Data processing agreement

⚠️ CONCEPT — JURIDISCHE CONTROLE VEREIST. Deze tekst is een concept uit het advocatentraject (docs-planning/16-LEGAL-CONCEPT-TEXTS.md §4) en nog niet juridisch gecontroleerd. De finale tekst van de advocaat vervangt dit bestand (B25).

⚠️ Dit is een structuur voor de advocaat, geen tekst om te publiceren.

Art. 1 Definities en rolverdeling (salon = verantwoordelijke; Salonpiloot = verwerker) · Art. 2 Voorwerp/duur: verwerking uitsluitend t.b.v. de dienst, conform schriftelijke instructies (= de functionaliteit + support) · Art. 3 Categorieën betrokkenen (klanten van de salon, medewerkers) en gegevens (NAW, contact, afspraken, aankopen, notities ⚠️let op: notities kúnnen door salons gevuld worden met gevoelige gegevens — instructie/verbodsbepaling + risicoverdeling nodig) · Art. 4 Geheimhouding · Art. 5 Beveiligingsmaatregelen (bijlage: RLS-scheiding, TLS, encryptie at rest, MFA, logging, pentests) · Art. 6 Subverwerkers: algemene toestemming + actueel overzicht (§3) + aankondiging + bezwaarrecht · Art. 7 Bijstand bij rechten van betrokkenen en DPIA's · Art. 8 Datalekken: melding aan de salon zonder onredelijke vertraging, uiterlijk binnen [48] uur na ontdekking, met informatieplichten · Art. 9 Doorgifte buiten EER (SCC's/DPF per §3) · Art. 10 Audit/informatierecht (rapportages + evt. audit onder voorwaarden) · Art. 11 Einde: export in gangbaar formaat + verwijdering binnen [30] dagen behoudens wettelijke bewaarplichten · Art. 12 Aansprakelijkheid (koppeling aan de AV) · Art. 13 Versiebeheer: digitale acceptatie in-app per versie (wie/wanneer/versie — technisch geregeld in B14/B24).