Verwerkersovereenkomst — sjabloon (Stilops als verwerker)

6 en 7: de e-mailhosting is van MXroute (VS) naar Hetzner (EU) verhuisd).

Status en voorbehoud. Dit is het standaardsjabloon dat Stilops aanbiedt aan klanten die een verwerkersovereenkomst (art. 28 lid 3 AVG) willen sluiten. Het is opgesteld door Stilops zelf en niet door een jurist getoetst; een klant mag zijn eigen model voorstellen. Het sjabloon is eerlijk over wat Stilops wél en niet kan waarmaken — vooral bij subverwerkers (art. 6) en internationale doorgifte (art. 7). Een overeenkomst komt tot stand door ondertekening door beide partijen; publicatie van dit sjabloon is geen aanbod dat door gebruik wordt aanvaard.

Partijen

1. Verwerkingsverantwoordelijke: [naam klant], gevestigd te [adres], KvK [nummer], hierna "Klant".
2. Verwerker: Stilops, gevestigd te [adres], KvK [nummer], hierna "Stilops".

Deze verwerkersovereenkomst hoort bij de Algemene voorwaarden van het Stilops-klantenportaal (versie zoals vastgelegd bij registratie) en gaat bij strijdigheid over de verwerking van persoonsgegevens vóór.

Art. 1 — Onderwerp en duur

1. Stilops verwerkt persoonsgegevens uitsluitend in opdracht van Klant, voor het leveren van de dienst: AI-agents die voorstellen doen en, na goedkeuring door Klant, taken uitvoeren.
2. De overeenkomst duurt zolang de dienstverlening duurt, plus de bewaartermijn van art. 10.

Art. 2 — Aard, doel, soorten gegevens en betrokkenen (Bijlage 1)

Art. 3 — Instructies

1. Stilops verwerkt alleen op gedocumenteerde instructie van Klant. De instructie bestaat uit: de Algemene voorwaarden, deze overeenkomst, en de opdrachten die Klant in het portal geeft.
2. Elke uitvoering met effect vereist in het product een expliciete goedkeuring van Klant. Die goedkeuring geldt als instructie voor die ene handeling.
3. Meent Stilops dat een instructie in strijd is met de AVG, dan meldt Stilops dat en voert de instructie niet uit tot Klant heeft beslist.
4. Collectieve kennisbank (alleen als Klant die aanzet). Staat de instelling "Deelnemen aan de collectieve kennisbank" aan, dan geldt dat als instructie van Klant om eenmaal per week uit de kennis die zijn agents over zijn organisatie leerden algemene, niet tot Klant of tot personen herleidbare inzichten af te leiden. Stilops beoordeelt elk inzicht met de hand voordat het aan agents van andere klanten wordt meegegeven, en neemt geen persoonsgegevens, namen, adressen of nummers op. Een goedgekeurd inzicht is geen persoonsgegeven meer; Stilops is daarvoor zelf verantwoordelijk. De instelling staat standaard uit en Klant kan haar altijd uitzetten; daarna wordt niets meer afgeleid. Al goedgekeurde inzichten blijven bestaan, omdat ze niet tot Klant herleidbaar zijn.

Art. 4 — Geheimhouding

Personen die bij Stilops toegang hebben tot persoonsgegevens (op 2-9-2026: de eigenaar) zijn tot geheimhouding verplicht. Toegang van AI-agents is beperkt tot de gegevens van de organisatie waarvoor ze zijn ingehuurd (scheiding per organisatie in de gegevenslaag, met regressietest).

Art. 5 — Beveiliging (art. 32 AVG) (Bijlage 2)

Stilops treft ten minste:

• versleuteling van koppelingsgeheimen in rust (AES-256-GCM, aparte sleutel per omgeving) en van alle verbindingen in transport (TLS);
• wachtwoord-hashing (scrypt), tweestapsverificatie beschikbaar per account, http-only sessiecookies, snelheidslimieten op inlogpogingen;
• tenant-scheiding op organisatie-id, sandbox per run voor code-schrijvende agents;
• een append-only auditspoor van elk voorstel, elke testrun en elke beslissing;
• geheimdetectie op invoer, en een noodstop die alle agent-activiteit stillegt;
• versleutelde, periodieke back-ups met een gedocumenteerde herstelprocedure; bewaartermijnen volgens het document Bewaartermijnen in het nalevingsregister.

De actuele stand per maatregel staat in het publieke nalevingsregister (https://stilops.com/nalevingsregister/nl); Klant mag daar naar verwijzen als bewijs.

Art. 6 — Subverwerkers

1. Klant geeft algemene toestemming voor de subverwerkers in de lijst op https://stilops.com/nalevingsregister/documenten/subverwerkers (Bijlage 3). Die lijst geeft per partij aan of er een verwerkersovereenkomst is en waar de verwerking plaatsvindt.
2. Stilops informeert Klant minstens 30 dagen vóór een nieuwe subverwerker of een wezenlijke wijziging, via het portal of per e-mail. Klant kan binnen die termijn gemotiveerd bezwaar maken; kunnen partijen er niet uitkomen, dan mag Klant opzeggen zonder opzegtermijn.
3. Stilops legt zijn subverwerkers dezelfde verplichtingen op als in deze overeenkomst, voor zover de subverwerker dat aanbiedt. Waar dat niet zo is, staat dat in de lijst.
4. Stripe heeft een hybride rol, geen enkelvoudige. Als subverwerker (dit artikel) treedt Stripe alleen op voor zover het de betaalopdracht namens Stilops uitvoert (verwerken van transactiegegevens, koppelen aan klant/factuur). Voor fraudepreventie, AML/KYC en Stripe's eigen wettelijke verplichtingen als betaalinstelling bepaalt Stripe zelf doel en middelen; in zoverre is Stripe zelfstandig verwerkingsverantwoordelijke en valt die verwerking buiten deze overeenkomst. Klant sluit deze overeenkomst met kennis van dit onderscheid.

Art. 7 — Doorgifte buiten de EER

1. Hosting en opslag van de dienst, en de e-mailhosting van Stilops, vinden plaats in de EU (Hetzner, Duitsland).
2. Het taalmodel (Anthropic), DNS/verkeersbeveiliging (Cloudflare) en betalingen (Stripe) zijn Amerikaanse partijen. Zij bieden EU-modelcontractbepalingen aan; of Stilops die heeft geaccepteerd staat per partij in de subverwerkerslijst.

Art. 8 — Datalekken

Stilops meldt een inbreuk in verband met persoonsgegevens van Klant zonder onredelijke vertraging en streeft naar melding binnen 24 uur na vaststelling, met de informatie uit de Incident- en datalekprocedure §5 (voor klanten in het portaal: https://portal.stilops.com/portal/naleving). Klant beslist over melding aan de Autoriteit Persoonsgegevens en aan betrokkenen; Stilops helpt daarbij.

Art. 9 — Bijstand

Stilops helpt Klant, tegen redelijke kosten voor zover het werk buiten de dienst valt, bij verzoeken van betrokkenen (inzage, correctie, verwijdering, overdraagbaarheid: alle gegevens van een organisatie zijn per organisatie te exporteren en te verwijderen), bij een DPIA en bij voorafgaande raadpleging.

Art. 10 — Einde van de verwerking

Bij einde van de dienst worden de gegevens van Klant verwijderd na afloop van de door Klant ingestelde bewaartermijn (minimaal 183 dagen), met uitzondering van wat Stilops wettelijk moet bewaren (facturen, zeven jaar) en het bewijs van akkoorden. Op verzoek levert Stilops vóór verwijdering een export.

Art. 11 — Audit

1. Stilops stelt de informatie beschikbaar die nodig is om naleving aan te tonen: het publieke nalevingsregister, dit sjabloon, de bewaartermijnen, de incidentprocedure (in het portaal), en op verzoek de relevante logregels uit het auditspoor van Klant.
2. Klant mag eenmaal per jaar, met 30 dagen aankondiging en op eigen kosten, een audit laten uitvoeren door een onafhankelijke, tot geheimhouding verplichte auditor. Stilops mag een recent onafhankelijk rapport (bijvoorbeeld ISAE 3402) in de plaats stellen zodra dat er is — op 2-9-2026 is dat er niet.

Art. 12 — Aansprakelijkheid en slotbepalingen

Aansprakelijkheid volgt de Algemene voorwaarden. Nederlands recht is van toepassing; geschillen gaan naar de bevoegde rechter in [arrondissement]. Bij wijziging van de AVG of van de dienst passen partijen deze overeenkomst in overleg aan; een verduidelijking mag Stilops zonder aankondiging doorvoeren, een inhoudelijke wijziging krijgt een nieuw versienummer en 30 dagen aankondiging.

Bijlage 1 — Verwerkingsoverzicht: art. 2. Bijlage 2 — Beveiligingsmaatregelen: art. 5 en het nalevingsregister. Bijlage 3 — Subverwerkers: de Subverwerkerslijst op https://stilops.com/nalevingsregister/documenten/subverwerkers.

Ondertekening: