| Rol | Entiteit | Jurisdictie |
|---|---|---|
| Verwerkingsverantwoordelijke (Controller) | PropAI — Lars Tils | Nederland (EEA) |
| Verwerker (Processor) — EEA | OpenAI Ireland Ltd. | Ierland (EEA) |
| Verwerker — VS (via SCC) | OpenAI OpCo, LLC | Verenigde Staten |
| AVG vereiste | OpenAI DPA bepaling | Status |
|---|---|---|
| Verwerking alleen op instructie verwerkingsverantwoordelijke | Art. 2.1 — Customer Instructions | ✅ OK |
| Geheimhouding door verwerker en personeel | Art. 2.3 — Confidentiality | ✅ OK |
| Passende technische en organisatorische maatregelen | Art. 2.5 — Security | ✅ OK |
| Bijstand bij rechten betrokkenen | Art. 2.4 — Data Subject Requests | ✅ OK |
| Bijstand bij DPIA's en overleg toezichthouder | Art. 2.6 — Assistance to Customer | ✅ OK |
| Melding datalekken aan verwerkingsverantwoordelijke | Art. 2.7 — Personal Data Breaches | ✅ OK |
| Verwijdering / teruggave data na beëindiging | Art. 2.11 — Data Return or Deletion | ✅ OK |
| Toestaan audits en inspecties | Art. 2.8 — Assessing Compliance | ✅ OK |
| Gebruik sub-verwerkers met toestemming + gelijke verplichtingen | Art. 2.9 + 2.10 — Sub-processors | ✅ OK |
| Internationle doorgifte via SCC of adequaatheidsbesluit | Art. 4 + Schedule 3 (EU SCC 2021/914) | ✅ OK |
| Aspect | Details voor PropAI |
|---|---|
| Verwerkingsdoeleinden | AI-tekstgeneratie voor: document-analyse, chatbot (PropertyGPT), berichtanalyse, risicoberekening, plaatsbeschrijving-analyse |
| Categorieën persoonsgegevens | Namen en e-mailadressen huurders (in prompts), adresgegevens, huurcontractdetails, beschrijvingen vastgoed |
| Categorieën betrokkenen | Huurders van PropAI-verhuurders, verhuurders (zakelijke gebruikers) |
| Bewaartermijn bij OpenAI | API-data: niet gebruikt voor modeltraining (zero data retention optie beschikbaar via Enterprise). Standard API: max 30 dagen logs. |
| Bijzondere categorieën | Geen bijzondere categorieën (geen gezondheidsdata, geen biometrie) |
Mechanisme: EU Standard Contractual Clauses (Besluit 2021/914 van de Commissie) — Module 2 (Controller → Processor)
OpenAI DPA verwijzing: Art. 4 "International Data Transfers" + Schedule 3 "Standard Contractual Clauses"
Van toepassing op: Doorgifte van EEA-persoonsgegevens van OpenAI Ireland Ltd. naar OpenAI OpCo, LLC (VS)
Aanvullende waarborgen OpenAI:
AVG-conclusie: Doorgifte is rechtmatig op grond van art. 46 lid 2 sub c AVG (SCC). ✅
| Sub-verwerker | Doel | Locatie |
|---|---|---|
| Microsoft Azure | Cloud infrastructure / hosting | VS + EEA |
| Snowflake | Data warehousing (analytics) | VS |
| Salesforce | CRM (niet van toepassing op API-gebruik) | VS |
Controleer de volledige actuele lijst via bovenstaande URL. Kijk maandelijks op wijzigingen.
| Actie | Prioriteit | Wanneer |
|---|---|---|
| Abonneer op OpenAI sub-verwerker-notificaties (privacy@openai.com) | 🟠 Hoog | Direct |
| Beperk persoonsgegevens in prompts tot het minimum (data minimalisatie, art. 5 AVG) | 🔴 Kritiek | Direct — technisch doorvoeren |
| Overweeg OpenAI Enterprise voor zero data retention (zero-day logs) | 🟡 Middel | Bij opschaling proptech |
| Voeg OpenAI toe als sub-verwerker in eigen Verwerkersovereenkomst voor verhuurders | 🟠 Hoog | Volgende versie DPA verhuurders |
| Controleer sub-verwerkerlijst OpenAI elk kwartaal | 🟡 Middel | Kwartaal — eerste check: 1 sept 2026 |
Bron: OpenAI Data Processing Addendum — Effectief 1 januari 2026 — openai.com/policies/data-processing-addendum
Art. 1.1 Scope en Rollen: Als onderdeel van het leveren van de Services aan de Klant onder de Overeenkomst, kan OpenAI Klantgegevens verwerken namens de Klant. OpenAI treedt op als Gegevensverwerker namens de Klant, en deze DPA regelt dergelijke Verwerking.
Art. 2.1 Instructies Klant: OpenAI zal Klantgegevens alleen verwerken in overeenstemming met de instructies van de Klant, tenzij wettelijk anders vereist.
Art. 2.5 Beveiliging: OpenAI zal redelijke en passende organisatorische en technische beveiligingsmaatregelen implementeren en onderhouden om Klantgegevens te beschermen.
Art. 2.7 Datalekken: OpenAI zal de Klant onverwijld informeren nadat OpenAI op de hoogte is geraakt van een Persoonlijk Datalek.
Art. 2.9 Sub-verwerkers: De Klant verleent hierbij een algemene machtiging aan OpenAI om de Sub-Verwerkers op de Sub-Verwerkerlijst in te schakelen. OpenAI informeert de Klant over wijzigingen. De Klant heeft 30 dagen bezwaartermijn.
Art. 4 Internationale Doorgifte: Voor EEA- en Zwitserse gegevens: OpenAI Ireland Ltd. verwerkt namens OpenAI OpCo LLC. De EU Standard Contractual Clauses (Module 2) zijn van toepassing voor doorgiften buiten de EEA.
Art. 2.11 Teruggave/Verwijdering: Na afloop of beëindiging van de Overeenkomst zal OpenAI, op instructie van de Klant, Klantgegevens teruggeven of verwijderen.