Verwerkersovereenkomst

Deze verwerkersovereenkomst (artikel 28 AVG) geldt tussen jouw organisatie als klant van MediaBrain ("verwerkingsverantwoordelijke") en AIDG (eenmanszaak, KvK 94044627, Frans van Mierisstraat 7, 8932 KR Leeuwarden), handelend onder de naam MediaBrain ("verwerker"). Zij is onderdeel van de algemene voorwaarden en geldt zodra je MediaBrain gebruikt; je hoeft niets apart te tekenen. Wil je toch een ondertekend exemplaar, mail dan privacy@mediabrain.nl.

1. Onderwerp en rolverdeling

Jij bepaalt welke persoonsgegevens via MediaBrain worden verwerkt en waarvoor. Wij verwerken die uitsluitend in jouw opdracht, om de dienst te leveren: merkinformatie en content beheren, posts maken, plannen en publiceren via jouw gekoppelde accounts, reacties tonen en beantwoorden, e-mail versturen, leads en vacatures beheren, resultaten meten en de AI-functies uitvoeren die jij gebruikt. Wij gebruiken jouw gegevens nooit voor eigen doeleinden, verkopen ze niet en laten er geen AI-modellen op trainen.

Voor de gegevens van je eigen account (inloggen, abonnement, facturen) zijn wij zelf verwerkingsverantwoordelijke; zie de privacyverklaring.

2. Duur

Deze overeenkomst loopt zolang je organisatie MediaBrain gebruikt, en daarna zolang wij nog gegevens van jouw organisatie verwerken (zie artikel 12).

3. Soorten gegevens en betrokkenen

• Betrokkenen: jouw teamleden, je klanten en volgers, mensen die reageren op je posts, ontvangers van je e-mail, leads en sollicitanten, en mensen die in jouw content voorkomen.
• Gekoppelde social-accounts: account- of pagina-ID, weergavenaam, profielfoto en de toegangssleutels die het platform geeft.
• Posts en content: concepten, geplaatste posts, planning, opmerkingen en goedkeuringen, en gegevens uit gebeurtenissen die jouw software stuurt (zoals een voornaam en reviewtekst).
• Media: foto's en video's die je uploadt of laat maken, met beschrijvingen en ondertitels (gesproken tekst).
• Reacties en berichten in de inbox: naam van de afzender en de tekst.
• Contacten en leads: naam, e-mailadres, bedrijfsgegevens en notities die jij vastlegt.
• Ontvangers van e-mailcampagnes: e-mailadres, naam, aanmeld- en afmeldstatus.
• Sollicitaties: gegevens en cv die sollicitanten via jouw vacatures sturen.

Bijzondere persoonsgegevens (zoals gezondheid) zijn niet nodig voor MediaBrain; zet ze er niet in.

4. Instructies

Wij verwerken uitsluitend volgens jouw instructies en deze overeenkomst, tenzij een wettelijke verplichting ons iets anders opdraagt — dan melden we dat vooraf, tenzij de wet dat verbiedt. Vinden wij dat een instructie in strijd is met de AVG, dan laten we je dat weten.

5. Beveiliging

Wij nemen passende technische en organisatorische maatregelen, waaronder:

• versleutelde verbindingen (HTTPS) voor de app en de API;
• toegangssleutels van gekoppelde social-accounts versleuteld opgeslagen;
• wachtwoorden alleen als hash;
• toegang per organisatie en per rol (eigenaar, beheerder, teamleden), zodat organisaties elkaars gegevens niet zien;
• toegang tot de servers alleen met persoonlijke sleutels, een firewall en automatische beveiligingsupdates;
• een auditlog van belangrijke acties, zoals koppelen, goedkeuren, publiceren en het wijzigen van de AI-keuze;
• servers en opslag in de EU (Hetzner, Duitsland).

6. Subverwerkers

Je geeft ons algemene toestemming om de volgende subverwerkers in te schakelen. Met elk van hen geldt een verwerkersovereenkomst met minstens vergelijkbare verplichtingen.

Nemen we een nieuwe subverwerker in gebruik, dan passen we deze lijst en de privacyverklaring vooraf aan en melden we dat per e-mail of in de app. Ben je het er niet mee eens, dan kun je je abonnement opzeggen en je gegevens exporteren.

7. AI

**In het kort:** Standaard draait de AI in de EU. Europese AI-aanbieders bewaren je invoer niet (zero data retention) en trainen er niet op. Voor een paar functies — vooral beeld en video — kun je zelf kiezen om een sterker model buiten de EU te gebruiken.

• Die keuze maakt een beheerder van jouw organisatie in MediaBrain bij Instellingen → AI ("AI buiten de EU toestaan"). Voor nieuwe organisaties staat hij uit; dan gaat er niets naar AI buiten de EU. Organisaties die al een pakket met AI hadden toen deze keuze werd ingevoerd (oktober 2026), kregen hem op "aan", omdat AI-beeld en AI-video in hun pakket zaten en al zo werkten.
• Gegevens die persoonsgegevens kunnen bevatten — zoals reacties, namen, gesproken tekst, contacten en strategie-antwoorden — gaan altijd alleen naar AI-diensten in de EU, ook als de keuze aan staat.
• Een eigen foto gaat alleen naar een beeld- of video-AI buiten de EU nadat jij hebt bevestigd dat er geen herkenbare personen op staan.
• AI-diensten gebruiken jouw gegevens niet om hun modellen te trainen. De Europese AI-aanbieders bewaren je invoer bovendien niet (zero data retention); AI-diensten buiten de EU gebruiken we alleen als jij dat aanzet. Per handeling sturen we alleen mee wat nodig is.
• AI-voorstellen zijn concepten: niets wordt gepubliceerd of verstuurd zonder jouw goedkeuring, tenzij jouw organisatie daar zelf een automatische regel voor heeft ingesteld.
• De AI-collega (de AIDG-chat in MediaBrain) valt niet onder de keuze "AI buiten de EU": daar kies je in de chat zelf welk model je gebruikt.

Meer uitleg staat in de privacyverklaring.

8. Doorgifte buiten de EU

Opslag van jouw gegevens gebeurt binnen de EU. Gegevens gaan alleen naar een land buiten de EU/EER als dat in de tabel in artikel 6 staat: bij AI alleen als jouw organisatie "AI buiten de EU" heeft aangezet, en nooit met gegevens die persoonsgegevens kunnen bevatten; bij betalingen volgens de voorwaarden van Stripe. Doorgifte gebeurt op basis van passende waarborgen, zoals de standaardcontractbepalingen van de Europese Commissie of, waar dat van toepassing is, het EU-VS Data Privacy Framework.

9. Geheimhouding

Iedereen die bij ons toegang heeft tot jouw gegevens is tot geheimhouding verplicht. Toegang is beperkt tot wie het nodig heeft voor ondersteuning of onderhoud.

10. Bijstand en rechten van betrokkenen

Krijg jij een verzoek van een betrokkene (inzage, correctie, verwijdering, overdraagbaarheid), dan helpen wij je dat uit te voeren. In de app kun je zelf gegevens aanpassen, verwijderen en exporteren. Komt een verzoek bij ons binnen, dan sturen we het door naar jou. We helpen je ook bij een gegevensbeschermingseffectbeoordeling (DPIA) als je die nodig hebt.

11. Datalekken en audits

• Bij een inbreuk in verband met persoonsgegevens informeren we je binnen 24 uur na ontdekking, met de aard van de inbreuk, de vermoedelijke gevolgen en de maatregelen die wij nemen. Jij beslist over melding aan de Autoriteit Persoonsgegevens en aan betrokkenen; wij helpen je daarbij.
• Op verzoek geven we je de informatie die nodig is om aan te tonen dat we ons aan deze overeenkomst houden. Wil je een audit door een onafhankelijke deskundige, dan werken we daaraan mee, met redelijke aankondiging en geheimhouding; de kosten zijn voor jou, tenzij uit de audit blijkt dat wij tekortschieten.

12. Einde: exporteren en wissen

• Zolang je klant bent, kan een beheerder altijd een volledige export downloaden via Instellingen → Organisatie → Gegevens exporteren.
• Na opzeggen heb je 30 dagen om je gegevens te exporteren; daarna verwijderen we ze.
• Laat je je organisatie verwijderen, dan wissen we de gegevens meestal binnen enkele minuten en uiterlijk binnen 30 dagen; uit back-ups verdwijnen ze binnen 30 dagen. Zie Gegevens verwijderen.
• Gegevens die we wettelijk moeten bewaren (zoals facturen) bewaren we alleen zo lang als nodig.

13. Wijzigingen

Wijzigen we deze overeenkomst op een manier die jou raakt, dan melden we dat vooraf per e-mail of in de app. Bovenaan staan de versie en datum.

---

Versie 1.6 — 2 oktober 2026