Verwerkersovereenkomst conform art. 28 AVG

tussen de gebruiker van de dienst BonusVoice (hierna "Verwerkingsverantwoordelijke") en

Bonus Service BS GmbH Dorotheenstr. 5, 45130 Essen E-mail: info@bonusvoice.de Telefoon: 0201-89083160

(hierna "Verwerker")

§ 1 – Onderwerp en duur van de verwerking

(1) De Verwerker verwerkt persoonsgegevens in opdracht van de Verwerkingsverantwoordelijke in het kader van het gebruik van de dienst BonusVoice (AI-gestuurde transcriptie en samenvatting van audio-opnamen).

(2) De duur van de verwerking komt overeen met de looptijd van de gebruiksovereenkomst. Met de verwijdering van het gebruikersaccount eindigt de verwerking. Persoonsgegevens worden binnen 30 dagen na verwijdering van het account gewist, voor zover er geen wettelijke bewaarplichten bestaan.

§ 2 – Aard en doel van de verwerking

De verwerking omvat de volgende activiteiten:

Opslag van audio-opnamen, transcripties en samenvattingen
AI-verwerking voor transcriptie (spraak-naar-tekst) en samenvatting
Gebruikersbeheer (aanmaken van accounts, authenticatie, organisatielidmaatschap)
E-mailverzending (accountbevestiging, meldingen, verzending van transcripties)
Betalingsverwerking (abonnementsbeheer en facturering)

§ 3 – Soorten persoonsgegevens

De volgende categorieeen gegevens worden verwerkt:

Naam en e-mailadres
Wachtwoord (versleuteld opgeslagen)
Organisatielidmaatschap
Audio-opnamen en daaruit gegenereerde transcripties en samenvattingen
Metadata (titel, beschrijving, duur, taal van de opnamen)
Betalingsgegevens (verwerkt door Stripe, niet door de Verwerker opgeslagen)
Serverloggegevens (IP-adres, browser, tijdstempel)

§ 4 – Categorieeen van betrokkenen

Geregistreerde gebruikers van de dienst
Personen die in audio-opnamen zijn vastgelegd (sprekers)

§ 5 – Verplichtingen van de Verwerker

(1) De Verwerker verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de Verwerkingsverantwoordelijke, tenzij hij op grond van Unierecht of het recht van de lidstaten tot verwerking verplicht is.

(2) De Verwerker waarborgt dat de tot verwerking bevoegde personen zich tot geheimhouding hebben verplicht.

(3) De Verwerker neemt alle conform art. 32 AVG vereiste maatregelen, in het bijzonder:

SSL/TLS-versleuteling van alle gegevensoverdrachten
Versleutelde opslag van alle audiobestanden in de Object Storage
Versleutelde opslag van wachtwoorden
Toegangscontrole en autorisatieconcept
Regelmatige beveiligingsupdates van alle systemen
Serverlocatie uitsluitend in Duitsland en de EU

(4) De Verwerker ondersteunt de Verwerkingsverantwoordelijke bij het nakomen van de verplichtingen uit art. 32 tot 36 AVG.

(5) Na beeindiging van de verwerking wist de Verwerker alle persoonsgegevens, voor zover er geen wettelijke bewaarplicht bestaat.

(6) De Verwerker stelt de Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de naleving van de in art. 28 AVG vastgelegde verplichtingen aan te tonen.

§ 6 – Subverwerkers

(1) De Verwerkingsverantwoordelijke stemt in met de inzet van de hieronder genoemde subverwerkers:

6.1 Hetzner Online GmbH

| | | |---|---| | Doel | Serverhosting en bestandsopslag (Object Storage) | | Adres | Industriestr. 25, 91710 Gunzenhausen, Duitsland | | Serverlocatie | Duitsland | | Verwerkte gegevens | Alle gebruikers- en inhoudsgegevens, audiobestanden, transcripties | | Overeenkomst | Verwerkersovereenkomst conform art. 28 AVG |

6.2 Mistral AI

| | | |---|---| | Doel | AI-verwerking: transcriptie (Voxtral-model) en samenvatting | | Adres | 15 Rue des Halles, 75001 Parijs, Frankrijk | | Serverlocatie | EU (Frankrijk) | | Verwerkte gegevens | Audiobestanden (voor transcriptie), transcripties (voor samenvatting) | | Opmerking | Alle AI-verwerking vindt uitsluitend binnen de EU plaats. Geen gegevensoverdracht naar derde landen. |

6.3 ALL-INKL.COM - Neue Medien Münnich

| | | |---|---| | Doel | E-mailverzending (accountbevestiging, meldingen, verzending van transcripties) | | Adres | Hauptstraße 68, 02742 Friedersdorf, Duitsland | | Serverlocatie | Duitsland | | Verwerkte gegevens | E-mailadres, naam, e-mailinhoud |

6.4 Stripe, Inc.

| | | |---|---| | Doel | Betalingsverwerking (creditcards, SEPA, abonnementsbeheer) | | Adres | 354 Oyster Point Blvd, South San Francisco, CA 94080, USA | | Gegevensverwerking | EU (Stripe verwerkt Europese betalingsgegevens in de EU) | | Verwerkte gegevens | Betalingsinformatie (creditcardgegevens, SEPA-gegevens). Deze worden uitsluitend door Stripe verwerkt en niet door de Verwerker opgeslagen. | | Opmerking | Stripe is uitsluitend verantwoordelijk voor de betalingsverwerking. Er worden geen audio-, transcriptie- of inhoudsgegevens aan Stripe doorgegeven. | | Garanties | EU-US Data Privacy Framework, standaardcontractbepalingen (SCC) |

6.5 Google Ireland Limited (optioneel)

| | | |---|---| | Doel | Authenticatie (Google OAuth 2.0) — alleen als de gebruiker actief kiest voor aanmelding met Google | | Adres | Gordon House, Barrow Street, Dublin 4, Ierland | | Gegevensverwerking | EU (Ierland) | | Verwerkte gegevens | Naam en e-mailadres van de gebruiker (uitsluitend voor accountidentificatie) | | Opmerking | Google OAuth is volledig optioneel. Gebruikers kunnen op elk moment inloggen via e-mail/wachtwoord of Magic Link. Er worden geen audio-opnamen, transcripties, samenvattingen of andere inhoudsgegevens aan Google doorgegeven. | | Garanties | EU-US Data Privacy Framework, standaardcontractbepalingen (SCC) |

(2) De Verwerker zal de Verwerkingsverantwoordelijke informeren over elke voorgenomen wijziging met betrekking tot het inschakelen of vervangen van subverwerkers. De Verwerkingsverantwoordelijke kan bezwaar maken tegen dergelijke wijzigingen.

§ 7 – Doorgifte naar derde landen

(1) Een doorgifte van persoonsgegevens naar derde landen (buiten de EER) vindt in principe niet plaats.

(2) Uitzonderingen:

Stripe (betalingsverwerking): Stripe, Inc. is gevestigd in de VS, maar verwerkt Europese gegevens in de EU. Voor de gegevensoverdracht gelden het EU-US Data Privacy Framework en standaardcontractbepalingen.
Google (alleen bij Google OAuth): Google Ireland Limited verwerkt gegevens in de EU. Alleen bij actieve keuze van de gebruiker voor Google-aanmelding.

(3) De AI-verwerking (transcriptie en samenvatting) en de opslag van alle inhouds- en gebruikersgegevens vindt uitsluitend in Duitsland en de EU plaats.

§ 8 – Rechten van betrokkenen

De Verwerker ondersteunt de Verwerkingsverantwoordelijke bij het nakomen van de rechten van betrokkenen conform art. 12-22 AVG, in het bijzonder:

Recht van inzage (art. 15 AVG)
Recht op rectificatie (art. 16 AVG)
Recht op wissing (art. 17 AVG)
Recht op beperking van de verwerking (art. 18 AVG)
Recht op overdraagbaarheid van gegevens (art. 20 AVG)

Gebruikers kunnen hun gegevens op elk moment via hun gebruikersaccount inzien, exporteren en verwijderen.

§ 9 – Meldingsplicht bij datalekken

De Verwerker informeert de Verwerkingsverantwoordelijke onverwijld, uiterlijk binnen 48 uur, over elke inbreuk in verband met persoonsgegevens conform art. 33 AVG.

§ 10 – Controlerechten

(1) De Verwerkingsverantwoordelijke heeft het recht om de naleving van deze overeenkomst op passende wijze te controleren.

(2) De Verwerker stelt de Verwerkingsverantwoordelijke op verzoek alle benodigde informatie ter beschikking en maakt controles, inclusief inspecties, mogelijk.

§ 11 – Looptijd en beeindiging

Deze overeenkomst geldt voor de duur van het gebruik van de dienst BonusVoice. Zij treedt in werking bij de registratie en eindigt met de verwijdering van het gebruikersaccount.

§ 12 – Slotbepalingen

(1) Indien afzonderlijke bepalingen van deze overeenkomst ongeldig zijn, blijft de geldigheid van de overige bepalingen onverminderd van kracht.

(2) Het recht van de Bondsrepubliek Duitsland is van toepassing.

(3) De bevoegde rechtbank is Essen.

Stand: Maart 2026

Contact voor vragen over gegevensbescherming: info@bonusvoice.de