Deze pagina legt uit wat wij vooraf vastleggen als æve persoonsgegevens namens jullie verwerkt. Het is een informatiepagina, geen gesloten verwerkersovereenkomst. De overeenkomst en bijlagen worden per opdracht ingevuld en schriftelijk of elektronisch overeengekomen voordat die verwerking begint.
Rollen en toepasselijkheid
Bepalen jullie de doelen en de wezenlijke middelen van een verwerking en handelen wij alleen namens jullie, dan zijn jullie verwerkingsverantwoordelijke en is æve verwerker. Zijn jullie zelf verwerker, dan bepalen wij vooraf of æve als subverwerker wordt ingeschakeld en welke toestemming daarvoor nodig is.
Voor onze eigen contact- en factuuradministratie kan æve zelfstandig verantwoordelijke zijn. Als partijen samen doelen en middelen bepalen, vraagt dat een andere rolverdeling en passende afspraken.
De opdracht en de gegevens
De overeenkomst beschrijft het onderwerp, de duur, de aard en het doel van de verwerking, de soorten persoonsgegevens, de categorieën betrokkenen en jullie rechten en verplichtingen. Toegang, koppelingen en kopieën worden beperkt tot wat voor de opdracht nodig is. Bijzondere persoonsgegevens, strafrechtelijke gegevens en identificatienummers vragen vooraf een aparte beoordeling van wettelijke voorwaarden en maatregelen.
Instructies en eigen gebruik
Wij verwerken uitsluitend op jullie vastgelegde instructies, ook voor internationale doorgifte. Verplicht de wet ons tot verwerking, dan informeren wij jullie vooraf over die plicht, tenzij de wet dat wegens zwaarwegende redenen van algemeen belang verbiedt. Vinden wij een instructie in strijd met gegevensbeschermingsregels, dan melden wij dat onmiddellijk en bespreken wij een rechtmatige uitvoering.
Gegevens die wij als verwerker ontvangen, gebruiken wij alleen voor jullie opdracht. Wij gebruiken ze niet voor eigen doelen, voor andere klanten, voor publicatie of voor het trainen of verfijnen van modellen.
Leveringsvorm en gegevensstromen
Per opdracht leggen wij vast waar gegevens binnenkomen, worden verwerkt, terechtkomen en worden bewaard. Dat geldt voor werk in jullie eigen omgeving, een afgenomen briefing en de inzet van agents. We beschrijven ook beheer op afstand, ondersteuningsgegevens, logs, back-ups en eventuele externe modellen of diensten.
Een systeem op jullie naam of hardware betekent niet automatisch dat alle verwerking lokaal blijft. Alleen de overeengekomen inrichting bepaalt welke toegang of doorgifte is toegestaan. Er is geen algemene toestemming voor nieuwe leveranciers, nieuwe doelen of onbeperkte export.
Vertrouwelijkheid en toegang
Personen die namens æve gegevens mogen verwerken, zijn aan vertrouwelijkheid gebonden of hebben een passende wettelijke geheimhoudingsplicht. Hun toegang is beperkt tot wat hun taak vereist. Ook voor dienstverleners worden passende verplichtingen vastgelegd. Vertrouwelijkheid sluit noodzakelijke, toegestane dienstverleners niet uit.
Beveiliging die bij het werk past
De beveiligingsbijlage beschrijft de werkelijk toegepaste technische en organisatorische maatregelen, passend bij de risico’s. Daarin worden in ieder geval toegangsbeheer, authenticatie, versleuteling waar passend, scheiding van klantomgevingen, logbeheer, herstel, back-ups, wijzigingsbeheer en regelmatige beoordeling van de werking uitgewerkt.
Er wordt alleen een certificering, beschikbaarheidsgarantie of hersteltermijn afgesproken als de betreffende prestatie aantoonbaar geleverd kan worden. Een algemene verwijzing naar passende beveiliging vervangt de concrete bijlage niet.
Subverwerkers
Voor het inschakelen van een subverwerker is jullie voorafgaande specifieke of algemene schriftelijke toestemming nodig. Bij algemene toestemming informeren wij jullie over voorgenomen toevoegingen of vervangingen, zodat jullie daartegen bezwaar kunnen maken vóór inzet. De overeenkomst bepaalt de concrete aankondigingstermijn en hoe een bezwaar wordt opgelost.
Een bijlage noemt de werkelijke juridische entiteit, dienst, werkzaamheden, verwerkingslocaties en eventuele doorgifte per subverwerker. Wij leggen inhoudelijk gelijkwaardige gegevensbeschermingsverplichtingen op. æve blijft tegenover jullie verantwoordelijk voor de nakoming van de verplichtingen van ingeschakelde subverwerkers zoals de AVG dat bepaalt.
Een AI-model van een externe aanbieder is een subverwerker zodra het persoonsgegevens van jullie ontvangt. De bijlage noemt per model de aanbieder, de verwerkingsregio, of en hoe lang de aanbieder invoer bewaart voor misbruikcontrole, en dat de aanbieder de gegevens niet gebruikt om modellen te trainen. Verzending naar een subverwerker uit de bijlage geldt als vooraf toegestaan; andere verzending naar buiten niet. Jullie kunnen ook kiezen voor uitsluitend lokale modellen, met de beperkingen die daarbij horen.
Doorgifte buiten de EER
Verwerking of toegang buiten de Europese Economische Ruimte wordt vooraf beschreven en getoetst aan hoofdstuk V van de AVG. De bijlage noemt landen, ontvangers, de toepasselijke doorgiftegrondslag en eventuele aanvullende maatregelen.
Bij het EU–US Data Privacy Framework controleren wij de exacte Amerikaanse ontvanger, actuele deelname en de dekking van de betreffende verwerking. Als die grondslag niet geldt, worden bijvoorbeeld de toepasselijke Europese standaardcontractbepalingen en een beoordeling van de doorgifte vastgelegd, met aanvullende maatregelen waar nodig.
Datalekken en andere incidenten
Wij melden een datalek aan jullie zonder onnodige vertraging en uiterlijk binnen 48 uur nadat wij ervan kennis hebben genomen, ook als het onderzoek nog loopt. De overeenkomst legt een bereikbaar incidentcontact, eerste meldinformatie, vervolgupdates en medewerking aan onderzoek en herstel vast. Een eerste melding wacht niet op een afgerond onderzoek; ontbrekende informatie kan stapsgewijs volgen.
Als verantwoordelijke beoordelen jullie de melding aan de toezichthouder en betrokkenen; wij helpen daarbij. Gewone ondersteuning binnen een werkdag vervangt geen verplichting om een incident tijdig te behandelen.
Rechten, risicoanalyse en toezicht
Rekening houdend met de aard van de verwerking helpen wij met passende maatregelen bij verzoeken om inzage, correctie, verwijdering, beperking, bezwaar en gegevensoverdracht. Verzoeken die wij rechtstreeks ontvangen, sturen wij volgens de afgesproken procedure door.
Met de informatie waarover wij beschikken, ondersteunen wij jullie bij beveiliging, datalekplichten, een gegevensbeschermingseffectbeoordeling en eventueel voorafgaand overleg met de toezichthouder. Wij tonen naleving eerst aan met documentatie, zoals de ingevulde bijlagen, logboeken en een beschrijving van de maatregelen. Is dat onvoldoende, dan werken wij mee aan een audit door jullie of een onafhankelijke auditor met geheimhoudingsplicht. Een audit wordt ten minste dertig dagen vooraf aangekondigd en vindt ten hoogste eens per jaar plaats, behalve na een datalek, op aanwijzing van een toezichthouder of bij concrete aanwijzingen van een tekortkoming. De redelijke kosten zijn voor jullie, tenzij de audit een wezenlijke tekortkoming aan onze kant vaststelt.
Pauzeren, beëindigen en verwijderen
Een stopfunctie heeft de reikwijdte die wij voor de betreffende verwerking afspreken en testen: bijvoorbeeld nieuwe taken blokkeren en toegang intrekken. Zij draait al uitgevoerde handelingen of berichten bij ontvangers niet automatisch terug en is niet hetzelfde als verwijdering.
Na afloop kiezen jullie voor teruggave of verwijdering van de persoonsgegevens die wij namens jullie verwerken. Wij verwijderen de bestaande kopieën, tenzij Unierecht of Nederlands recht bewaring verplicht. De overeenkomst regelt de termijn, het formaat van teruggave en de behandeling van back-ups, logs en subverwerkers. Back-ups krijgen een vastgelegde, begrensde uitfasering; zij mogen geen achterdeur voor verder gebruik zijn.
Een wis-attest vermeldt welke gegevens en systemen de controle dekte, welke handelingen zijn uitgevoerd en wanneer. Eventuele nog afgeschermde back-ups, wettelijke bewaarplichten of onderdelen buiten onze beheersmacht worden concreet vermeld, inclusief vervolgstap en termijn waar van toepassing. Het attest bevestigt geen verwijdering die wij niet hebben kunnen vaststellen.
De bijlagen die per opdracht worden ingevuld
Vooraf ontvangen en beoordelen beide partijen de overeenkomst met de bijlagen. Open velden over de verwerking worden ingevuld voordat die verwerking begint. De bijlagen noemen de werkelijk ingeschakelde leveranciers en toegepaste maatregelen.
Partijen en rollen: juridische namen, adressen, contactpersonen, bevoegde instructies en incidentcontacten.
Verwerkingsbeschrijving: onderwerp, duur, aard, doel, gegevens, betrokkenen, rechten en verplichtingen en alle gegevensstromen per leveringsvorm.
Beveiliging: concrete maatregelen, verantwoordelijkheden, controlewijze en overeengekomen herstel- en logafspraken.
Leveranciers en doorgifte: entiteiten, diensten, locaties, toestemmingsprocedure en geldige doorgiftewaarborgen.
Uitvoering en einde: hulp bij rechten en audits, incidentprocedure, bewaartermijnen, export, verwijdering, back-ups en onderbouwing van het wis-attest.
Samenhang met de opdracht
De afzonderlijk overeengekomen verwerkersovereenkomst gaat bij tegenstrijdigheid voor op andere contractafspraken voor zover het de verwerking van persoonsgegevens betreft. Dwingend recht en toepasselijke standaardcontractbepalingen behouden hun werking. Contractafspraken beperken geen rechten van betrokkenen of bevoegdheden van toezichthouders. Voor aansprakelijkheid tussen partijen, ook in verband met de verwerking van persoonsgegevens, gelden de grenzen van artikel 13 van de algemene voorwaarden, tenzij de ondertekende verwerkersovereenkomst uitdrukkelijk een andere grens noemt. De voorrang van de verwerkersovereenkomst betreft de afspraken over de verwerking zelf, niet de aansprakelijkheidsgrens.
Voor de conceptovereenkomst bij jullie opdracht kun je contact opnemen via info@aevebeyond.com.
De verwerkersovereenkomst wordt in het Nederlands opgesteld; een Engelse versie is een vertaling. Bij verschil is de Nederlandse versie leidend, tenzij dwingend recht of de standaardcontractbepalingen anders vereisen.
Versie 27 september 2026
§legal · data processing agreement
Data processing arrangements
This page explains what we record in advance when æve processes personal data on your behalf. It is an information page, not a concluded data processing agreement. The agreement and annexes are completed for each engagement and agreed in writing or electronically before that processing starts.
Roles and scope
If you determine the purposes and essential means of processing and we act solely on your behalf, you are the controller and æve is the processor. If you are a processor yourself, we establish in advance whether æve acts as a subprocessor and what authorisation is required.
æve may be a separate controller for its own contact and invoicing records. If the parties jointly determine purposes and means, a different allocation of roles and suitable arrangements are needed.
The engagement and the data
The agreement describes the subject matter, duration, nature and purpose of processing, the types of personal data, categories of data subjects and your rights and obligations. Access, integrations and copies are limited to what the engagement requires. Special-category data, criminal-offence data and identification numbers require a prior assessment of legal conditions and safeguards.
Instructions and independent use
We process data only on your documented instructions, including for international transfers. If the law requires processing, we notify you of that duty in advance unless the law prohibits this on important public-interest grounds. If we consider an instruction contrary to data protection law, we inform you immediately and discuss a lawful way to proceed.
Data we receive as processor is used only for your engagement. We do not use it for our own purposes, for other clients, for publication or to train or fine-tune models.
Delivery method and data flows
For each engagement, we record where data enters, is processed, ends up and is stored. This applies to work in your own environment, a briefing you purchase from us and the use of agents. We also describe remote management, support data, logs, backups and any external models or services.
A system in your name or on your hardware does not automatically mean all processing remains local. Only the agreed configuration determines what access or transfers are permitted. There is no blanket authorisation for new suppliers, new purposes or unrestricted exports.
Confidentiality and access
People authorised to process data on æve’s behalf are bound by confidentiality or an appropriate statutory duty of confidentiality. Their access is limited to what their role requires. Appropriate obligations are also recorded for service providers. Confidentiality does not exclude necessary, authorised service providers.
Security appropriate to the work
The security annex describes the technical and organisational measures actually applied, appropriate to the risks. It addresses at least access control, authentication, encryption where appropriate, separation of client environments, log management, recovery, backups, change management and regular assessment of effectiveness.
A certification, availability guarantee or recovery deadline is agreed only if that performance can demonstrably be delivered. A general reference to appropriate security does not replace the specific annex.
Subprocessors
Engaging a subprocessor requires your prior specific or general written authorisation. Under general authorisation, we notify you of intended additions or replacements so that you can object before they are engaged. The agreement sets the specific notice period and how an objection is resolved.
An annex identifies each subprocessor’s actual legal entity, service, activities, processing locations and any transfers. We impose equivalent substantive data protection obligations. æve remains responsible to you for its subprocessors’ performance of their obligations as required by the GDPR.
An AI model from an external provider is a subprocessor as soon as it receives personal data from you. The annex lists for each model the provider, the processing region, whether and how long the provider retains input for abuse monitoring, and that the provider does not use the data to train models. Sending data to a subprocessor listed in the annex counts as authorised in advance; any other external transfer does not. You may also choose local models only, with the limitations that entails.
Transfers outside the EEA
Processing or access outside the European Economic Area is described in advance and assessed under Chapter V of the GDPR. The annex lists the countries, recipients, applicable transfer basis and any additional safeguards.
For the EU–US Data Privacy Framework, we check the exact US recipient, current participation and coverage of the relevant processing. Where that basis does not apply, arrangements such as the applicable European standard contractual clauses and a transfer assessment are recorded, with additional measures where needed.
Personal data breaches and other incidents
We notify you of a personal data breach without undue delay and in any event within 48 hours after becoming aware of it, even if the investigation is still ongoing. The agreement records a reachable incident contact, initial notification information, updates and cooperation with investigation and remediation. Initial notification does not wait for a completed investigation; missing information may follow in stages.
As controller, you assess notification to the supervisory authority and affected people; we assist you. Ordinary support within a working day does not replace timely incident handling.
Rights, risk assessment and oversight
Taking account of the nature of processing, we assist through appropriate measures with requests for access, rectification, erasure, restriction, objection and data portability. Requests received directly by us are forwarded under the agreed procedure.
Using the information available to us, we assist you with security, breach obligations, a data protection impact assessment and any required prior consultation with the supervisory authority. We first demonstrate compliance through documentation, such as the completed annexes, logs and a description of the measures. If that is insufficient, we cooperate with an audit by you or an independent auditor bound by confidentiality. An audit is announced at least thirty days in advance and takes place at most once a year, except after a personal data breach, at the direction of a supervisory authority or where there are concrete indications of a failure. The reasonable costs are borne by you, unless the audit establishes a material failure on our part.
Pausing, ending and deleting
A stop function has the scope agreed and tested for the processing concerned, such as blocking new tasks and revoking access. It does not automatically reverse actions already performed or messages at recipients, and is not the same as deletion.
At the end, you choose return or deletion of the personal data we process on your behalf. We delete existing copies unless EU or Dutch law requires retention. The agreement governs the deadline, return format and treatment of backups, logs and subprocessors. Backups have a documented, bounded phase-out period; they must not become a back door for continued use.
A deletion certificate identifies the data and systems covered by the checks, the actions performed and when they occurred. Any remaining isolated backups, statutory retention duties or elements outside our control are specifically identified, including follow-up action and timing where applicable. The certificate does not confirm deletion that we could not establish.
Annexes completed for each engagement
Both parties receive and review the agreement and annexes in advance. Open fields concerning the processing are completed before that processing starts. The annexes identify the suppliers actually engaged and the safeguards applied.
Parties and roles: legal names, addresses, contacts, authorised instructions and incident contacts.
Processing description: subject matter, duration, nature, purpose, data, data subjects, rights and obligations, and all data flows for each delivery method.
Security: specific measures, responsibilities, verification and agreed recovery and logging arrangements.
Suppliers and transfers: entities, services, locations, authorisation procedure and valid transfer safeguards.
Operation and termination: assistance with rights and audits, incident procedure, retention, export, deletion, backups and evidence supporting the deletion certificate.
Relationship with the engagement
The separately agreed data processing agreement takes precedence over conflicting contractual terms to the extent they concern processing of personal data. Mandatory law and applicable standard contractual clauses remain effective. Contractual arrangements do not limit data subjects’ rights or supervisory authorities’ powers. Liability between the parties, including in connection with the processing of personal data, is governed by the limits in article 13 of the general terms and conditions, unless the signed data processing agreement expressly states a different limit. The precedence of the data processing agreement concerns the arrangements on processing itself, not the liability limit.
The data processing agreement is drawn up in Dutch; the English version is a translation. If the versions differ, the Dutch version prevails, unless mandatory law or the standard contractual clauses require otherwise.
