Verwerkersovereenkomst Codi

Versie: 1.0  ·  Laatst bijgewerkt: 6 augustus 2026

Dit is de tekst zoals wij die aanbieden aan organisaties die geen eigen model voorschrijven. Schrijft jouw organisatie wél een eigen model voor — het Rijk hanteert ARBIT-2022, gemeenten het VNG-model — dan tekenen we dat model, en dienen de bijlagen hieronder als onderlegger. Een ondertekenbare versie leveren wij per klant aan.

Artikel 1 — Definities

Begrippen uit de AVG hebben in deze overeenkomst de betekenis die de AVG daaraan geeft. Aanvullend geldt: Codi is het multi-tenant SaaS-platform van Platform Codi; Content zijn de gegevens, documenten, zoekopdrachten en prompts die door of namens Opdrachtgever in Codi worden verwerkt; een Subverwerker is een door Platform Codi ingeschakelde derde die persoonsgegevens verwerkt ten behoeve van Opdrachtgever.

Artikel 2 — Onderwerp en rolverdeling

1. Platform Codi verwerkt persoonsgegevens uitsluitend ten behoeve van Opdrachtgever en op diens schriftelijke instructie. Opdrachtgever is verwerkingsverantwoordelijke; Platform Codi is verwerker.
2. De aard, het doel, de categorieën betrokkenen en de categorieën persoonsgegevens zijn beschreven in Bijlage 1.
3. Platform Codi verwerkt de persoonsgegevens niet voor eigen doeleinden. In het bijzonder gebruikt Platform Codi de Content niet voor het trainen van AI-modellen.
4. Voor de accountadministratie, de beveiligingslogging en de openbare bronnen die Platform Codi zelf verzamelt, is Platform Codi zelfstandig verwerkingsverantwoordelijke. Die verwerkingen vallen buiten deze overeenkomst en zijn beschreven in het Privacy Statement.
5. Opdrachtgever staat ervoor in dat hij een grondslag heeft voor de verwerking en dat zijn instructies niet in strijd zijn met de AVG. Platform Codi meldt het onverwijld wanneer een instructie naar haar oordeel in strijd is met de AVG.

Artikel 3 — Reikwijdte van de gegevens

1. Codi is geschikt voor de verwerking van gegevens tot en met classificatieniveau Vertrouwelijk.
2. Gegevens die door Opdrachtgever zijn geclassificeerd als Zeer vertrouwelijk worden niet in Codi verwerkt. Afwijking hiervan vereist voorafgaande schriftelijke overeenstemming tussen Partijen.
3. Platform Codi voert geen geautomatiseerde classificatietoets uit op aangeleverde Content en monitort de naleving daarvan niet. Bij het uploaden krijgt de Gebruiker een waarschuwing te zien die aangeeft welke documenttypen zijn toegestaan; de tekst daarvan wordt per Opdrachtgever ingericht.
4. Verwerking van bijzondere categorieën persoonsgegevens is niet voorzien. Is Opdrachtgever voornemens dergelijke gegevens te verwerken, dan treden Partijen daarover vooraf in overleg en leggen zij de uitkomst schriftelijk vast.

Artikel 4 — Geheimhouding

1. Platform Codi houdt de persoonsgegevens geheim en verstrekt deze niet aan derden, tenzij op grond van deze overeenkomst, op instructie van Opdrachtgever of op grond van een wettelijke verplichting.
2. Wordt Platform Codi op grond van een wettelijke verplichting of een bevel van een autoriteit gehouden gegevens te verstrekken, dan informeert zij Opdrachtgever daarover vooraf, tenzij het recht dat verbiedt. Platform Codi verstrekt in dat geval niet meer dan strikt noodzakelijk.
3. Platform Codi verplicht haar medewerkers en ingeschakelde derden tot geheimhouding en verleent toegang uitsluitend op basis van need-to-know.

Artikel 5 — Beveiliging

1. Platform Codi treft passende technische en organisatorische maatregelen conform artikel 32 AVG. De maatregelen zijn beschreven in Bijlage 2.
2. Platform Codi hanteert een managementsysteem voor informatiebeveiliging dat is ingericht volgens ISO 27001 en houdt daarbij rekening met de BIO2.
3. Platform Codi evalueert de maatregelen periodiek en past ze aan wanneer de stand van de techniek of de aard van de verwerking daartoe aanleiding geeft. Maatregelen worden niet verminderd zonder gelijkwaardig alternatief.

Artikel 6 — Subverwerkers

1. Opdrachtgever verleent Platform Codi algemene toestemming voor het inschakelen van de subverwerkers genoemd in Bijlage 3.
2. Platform Codi legt aan iedere subverwerker ten minste dezelfde verplichtingen op als in deze overeenkomst zijn opgenomen, en blijft jegens Opdrachtgever aansprakelijk voor hun handelen.
3. Platform Codi informeert Opdrachtgever ten minste dertig dagen vooraf schriftelijk over het voornemen een subverwerker toe te voegen of te vervangen.
4. Opdrachtgever kan binnen veertien dagen na die mededeling gemotiveerd bezwaar maken op zwaarwegende, aan de gegevensbescherming ontleende gronden. Partijen treden dan in overleg. Komen zij er niet uit, dan mag Opdrachtgever de Overeenkomst tegen de ingangsdatum van de wijziging kosteloos beëindigen voor het deel dat de betreffende verwerking raakt.
5. De keuze voor het AI-taalmodel wordt door Opdrachtgever gemaakt bij implementatie en vastgelegd in Bijlage 3. Een wijziging daarvan is een wijziging in de zin van lid 3.

Artikel 7 — Doorgifte buiten de EER

1. Platform Codi verwerkt de persoonsgegevens binnen de Europese Economische Ruimte, met uitzondering van het geval waarin Opdrachtgever kiest voor een AI-taalmodel dat buiten de EER wordt gehost.
2. Kiest Opdrachtgever een dergelijk model, dan worden prompts en documentfragmenten naar dat model doorgegeven. Die doorgifte vindt plaats op basis van de modelcontractbepalingen die zijn opgenomen in de verwerkersovereenkomst met de betreffende leverancier.
3. Platform Codi brengt de keuze en de daaraan verbonden risico's bij implementatie expliciet in beeld en adviseert daarover. De afweging en het besluit liggen bij Opdrachtgever en worden vastgelegd in Bijlage 3.
4. Kiest Opdrachtgever voor een EU-model, dan blijft de gehele verwerkingsketen binnen de EER.

Artikel 8 — Rechten van betrokkenen

1. Platform Codi verleent Opdrachtgever redelijke medewerking bij het afhandelen van verzoeken van betrokkenen op grond van de artikelen 15 tot en met 22 AVG.
2. Ontvangt Platform Codi rechtstreeks een verzoek van een betrokkene, dan verwijst zij die door naar Opdrachtgever en informeert zij Opdrachtgever daarover binnen vijf werkdagen.
3. Voor gegevens die zijn verwerkt door een extern AI-taalmodel is Platform Codi voor de uitvoering van deze rechten afhankelijk van hetgeen de betreffende leverancier in zijn verwerkersovereenkomst toezegt. Platform Codi maakt dit bij implementatie inzichtelijk.
4. Medewerking die de gebruikelijke inspanning te boven gaat kan tegen de geldende tarieven in rekening worden gebracht, na voorafgaande afstemming.

Artikel 9 — Persoonsgegevensincidenten

1. Platform Codi informeert Opdrachtgever over een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat zij daarvan kennis heeft genomen.
2. Schrijft Opdrachtgever een kortere meldtermijn voor in een eigen modelverwerkersovereenkomst, dan geldt die termijn.
3. De melding bevat ten minste:
   1. datum en tijdstip van constatering, en voor zover bekend het moment waarop de inbreuk plaatsvond en of deze nog voortduurt;
   2. de aard en omvang van de inbreuk en de vermoedelijke oorzaak;
   3. de categorieën en het geschatte aantal betrokkenen en persoonsgegevens, met vermelding of het om kwetsbare groepen gaat;
   4. of de betrokken gegevens versleuteld of anderszins onleesbaar waren gemaakt;
   5. de waarschijnlijke gevolgen;
   6. de getroffen en voorgenomen maatregelen, waaronder maatregelen om de nadelige gevolgen te beperken, en de verwachte hersteltijd of workaround;
   7. of derden, waaronder toezichthouders of media, bekend zijn met de inbreuk;
   8. de contactgegevens voor nadere informatie.
   Is niet alles direct bekend, dan verstrekt Platform Codi de informatie zonder onredelijke vertraging in stappen.
4. Platform Codi houdt Opdrachtgever ook na de eerste melding op de hoogte van de ontwikkelingen rond de inbreuk.
5. De melding aan de Autoriteit Persoonsgegevens en, waar van toepassing, aan betrokkenen, wordt gedaan door Opdrachtgever. Platform Codi levert de informatie die Opdrachtgever daarvoor nodig heeft, tijdig genoeg om de termijn van 72 uur uit artikel 33 AVG te halen.
6. Elke partij draagt de eigen kosten die samenhangen met de melding aan de toezichthouder en aan betrokkenen.
7. Platform Codi registreert alle inbreuken en de getroffen maatregelen, en stelt die registratie op verzoek aan Opdrachtgever beschikbaar.
8. Meldingen verlopen via de contactpersonen in Bijlage 1 en via ciso@platformcodi.nl.

Artikel 10 — Audit

1. Platform Codi stelt Opdrachtgever de informatie ter beschikking die nodig is om de naleving van artikel 28 AVG aan te tonen.
2. Platform Codi voldoet aan deze verplichting in beginsel door het overleggen van:
   1. een geldig ISO 27001-certificaat of een gelijkwaardige verklaring van een onafhankelijke deskundige;
   2. een beschrijving van de getroffen maatregelen zoals opgenomen in Bijlage 2;
   3. de relevante gegevens uit haar verwerkingsregister.
3. Blijkt daaruit onvoldoende, of is er een concrete aanleiding, dan kan Opdrachtgever eenmaal per kalenderjaar een audit laten uitvoeren door een onafhankelijke, gecertificeerde auditor die aan geheimhouding is gebonden. Opdrachtgever kondigt die ten minste dertig dagen vooraf aan.
4. De kosten van een dergelijke audit komen voor rekening van Opdrachtgever, tenzij uit de audit blijkt dat Platform Codi tekortschiet in de naleving van deze overeenkomst.
5. Platform Codi voert vastgestelde tekortkomingen zo spoedig mogelijk door en informeert Opdrachtgever over de voortgang.

Artikel 11 — Aansprakelijkheid

1. Op de aansprakelijkheid onder deze overeenkomst is het regime uit artikel 11 van de Algemene Voorwaarden van toepassing. Het daarin bedoelde maximum geldt eveneens voor schade die voortvloeit uit een tekortkoming in deze Verwerkersovereenkomst; er geldt geen afzonderlijk plafond.
2. Iedere partij is zelf verantwoordelijk voor de boetes die haar door een toezichthouder worden opgelegd wegens haar eigen tekortkoming.
3. Partijen vrijwaren elkaar voor aanspraken van derden die voortvloeien uit een tekortkoming die aan de andere partij is toe te rekenen.

Artikel 12 — Duur, beëindiging en teruggave

1. Deze overeenkomst geldt zolang Platform Codi persoonsgegevens verwerkt ten behoeve van Opdrachtgever, en eindigt gelijktijdig met de Overeenkomst.
2. Bij het einde stelt Platform Codi Opdrachtgever in staat de Content te exporteren in een gangbaar, machineleesbaar formaat. Opdrachtgever heeft daarvoor 30 dagen na het einde van de Overeenkomst.
3. Na afloop van die termijn verwijdert Platform Codi de persoonsgegevens uit de productieomgeving binnen 30 dagen, tenzij een wettelijke bewaarplicht zich daartegen verzet. Verwijdering van geüploade bestanden vindt plaats door vernietiging van de encryptiesleutel.
4. Uit back-ups verdwijnen de gegevens zodra de back-upretentie is verstreken. Die retentie is opgenomen in Bijlage 1. Gedurende die periode blijven de verplichtingen uit deze overeenkomst onverkort van toepassing op die back-ups.
5. Platform Codi bevestigt de verwijdering schriftelijk op verzoek van Opdrachtgever.

Artikel 13 — Slotbepalingen

1. Bij strijdigheid tussen deze overeenkomst en de overige contractdocumenten prevaleert deze overeenkomst voor zover het de verwerking van persoonsgegevens betreft.
2. Wijzigingen zijn alleen geldig indien schriftelijk overeengekomen. Wijzigingen die voortvloeien uit gewijzigde wet- of regelgeving voert Platform Codi door na voorafgaande kennisgeving.
3. Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Midden-Nederland.

Bijlage 1 — Overzicht van de verwerking

Onderwerp. Het leveren van het Codi-platform, waarmee Gebruikers van Opdrachtgever documenten kunnen doorzoeken, analyseren en bevragen met behulp van AI.

Aard van de verwerking. Vastleggen, opslaan, structureren, doorzoeken, raadplegen, verstrekken aan het gekozen AI-taalmodel, en wissen.

Duur. De looptijd van de Overeenkomst, plus de termijnen uit deze bijlage.

Doeleinden. Het leveren van de dienst; beveiliging en incidentdetectie; het beschikbaar en herstelbaar houden van het platform.

Bewaartermijnen.

Contactpersonen. Privacy en compliance: ciso@platformcodi.nl. Beveiligingsincidenten: ciso@platformcodi.nl. Operationeel: support@platformcodi.nl. De contactpersonen van Opdrachtgever worden bij het sluiten van de overeenkomst ingevuld.

Platform Codi heeft geen Functionaris Gegevensbescherming aangesteld; op grond van artikel 37 AVG is zij daartoe niet verplicht. Compliance vervult de rol van privacy-aanspreekpunt.

Bijlage 2 — Beveiligingsmaatregelen

Identiteit en toegang. Single sign-on via Microsoft Entra ID, of inloggen met een wachtwoord dat gehasht wordt opgeslagen. Opdrachtgever kan single sign-on verplicht stellen voor de gehele organisatie, waarmee ook de MFA-eisen van zijn eigen Entra-omgeving gelden. Multi-factor authenticatie is verplicht op de beheer- en bedrijfsomgevingen van Platform Codi; voor klantaccounts met een wachtwoord wordt MFA in de loop van 2026 uitgerold. Toegang verloopt op basis van rollen en least privilege en wordt bij uitdiensttreding direct ingetrokken.

Encryptie. Al het verkeer verloopt via TLS 1.2 of hoger. Geüploade documenten worden vóór opslag per bestand versleuteld met AES-256-GCM; de bestandssleutel wordt zelf versleuteld met een hoofdsleutel die wordt beheerd in HashiCorp Vault en staat nooit onversleuteld in de opslag. Database-back-ups worden op dezelfde wijze versleuteld voordat zij de omgeving verlaten. Sleutels worden minimaal jaarlijks geroteerd en bij een vermoeden van compromittering direct vervangen. Verwijdering vindt plaats door vernietiging van de sleutel.

Scheiding. Codi is multi-tenant met logische scheiding tussen omgevingen van verschillende Opdrachtgevers. Staging en productie zijn gescheiden; de stagingomgeving is niet toegankelijk voor klanten.

Applicatiebeveiliging. Iedere codewijziging wordt gereviewd en automatisch gescand op kwetsbaarheden, hardcoded secrets, kwetsbare dependencies en onveilige infrastructuurconfiguratie. Een bevinding met de hoogste ernstgraad blokkeert de release. Platform Codi hanteert een responsible-disclosure-beleid.

Operationele beveiliging. De beschikbaarheid van het platform wordt doorlopend geautomatiseerd gemonitord met alerting. Logging bevat nooit de inhoud van geüploade documenten. Incidenten volgen een vastgelegd proces met reactietermijnen. Er worden dagelijks back-ups gemaakt; het herstelproces wordt periodiek getoetst.

Leveranciersbeheer. Subverwerkers worden vóór ingebruikname beoordeeld op beveiliging, certificering en verwerkersovereenkomst, staan in een leveranciersregister en worden periodiek herbeoordeeld.

Menselijke toegang. Toegang tot productiegegevens is beperkt tot een klein aantal beheerders, uitsluitend wanneer dat nodig is voor beheer of incidentafhandeling, en wordt gelogd.

Bijlage 3 — Subverwerkers

Vaste keten — altijd betrokken:

AI-taalmodel — Opdrachtgever kiest er één. De keuze wordt bij implementatie vastgelegd:

Laatst bijgewerkt: 6 augustus 2026 · Platform Codi B.V. · KvK 84619201