Verwerkersovereenkomst

AI-analyse en afzonderlijke toestemmingen voor training

AI wordt ingezet voor de door de klant gevraagde functie met de daarvoor vereiste inhoud. Geselecteerde documenten, teksten, afbeeldingen, in voorkomend geval spraakopnames en toolresultaten kunnen persoonsgegevens bevatten; een automatische verwijdering van alle persoonsgegevens wordt niet toegezegd. Voor de routes van tekst- en beeldmodellen vereist de applicatie momenteel EU-eindpunten, geweigerde gegevensverzameling en aanbieders die ZDR ondersteunen. Deze routeringsvereisten zijn geen toezegging dat bemiddeling, operationele metadata of alle onderaannemers uitsluitend in de EU worden verwerkt. Zero Data Retention betekent geen onbeperkte vrijheid van opslag voor alle betrokken partijen en vervangt noch een verwerkersovereenkomst noch een grondslag voor doorgifte naar derde landen. Het gebruik van opdrachtgegevens voor eigen training is door deze verwerkersovereenkomst niet toegestaan. Een afzonderlijke toestemming voor training vervangt in het bijzonder geen rechtsgrond of bevoegdheid voor gegevens van derden; eigen training is momenteel niet actief.

Invoerarchief voor ingelezen bestanden

De klant staat PlanElec.be toe kopieën te bewaren en te analyseren van de bestanden die hij via importfuncties inleest (plattegronden als afbeelding, PDF, DXF of DWG, Trikker- en Sketch-projectbestanden, sjablonen voor de AI-schemalezer), met inbegrip van daaruit afgeleide tussenformaten en technische logboeken. Het enige doel is fouten bij het inlezen te analyseren en de import- en herkenningsfuncties te verbeteren; voor dit doel treedt PlanElec.be op als zelfstandige verwerkingsverantwoordelijke en gelden de doelbinding van punt 2 en de instructiegebondenheid van punt 5 niet. De kopieën worden versleuteld bewaard in de back-upopslag in de EU, gescheiden van de projectgegevens. Alleen het team van PlanElec.be heeft toegang; de kopieën worden niet aan derden verstrekt en niet gebruikt om AI-modellen te trainen. Ze worden automatisch verwijderd, voor Sketch na 90 dagen en voor Pro uiterlijk na 24 maanden. De klant zorgt ervoor dat hij de bestanden hiervoor mag aanleveren. Hij kan op elk moment schriftelijk bezwaar maken tegen de bewaring bij het hieronder vermelde contact; PlanElec.be verwijdert dan de bestaande kopieën van zijn account en bewaart er geen nieuwe meer.

Partijen

Klant: De in de gebruiksovereenkomst vermelde klant, vertegenwoordigd door een daartoe bevoegde persoon. De klant treedt op als verwerkingsverantwoordelijke of als verwerker van een andere verwerkingsverantwoordelijke. In het tweede geval treedt PlanElec.be op als verdere verwerker; de klant zorgt voor de vereiste toestemming van zijn opdrachtgever en voor een toelaatbare instructieketen. De keuze voor een privé- of zakelijk account bepaalt niet op zichzelf de rol in het gegevensbeschermingsrecht.

Verwerker: Stephan Behm, Heggen 34, 4837 Baelen, België, ondernemingsnummer 1043.329.030 – uitbater van PlanElec.be.

1. Onderwerp en duur

Onderwerp zijn de projectinhouden die in opdracht worden verwerkt bij het ontwerpen en documenteren van elektrische installaties: schema's, grondplannen, geüploade documenten, samenwerking, goedkeuringen, exports en uitdrukkelijk gevraagde AI-functies. De verwerking begint alleen op een overeengekomen grondslag. De overeenkomst geldt tijdens de verwerking in opdracht en na het einde van de gebruiksovereenkomst zolang PlanElec.be of zijn subverwerkers nog opdrachtgegevens bewaren.

2. Aard en doel van de verwerking

De verwerking omvat verzamelen door invoer of upload, ordenen, opslaan, opvragen, bewerken, analyseren op instructie, ter beschikking stellen aan bevoegde medewerkers, exporteren, doorgeven op instructie, back-uppen, beperken en wissen. Het doel is uitsluitend het leveren van de opgedragen ontwerp- en documentatiediensten. Account-, contract-, betalings- en factuurbeheer, eigen wettelijke verplichtingen en eigen productanalyse worden, voor zover PlanElec.be daarvoor zelf de doeleinden en middelen bepaalt, onder eigen verantwoordelijkheid verwerkt volgens de privacyverklaring. Deze afbakening geeft geen recht om projectinhouden te gebruiken voor reclame of eigen training. Cockpit en de interne eventbus zijn interne systemen van dezelfde uitbater, geen afzonderlijke subverwerkers.

3. Categorieën van persoonsgegevens

In het kader van het gebruik worden met name de volgende categorieën van gegevens verwerkt:

• Namen, adressen en door de klant ingevoerde contactgegevens van opdrachtgevers, eigenaars, bewoners, contactpersonen en medewerkers.
• Adressen van panden, grondplannen, ruimte-indelingen, foto's, tekeningen, technische installatie- en systeemgegevens, voor zover ze aan een natuurlijke persoon kunnen worden gekoppeld.
• Projectnamen, vrije teksten, geüploade documenten, geselecteerde AI-invoer en -resultaten en persoonlijke inhoud in opgedragen supportaanvragen.
• Voor samenwerking en traceerbaarheid vereiste gebruikers-, organisatie-, project- en handelingsidentificatoren, rechten, tijdstempels en bewerkingsstatussen.
• Bijzondere categorieën volgens art. 9 AVG en gegevens volgens art. 10 AVG maken geen deel uit van de opgedragen standaarddienst. Ze mogen niet worden ingevoerd zonder een afzonderlijke schriftelijke overeenkomst over passende waarborgen. Niet vereiste persoonsgegevens moeten vóór upload of AI-verwerking worden verwijderd.

4. Categorieën van betrokkenen

De volgende groepen van personen worden door de verwerking geraakt:

• Opdrachtgevers en eindklanten van de klant, eigenaars, bouwheren, bewoners en huurders.
• Werknemers, gemachtigden en andere medewerkers van de klant of van zijn opdrachtgevers.
• Andere natuurlijke personen van wie de klant gegevens rechtmatig opneemt in projectdocumenten of opgedragen communicatie.

5. Verplichtingen van de verwerker

De verwerker verbindt zich conform art. 28, lid 3 AVG in het bijzonder tot het volgende:

• PlanElec.be verwerkt opdrachtgegevens alleen op gedocumenteerde instructie van de klant, ook bij doorgiften naar derde landen. De gebruiksovereenkomst, deze verwerkersovereenkomst en de bedieningshandelingen binnen de overeengekomen functionaliteit vormen de initiële instructies. Bijkomende instructies moeten schriftelijk (in tekstvorm) aan het hieronder vermelde contact worden gericht; PlanElec.be documenteert ze en controleert de bevoegdheid van de afzender.
• Verplicht het Unierecht of het recht van een lidstaat PlanElec.be tot een afwijkende verwerking, dan stelt PlanElec.be de klant vooraf in kennis van dat wettelijke voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Is PlanElec.be van oordeel dat een instructie inbreuk maakt op het gegevensbeschermingsrecht, dan meldt het dit onverwijld aan de klant en schort het de betrokken verwerking op tot de zaak is opgehelderd.
• PlanElec.be beperkt de toegang tot bevoegde personen met een taakgebonden behoefte. Zij hebben zich tot vertrouwelijkheid verbonden of zijn gebonden door een passende wettelijke geheimhoudingsplicht; deze plicht blijft bestaan na het einde van hun activiteit.
• Rekening houdend met de aard van de verwerking helpt PlanElec.be de klant door middel van passende technische en organisatorische maatregelen bij verzoeken om inzage, rectificatie, wissing, beperking, overdraagbaarheid van gegevens en bezwaren. Rechtstreeks ontvangen verzoeken van betrokkenen stuurt PlanElec.be onverwijld door en beantwoordt ze alleen op instructie of op grond van een wettelijke verplichting.
• Rekening houdend met de beschikbare informatie helpt PlanElec.be de klant bij beveiliging, meldingen van inbreuken in verband met persoonsgegevens, gegevensbeschermingseffectbeoordelingen en voorafgaande raadplegingen volgens art. 32 tot 36 AVG. De verantwoordelijkheid van de klant voor zijn wettelijke termijnen blijft bestaan.
• Nadat PlanElec.be kennis heeft gekregen van een inbreuk op de beveiliging van opdrachtgegevens, informeert het de klant onverwijld via diens geregistreerde contactadres. De melding vermeldt, voor zover bekend, de aard en omvang, de betrokkenen en de betrokken gegevensbestanden, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen en een contactpersoon. Ontbrekende informatie wordt zonder onredelijke vertraging nagezonden; een eerste melding wacht niet op de afronding van het onderzoek. PlanElec.be documenteert het incident en de maatregelen en helpt de klant bij de beoordeling en kennisgeving.
• De klant is verantwoordelijk voor de rechtmatigheid van zijn instructies, de vereiste informatie en rechtsgronden tegenover betrokkenen, de toekenning van zijn toegangsrechten en de juistheid van de doorgegeven gegevens. Hij houdt een bereikbaar contactadres aan. Dit vermindert de eigen wettelijke verplichtingen van PlanElec.be niet.

6. Subverwerkers

De klant verleent een algemene schriftelijke toestemming voor de hieronder vermelde dienstverleners, voor zover zij daadwerkelijk opdrachtgegevens verwerken voor de overeengekomen functie. Bij AI-functies worden de tussenpersoon en de achterliggende modelplatforms afzonderlijk vermeld. Platformnamen duiden de technische route aan en vervangen niet de identificatie van de contracterende onderneming in de bewijsstukken. Zelfstandige verwerkingsverantwoordelijken en interne systemen zijn geen subverwerkers.

Vóór hun inzet legt PlanElec.be verdere verwerkers contractueel dezelfde verplichtingen inzake gegevensbescherming op als die in deze verwerkersovereenkomst zijn vastgelegd, met name afdoende garanties voor passende technische en organisatorische maatregelen, en blijft PlanElec.be tegenover de klant aansprakelijk voor de nakoming door verdere verwerkers. Voorgenomen toevoegingen of vervangingen worden de klant ten minste 30 dagen vóór de toegang tot zijn opdrachtgegevens schriftelijk (in tekstvorm) meegedeeld, met dienstverlener, taak, verwerkingslocaties en doorgiftegrondslag; een stille wijziging van de website volstaat niet. De klant kan binnen deze termijn om redelijke redenen van gegevensbescherming bezwaar maken. Tot de zaak is opgehelderd, krijgt de betwiste nieuwe dienstverlener geen toegang tot de betrokken gegevens. De partijen zoeken een passend alternatief. Is geen oplossing mogelijk, dan kan de klant het betrokken deel van de dienst zonder boete beëindigen; vooraf betaalde vergoedingen voor diensten die daarna wegvallen, worden pro rata terugbetaald. Voor verdere verwerkingsketens gelden dezelfde beschermingsverplichtingen.

7. Verwerkingslocaties en doorgiften naar derde landen

Een uitsluitende verwerking binnen de EU wordt niet overeengekomen. In het bijzonder bij de bemiddeling van AI-verzoeken, de bezorging van e-mails en bij toegangs- of supportdiensten van internationale aanbieders kunnen gegevens buiten de EER worden verwerkt. PlanElec.be mag dergelijke doorgiften alleen uitvoeren binnen gedocumenteerde instructies en met naleving van hoofdstuk V AVG. Voor zover geen toepasselijk adequaatheidsbesluit geldt, moeten passende waarborgen, in het bijzonder de passende standaardcontractbepalingen volgens Besluit (EU) 2021/914, en de vereiste beoordeling van het beschermingsniveau, inclusief aanvullende maatregelen, worden verzekerd. Wordt een beroep gedaan op het EU-VS-kader voor gegevensbescherming (Data Privacy Framework), dan moeten de ontvanger en de concrete verwerking onder een geldige certificering vallen. Een Amerikaans adres alleen is geen bewijs. PlanElec.be stelt de relevante bewijsstukken op verzoek ter beschikking van de klant, met bescherming van gerechtvaardigde belangen van geheimhouding. Ontbreekt een deugdelijke grondslag, dan mag de betrokken doorgifte niet plaatsvinden.

8. Technische en organisatorische maatregelen (bijlage)

PlanElec.be waarborgt een op het risico afgestemd beveiligingsniveau conform art. 32 AVG. De volgende maatregelen concretiseren de verschuldigde beschermingsmaatregelen voor de verwerking in opdracht; technische verdere ontwikkelingen mogen het overeengekomen beschermingsniveau niet verlagen:

• Toegang en rechten: geauthenticeerde gebruikerstoegang, project- en organisatiegebonden rechtencontrole op de server, beperking van administratieve toegang tot bevoegde personen en intrekking van niet langer vereiste rechten. Toegangsmiddelen en dienstsleutels moeten tegen openbaarmaking worden beschermd.
• Overdracht en scheiding: versleutelde openbare gegevensoverdracht via HTTPS/TLS; scheiding van klanten door rechtencontroles en bescherming van opgeslagen bestanden tegen onbevoegd opvragen. End-to-end-versleuteling die ook de uitbater uitsluit, wordt niet toegezegd.
• Integriteit en traceerbaarheid: controle van invoer en wijzigingen, traceerbaarheid van relevante bewerkingen en beveiligingsrelevante logs met tot het noodzakelijke beperkte inhoud. Geen onbeperkte opname van projectinhouden in analyse- of foutlogs.
• Beschikbaarheid en herstel: back-ups en gedocumenteerde herstelprocedures; toegangsbeveiliging en beperkte bewaring ook voor back-ups. Herstelbaarheid en doeltreffendheid van de beschermingsmaatregelen moeten regelmatig en na wezenlijke wijzigingen worden getest.
• Werking en organisatie: procedures voor beveiligingsupdates, behandeling van kwetsbaarheden, gegevensbeschermingsincidenten, wisverzoeken en controle van verdere verwerkers; instructie inzake gegevensbescherming van de bevoegde personen.
• Gegevensminimalisatie en wissing: beperking van doorgegeven inhoud tot de betreffende opdracht, doelgebonden bewaring, blokkering en wissing op instructie en gecontroleerde behandeling van back-upkopieën volgens punt 9.

9. Teruggave, wissing en einde van de overeenkomst

Bij beëindiging van de verwerking in opdracht kiest de klant tussen teruggave met aansluitende wissing en onmiddellijke wissing. PlanElec.be stelt de opdrachtgegevens ter beschikking in een gangbaar elektronisch formaat en wist bestaande kopieën, tenzij het Unierecht of het recht van een lidstaat bewaring vereist. De export en de nakoming van wettelijke verplichtingen inzake gegevensbescherming hangen niet af van de aankoop van een betalend abonnement. Het loutere opzeggen van een abonnement of een overstap naar het gratis abonnement beëindigt een nog opgedragen opslag niet automatisch. Bij verwijdering van een account geldt in de normale herstelprocedure een wachttermijn van 30 dagen; op uitdrukkelijke en toelaatbare instructie is onmiddellijke wissing zonder deze wachttermijn mogelijk. Wettelijk te bewaren gegevens worden beperkt tot de verplichte omvang en voor andere doeleinden geblokkeerd. Back-upkopieën mogen niet voor verdere reguliere verwerking worden gebruikt; bij een herstel moeten wissingen vóór hernieuwd gebruik opnieuw worden doorgevoerd. PlanElec.be deelt de klant de voor zijn opdracht geldende back-up- en definitieve wistermijnen mee en bevestigt de voltooide wissing op verzoek. Subverwerkers wissen volgens de met hen overeengekomen voorwaarden. De verplichtingen van deze verwerkersovereenkomst blijven gelden tot de definitieve wissing.

10. Bewijs en controles

PlanElec.be stelt alle informatie ter beschikking die nodig is om de naleving van art. 28 AVG aan te tonen, en maakt audits, waaronder inspecties, door de klant of een door hem gemachtigde controleur mogelijk en draagt eraan bij. Bestaande geschikte rapporten kunnen in eerste instantie worden gebruikt, maar vervangen geen controlerecht waar dat nodig is. Audits worden met een redelijke voorafgaande aankondiging zo georganiseerd dat andere klanten, vertrouwelijke informatie en de beveiliging beschermd blijven. Audits door de klant vinden ten hoogste eenmaal per kalenderjaar plaats, tenzij een gegrond vermoeden, een gegevensbeschermingsincident of een verzoek van een autoriteit een bijkomende audit vereist. De klant draagt de kosten van zijn audit. Ten aanzien van subverwerkers oefent PlanElec.be de controlerechten uit binnen de met hen overeengekomen auditrechten, in de eerste plaats via hun certificeringen en auditrapporten. PlanElec.be wijst onverwijld op een auditinstructie die het onrechtmatig acht.

11. Rangorde en aansprakelijkheid

Bij tegenstrijdigheden hebben de verplichtingen inzake gegevensbescherming van deze overeenkomst voor de verwerking in opdracht voorrang op de algemene gebruiksvoorwaarden. Dwingend gegevensbeschermingsrecht, in het bijzonder de rechten van betrokkenen en art. 82 AVG, blijft onverlet. Internationaal overeengekomen standaardcontractbepalingen behouden hun bedoelde voorrang. Wijzigingen van deze verwerkersovereenkomst vereisen een geldige overeenkomst; de loutere wijziging van deze pagina vervangt die niet. De regeling over aangekondigde wijzigingen van subverwerkers blijft daardoor onverlet. Voor het overige gelden het toepasselijke recht en de bevoegde rechtbank van de gebruiksvoorwaarden.

12. Contact en instructies

Richt verzoeken inzake gegevensbescherming, gedocumenteerde instructies en vragen over contractuele bewijsstukken aan: privacy@planelec.be

Afbakening van andere ontvangers

Mollie verwerkt betalingsgegevens voor zijn gereglementeerde betalingsdiensten als zelfstandige verwerkingsverantwoordelijke. Recommand (BRBX BV) ondersteunt PlanElec.be bij diens eigen facturatie. PostHog wordt ingezet voor eigen productanalyse en technische diagnose; projectinhouden horen niet in analyse-events. Deze verwerkingen worden, voor zover ze niet in opdracht van de klant plaatsvinden, toegelicht in de privacyverklaring en worden door deze verwerkersovereenkomst niet goedgekeurd als verwerking in opdracht van de klant. Voor de PV-opbrengstprognose geeft PlanElec.be alleen op verzoek van de klant coördinaten van de projectlocatie en technische installatieparameters zonder namen door aan de openbare PVGIS-dienst van het Gemeenschappelijk Centrum voor Onderzoek van de Europese Commissie.