaald door de Klant; kan onder meer het volgende omvatten:
  • Contactgegevens (namen, e-mailadressen)
  • Audio-opnames en stemgegevens vastgelegd via Plaud-apparaten (bijv. NotePin, Note) of door de Klant geüpload
  • Afgeleide gegevens: door AI gegenereerde transcripties, vergaderingssamenvattingen en actiepunten
  • Vergaderingsmetagegevens (datum, duur, deelnemers)
  • Gebruiksgegevens van apparaten en accounts
  • Andere persoonsgegevens die in de aan de Diensten aangeboden Klantgegevens zijn opgenomen
Bijzondere categorieën. Audio-opnames en transcripties kunnen toevallig gegevens van bijzondere categorieën bevatten (bijv. gezondheidsgegevens of politieke meningen). De Klant is uitsluitend verantwoordelijk voor het waarborgen van een rechtsgrond voor de verwerking van dergelijke gegevens.
Duur. Doorlopende verwerking gedurende de looptijd van de Overeenkomst, zoals bepaald door de configuratie en het gebruik van de Diensten door de Klant.
Aard en doel. Het verstrekken van AI-gestuurde transcriptie, samenvatting en daarmee samenhangende Diensten. De verwerkingsactiviteiten omvatten de verzameling, opslag, transcriptie, samenvatting en verwijdering van Persoonsgegevens van de Klant die nodig zijn om de Diensten te leveren.
C. Bevoegde toezichthouder
Indien de gegevensuitvoerder is gevestigd in een EU-lidstaat: de toezichthouder van die lidstaat. Indien de gegevensuitvoerder niet in de EU is gevestigd, maar binnen het territoriale toepassingsgebied van de AVG valt: de Ierse Gegevensbeschermingscommissie.
Bijlage 2 Technische en organisatorische beveiligingsmaatregelen
Plaud hanteert een schriftelijk informatiebeveiligingsprogramma dat is ontworpen om Persoonsgegevens van de Klant te beschermen tegen ongeautoriseerde toegang, vernietiging, verlies, wijziging of openbaarmaking. Plaud kan deze maatregelen bijwerken, mits dergelijke updates de algehele bescherming niet wezenlijk verminderen. Huidige certificeringen en aanvullende informatie zijn beschikbaar op https://eu.plaud.ai/pages/trust-center.
Bijlage 3 Mechanismen voor internationale doorgifte van gegevens
A. EU-standaardcontractuele bepalingen (Module twee: Verwerkingsverantwoordelijke naar Verwerker)
De EU-SCC's zijn bij verwijzing opgenomen en worden als door de partijen ondertekend beschouwd, met de volgende keuzes:
• Artikel 7 (Docking Clause): Niet van toepassing.
• Artikel 9 (Onderaannemers): Optie 2 (Algemene schriftelijke toestemming); kennisgevingstermijn conform Artikel 3.3.
• Artikel 11 (Rechtsmiddelen): De optionele onafhankelijke rechtsmiddelenclausule is niet van toepassing.
• Artikel 17 (Toepasselijk recht): Optie 1 (recht van de Republiek Ierland).
• Artikel 18 (Forum): Rechtbanken van de Republiek Ierland.
• Bijlage I.A (Partijen): Bijlage 1, Artikel A.
• Bijlage I.B (Omschrijving van de doorgifte): Bijlage 1, Artikel B.
• Bijlage I.C (Toezichthouder): Bijlage 1, Artikel C.
• Bijlage II (TOM's): Bijlage 2.
• Bijlage III (Onderaannemers): https://eu.plaud.ai/pages/trust-center
B. UK-addendum
Het UK-addendum (versie B.1.0) is bij verwijzing opgenomen en wordt als door de partijen ondertekend beschouwd. De geselecteerde SCC's zijn die in Bijlage 3(A). Voor Tabel 4 kan Plaud (als gegevensontvanger) het UK-addendum beëindigen wanneer de Goedgekeurde EU-SCC's wijzigen.
C. Zwitsers addendum
Voor doorgiften die uitsluitend onderworpen zijn aan het Zwitserse gegevensbeschermingsrecht (nFADP) worden de SCC's in Bijlage 3(A) als volgt gewijzigd: verwijzingen naar de AVG en de EU/EER worden vervangen door verwijzingen naar het Zwitserse gegevensbeschermingsrecht en Zwitserland; de bevoegde toezichthouder is de FDPIC; het toepasselijke recht is Zwitsers recht; en geschillen worden beslecht door Zwitserse rechtbanken. Wanneer doorgiften onderworpen zijn aan zowel het Zwitserse recht als de AVG, zijn beide sets regels van toepassing.
Bijlage 4 Geautoriseerde Onderaannemers
De huidige lijst van Plaud met geautoriseerde Onderaannemers (inclusief naam, land en verwerkingsdoel) is beschikbaar op https://eu.plaud.ai/pages/trust-center.