Verwerkersovereenkomst (DPA)
Laatst bijgewerkt: Juli 2026
Deze verwerkersovereenkomst ("DPA") maakt onderdeel uit van de Algemene Voorwaarden van summie B.V. ("summie") en is van toepassing zodra summie in het kader van de overeenkomst persoonsgegevens verwerkt ten behoeve van de Klant als bedoeld in artikel 28 AVG. Bij tegenstrijdigheid tussen deze DPA en de overige Algemene Voorwaarden op het gebied van de verwerking van persoonsgegevens, gaat deze DPA voor.
Reikwijdte. Deze DPA is van toepassing op de Gratis- en Pro-tier van summie. Voor de Business-tier, waarbij summie ook een gekoppelde mailbox, factuurgegevens en aanvullende bancaire transactiedata verwerkt, geldt een aanvullende overeenkomst met een eigen DPA.
1. Rolverdeling
• Klant is verwerkingsverantwoordelijke in de zin van de AVG voor de persoonsgegevens die zij via summie laat verwerken, en heeft doel en middelen van die verwerking vastgesteld.
• summie is verwerker in de zin van de AVG en verwerkt persoonsgegevens uitsluitend in opdracht van en volgens de schriftelijke instructies van Klant, zoals vastgelegd in deze DPA en de overeenkomst.
• summie heeft geen zeggenschap over het doel van en de middelen voor de verwerking en neemt geen zelfstandige beslissingen over het gebruik van de persoonsgegevens, behalve zoals uitdrukkelijk beschreven in artikel 10 (geanonimiseerde data).
2. Verwerkingsopdracht
Om te voldoen aan art. 28 lid 3 AVG, specificeert onderstaande tabel het onderwerp, de duur, de aard en het doel van de verwerking, het soort persoonsgegevens en de categorieën van betrokkenen.
Onderwerp en aard van de verwerking
Opslag, AI/OCR-extractie, analyse en beheer van contractdocumenten en daaruit afgeleide gegevens via het summie-platform
Doel van de verwerking
Contractbeheer, herinneringen vóór einddatum/opzegtermijn, en (optioneel bij Pro) koppeling met een boekhoudpakket voor relatieherkenning
Soorten persoonsgegevens
Namen en contactgegevens van contactpersonen en vertegenwoordigers zoals vermeld in geüploade contracten
Categorieën van betrokkenen
Medewerkers en vertegenwoordigers van Klant; contactpersonen die genoemd worden in de geüploade contracten, zoals vertegenwoordigers van leveranciers of andere wederpartijen van Klant
Duur van de verwerking
Voor de duur van de overeenkomst tussen summie en Klant, met inachtneming van artikel 14 (beëindiging)
summie is niet ingericht op de verwerking van bijzondere categorieën persoonsgegevens of gegevens over strafrechtelijke veroordelingen of strafbare feiten, tenzij partijen dit schriftelijk uitdrukkelijk anders zijn overeengekomen.
3. Instructies
summie verwerkt persoonsgegevens uitsluitend op basis van de schriftelijke instructies van Klant zoals vastgelegd in de overeenkomst en deze DPA, en voor zover nodig om de Dienst te leveren. Meent summie dat een instructie van Klant in strijd is met de AVG of andere toepasselijke wetgeving, dan meldt summie dit onverwijld aan Klant en is summie gerechtigd uitvoering van die instructie op te schorten totdat Klant deze heeft aangepast of bevestigd.
4. Beveiliging
summie treft passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies of onrechtmatige verwerking, waaronder ten minste:
• Versleutelde opslag van gegevens en versleutelde verzending van gegevens;
• Toegangsbeveiliging met sterke authenticatie en rolgebaseerde toegangscontrole;
• Logische scheiding van omgevingen per Klant, zodanig dat gegevens van de ene Klant niet toegankelijk zijn voor een andere Klant;
• Logging en monitoring van toegang tot persoonsgegevens;
• Actief beheer van beveiligingskwetsbaarheden in de door summie beheerde systemen;
• Periodieke beveiligingsreviews.
Bij het bepalen van deze maatregelen is rekening gehouden met de stand van de techniek, de uitvoeringskosten, de aard en omvang van de verwerking en de risico's voor betrokkenen. Op verzoek kan summie aanvullende informatie over de beveiligingsmaatregelen verstrekken.
5. Datalekken
Ontdekt summie een inbreuk in verband met persoonsgegevens die (mede) betrekking heeft op gegevens van Klant, dan informeert summie Klant hierover zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat summie zich hiervan bewust is geworden, met de op dat moment beschikbare informatie. Op grond van de AVG rust de eventuele meldplicht aan de Autoriteit Persoonsgegevens en/of betrokkenen op de verwerkingsverantwoordelijke; dat is Klant, niet summie. Het is dan ook aan Klant om te beoordelen of en hoe gemeld moet worden. summie verleent hierbij desgevraagd redelijke medewerking en levert de informatie die Klant nodig heeft om aan deze verplichting te voldoen.
6. Verzoeken van overheidsinstanties
Ontvangt summie een verzoek van een toezichthoudende autoriteit of een (buitenlandse) overheidsinstantie met betrekking tot persoonsgegevens van Klant, dan zal summie: (a) Klant hiervan onverwijld op de hoogte stellen, tenzij dit wettelijk niet is toegestaan; (b) niet inhoudelijk reageren zonder voorafgaande afstemming met Klant, tenzij wettelijk verplicht; (c) waar mogelijk verzoeken betwisten die geen duidelijke wettelijke grondslag hebben; en (d) de medewerking beperken tot wat strikt wettelijk vereist is.
7. Geheimhouding
summie waarborgt dat personen die onder haar verantwoordelijkheid persoonsgegevens verwerken, gebonden zijn aan geheimhouding. summie verstrekt persoonsgegevens niet aan derden, tenzij dit noodzakelijk is voor de uitvoering van de overeenkomst, vereist is op grond van de wet, of Klant hiervoor toestemming heeft gegeven.
8. Subverwerkers
Klant geeft summie algemene toestemming om subverwerkers in te schakelen voor de uitvoering van de Dienst, mits summie met deze subverwerkers schriftelijke afspraken maakt die ten minste een gelijkwaardig beschermingsniveau bieden als deze DPA. summie blijft volledig verantwoordelijk voor de naleving van deze DPA door haar subverwerkers. De huidige subverwerkers zijn:
Cloudhosting (Microsoft Azure) — EU
Opslag en hosting van platformdata
AI- en OCR-verwerking (Microsoft Azure, Google Cloud) — EU
Automatische herkenning en extractie van gegevens uit contracten
Foutmonitoring (Sentry) — EU
Signaleren en oplossen van technische fouten in het platform
Productanalyse (PostHog) — EU
Inzicht in functioneel gebruik van het platform t.b.v. productverbetering
E-mail infrastructuur (SendGrid) — VS (met EU Standard Contractual Clauses)
Verzenden van notificaties (bijv. herinneringen per e-mail)
Betaalprovider (Stripe) — VS (met EU Standard Contractual Clauses)
Verwerken van abonnementsbetalingen
Koppelt Klant een eigen boekhoud- of ERP-systeem (zoals Exact Online)? Dan leest summie uitsluitend gegevens uit dat systeem uit, op basis van de autorisatie van Klant, zonder gegevens naar dat systeem terug te sturen. Dat systeem verwerkt gegevens in dat geval in een eigen, rechtstreekse relatie tussen Klant en die aanbieder, en geldt niet als subverwerker van summie.
summie informeert Klant voorafgaand aan het inschakelen van een nieuwe subverwerker. Klant kan binnen 30 dagen na deze melding schriftelijk gemotiveerd bezwaar maken op grond van gegevensbeschermingsoverwegingen. Partijen overleggen dan in goed vertrouwen over een oplossing. Betreft het bezwaar een subverwerker die essentieel is voor de dienstverlening en biedt summie geen alternatieve oplossing binnen 60 dagen, dan heeft Klant het recht de gehele overeenkomst te beëindigen zonder opzegtermijn of boete.
9. Rechten van betrokkenen
Voor zover Klant dit niet zelf via het platform kan afhandelen, verleent summie redelijke medewerking aan verzoeken van Klant die verband houden met de rechten van betrokkenen (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar). Ontvangt summie een verzoek rechtstreeks van een betrokkene, dan verwijst summie deze door naar Klant en informeert summie Klant hierover, tenzij summie hiertoe wettelijk niet gerechtigd is. summie geeft geen inhoudelijke reactie aan de betrokkene zonder voorafgaande toestemming van Klant.
10. Geanonimiseerde data en productverbetering
Klant erkent en gaat ermee akkoord dat summie het recht heeft om persoonsgegevens uit Klantdata te anonimiseren en de resulterende geanonimiseerde, geaggregeerde gegevens te gebruiken om de Dienst te verbeteren en door te ontwikkelen — onder meer om Klanten inzicht te geven of contractvoorwaarden marktconform zijn. Anonimisering houdt in dat identificerende kenmerken (zoals bedrijfsnamen, namen van contactpersonen en exacte adressen) worden verwijderd of vervangen en dat gegevens alleen in geaggregeerde vorm worden gebruikt, zodanig dat een individueel contract of individuele Klant hier redelijkerwijs niet meer uit te herleiden is. Zodra gegevens op deze manier zijn geanonimiseerd, zijn het geen persoonsgegevens meer in de zin van de AVG.
11. AI-verwerking
summie gebruikt geautomatiseerde OCR- en AI-technieken om gegevens uit contracten te herkennen en te structureren. summie gebruikt Klantdata niet om generieke AI-modellen van derden te trainen. De enige uitzondering is het gebruik van geanonimiseerde, geaggregeerde gegevens zoals beschreven in artikel 10. Klant blijft verantwoordelijk voor het controleren van door AI geëxtraheerde gegevens; zie hiervoor ook de Algemene Voorwaarden.
12. Doorgifte buiten de EER
Persoonsgegevens worden bij voorkeur binnen de EU verwerkt en opgeslagen. Voor de subverwerkers buiten de EER genoemd in artikel 8, zorgt summie voor een passend beschermingsniveau via de EU Standard Contractual Clauses of een ander door de Europese Commissie erkend mechanisme. summie informeert Klant vooraf over elke nieuwe voorgenomen doorgifte buiten de EER die niet al in artikel 8 is genoemd.
13. DPIA en auditrechten
summie verleent op redelijk verzoek van Klant medewerking aan een gegevensbeschermingseffectbeoordeling (DPIA), voor zover dit binnen redelijkheid van summie gevraagd kan worden.
Klant heeft het recht om, zelf of via een onafhankelijke derde, te controleren of summie aan deze DPA voldoet. Klant vraagt hiervoor eerst de beschikbare auditrapporten of certificeringen bij summie op. Een fysieke audit is toegestaan indien deze documenten ontoereikend zijn voor het doel van de audit, of indien er gegronde redenen zijn om compliance te verifiëren. In plaats van een fysieke audit kan summie een jaarlijks auditrapport verstrekken, mits dit voldoet aan de redelijke eisen van Klant.
Een fysieke audit wordt ten minste 14 dagen van tevoren schriftelijk aangekondigd, vindt plaats tijdens reguliere kantooruren en mag de bedrijfsvoering van summie niet onredelijk verstoren. summie kan voor het faciliteren van een audit die langer dan 4 uur duurt redelijke kosten op basis van kostprijs in rekening brengen, tenzij de audit een tekortkoming van summie aan het licht brengt. summie kan een deskundige weigeren indien deze naar het oordeel van summie de concurrentiepositie van summie aantast of niet aantoonbaar ervaring heeft met dit soort verwerkingen.
14. Beëindiging
Bij beëindiging van de overeenkomst, om welke reden dan ook, stelt summie Klant gedurende 90 dagen in staat om Klantdata in een gangbaar, machineleesbaar formaat te exporteren. Na afloop van deze termijn verwijdert summie de persoonsgegevens van Klant op zodanige wijze dat deze niet langer gebruikt of geraadpleegd kunnen worden, tenzij een wettelijke bewaarplicht zich hiertegen verzet, in welk geval summie de gegevens uitsluitend voor dat doel blijft bewaren. Op verzoek bevestigt summie schriftelijk dat de verwijdering heeft plaatsgevonden, met uitzondering van back-ups en beveiligingslogs die volgens het reguliere beleid van summie automatisch worden overschreven, uiterlijk 90 dagen na verwijdering.
De bepalingen over geheimhouding, aansprakelijkheid en verwijdering van gegevens blijven ook na beëindiging van deze DPA van kracht.
15. Aansprakelijkheid
De aansprakelijkheidsbepalingen uit artikel 12 van de Algemene Voorwaarden zijn onverkort van toepassing op deze DPA; deze DPA bevat geen aanvullend of afwijkend aansprakelijkheidsregime. summie staat er niet voor in dat haar beveiligingsmaatregelen onder alle omstandigheden doeltreffend zijn. Klant is niet gerechtigd een door de toezichthouder aan Klant opgelegde bestuurlijke boete op summie te verhalen, tenzij deze boete rechtstreeks het gevolg is van een toerekenbare tekortkoming van summie in de nakoming van deze DPA. Niets in deze DPA beperkt de rechtstreekse aanspraken die een betrokkene op grond van art. 82 AVG jegens summie kan hebben; dergelijke wettelijke aanspraken van derden staan los van de contractuele aansprakelijkheidsbeperking tussen summie en Klant.
16. Contact
Vragen over deze DPA, of het melden van een (vermoeden van een) datalek? Mail ons via hello@summie.co.