Bekijk de algemene voorwaarden
Versie 1.0, geldig vanaf 7 oktober 2026. Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van Rapply en geldt automatisch voor elke Klant. Begrippen uit de AVG, zoals persoonsgegevens, verwerking en datalek, hebben dezelfde betekenis als in de AVG.
Artikel 1. Partijen en rollen
De Klant is verwerkingsverantwoordelijke. JNL Solutions V.O.F., handelend onder de naam Rapply, KvK 42040769 (“Rapply”) is verwerker.
Rapply verwerkt persoonsgegevens alleen om de Dienst aan de Klant te leveren, zoals beschreven in Bijlage 1.
Artikel 2. Instructies
Rapply verwerkt persoonsgegevens alleen op schriftelijke instructie van de Klant. Het gebruik van de functies van Rapply geldt als zo’n instructie.
Rapply gebruikt de persoonsgegevens niet voor eigen doeleinden en niet om publieke AI-modellen te trainen.
Als Rapply van mening is dat een instructie in strijd is met de AVG, meldt Rapply dat direct aan de Klant.
Moet Rapply op grond van de wet gegevens verstrekken, bijvoorbeeld aan een overheidsinstantie, dan informeert Rapply de Klant vooraf, tenzij de wet dat verbiedt.
Artikel 3. Geheimhouding
Iedereen die namens Rapply toegang heeft tot persoonsgegevens heeft een geheimhoudingsplicht. Toegang is beperkt tot medewerkers die dat nodig hebben voor hun werk, zoals voor support of het oplossen van storingen.
Artikel 4. Beveiliging
Rapply neemt passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen, rekening houdend met de gevoeligheid van gezondheidsgegevens. Bijlage 3 beschrijft deze maatregelen.
Rapply mag de maatregelen aanpassen, zolang het beveiligingsniveau niet omlaag gaat.
Artikel 5. Subverwerkers
De Klant geeft algemene toestemming voor het inschakelen van subverwerkers. De huidige subverwerkers staan in Bijlage 2.
Rapply meldt een nieuwe of vervangende subverwerker minstens 30 dagen vooraf. De Klant kan binnen die termijn met redenen bezwaar maken. Lukt het niet samen een oplossing te vinden, dan mag de Klant de Overeenkomst opzeggen tegen de ingangsdatum.
Rapply legt subverwerkers schriftelijk minstens dezelfde verplichtingen op als in deze verwerkersovereenkomst. Rapply blijft verantwoordelijk tegenover de Klant.
Artikel 6. Doorgifte buiten de EER
Cliënt- en sessie-inhoud wordt verwerkt en opgeslagen binnen de Europese Economische Ruimte (EER).
Als een subverwerker beperkte gegevens buiten de EER verwerkt, gebeurt dat alleen met een passende waarborg uit de AVG, zoals een adequaatheidsbesluit of de standaardcontractbepalingen van de Europese Commissie. Bijlage 2 vermeldt waar dat het geval is.
Artikel 7. Datalekken
Rapply meldt een datalek dat persoonsgegevens van de Klant raakt zonder onredelijke vertraging aan de Klant, en waar mogelijk binnen 24 uur na ontdekking.
De melding bevat alle informatie die de Klant nodig heeft voor een eventuele melding aan de Autoriteit Persoonsgegevens of aan betrokkenen, voor zover bekend. Rapply vult de informatie aan zodra die beschikbaar komt.
Rapply neemt direct maatregelen om de gevolgen te beperken en een herhaling te voorkomen. Waar nodig schakelt Rapply daarbij het incident-responseteam van haar cyberverzekeraar in.
De Klant beslist of het datalek wordt gemeld aan de Autoriteit Persoonsgegevens en aan betrokkenen.
Artikel 8. Rechten van betrokkenen
Rapply helpt de Klant bij verzoeken van betrokkenen, zoals Cliënten die hun gegevens willen inzien, corrigeren of laten verwijderen. Veel van deze verzoeken kan de Klant zelf in Rapply afhandelen.
Krijgt Rapply zo’n verzoek rechtstreeks, dan stuurt Rapply het door naar de Klant en handelt het niet zelf af.
Artikel 9. Bijstand en audits
Rapply geeft de Klant de informatie die nodig is om aan te tonen dat deze verwerkersovereenkomst wordt nageleefd, en helpt bij een gegevensbeschermingseffectbeoordeling (DPIA) als die nodig is.
De Klant mag maximaal eenmaal per jaar een audit laten uitvoeren door een onafhankelijke, tot geheimhouding verplichte deskundige, na een aankondiging van minstens 30 dagen. Rapply mag in plaats daarvan eerst een recent auditrapport of certificaat overleggen.
De kosten van een audit zijn voor de Klant, tenzij de audit laat zien dat Rapply deze verwerkersovereenkomst wezenlijk schendt.
Artikel 10. Duur, teruggave en verwijdering
Deze verwerkersovereenkomst loopt zolang Rapply persoonsgegevens voor de Klant verwerkt.
Na het einde van de Overeenkomst heeft de Klant 30 dagen om zijn gegevens te exporteren. Daarna verwijdert Rapply alle persoonsgegevens van de Klant binnen 30 dagen, ook bij subverwerkers, tenzij de wet langere bewaring verplicht.
Back-ups worden verwijderd volgens de vaste back-upcyclus van maximaal 30 dagen.
Op verzoek bevestigt Rapply schriftelijk dat de gegevens zijn verwijderd.
Artikel 11. Aansprakelijkheid en slotbepalingen
Voor de aansprakelijkheid van Rapply onder deze verwerkersovereenkomst geldt artikel 18 van de algemene voorwaarden. De aansprakelijkheid is dus beperkt tot het bedrag dat de aansprakelijkheidsverzekeraar van Rapply in het betreffende geval uitkeert, vermeerderd met het eigen risico. Dit geldt ook voor schade door een datalek of een andere schending van de AVG, voor zover de wet dat toestaat. Rapply heeft voor zulke schade een cyberdekking als onderdeel van haar beroepsaansprakelijkheidsverzekering bij Hiscox.
Bij strijd tussen deze verwerkersovereenkomst en de algemene voorwaarden gaat deze verwerkersovereenkomst voor, voor zover het om persoonsgegevens gaat.
Op deze verwerkersovereenkomst is Nederlands recht van toepassing.
Bijlage 1. Verwerkingen
| Onderdeel | Omschrijving |
|---|---|
| Doel | Leveren van de Dienst: gespreksverslagen, rapportages, AI-assistent, agenda en taken, zoekprofielen en vacatures, urenregistratie |
| Betrokkenen | Cliënten van de Klant; Gebruikers (coaches, beheerders); contactpersonen zoals werkgevers en bedrijfsartsen |
| Gewone persoonsgegevens | Naam, contactgegevens, werkgever, functie, opleiding en werkervaring, sollicitatie- en trajectgegevens, agenda-afspraken, e-mails en hun inhoud, gewerkte uren |
| Bijzondere persoonsgegevens | Gezondheidsgegevens die in gesprekken, notities en rapportages voorkomen, zoals informatie over verzuim en belastbaarheid (FML) |
| Andere gevoelige gegevens | Burgerservicenummer, alleen als de Klant dat zelf invoert en daarvoor een wettelijke grondslag heeft |
| Soorten verwerking | Opnemen, transcriberen, e-mails en agenda-afspraken uitlezen via koppelingen, opslaan, samenvatten, analyseren met AI, genereren van teksten, tonen en verwijderen |
| Bewaartermijn | Zolang de Klant de gegevens bewaart in Rapply en tot uiterlijk 60 dagen na het einde van de Overeenkomst (zie artikel 10) |
Bijlage 2. Subverwerkers
| Subverwerker | Taak | Locatie verwerking |
|---|---|---|
| Scaleway | Hosting en opslag | EU (Europese Scaleway-regio’s) |
| Zitadel | Authenticatie en inloggen | EU (instance EU1) |
| Sweego | Versturen van e-mail | Frankrijk |
| Mollie | Betalingen en abonnementsbeheer (alleen gegevens van de Klant, geen cliëntgegevens) | Nederland |
| pyannoteAI | Transcriptie van audio en sprekerherkenning | Europese Economische Ruimte (Europese regio) |
| Scaleway | Transcriptie van audio, waaronder terugval bij storingen | Frankrijk (Parijs) |
| Scaleway | AI-taalmodel voor samenvattingen, rapportages en assistent | Frankrijk (Parijs) |
| EURouter | AI-assistent, waaronder terugval bij storingen | Europese Unie |
| Google, Microsoft | Agenda- en e-mailkoppeling (alleen op initiatief van de Gebruiker) | Afhankelijk van het account van de Gebruiker |
Bijlage 3. Beveiligingsmaatregelen
Versleuteling van opgeslagen inhoud en van alle verbindingen (HTTPS/TLS).
Audio via tijdelijke, versleutelde uploadlinks; tijdelijke audio wordt na verwerking verwijderd.
Inloggen via een beveiligde authenticatiedienst, met ondersteuning voor tweestapsverificatie.
Scheiding van gegevens per Klant en rechten per Gebruiker binnen een organisatie.
Toegang voor Rapply-medewerkers alleen als dat nodig is, met logging van die toegang.
Rate limiting en misbruikdetectie.
Regelmatige back-ups en een herstelprocedure.
Beveiligingsupdates worden tijdig doorgevoerd.
Een procedure voor het melden en afhandelen van datalekken.
Beroeps- en bedrijfsaansprakelijkheidsverzekering met cyberdekking en toegang tot een incident-responseteam (Hiscox). Rapply bereidt certificering volgens ISO- en NEN-normen voor informatiebeveiliging voor.
Vragen? Neem contact met ons op.