Verwerkersovereenkomst

Versie 1.1 | 10 augustus 2026 | TalkMark / Securyflex B.V.

1. Partijen

2. Onderwerp en duur

Deze overeenkomst regelt de verwerking van persoonsgegevens door TalkMark ten behoeve van AI-gestuurde audiotranscriptie en samenvattingen, als bedoeld in artikel 28 van de Algemene Verordening Gegevensbescherming (AVG).

De duur van deze overeenkomst is gelijk aan de looptijd van de TalkMark-abonnementsovereenkomst tussen partijen.

3. Aard en doel van de verwerking

4. Verplichtingen Verwerker

TalkMark / Securyflex B.V. verplicht zich:

1. Uitsluitend te verwerken op gedocumenteerde instructie van de Verwerkingsverantwoordelijke (art. 28 lid 3 sub a AVG).
2. Vertrouwelijkheid te waarborgen voor alle personen die gemachtigd zijn persoonsgegevens te verwerken (art. 28 lid 3 sub b AVG).
3. Passende technische en organisatorische maatregelen te nemen ter beveiliging van de verwerking (art. 32 AVG):
   • Data opgeslagen op EU-servers te Stockholm, Zweden (Supabase op AWS, regio eu-north-1)
   • Encryptie in transit: TLS 1.3
   • Encryptie at rest: AES-256
   • Toegangsbeveiliging via Row Level Security (per gebruiker gescheiden)
   • Geen gebruik van data voor AI-modeltraining
4. Op verzoek medewerking te verlenen aan het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA, art. 35 AVG).
5. Na beëindiging van de dienstverlening alle persoonsgegevens te verwijderen of te retourneren, naar keuze van de Verwerkingsverantwoordelijke, en bestaande kopieën te verwijderen tenzij opslag wettelijk verplicht is (art. 28 lid 3 sub g AVG).
6. Alle informatie beschikbaar te stellen die nodig is om de naleving van de in artikel 28 AVG neergelegde verplichtingen aan te tonen, en audits mogelijk te maken (art. 28 lid 3 sub h AVG).

5. Sub-verwerkers

De Verwerkingsverantwoordelijke geeft hierbij algemene schriftelijke toestemming voor het inschakelen van sub-verwerkers. TalkMark maakt gebruik van de volgende sub-verwerkers:

5.1 Standaard sub-verwerkers

Deze partijen worden bij normaal gebruik van de dienst altijd ingeschakeld.

5.2 Eigen verwerkers van TalkMark

De onderstaande partijen ondersteunen de eigen bedrijfsvoering van TalkMark: facturatie, foutmonitoring, websitestatistiek en interne storingsmeldingen. Zij ontvangen geen audiobestanden en geen transcripties, en worden niet ingeschakeld om namens de Verwerkingsverantwoordelijke diens gegevens te verwerken. Wij vermelden per partij welke gegevens voor welk doel worden verwerkt, zodat de rolverdeling toetsbaar is in plaats van te leunen op een enkele kwalificatie. Waar een van deze partijen op grond van haar eigen overeenkomst tevens als verwerker optreedt, geldt die overeenkomst onverkort.

5.3 Optionele sub-verwerkers

Deze partijen worden uitsluitend ingeschakeld wanneer de Verwerkingsverantwoordelijke of een van diens gebruikers de betreffende koppeling zelf activeert. Zonder activering gaan er geen gegevens naar deze partijen.

* TalkMark gebruikt de OpenAI API met zero data retention waar beschikbaar. TalkMark zelf gebruikt audiobestanden en transcripties niet voor het trainen van AI-modellen, en evenmin voor productverbetering, benchmarking of onderzoek buiten de levering van de dienst aan de Verwerkingsverantwoordelijke. Voor de transcriptieleveranciers is in 5.4 per partij beschreven wat is vastgesteld. Voor zover het gaat om andere vormen van productverbetering dan modelverbetering, doet TalkMark geen bredere toezegging dan de contractuele en technische voorwaarden van de betreffende leverancier ondersteunen.

5.4 Bewaring bij de transcriptieleveranciers

Omdat hierover regelmatig wordt gevraagd, beschrijven wij per leverancier wat er geldt.

• OpenAI Ireland Ltd. Wij gebruiken de API in een project dat is ingericht op Europese dataresidentie en waarvoor zero data retention van toepassing is. Dit betreft transcriptie van korte opnames, tekstcorrectie, samenvattingen, gespreksanalyse en embeddings. API-gegevens worden door OpenAI niet gebruikt voor het trainen of verbeteren van modellen, tenzij een organisatie daar uitdrukkelijk voor kiest; TalkMark heeft dat niet gedaan.
• AssemblyAI Inc. De opname wordt naar de EU-regio van AssemblyAI verzonden en daar verwerkt. Wij gebruiken uitsluitend asynchrone transcriptie van opnames, met interpunctie, tekstopmaak en sprekerscheiding. Wij gebruiken geen streaming, geen entiteitsdetectie en geen taalmodelfuncties van AssemblyAI. In ons account is de opt-out voor het Model Improvement Program geactiveerd. Daarmee worden de gegevens niet gebruikt voor het trainen van AI- of ML-modellen en evenmin voor benchmarking. Daarnaast geldt de bewaartermijn die in ons account is ingesteld. De actuele stand van deze instellingen verstrekken wij op verzoek. TalkMark geeft op dit moment zelf geen verwijderopdracht na afloop van de verwerking; wij richten dat in als aanvullende maatregel en passen deze paragraaf aan zodra dat werkt.

Wijzigingen in sub-verwerkers worden minimaal 30 dagen vooraf per e-mail aangekondigd aan de Verwerkingsverantwoordelijke. De Verwerkingsverantwoordelijke heeft het recht bezwaar te maken tegen een nieuwe sub-verwerker binnen 14 dagen na kennisgeving.

6. Doorgifte buiten de EER

De opslag van opnames, transcripties en accountgegevens vindt plaats binnen de Europese Unie (Stockholm, Zweden). Ook de spraak-naar-tekst-verwerking en de AI-verwerking vinden plaats binnen de EU.

Een aantal sub-verwerkers is statutair buiten de Europese Economische Ruimte gevestigd, of kan gegevens buiten de EER verwerken. Voor al deze partijen geldt dat de doorgifte plaatsvindt op basis van de standaardcontractbepalingen van de Europese Commissie (Standard Contractual Clauses, uitvoeringsbesluit 2021/914), aangevuld met de technische en organisatorische maatregelen uit artikel 4 van deze overeenkomst. Het betreft de partijen die in artikel 5 als zodanig zijn aangemerkt.

TalkMark geeft geen persoonsgegevens door aan een derde land of internationale organisatie zonder een geldig doorgiftemechanisme als bedoeld in hoofdstuk V AVG.

7. Bewaartermijnen en verwijdering

Na beëindiging van de dienstverlening verwijdert TalkMark alle persoonsgegevens, of retourneert deze, naar keuze van de Verwerkingsverantwoordelijke, tenzij opslag wettelijk verplicht is.

8. Rechten van betrokkenen

De Verwerkingsverantwoordelijke is verantwoordelijk voor het afhandelen van verzoeken van betrokkenen op grond van de artikelen 15 t/m 22 AVG (inzage, correctie, verwijdering, overdraagbaarheid, beperking, bezwaar).

TalkMark verleent hierbij medewerking door middel van passende technische en organisatorische maatregelen, voor zover dit redelijkerwijs mogelijk is. TalkMark biedt de mogelijkheid om transcripties en audiobestanden permanent te verwijderen via de applicatie.

9. Meldplicht datalekken

TalkMark meldt beveiligingsincidenten die (mogelijk) betrekking hebben op de verwerkte persoonsgegevens zonder onredelijke vertraging, en in ieder geval binnen 48 uur na ontdekking, aan de Verwerkingsverantwoordelijke.

De melding bevat ten minste:

1. de aard van het incident, inclusief de categorieën betrokkenen en persoonsgegevens;
2. de waarschijnlijke gevolgen;
3. de maatregelen die zijn of worden genomen om het incident te verhelpen.

10. Toepasselijk recht

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement van de vestigingsplaats van de Verwerker.