Verwerkersovereenkomst Codi

Versie: 1.0  ·  Laatst bijgewerkt: 2 oktober 2026

Deze overeenkomst wordt als voorbeeld gepubliceerd. De per Opdrachtgever ondertekende overeenkomst is leidend.

Verhouding tot ARBIT-2022 en het VNG-model. Dit is de eigen standaard van Platform Codi, bedoeld voor klanten die geen eigen model voorschrijven. De structuur volgt die van de ARBIT-2022 modelverwerkersovereenkomst, zodat toewijzing naar zowel ARBIT als het VNG-model eenvoudig blijft. Schrijft een klant zijn eigen model voor (het Rijk doet dat met ARBIT-2022, gemeenten met de Standaard Verwerkersovereenkomst Gemeenten van de IBD), dan tekent Platform Codi dat model en dient dit document als onderlegger voor de bijlagen. De Onderlegger klantmodellen bevat de invulling in de veldindeling van beide modellen.

Standaardpakket. Bij een verwerkersovereenkomst stuurt Platform Codi standaard het ISO 27001-certificaat en de Verklaring van Toepasselijkheid mee, naast deze overeenkomst of de invulling van het klantmodel.

Partijen

Verwerkingsverantwoordelijke: de organisatie die met Platform Codi de Overeenkomst sluit, hierna Opdrachtgever. De naam en het adres van Opdrachtgever worden bij ondertekening ingevuld.

Verwerker: Platform Codi B.V., Utrechtseweg 9, 3704 HA Zeist, KvK 84619201, hierna Platform Codi.

Deze Verwerkersovereenkomst maakt onlosmakelijk deel uit van de Overeenkomst tussen Partijen over het gebruik van Codi en treedt in werking op hetzelfde moment.

Artikel 1 — Definities

Begrippen uit de AVG hebben in deze overeenkomst de betekenis die de AVG daaraan geeft. Aanvullend geldt:

• Codi: het multi-tenant SaaS-platform van Platform Codi.
• Content: de gegevens, documenten, zoekopdrachten en prompts die door of namens Opdrachtgever in Codi worden verwerkt.
• Subverwerker: een door Platform Codi ingeschakelde derde die persoonsgegevens verwerkt ten behoeve van Opdrachtgever.

Artikel 2 — Onderwerp en rolverdeling

1. Platform Codi verwerkt persoonsgegevens uitsluitend ten behoeve van Opdrachtgever en op diens schriftelijke instructie. Opdrachtgever is verwerkingsverantwoordelijke; Platform Codi is verwerker.
2. De aard, het doel, de categorieën betrokkenen en de categorieën persoonsgegevens zijn beschreven in Bijlage 1.
3. Platform Codi verwerkt de persoonsgegevens niet voor eigen doeleinden. In het bijzonder gebruikt Platform Codi de Content niet voor het trainen van AI-modellen.
4. Voor de accountadministratie, de beveiligingslogging en de openbare bronnen die Platform Codi zelf verzamelt, is Platform Codi zelfstandig verwerkingsverantwoordelijke. Die verwerkingen vallen buiten deze overeenkomst en zijn beschreven in het Privacy Statement.
5. Opdrachtgever staat ervoor in dat hij een grondslag heeft voor de verwerking en dat zijn instructies niet in strijd zijn met de AVG. Platform Codi meldt het onverwijld wanneer een instructie naar haar oordeel in strijd is met de AVG.

Artikel 3 — Reikwijdte van de gegevens

1. Codi is geschikt voor de verwerking van gegevens tot en met classificatieniveau Vertrouwelijk.
2. Gegevens die door Opdrachtgever zijn geclassificeerd als Zeer vertrouwelijk worden niet in Codi verwerkt. Afwijking hiervan vereist voorafgaande schriftelijke overeenstemming tussen Partijen.
3. Platform Codi voert geen geautomatiseerde classificatietoets uit op aangeleverde Content en monitort de naleving daarvan niet. Bij het uploaden krijgt de Gebruiker een waarschuwing te zien die aangeeft welke documenttypen zijn toegestaan; de tekst daarvan wordt per Opdrachtgever ingericht.
4. Verwerking van bijzondere categorieën persoonsgegevens is niet voorzien. Is Opdrachtgever voornemens dergelijke gegevens te verwerken, dan treden Partijen daarover vooraf in overleg en leggen zij de uitkomst schriftelijk vast.

Artikel 4 — Geheimhouding

1. Platform Codi houdt de persoonsgegevens geheim en verstrekt deze niet aan derden, tenzij op grond van deze overeenkomst, op instructie van Opdrachtgever of op grond van een wettelijke verplichting.
2. Wordt Platform Codi op grond van een wettelijke verplichting of een bevel van een autoriteit gehouden gegevens te verstrekken, dan informeert zij Opdrachtgever daarover vooraf, tenzij het recht dat verbiedt. Platform Codi verstrekt in dat geval niet meer dan strikt noodzakelijk.
3. Platform Codi verplicht haar medewerkers en ingeschakelde derden tot geheimhouding en verleent toegang uitsluitend op basis van need-to-know.

Artikel 5 — Beveiliging

1. Platform Codi treft passende technische en organisatorische maatregelen conform artikel 32 AVG. De maatregelen zijn beschreven in Bijlage 2.
2. Platform Codi hanteert een managementsysteem voor informatiebeveiliging dat is gecertificeerd volgens ISO/IEC 27001:2022 en houdt daarbij rekening met de BIO2. Het normenkader en het certificaat zijn beschreven in Bijlage 2.
3. Platform Codi evalueert de maatregelen periodiek en past ze aan wanneer de stand van de techniek of de aard van de verwerking daartoe aanleiding geeft. Maatregelen worden niet verminderd zonder gelijkwaardig alternatief.

Artikel 6 — Subverwerkers

1. Opdrachtgever verleent Platform Codi algemene toestemming voor het inschakelen van de subverwerkers genoemd in Bijlage 3.
2. Platform Codi legt aan iedere subverwerker ten minste dezelfde verplichtingen op als in deze overeenkomst zijn opgenomen, en blijft jegens Opdrachtgever aansprakelijk voor hun handelen.
3. Platform Codi informeert Opdrachtgever ten minste dertig dagen vooraf schriftelijk over het voornemen een subverwerker toe te voegen of te vervangen.
4. Opdrachtgever kan binnen veertien dagen na die mededeling gemotiveerd bezwaar maken op zwaarwegende, aan de gegevensbescherming ontleende gronden. Partijen treden dan in overleg. Komen zij er niet uit, dan mag Opdrachtgever de Overeenkomst tegen de ingangsdatum van de wijziging kosteloos beëindigen voor het deel dat de betreffende verwerking raakt.
5. De keuze voor het AI-taalmodel wordt door Opdrachtgever gemaakt bij implementatie en vastgelegd in Bijlage 3. Een wijziging daarvan is een wijziging in de zin van lid 3.

Artikel 7 — Doorgifte buiten de EER

1. Platform Codi verwerkt de persoonsgegevens binnen de Europese Economische Ruimte, met uitzondering van het geval waarin Opdrachtgever kiest voor een AI-taalmodel dat buiten de EER wordt gehost, en onverminderd het vierde lid.
2. Kiest Opdrachtgever een dergelijk model, dan worden prompts en documentfragmenten naar dat model doorgegeven. Die doorgifte vindt plaats op basis van de modelcontractbepalingen die zijn opgenomen in de verwerkersovereenkomst met de betreffende leverancier.
3. Platform Codi brengt de keuze en de daaraan verbonden risico's bij implementatie expliciet in beeld en adviseert daarover. De afweging en het besluit liggen bij Opdrachtgever en worden vastgelegd in Bijlage 3.
4. Kiest Opdrachtgever voor een EU-model, dan vindt de verwerking door het taalmodel plaats in de EU. Leveranciers in de keten kunnen voor ondersteuning en beheer eigen subverwerkers inzetten die buiten de EER zijn gevestigd. Dat gebeurt onder de waarborgen voor doorgifte in de verwerkersovereenkomst met die leverancier. Bijlage 3 vermeldt per subverwerker de verwerkingslocatie.

Artikel 8 — Rechten van betrokkenen

1. Platform Codi verleent Opdrachtgever redelijke medewerking bij het afhandelen van verzoeken van betrokkenen op grond van de artikelen 15 tot en met 22 AVG.
2. Ontvangt Platform Codi rechtstreeks een verzoek van een betrokkene, dan verwijst zij die door naar Opdrachtgever en informeert zij Opdrachtgever daarover binnen vijf werkdagen.
3. Voor gegevens die zijn verwerkt door een extern AI-taalmodel is Platform Codi voor de uitvoering van deze rechten afhankelijk van hetgeen de betreffende leverancier in zijn verwerkersovereenkomst toezegt. Platform Codi maakt dit bij implementatie inzichtelijk.
4. Medewerking die de gebruikelijke inspanning te boven gaat kan tegen de geldende tarieven in rekening worden gebracht, na voorafgaande afstemming.

Artikel 9 — Persoonsgegevensincidenten

1. Platform Codi informeert Opdrachtgever over een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat zij daarvan kennis heeft genomen.
2. Schrijft Opdrachtgever een kortere meldtermijn voor in een eigen modelverwerkersovereenkomst, dan geldt die termijn.
3. De melding bevat ten minste:
   1. datum en tijdstip van constatering, en voor zover bekend het moment waarop de inbreuk plaatsvond en of deze nog voortduurt;
   2. de aard en omvang van de inbreuk en de vermoedelijke oorzaak;
   3. de categorieën en het geschatte aantal betrokkenen en persoonsgegevens, met vermelding of het om kwetsbare groepen gaat;
   4. of de betrokken gegevens versleuteld of anderszins onleesbaar waren gemaakt;
   5. de waarschijnlijke gevolgen;
   6. de getroffen en voorgenomen maatregelen, waaronder maatregelen om de nadelige gevolgen te beperken, en de verwachte hersteltijd of workaround;
   7. of derden, waaronder toezichthouders of media, bekend zijn met de inbreuk;
   8. de contactgegevens voor nadere informatie.
   Is niet alles direct bekend, dan verstrekt Platform Codi de informatie zonder onredelijke vertraging in stappen.
4. Platform Codi houdt Opdrachtgever ook na de eerste melding op de hoogte van de ontwikkelingen rond de inbreuk.
5. De melding aan de Autoriteit Persoonsgegevens en, waar van toepassing, aan betrokkenen, wordt gedaan door Opdrachtgever. Platform Codi levert de informatie die Opdrachtgever daarvoor nodig heeft, tijdig genoeg om de termijn van 72 uur uit artikel 33 AVG te halen.
6. Elke partij draagt de eigen kosten die samenhangen met de melding aan de toezichthouder en aan betrokkenen.
7. Platform Codi registreert alle inbreuken en de getroffen maatregelen, en stelt die registratie op verzoek aan Opdrachtgever beschikbaar.
8. Meldingen verlopen via de contactpersonen in Bijlage 1 en via ciso@platformcodi.nl.

Artikel 10 — Audit

1. Platform Codi stelt Opdrachtgever de informatie ter beschikking die nodig is om de naleving van artikel 28 AVG aan te tonen.
2. Platform Codi voldoet aan deze verplichting in beginsel door het overleggen van:
   1. een geldig ISO 27001-certificaat of een gelijkwaardige verklaring van een onafhankelijke deskundige;
   2. een beschrijving van de getroffen maatregelen zoals opgenomen in Bijlage 2;
   3. de relevante gegevens uit haar verwerkingsregister.
3. Blijkt daaruit onvoldoende, of is er een concrete aanleiding, dan kan Opdrachtgever eenmaal per kalenderjaar een audit laten uitvoeren door een onafhankelijke, gecertificeerde auditor die aan geheimhouding is gebonden. Opdrachtgever kondigt die ten minste dertig dagen vooraf aan.
4. De kosten van een dergelijke audit komen voor rekening van Opdrachtgever, tenzij uit de audit blijkt dat Platform Codi tekortschiet in de naleving van deze overeenkomst.
5. Platform Codi voert vastgestelde tekortkomingen zo spoedig mogelijk door en informeert Opdrachtgever over de voortgang.

Artikel 11 — Aansprakelijkheid

1. Op de aansprakelijkheid onder deze overeenkomst is het regime uit artikel 11 van de Algemene Voorwaarden van toepassing. Het daarin bedoelde maximum geldt eveneens voor schade die voortvloeit uit een tekortkoming in deze Verwerkersovereenkomst; er geldt geen afzonderlijk plafond.
2. Iedere partij is zelf verantwoordelijk voor de boetes die haar door een toezichthouder worden opgelegd wegens haar eigen tekortkoming.
3. Partijen vrijwaren elkaar voor aanspraken van derden die voortvloeien uit een tekortkoming die aan de andere partij is toe te rekenen.

Artikel 12 — Duur, beëindiging en teruggave

1. Deze overeenkomst geldt zolang Platform Codi persoonsgegevens verwerkt ten behoeve van Opdrachtgever, en eindigt gelijktijdig met de Overeenkomst.
2. Bij het einde stelt Platform Codi Opdrachtgever in staat de Content te exporteren in een gangbaar, machineleesbaar formaat. Opdrachtgever heeft daarvoor 30 dagen na het einde van de Overeenkomst.
3. Na afloop van die termijn verwijdert Platform Codi de persoonsgegevens uit de productieomgeving binnen 30 dagen, tenzij een wettelijke bewaarplicht zich daartegen verzet. Verwijdering van geüploade bestanden vindt plaats door vernietiging van de encryptiesleutel.
4. Uit back-ups verdwijnen de gegevens zodra de back-upretentie is verstreken. Die retentie is opgenomen in Bijlage 1. Gedurende die periode blijven de verplichtingen uit deze overeenkomst onverkort van toepassing op die back-ups.
5. Platform Codi bevestigt de verwijdering schriftelijk op verzoek van Opdrachtgever.

Lid 4 is bewust expliciet geformuleerd. Verwijdering door vernietiging van de encryptiesleutel maakt een bestand direct onleesbaar in de productieomgeving, maar een back-up van vóór die verwijdering bevat de sleutel nog. Zolang die back-up binnen de retentietermijn valt, blijven de verplichtingen uit deze overeenkomst daarop van toepassing.

Artikel 13 — Slotbepalingen

1. Bij strijdigheid tussen deze overeenkomst en de overige contractdocumenten prevaleert deze overeenkomst voor zover het de verwerking van persoonsgegevens betreft.
2. Wijzigingen zijn alleen geldig indien schriftelijk overeengekomen. Wijzigingen die voortvloeien uit gewijzigde wet- of regelgeving voert Platform Codi door na voorafgaande kennisgeving.
3. Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Midden-Nederland.

Bijlage 1 — Overzicht van de verwerking

Onderwerp. Het leveren van het Codi-platform, waarmee Gebruikers van Opdrachtgever documenten kunnen doorzoeken, analyseren en bevragen met behulp van AI.

Aard van de verwerking. Vastleggen, opslaan, structureren, doorzoeken, raadplegen, verstrekken aan het gekozen AI-taalmodel, en wissen; en het namens Opdrachtgever verzenden van e-mailberichten aan haar Gebruikers, waarbij Opdrachtgever de inhoud en de ontvangers bepaalt.

Duur. De looptijd van de Overeenkomst, plus de termijnen uit deze bijlage.

Bewaartermijnen.

Contactgegevens Platform Codi.

Op verzoek van Opdrachtgever vermeldt Platform Codi bij ondertekening de namen van de verantwoordelijke personen. Beveiligingsincidenten en vermoedens van een datalek kunnen altijd worden gemeld via ciso@platformcodi.nl; dat kanaal wordt ook buiten kantooruren gevolgd, zoals beschreven in §6 van de Service Level Agreement.

Contactgegevens Opdrachtgever.

De contactgegevens van Opdrachtgever worden bij ondertekening door Opdrachtgever ingevuld.

Platform Codi heeft geen Functionaris Gegevensbescherming aangesteld; op grond van artikel 37 AVG is zij daartoe niet verplicht. Compliance vervult de rol van privacy-aanspreekpunt.

Bijlage 2 — Beveiligingsmaatregelen

Toelichting normenkaders. Platform Codi werkt volgens ISO/IEC 27001:2022 en is daarop gecertificeerd. Zij valt onder het certificaat van JoinSeven Groep B.V., dat is afgegeven door Brand Compliance op 25-09-2026 en geldig is tot en met 21-09-2029. Bij de inrichting van de maatregelen houdt Platform Codi rekening met de BIO2. Het certificaat en de Verklaring van Toepasselijkheid worden standaard met deze overeenkomst meegestuurd.

Identiteit en toegang. Single sign-on via Microsoft Entra ID, of inloggen met een wachtwoord dat gehasht wordt opgeslagen. Opdrachtgever kan single sign-on verplicht stellen voor de gehele organisatie, waarmee ook de MFA-eisen van zijn eigen Entra-omgeving gelden. Multi-factor authenticatie is verplicht op de beheer- en bedrijfsomgevingen van Platform Codi; voor klantaccounts met een wachtwoord wordt MFA in de loop van 2026 uitgerold. Toegang verloopt op basis van rollen en least privilege en wordt bij uitdiensttreding direct ingetrokken.

Encryptie. Al het verkeer verloopt via TLS 1.2 of hoger. Geüploade documenten worden vóór opslag per bestand versleuteld met AES-256-GCM; de bestandssleutel wordt zelf versleuteld met een hoofdsleutel die wordt beheerd in HashiCorp Vault en staat nooit onversleuteld in de opslag. Database-back-ups worden op dezelfde wijze versleuteld voordat zij de omgeving verlaten. Sleutels worden minimaal jaarlijks geroteerd en bij een vermoeden van compromittering direct vervangen. Verwijdering vindt plaats door vernietiging van de sleutel.

Scheiding. Codi is multi-tenant met logische scheiding tussen omgevingen van verschillende Opdrachtgevers. Staging en productie zijn gescheiden; de stagingomgeving is niet toegankelijk voor klanten.

Applicatiebeveiliging. Iedere codewijziging wordt gereviewd en automatisch gescand op kwetsbaarheden, hardcoded secrets, kwetsbare dependencies en onveilige infrastructuurconfiguratie. Een bevinding met de hoogste ernstgraad blokkeert de release. Platform Codi hanteert een responsible-disclosure-beleid.

Operationele beveiliging. De beschikbaarheid van het platform wordt doorlopend geautomatiseerd gemonitord met alerting. Logging bevat nooit de inhoud van geüploade documenten. Incidenten volgen een vastgelegd proces met reactietermijnen. Er worden dagelijks back-ups gemaakt; het herstelproces wordt periodiek getoetst.

Leveranciersbeheer. Subverwerkers worden vóór ingebruikname beoordeeld op beveiliging, certificering en verwerkersovereenkomst, staan in een leveranciersregister en worden periodiek herbeoordeeld.

Menselijke toegang. Toegang tot productiegegevens is beperkt tot een klein aantal beheerders, uitsluitend wanneer dat nodig is voor beheer of incidentafhandeling, en wordt gelogd.

Bijlage 3 — Subverwerkers

Vaste keten, altijd betrokken:

Niet in deze keten. Twee partijen worden voor de volledigheid genoemd, omdat zij wel bij Codi betrokken zijn maar geen persoonsgegevens namens Opdrachtgever verwerken:

• Google Analytics wordt alleen gebruikt op de marketingpagina's van platformcodi.nl, en uitsluitend na toestemming van de bezoeker. In de Codi-applicatie wordt Google Analytics niet geladen; dat is ook technisch afgedwongen. Voor die websitestatistieken is Platform Codi zelf verwerkingsverantwoordelijke, zoals beschreven in deel 1 van het Privacy Statement.
• Staan (European Perspective SAS, Parijs) levert de zoekfunctie op het open internet, die per organisatie standaard uitstaat. Staan ontvangt uitsluitend de door het taalmodel geformuleerde zoekterm, geen documenten of gebruikersgegevens, en bewaart de zoekopdrachten niet.

AI-taalmodel, waarvan Opdrachtgever er één kiest. Hieronder staan de modellen die beschikbaar zijn op het moment van opstellen van deze overeenkomst:

Bij de EU-modellen vindt de verwerking in de EU plaats. De leveranciers kunnen voor ondersteuning en beheer eigen subverwerkers buiten de EER inzetten; dat gebeurt onder de waarborgen voor doorgifte in hun verwerkersovereenkomst (zie artikel 7 lid 4).

Keuze van Opdrachtgever: ☐ Mistral AI ☐ Azure OpenAI ☐ Anthropic

Vastgelegd op de datum van ondertekening, namens Opdrachtgever door de ondertekenaar.

Ondertekening

Laatst bijgewerkt: 2 oktober 2026 · Platform Codi B.V. · KvK 84619201