Tussen:
Jabeja BV, Dwarsstraat 2 bus V2A7, 8490 Jabbeke, België, BE 1041.778.515, hierna de verwerker;
en de klant die Skrieft afneemt, hierna de verantwoordelijke.
Deze overeenkomst hoort bij de hoofdovereenkomst en geldt zolang die loopt.
| Onderwerp | het opnemen, uitwerken, samenvatten en bewaren van vergaderingen |
| Duur | zolang de hoofdovereenkomst loopt |
| Aard en doel | de verantwoordelijke maakt van gesprekken een doorzoekbaar verslag |
| Soort gegevens | geluidsopnames, uitgewerkte tekst, samenvattingen, tijdstempels, sprekerlabels |
| Betrokkenen | iedereen die deelneemt aan een opgenomen gesprek: medewerkers, klanten, leveranciers, derden |
De inhoud van een gesprek bepaalt de verantwoordelijke, niet wij. Neemt hij een sollicitatie of een ziekmelding op, dan zitten daar bijzondere categorieën in — dat is zijn keuze en zijn verantwoordelijkheid, en hij zegt hierbij dat hij daarvoor een grondslag heeft en de betrokkenen informeert.
Wij verwerken uitsluitend op gedocumenteerde instructie van de verantwoordelijke. Het gebruik van de software ís die instructie: wat hij opneemt en laat uitwerken, verwerken wij; meer niet.
Wij gebruiken de inhoud niet voor iets anders — geen eigen analyse, geen productverbetering, en niet om modellen mee te trainen. Dat laatste is ook contractueel afgedekt bij de partijen die wij inschakelen (artikel 5).
Vinden wij dat een instructie in strijd is met de wetgeving, dan zeggen wij dat.
Iedereen die bij ons toegang heeft, is tot geheimhouding gehouden. In de praktijk is dat één persoon. [na te kijken] — als er personeel bijkomt hoort hier een zin over aanstellingsvoorwaarden.
Wat er feitelijk in zit:
geen wachtwoorden bewaard, dus die kunnen ook niet lekken
hergebruik van een token trekt de hele reeks in
gespreksinhoud draagt de eigenaar, en alle bevragingen lopen via één laag die daarop filtert
bewaard; het terugzetten is beproefd
De verantwoordelijke geeft algemene toestemming voor onderstaande partijen. Bij een wijziging brengen wij hem vooraf op de hoogte en kan hij bezwaar maken.
| Partij | Waarvoor | Waar |
|---|---|---|
| Hetzner Online GmbH | de server | Duitsland |
| Cloudflare | opslag van de geluidsopnames (R2) | Europese Unie (R2-jurisdictie eu) |
| Soniox Inc. | spraak naar tekst | Verenigde Staten, zie hieronder |
| OpenRouter Inc. | doorgifte naar het samenvattingsmodel | Verenigde Staten |
| NextBit | draait het samenvattingsmodel | Spanje |
| Resend | verzendt inlogmails | Verenigde Staten |
De geluidsopnames staan in een R2-emmer met jurisdictie eu. Cloudflare garandeert daarmee dat de bestanden de Europese Unie niet verlaten — dat is iets anders dan een locatiehint, die volgens hun eigen documentatie "a best effort and not a guarantee" is.
Omgezet op 12 september 2026. Daarvoor stond de opslag op locatiehint WEUR, zonder garantie. Een jurisdictie is achteraf niet op een bestaande emmer te zetten, dus dat is gebeurd door een nieuwe emmer te maken en de bestanden te verhuizen.
De sleutel die bij deze emmer hoort komt nergens anders bij, en de sleutels van andere Jabeja-diensten komen hier niet binnen.
Soniox verwerkt op dit moment in de Verenigde Staten. Zij bewaren niets tenzij daarom gevraagd wordt; wat via hun async-API loopt wordt na dertig dagen automatisch gewist. Skrieft wist het geluidsbestand én de opdracht meteen na het ophalen van het transcript, dus in normale werking blijft daar niets staan. Er loopt een aanvraag om over te schakelen naar hun EU-regio, waarna geluid en tekst Europa niet meer verlaten. Tot die datum steunt de doorgifte op het EU-US Data Privacy Framework en/of modelcontractbepalingen. [na te kijken] — Soniox noemt op zijn eigen documentatie GDPR, SOC 2 Type 2, ISO/IEC 27001:2022 en HIPAA, maar zegt niets over het Data Privacy Framework of modelcontractbepalingen. Dat staat ook niet in de openbare DPF-lijst te vinden. Vraag het schriftelijk aan hun support en neem het antwoord hier op, samen met de datum van overschakeling naar de EU-regio.
OpenRouter is een Amerikaanse doorgeefdienst; het model zelf draait bij NextBit in Spanje. Wij dwingen af dat er geen andere aanbieder gebruikt wordt, ook niet bij drukte of storing.
Resend verwerkt alleen e-mailadressen voor het versturen van inloglinks, geen gespreksinhoud.
Krijgt de verantwoordelijke een verzoek om inzage, verbetering of verwijdering, dan helpen wij daarbij. In de praktijk kan hij het meeste zelf: een vergadering die hij definitief weggooit, verdwijnt ook bij ons, inclusief de opname en de reservekopie.
Komt zo'n verzoek bij ons binnen, dan sturen wij het door en beantwoorden het niet zelf.
Bij een inbreuk melden wij dat zonder onredelijke vertraging, met wat we weten over de aard, de betrokken gegevens en de maatregelen. [na te kijken] — leg een termijn vast; vierentwintig uur is gebruikelijk.
Wij helpen bij een gegevensbeschermingseffectbeoordeling en bij overleg met de toezichthouder, voor zover dat onze verwerking betreft.
Gesprekken blijven staan zolang het account bestaat. Bij opzegging of op verzoek verwijderen wij alles binnen dertig dagen: de uitgewerkte tekst, de samenvattingen en de geluidsopnames, inclusief de reservekopie.
De verantwoordelijke kan een vergadering op elk moment zelf definitief verwijderen; dat werkt dezelfde dag door.
Backups van de databank worden dertig dagen bewaard en daarna overschreven. Gegevens kunnen dus tot dertig dagen na verwijdering nog in een backup zitten; daar wordt niets mee gedaan.
Wij stellen op verzoek de informatie beschikbaar die nodig is om naleving aan te tonen, en werken mee aan een audit of inspectie, ten hoogste eenmaal per jaar en op kosten van de verantwoordelijke. [na te kijken]
Skrieft gebruikt AI om spraak uit te werken en samen te vatten. Twee dingen horen de verantwoordelijke te weten:
Een samenvatting is een gok van een model. Hij kan kloppen en toch iets noemen dat niemand gezegd heeft. Wordt hij doorgestuurd of gebruikt om een beslissing op te baseren, dan hoort er een mens overheen te lezen. De uitgewerkte tekst is een weergave van wat er gezegd is en veel betrouwbaarder dan de samenvatting.
Deelt hij een samenvatting met mensen die er niet bij waren, dan is dat AI-gegenereerde tekst in de zin van artikel 50 van de AI-verordening, van toepassing sinds 2 augustus 2026. Meldt hij dat niet, dan hoort hij de tekst zelf te hebben nagelezen en er redactioneel voor in te staan.
Er wordt geen emotieherkenning of biometrische categorisatie toegepast. De sprekerscheiding onderscheidt stemmen binnen één opname en identificeert niemand.
Zoals in de hoofdovereenkomst. Belgisch recht; de rechtbanken van het arrondissement van de zetel van de verwerker zijn bevoegd. [na te kijken]
