Verwerkersovereenkomst

Tussen:

• Verantwoordelijke: de schilder of het schildersbedrijf dat PaintIQ gebruikt - hierna: "Klant"
• Verwerker: Nexorah Group B.V. (PaintIQ is een product van Nexorah Group B.V.), KvK 42188205, gevestigd te Meiberg 19, 7121 AN Aalten - hierna: "PaintIQ". Sinds 5 oktober 2026 is Nexorah Group B.V. eigenaar van PaintIQ en exploiteert zij de dienst. Daarvoor werd PaintIQ aangeboden door Van Santen Verhuur B.V. (KvK 90923162).

Acceptatie-datum: automatisch ingevuld bij registratie via het portaal.

Artikel 1 - Definities

• AVG: Verordening (EU) 2016/679.
• Persoonsgegevens: gegevens m.b.t. natuurlijke personen die de Klant via PaintIQ verwerkt - zoals klantnamen, e-mailadressen, telefoonnummers, woonadressen, foto's, bouwtekeningen en spraaknotities (inclusief transcripties daarvan).
• Verwerking: elke handeling t.a.v. Persoonsgegevens.
• Eindklanten: de natuurlijke personen wier persoonsgegevens de Klant via PaintIQ verwerkt (typisch huiseigenaren / particulieren).

Artikel 2 - Aard, doel en duur

PaintIQ verwerkt persoonsgegevens uitsluitend in opdracht van de Klant met als doel het leveren van de PaintIQ-dienst: offertes opstellen, klantenadministratie, AI-analyse van foto's, bouwtekeningen en spraaknotities (inclusief transcriptie naar tekst), en het bewaren van deze opname-media als dossier bij de offerte. De verwerkersovereenkomst loopt zolang de Klant gebruik maakt van PaintIQ.

Artikel 3 - Categorieën gegevens en betrokkenen

Artikel 4 - Verplichtingen PaintIQ

PaintIQ:

1. Verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de Klant (de keuzes in de PaintIQ-UI én de instellingen van het account).
2. Treft passende technische en organisatorische maatregelen (zie Annex A).
3. Verleent de Klant medewerking bij verzoeken van betrokkenen (inzage, rectificatie, wissen, dataportabiliteit) - een data-export is direct beschikbaar via /account/export in het portaal.
4. Meldt een datalek aan de Klant binnen 72 uur na ontdekking, conform AVG art. 33.
5. Schakelt sub-verwerkers in conform Annex B; wijzigingen worden minimaal 30 dagen vooraf gecommuniceerd, de Klant heeft een redelijk bezwaarrecht.
6. Slaat data op in de EU tenzij anders vermeld in Annex B (Anthropic en OpenAI = VS, gedekt door SCC).

Artikel 5 - Verplichtingen Klant

De Klant:

1. Bepaalt zelfstandig of een rechtsgrond bestaat voor de verwerkingen die hij via PaintIQ uitvoert (typisch art. 6 lid 1 sub b - uitvoering overeenkomst).
2. Voldoet aan informatieplichten richting Eindklanten (eigen privacyverklaring).
3. Houdt eigen toegangscredentials (wachtwoord) veilig.
4. Stuurt geen bijzondere persoonsgegevens (medisch, religieus, etc.) via PaintIQ.

Artikel 6 - Aansprakelijkheid

PaintIQ's aansprakelijkheid voor schade voortvloeiend uit deze verwerkersovereenkomst is beperkt tot het bedrag dat de Klant in de twaalf maanden voorafgaand aan het schadeveroorzakende feit aan PaintIQ heeft betaald, met een maximum van € 5.000 per gebeurtenis.

Artikel 7 - Beëindiging

1. Bij opzegging van het PaintIQ-abonnement blijft het account van de Klant met alle data bestaan: de Klant kan blijven inloggen en op elk moment een data-export maken via het portaal, en kan later terugkeren of het account alsnog verwijderen.
2. Verwijdert de Klant zijn account (via Instellingen, Account verwijderen), dan dient hij een gewenste data-export vóór die verwijdering te maken; daarna kan een export gedurende de 30-dagen-termijn alleen nog via support (info@paintiq.nl) worden opgevraagd. Na account-verwijdering verwijdert PaintIQ alle persoonsgegevens van de Klant, inclusief opgeslagen opname-media (foto's, tekeningen, spraaknotities en transcripties), binnen 60 dagen, tenzij wettelijk een langere bewaartermijn geldt.

Artikel 8 - Toepasselijk recht

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Gelderland.

Annex A - Beveiligingsmaatregelen

• TLS 1.2+ op alle endpoints
• JWT met token_version voor refresh-revocation
• Bcrypt-hashing wachtwoorden
• PostgreSQL met aparte rol voor migrations vs runtime (paintiq_app heeft geen DDL)
• Dagelijkse database-back-up (pg_dump, gecomprimeerd) op een uitsluitend voor beheer toegankelijke locatie (lokaal, 14 dagen retentie), met offsite-kopie naar Hetzner Storage Box (EU); de opname-media-opslag wordt in de offsite-back-up meegenomen. Daarnaast full-disk snapshots van de server
• Per-endpoint rate-limiting via slowapi
• Pillow MAX_IMAGE_PIXELS = 25M + DecompressionBombError catch
• WeasyPrint url_fetcher accepteert alleen data: URI's (anti-SSRF)
• Audit-trail in quote_audit_log + ai_calls
• EXIF-strip op foto-uploads vóór doorsturen aan AI-provider én vóór opslag
• Opname-media (foto's/tekeningen/spraaknotities) opgeslagen buiten de publieke webroot; uitsluitend opvraagbaar via geauthenticeerde endpoints met tenant-controle
• Opslaglimiet van 1 GB per tenant voor opname-media
• Verwijdering van opname-media bij verwijdering van de bijbehorende offerte of het account (per bestand verwijderen kan ook in het portaal)
• Back-up-voorbehoud: verwijderde gegevens kunnen tot maximaal 90 dagen aanwezig blijven in beveiligde back-ups en worden daaruit niet teruggezet, behalve bij herstel na een incident; in dat geval worden verwijderingen daarna opnieuw toegepast
• Sentry voor error-monitoring (Python + Next.js)

Annex B - Sub-verwerkers

Geen sub-verwerker: de spraakherkenning van je browser. Zet een gebruiker in de mobiele opname „meelezen” aan, dan loopt de tekst mee terwijl hij inspreekt. Daarvoor wordt de spraakherkenning gebruikt die al in zijn browser zit; zijn stem gaat dan rechtstreeks van zijn toestel naar de maker van die browser (bij Chrome: Google). Dat gebeurt buiten onze dienst om: wij schakelen die partij niet in, hebben er geen contract mee en geen zeggenschap over, en de meegelezen tekst bereikt onze systemen nooit. Het is daarom geen sub-verwerking onder deze overeenkomst, maar een eigen keuze van de gebruiker onder de voorwaarden van zijn browser. Meelezen staat standaard uit; op iPhone en iPad is het uitgeschakeld. De opname zelf verandert niet en loopt wel via de sub-verwerkers hierboven.

Wijzigingen in deze lijst worden minimaal 30 dagen vooraf aangekondigd in het portaal.