Verwerkersovereenkomst

Partijen en definities

1.1 Verwerkingsverantwoordelijke

De verhuurder die een account aanmaakt bij PropAI en daarmee huurdergegevens via het platform verwerkt. Hierna: "Verhuurder" of "u".

1.2 Verwerker

Lars Tils, handelend onder de naam PropAI, gevestigd te Zilverschoon 53, 1422NZ Uithoorn, Nederland. KvK: 42081154. E-mail: privacy@propai.nl. Hierna: "PropAI".

1.3 Betrokkenen

De huurders en andere natuurlijke personen van wie de persoonsgegevens via het PropAI-platform worden verwerkt.

1.4 Definities

• AVG: Verordening (EU) 2016/679 (Algemene Verordening Gegevensbescherming).
• UAVG: Uitvoeringswet Algemene Verordening Gegevensbescherming (Nederland).
• Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (art. 4 lid 1 AVG).
• Verwerking: elke bewerking van persoonsgegevens, zoals opslag, raadpleging, gebruik en verwijdering (art. 4 lid 2 AVG).
• Inbreuk: een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van persoonsgegevens (art. 4 lid 12 AVG).

Onderwerp en duur van de verwerking

2.1 Onderwerp

PropAI verwerkt persoonsgegevens uitsluitend ten behoeve van de dienstverlening aan de Verhuurder, te weten: het aanbieden van een SaaS-platform voor vastgoedbeheer, inclusief huurderportaal, contractgeneratie, ticketbeheer, onboarding en communicatie.

2.2 Duur

De verwerkersovereenkomst is van kracht zolang de Verhuurder gebruik maakt van PropAI. Na beëindiging van de dienst geldt artikel 11 (verwijdering en retour).

2.3 Aard van de verwerking

Opslag, weergave, analyse, doorsturen, aanmaken, wijzigen en verwijderen van persoonsgegevens via de PropAI-applicatie.

Categorieën persoonsgegevens en betrokkenen

Verplichtingen van PropAI als verwerker (art. 28 lid 3 AVG)

PropAI verplicht zich tot het volgende:

4.1 Uitsluitend op instructie verwerken

PropAI verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Verhuurder, tenzij een wettelijke verplichting anders vereist. In dat geval informeert PropAI de Verhuurder vooraf, tenzij dit wettelijk verboden is (art. 28 lid 3 sub a AVG).

4.2 Geheimhouding

PropAI zorgt ervoor dat alle medewerkers en eventuele derden met toegang tot persoonsgegevens gebonden zijn aan een geheimhoudingsplicht (art. 28 lid 3 sub b AVG).

4.3 Technische en organisatorische maatregelen

PropAI treft passende technische en organisatorische maatregelen conform art. 32 AVG (art. 28 lid 3 sub c AVG). Zie artikel 8 voor de specifieke maatregelen.

4.4 Sub-verwerkers

PropAI schakelt sub-verwerkers in alleen met toestemming van de Verhuurder. Door akkoord met deze overeenkomst geeft de Verhuurder algemene toestemming voor de sub-verwerkers vermeld in artikel 6. PropAI informeert de Verhuurder minimaal 30 dagen van tevoren bij wijzigingen (art. 28 lid 3 sub d AVG).

4.5 Bijstand bij rechten betrokkenen

PropAI verleent de Verhuurder redelijke bijstand bij het afhandelen van verzoeken van betrokkenen om uitoefening van hun rechten (art. 28 lid 3 sub e AVG).

4.6 Bijstand bij beveiliging en DPIA

PropAI verleent bijstand bij het naleven van de verplichtingen uit art. 32-36 AVG, waaronder het melden van inbreuken en het uitvoeren van gegevensbeschermingseffectbeoordelingen (art. 28 lid 3 sub f AVG).

4.7 Verwijdering of retournering

Na afloop van de verwerking verwijdert PropAI alle persoonsgegevens of geeft deze terug aan de Verhuurder, conform artikel 11 van deze overeenkomst (art. 28 lid 3 sub g AVG).

4.8 Medewerking aan audits

PropAI stelt alle informatie beschikbaar die nodig is om naleving van art. 28 AVG aan te tonen en verleent medewerking aan audits door de Verhuurder of een door hem aangewezen accountant. Audits worden minimaal 30 dagen van tevoren aangekondigd en vinden plaats tijdens kantooruren (art. 28 lid 3 sub h AVG).

Privacy by Design en Privacy by Default (art. 25 AVG)

Grondslag: art. 25 AVG | EDPB Guidelines 4/2019 v2.0 (goedgekeurd 20 oktober 2020) | IAPP 2026 Implementation Guidance | Recital 78 AVG

4a.1 Privacy by Design — ingebouwde gegevensbescherming (art. 25 lid 1 AVG)

PropAI integreert gegevensbeschermingsbeginselen structureel in het ontwerp en de werking van het platform. Dit omvat, rekening houdend met de stand van de techniek, de uitvoeringskosten, de aard, omvang, context en verwerkingsdoeleinden, en de risico's voor de rechten en vrijheden van betrokkenen (EDPB Guidelines 4/2019, par. 7–13):

• Dataminimalisatie by design: AI-prompts aan OpenAI en Groq bevatten uitsluitend geanonimiseerde of gepseudonimiseerde data — namen en e-mailadressen worden vervangen door ID's of categorieën. Geïmplementeerd conform art. 5 lid 1 sub c AVG.
• Pseudonimisering: Huurder-ID's worden intern gebruikt in plaats van directe identificatoren waar technisch haalbaar (Recital 78 AVG).
• Scheiding van datasets: Row Level Security (RLS) in Supabase zorgt dat verhuurders uitsluitend hun eigen gegevens kunnen inzien — technische afscherming vanaf platformniveau.
• Zero Data Retention (ZDR) bij Groq: Inferentiedata wordt na verwerking direct gewist — privacy by design op sub-verwerker niveau.
• Private storage: Huurdersdocumenten worden opgeslagen in een private bucket, uitsluitend toegankelijk via tijdgebonden signed URLs (max. 1 uur).
• AI-transparantie: Alle AI-gegenereerde scores en aanbevelingen zijn voorzien van verplichte transparantielabels conform art. 50 AI Act en art. 22 AVG (recht op menselijke tussenkomst).

4a.2 Privacy by Default — standaard gegevensbescherming (art. 25 lid 2 AVG)

PropAI verwerkt standaard uitsluitend persoonsgegevens die strikt noodzakelijk zijn voor elk specifiek doel. Dit geldt voor (art. 25 lid 2, 2e volzin AVG):

• Hoeveelheid verzamelde gegevens: Alleen de velden die noodzakelijk zijn voor de betreffende verwerkingsdoeleinden worden uitgevraagd. Optionele velden zijn expliciet als optioneel gemarkeerd.
• Omvang van de verwerking: API-calls bevatten alleen de minimaal benodigde context. Geen bulk-overdracht van huurderdata naar AI-diensten.
• Bewaartermijn: Standaard geen onbeperkte bewaring. Zie artikel 11 voor bewaartermijnen per categorie.
• Toegankelijkheid: Persoonsgegevens zijn standaard niet toegankelijk voor derden zonder expliciete instructie van de Verhuurder. Geen publieke URL's voor documenten. Sessies verlopen automatisch bij inactiviteit.

4a.3 Bijdrage van PropAI als verwerker aan art. 25-naleving (EDPB Guidelines 4/2019, par. 94–100)

PropAI draagt als verwerker actief bij aan de mogelijkheid van de Verhuurder om te voldoen aan art. 25 AVG. PropAI:

• Biedt technische functies die dataminimalisatie door de Verhuurder faciliteren (optionele velden, selectieve datadeling).
• Stelt de Verhuurder in staat betrokkenenrechten (inzage, verwijdering) technisch te realiseren via het platform.
• Documenteert de geïmplementeerde privacy by design maatregelen en stelt deze beschikbaar bij een audit (art. 28 lid 3 sub h AVG).
• Evalueert bij nieuwe functionaliteiten met AI-componenten de risico's conform de 4 EDPB-factoren (stand van techniek, kosten, aard verwerking, risico's) vóór implementatie.

Verplichtingen van de Verhuurder als verwerkingsverantwoordelijke

5.1 Rechtmatige grondslag

De Verhuurder is verantwoordelijk voor een rechtmatige grondslag (art. 6 AVG) voor elke verwerking van persoonsgegevens via PropAI.

5.2 Informatieplicht

De Verhuurder informeert huurders conform art. 13/14 AVG over de verwerking van hun persoonsgegevens. PropAI biedt hiervoor een standaard privacyverklaring aan (propai.nl/privacy) die de Verhuurder kan doorverwijzen naar huurders.

5.3 Rechten betrokkenen

De Verhuurder behandelt verzoeken van huurders op uitoefening van hun AVG-rechten (inzage, rectificatie, verwijdering, bezwaar) tijdig en correct.

5.4 Geen onrechtmatige instructies

De Verhuurder geeft PropAI uitsluitend rechtmatige instructies. De Verhuurder verwerkt via PropAI geen bijzondere categorieën persoonsgegevens (art. 9 AVG) tenzij hij hiervoor een geldige grondslag heeft en PropAI hiervan op de hoogte heeft gesteld.

5.5 BSN-verbod

De Verhuurder instrueert huurders nimmer een BSN-nummer te delen via PropAI en uploadt zelf geen documenten met BSN via het platform (UAVG art. 46).

5.6 Minderjarige huurkandidaten (art. 6 AVG + BW art. 1:233–234)

Grondslag: BW art. 1:233 (minderjarigheid) | BW art. 1:234 (handelingsbekwaamheid) | BW art. 3:32 (vernietigbaarheid) | Art. 6 lid 1 sub b AVG (uitvoering overeenkomst) | Art. 9 AVG (bijzondere categorieën) | EDPB Statement 1/2025 over leeftijdsborging (11 februari 2025) | AP toezichtsprioriteit 2026: AI en kwetsbare groepen

PropAI is een B2B-platform voor verhuurders. Huurkandidaten zijn in beginsel meerderjarig (18+). De Verhuurder is verantwoordelijk voor het vaststellen van de leeftijd van huurkandidaten vóór verwerking van hun persoonsgegevens via PropAI. Het volgende beleid is van toepassing:

• Leeftijdsgrens huurkandidaten: PropAI is niet bestemd voor de verwerking van persoonsgegevens van personen jonger dan 18 jaar als zelfstandige huurkandidaat. Minderjarigen zijn handelingsonbekwaam voor het sluiten van een huurovereenkomst zonder toestemming van hun wettelijk vertegenwoordiger (BW art. 1:234 lid 1). Een zonder toestemming gesloten huurcontract is vernietigbaar (BW art. 3:32).
• Uitzondering — medehuurder of inwonend gezinslid: Persoonsgegevens van minderjarige inwonende kinderen (bijv. voor onderhoudsmeldingen of gezinssamenstelling) mogen uitsluitend worden verwerkt als dit strikt noodzakelijk is voor de huurovereenkomst met de meerderjarige huurder, op grondslag van art. 6 lid 1 sub b AVG. Er worden geen AI-screeningsscores gegenereerd voor minderjarigen.
• Ontvangen persoonsgegevens van een minderjarige: Indien de Verhuurder constateert dat een huurkandidaat jonger dan 18 jaar is, meldt de Verhuurder dit onmiddellijk aan PropAI via privacy@propai.nl. PropAI verwijdert de betreffende gegevens per omgaande.
• AI-screening: De AI-risicoscore (art. 22 AVG) wordt uitsluitend gegenereerd voor meerderjarige huurkandidaten. Het platform instrueert verhuurders om de leeftijd te verifiëren vóór aanvang van het screeningsproces.
• Geen bijzondere categorieën van minderjarigen: De Verhuurder verwerkt via PropAI geen bijzondere categorieën persoonsgegevens (art. 9 AVG) van minderjarigen, zoals gezondheidsgegevens of schoolrapporten.

Sub-verwerkers (art. 28 lid 2 AVG)

PropAI maakt gebruik van de volgende sub-verwerkers. De Verhuurder geeft door ondertekening van deze overeenkomst algemene toestemming (art. 28 lid 2 AVG).

Doorgifte buiten de Europese Economische Ruimte (art. 44-49 AVG)

PropAI geeft persoonsgegevens alleen door aan landen buiten de EER als daarvoor een passend beschermingsniveau geldt. Voor de sub-verwerkers in de VS (Resend, Vercel, Stripe, Groq) zijn EU Standaardcontractbepalingen van toepassing conform Commissiebesluit (EU) 2021/914.

Voor Groq geldt aanvullend Zero Data Retention (ZDR): persoonsgegevens worden na de inferentie direct gewist en nooit bewaard op de servers van Groq.

Alle DPA's met sub-verwerkers zijn beschikbaar op verzoek via privacy@propai.nl.

Beveiliging (art. 32 AVG)

PropAI heeft de volgende technische en organisatorische maatregelen getroffen:

• Versleuteling in transit: TLS 1.3 voor alle verbindingen.
• Versleuteling at rest: AES-256 (Supabase Frankfurt).
• Multi-factor authenticatie (MFA): TOTP via authenticator app verplicht op alle beheerplatforms (Supabase, Vercel, GitHub). Grondslag: NIS2 art. 21(2)(j) + AVG art. 32. Geïmplementeerd: 20 juni 2026. Supabase organisatie-level MFA enforcement: actief per 20 juni 2026.
• Toegangsbeveiliging: Row-Level Security (RLS) — gebruikers zien uitsluitend eigen data.
• Documentopslag: Private bucket — geen publieke URL's. Tijdelijke signed URL's (max. 1 uur).
• Authenticatie: JWT-tokens met automatische sessie-expiratie. Wachtwoorden opgeslagen als bcrypt hash.
• Toegangscontrole medewerkers: Principe van minimale rechten (need-to-know).
• Penetratietesten: Via sub-verwerker Supabase (SOC 2 Type II, jaarlijkse pentests).
• Back-ups: Dagelijkse versleutelde back-ups door Supabase (EU Frankfurt).
• Monitoring: Automatische AVG Compliance Scanner dagelijks om 03:00 uur.

8.1 Audit logging (art. 32 AVG + ISO 27001:2022 Annex A.8.15 + Cbw art. 21 maatregel #2)

Grondslag: Art. 32 AVG (beveiliging — vermogen om vertrouwelijkheid, integriteit en beschikbaarheid te waarborgen én te herstellen) | ENISA Guidelines on Pseudonymisation Techniques 2019 | ISO 27001:2022 Annex A.8.15 (Logging) | NIS2 Cbw art. 21 maatregel #2 (toegangsbeheer) | AP Richtsnoeren Beveiliging Persoonsgegevens | EDPB Recommendation 01/2020 on supplementary measures

PropAI registreert automatisch activiteiten waarbij persoonsgegevens worden verwerkt. Audit logging is een passende technische maatregel conform art. 32 AVG en vereist door ISO 27001:2022 Annex A.8.15 en NIS2 Cbw maatregel #2.

Logs zijn uitsluitend toegankelijk voor geautoriseerde PropAI-beheerders (need-to-know principe). Logs worden beveiligd via Row Level Security (RLS) en zijn niet toegankelijk voor verhuurders of huurders tenzij de Verhuurder hier via een audit-verzoek op grond van art. 28 lid 3 sub h AVG om verzoekt.

NIS2-richtlijn en Cyberbeveiligingswet (Cbw) — toepasselijkheid en voorbereiding

Grondslag: EU NIS2-richtlijn (EU) 2022/2555 | Cyberbeveiligingswet (Cbw) — verwachte inwerkingtreding 1 juli 2026, goedgekeurd Tweede Kamer 15 april 2026 (Bird & Bird, 27 april 2026) | NCSC-NL Cbw-documentatie (geraadpleegd 20 juni 2026) | Cbw art. 21 (zorgplicht) | Cbw art. 21a (leveranciersverbod) | Art. 32 AVG (technische beveiliging) | uComply analyse Cbw Q2 2026

8a.1 Scope-analyse — valt PropAI direct onder de Cyberbeveiligingswet?

De Cyberbeveiligingswet (Nederlandse implementatie van NIS2) is van toepassing op essentiële en belangrijke entiteiten in aangewezen sectoren, die voldoen aan de drempelwaarden:

• Middelgrote organisaties: ≥ 50 werknemers of ≥ €10 miljoen jaaromzet;
• Grote organisaties: ≥ 250 werknemers of ≥ €50 miljoen omzet.

Conclusie per 20 juni 2026: PropAI (eenmanszaak/micro-onderneming, KvK 42081154) valt als early-stage startup niet rechtstreeks onder de Cyberbeveiligingswet op basis van de huidige drempelwaarden. De sector "digitale dienstverlening / SaaS voor vastgoedbeheer" valt niet onder de limitatief opgesomde essentiële sectoren (energie, transport, zorg, financiën, digitale infrastructuur, overheid, ruimtevaart) of de aanvullende belangrijke sectoren.

8a.2 Zorgplicht — vrijwillige NIS2-alignment (art. 32 AVG + Cbw art. 21)

Hoewel PropAI formeel buiten de directe Cbw-scope valt, hanteert PropAI de tien verplichte maatregelen van Cbw art. 21 als leidraad voor het beveiligingsbeleid, in aansluiting op de bestaande art. 32 AVG-verplichtingen:

8a.3 Monitoring en herziening scope

PropAI monitort actief de voortgang van de Cyberbeveiligingswet. Bij groei van PropAI voorbij de drempelwaarden (≥50 fte of ≥€10M omzet), of bij een formele aanwijzing door de toezichthouder, zal PropAI zich onverwijld registreren bij het NCSC-entiteitenregister en volledig voldoen aan de Cbw-verplichtingen (registratieplicht, meldplicht, zorgplicht). Deze overeenkomst wordt op dat moment dienovereenkomstig bijgewerkt.

Laatste scope-beoordeling: 20 juni 2026. Volgende herziening: bij inwerkingtreding Cbw (verwacht 1 juli 2026) en daarna jaarlijks of bij materiële wijziging van de wet of van PropAI's bedrijfsomvang.

Informatiebeveiligingsstandaarden — ISO 27001:2022, SOC 2 en RBAC-toegangsbeheer

Grondslag: ISO/IEC 27001:2022 (Annex A, 93 controls — van toepassing als leidraad) | ISO/IEC 27002:2022 (implementatiegids) | SOC 2 Trust Services Criteria (AICPA 2017, herzien 2022) | AVG art. 32 lid 1 sub b (integriteit en vertrouwelijkheid) | AVG art. 32 lid 2 (risicobeoordeling) | ENISA Cloud Security Guidelines 2024 | Cbw art. 21 maatregel #2 (toegangsbeheer) | AP Beveiliging van persoonsgegevens (2021) | Konfirmity ISO 27001 Controls Guide 2026

8b.1 Positie van PropAI ten aanzien van ISO 27001 en SOC 2

PropAI is als micro-onderneming op dit moment niet ISO 27001-gecertificeerd en niet SOC 2-gecertificeerd. Dit is eerlijk vermeld omdat enterprise- of institutionele Verhuurders hierop kunnen toetsen. PropAI hanteert de ISO 27001:2022-controls (Annex A) en de SOC 2 Trust Services Criteria als leidraad voor het beveiligingsbeleid — aantoonbaar via de implementaties beschreven in art. 8, art. 8.1 en art. 8a van deze overeenkomst.

8b.2 ISO 27001:2022 Annex A — relevante controls en PropAI-implementatie

PropAI implementeert de volgende meest relevante ISO 27001:2022 Annex A-controls voor een SaaS-platform met persoonsgegevens (AVG art. 32 + ISO 27001:2022 Clause 6.1.3 Statement of Applicability-benadering):

8b.3 RBAC — Rolgebaseerd toegangsbeheer (ISO A.8.2 + AVG art. 32 + Cbw maatregel #2)

PropAI hanteert een formeel RBAC-model (Role-Based Access Control) conform ISO 27001:2022 A.8.2 (beheer bevoorrechte toegangsrechten) en AVG art. 32 lid 1 sub b (permanente beschikbaarheid, integriteit en vertrouwelijkheid):

Toegangsrollen worden uitsluitend toegekend op basis van het need-to-know principe (ISO A.8.2 + AVG art. 5 lid 1 sub c dataminimalisatie). Rollen worden gecontroleerd bij elke halvejaarlijkse AVG-audit.

8b.4 SOC 2 Trust Services Criteria — alignment

SOC 2 (AICPA Trust Services Criteria, herzien 2022) is een Amerikaanse auditstandaard die vijf principes toetst: beveiliging (CC), beschikbaarheid (A), verwerkingsintegriteit (PI), vertrouwelijkheid (C) en privacy (P). PropAI is niet SOC 2-gecertificeerd maar voldoet aan de meest relevante criteria via de volgende implementaties:

• CC6 (Logical Access): ✅ JWT + RLS + RBAC (zie art. 8b.3)
• CC7 (System Operations / Monitoring): ✅ Audit logging (art. 8.1) + AVG Compliance Scanner
• CC8 (Change Management): ✅ GitHub Actions CI/CD + syntax checks + commit-log
• A1 (Availability): ✅ 99,5% streefdoel; dagelijkse back-ups; Vercel multi-region
• C1 (Confidentiality): ✅ AES-256 + TLS 1.3 + private storage bucket + RLS
• P (Privacy): ✅ ROPA (art. 30 AVG), DPIA, DPA, privacyverklaring conform AVG

PropAI streeft naar formele SOC 2 Type II-certificering zodra de bedrijfsomvang en klantbehoefte dit rechtvaardigen. Enterprise-klanten kunnen een aantoonbaarheidsrapport opvragen conform art. 28 lid 3 sub h AVG.

Business Continuity Plan (BCP) en ICT-gereedheid (art. 32 lid 1 sub c AVG + ISO A.5.30)

Grondslag: AVG art. 32 lid 1 sub c ("het vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig te herstellen") | AVG art. 32 lid 1 sub d ("een procedure voor het op gezette tijden testen, beoordelen en evalueren van de doeltreffendheid van de technische en organisatorische maatregelen") | ISO/IEC 27001:2022 Annex A.5.29 (Informatiebeveiliging bij storingen) | ISO/IEC 27001:2022 Annex A.5.30 (ICT-gereedheid voor bedrijfscontinuïteit) | ENISA Cloud Security Guidelines 2024 | NIS2 Cbw art. 21 maatregel #3 (bedrijfscontinuïteit)

8c.1 Scope en doelstelling

Dit Business Continuity Plan beschrijft de maatregelen die PropAI neemt om de beschikbaarheid van persoonsgegevens en de continuïteit van de dienstverlening te waarborgen bij incidenten, storingen of calamiteiten. Het BCP is een passende technische en organisatorische maatregel conform AVG art. 32 lid 1 sub c en ISO 27001:2022 A.5.30.

8c.2 Risicoscenario's en herstelmaatregelen

RTO = Recovery Time Objective (maximale hersteltijd). RPO = Recovery Point Objective (maximaal acceptabel gegevensverlies).

8c.3 Back-up en herstelverificatie (ISO A.5.30 + AVG art. 32 lid 1 sub d)

• Frequentie: Dagelijkse automatische back-up door Supabase (EU Frankfurt, AES-256 versleuteld).
• Retentie: 7 dagen rolling back-up; PITR-window 7 dagen (Supabase Pro).
• Hersteltest: Halfjaarlijkse restore-test (testomgeving) om de integriteit van back-ups te bevestigen. Resultaten worden gedocumenteerd in het AVG-auditdossier.
• Deployrollback: Vercel bewaart alle productie-deploys met één-klik rollback-functionaliteit.
• Evaluatie: BCP wordt jaarlijks herzien of na een significant incident (ISO A.5.30: "regularly tested and updated").

8c.4 Communicatieprotocol bij calamiteiten

Bij een storing of calamiteit met impact op de dienstverlening aan Verhuurders:

1. Detectie (0-1u): Automatische monitoring via Supabase/Vercel dashboards en e-mailalerts.
2. Beoordeling (1-2u): Bepaal impact op beschikbaarheid persoonsgegevens en dienstverlening.
3. Melding Verhuurder (binnen 4u bij kritieke storing): E-mail via support@propai.nl met beschrijving, verwachte hersteltijd en tijdelijke maatregelen.
4. AVG-beoordeling (parallel): Is er sprake van een inbreuk op persoonsgegevens? Zo ja: datalekprocedure (art. 9) activeren — melding AP binnen 72u.
5. Herstel en nazorg: Post-mortem documentatie; lessons learned opslaan in AVG-auditdossier.

Kwetsbaarheidsbeheer en penetratietesten (ISO A.8.8 + AVG art. 32 + NIS2 Cbw maatregel #5)

Grondslag: ISO/IEC 27001:2022 Annex A.8.8 (Beheer van technische kwetsbaarheden) | AVG art. 32 lid 1 ("passende technische en organisatorische maatregelen rekening houdend met de stand van de techniek") | NIS2 Cbw art. 21 maatregel #5 (cyberhygiëne en opleiding) | OWASP Testing Guide v4.2 (2021) | ENISA Good Practices for Security of IoT and Smart Infrastructures 2022 | CVE/NVD (National Vulnerability Database) | Scrut.io ISO 27001 Penetration Testing Guide 2025

8d.1 Scope van kwetsbaarheidsbeheer

PropAI voert een gestructureerd kwetsbaarheidsbeheer uit op de volgende componenten van het platform:

• Frontend-applicatie (app.html, huurder.html, index.html) — OWASP Top 10 risico's;
• Backend API-functies (Vercel Edge Functions, Supabase Row Level Security);
• Dependencies (npm-packages, externe bibliotheken);
• Sub-verwerkers (Supabase, Vercel, OpenAI, Groq, Resend, Stripe) — via hun eigen CVE-programma's.

8d.2 Continue kwetsbaarheidsbewaking (ISO A.8.8 + NIS2 maatregel #5)

8d.3 Patchbeleid — responsetijden per ernst (ISO A.8.8 + CVSS)

PropAI hanteert responsetijden gebaseerd op de CVSS v3.1-score (Common Vulnerability Scoring System):

8d.4 Penetratietest — planning en scope (ISO A.8.8 + OWASP)

De eerste externe penetratietest is gepland voor Q4 2026. Scope en methodologie:

• Scope: Webapplicatie (app.html, huurder.html, API-endpoints), authenticatiemodule, Supabase RLS-policies, bestandsopslag (signed URLs).
• Methodologie: OWASP Testing Guide v4.2 (OWASP Top 10 2021) + PTES (Penetration Testing Execution Standard).
• Uitvoerder: Onafhankelijke externe partij met CREST- of OSCP-certificering.
• Bevindingen: Kritieke en hoge bevindingen worden verholpen vóór publicatie van het rapport. Rapport wordt opgenomen in het AVG-auditdossier.
• Frequentie: Jaarlijks, en na significante architectuurwijzigingen.

Verhuurders kunnen het samenvatting-rapport van de laatste penetratietest opvragen via privacy@propai.nl (conform art. 28 lid 3 sub h AVG — vertrouwelijke behandeling vereist).

Secure Software Development Lifecycle (Secure SDLC) — Privacy by Design en Secure by Design

Grondslag: AVG art. 25 lid 1 (gegevensbescherming door ontwerp — "privacy by design") | AVG art. 25 lid 2 (gegevensbescherming door standaardinstellingen — "privacy by default") | AVG art. 32 lid 1 (passende technische en organisatorische maatregelen) | Verordening (EU) 2024/2847 (Cyber Resilience Act) — art. 14 vulnerability disclosure van toepassing 11 september 2026; full compliance 11 december 2027 | NIS2 (Richtlijn (EU) 2022/2555) art. 21 maatregel #7 ("beveiligde softwareontwikkeling") | ENISA Privacy and Data Protection by Design (2014, methodologie) | ENISA Secure By Design and Default Playbook v0.4 (2026) | Datatilsynet (Noors DPA) Secure SDLC Guidelines | OWASP Software Assurance Maturity Model (SAMM) v3.0 | Microsoft Security Development Lifecycle (SDL)

8e.1 Juridische verankering — art. 25 AVG (Privacy by Design)

AVG art. 25 lid 1 verplicht PropAI als verwerker om zowel bij het bepalen van de middelen voor de verwerking als bij de feitelijke verwerking passende technische en organisatorische maatregelen te treffen die privacybeginselen (dataminimalisatie) doeltreffend implementeren. Dit is geen inspanningsverplichting maar een resultaatsverplichting: de maatregelen moeten aantoonbaar zijn geborgd in het ontwikkelproces.

AVG art. 25 lid 2 verplicht tot privacy by default: standaardinstellingen mogen uitsluitend de persoonsgegevens verwerken die voor het specifieke verwerkingsdoel noodzakelijk zijn. Maximale privacybescherming is de standaard, niet een optie.

Boetes voor schending van art. 25 AVG: tot €10.000.000 of 2% van de wereldwijde jaaromzet (art. 83 lid 4 AVG). Handhaving door Autoriteit Persoonsgegevens (AP) en Europese toezichthouders.

8e.2 PropAI Secure SDLC — zeven fasen

PropAI hanteert een Secure SDLC conform de ENISA Secure by Design Playbook (2026) en de Datatilsynet Secure SDLC Guidelines, geïntegreerd in het GitHub/Vercel CI-CD pipeline:

8e.3 Privacy by Default — concrete implementatie (art. 25 lid 2 AVG)

PropAI heeft de volgende privacy-by-default maatregelen structureel in het platform ingebouwd:

• Minimale datatoegang als standaard: RLS blokkeert alle cross-account toegang zonder expliciete autorisatie (auth.uid() = user_id);
• Geen tracking of profilering standaard: geen analyticscookies, geen third-party trackers;
• Sessie-expiratie: JWT-tokens verlopen automatisch — geen persistente sessies zonder herverificatie;
• AI-dataminimalisatie als standaard: AI-prompts bevatten uitsluitend geanonimiseerde gegevens — namen en e-mails worden niet naar AI-subverwerkers gezonden (zie art. 6);
• Documenten niet publiek: alle bestanden opgeslagen in een private Supabase Storage bucket met time-limited signed URLs (max. 1 uur geldigheid);
• Soft delete als standaard: verwijderde data blijft aanwezig tot de bewaartermijn verstrijkt — accidentele verwijdering is herstelbaar.

8e.4 Cyber Resilience Act — positiebepaling en deadlines

De CRA (Verordening (EU) 2024/2847) is van kracht per 10 december 2024 en is volledig van toepassing per 11 december 2027. PropAI kwalificeert als "pure SaaS" (cloud-hosted, geen lokale installatie, niet als product op de markt gebracht) en valt daarmee buiten het primaire toepassingsbereik van de CRA als "product met digitale elementen" (conform CRA art. 3 en Overweging 15; analyse DLA Piper, Technology's Legal Edge, februari 2026).

De volgende CRA-gebaseerde acties zijn desondanks proactief genomen:

• 11 september 2026 — CRA art. 14 (kwetsbaarheidsmeldingen): PropAI implementeert een intern vulnerability disclosure beleid voor actief uitgebuite kwetsbaarheden, als goede praktijk — ook al geldt de formele CRA-meldplicht niet voor pure SaaS.
• Secure-by-design als inkoopcriterium: PropAI eist van sub-verwerkers (Supabase, Vercel) dat zij CRA-compliant zijn of een gelijkwaardig beveiligingsniveau aantonen.

Dienstverleningsniveau (SLA) — Beschikbaarheid, Veerkracht en Hersteltijden

Grondslag: AVG art. 32 lid 1 sub b ("het vermogen om op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerkingssystemen en -diensten te garanderen") | AVG art. 32 lid 1 sub c ("het vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig te herstellen") | AVG art. 28 lid 3 sub c (verwerker verleent alle vereiste medewerking om te zorgen dat aan de beveiligingsvereisten wordt voldaan) | EDPB Richtsnoeren 07/2020 over verwerkersverantwoordelijke en verwerker (par. 90–99): DPA moet "specifiekere en concretere informatie" bevatten dan herhaling van de AVG-tekst | AVG art. 5 lid 1 sub f (integriteits- en vertrouwelijkheidsbeginsel)

8f.1 Beschikbaarheidsdoelstelling (SLA)

PropAI streeft naar een beschikbaarheid van minimaal 99,5% per kalendermaand (gemeten over de primaire gebruikersfuncties: inloggen, beheer panden/huurders/contracten/tickets).

8f.2 Storingscategorieën en responstijden

Incidenten kunnen worden gemeld via support@propai.nl met vermelding van het prioriteitsniveau en een beschrijving van het probleem.

8f.3 SLA-uitsluitingen (force majeure)

De beschikbaarheidsdoelstelling geldt niet voor onderbrekingen als gevolg van:

• overmacht (force majeure), waaronder infrastructuuruitval bij Supabase of Vercel buiten PropAI's invloedssfeer;
• aanvallen van buitenaf (DDoS, hacking) waarbij PropAI aantoonbaar passende beveiligingsmaatregelen had getroffen;
• handelingen of nalatigheden van de Verhuurder zelf;
• gepland onderhoud (mits tijdig gecommuniceerd).

8f.4 Monitoring en transparantie

PropAI monitort de beschikbaarheid continu via:

• Vercel deployment-dashboard (incident-notificaties per e-mail);
• Supabase database-monitoring (verbindingspool, query-latency, opslag);
• Dagelijkse AVG Compliance Scanner (functionele test kritieke endpoints).

Verhuurders kunnen de actuele status opvragen via support@propai.nl. PropAI publiceert een beschikbaarheidsrapport op verzoek van de Verhuurder conform art. 28 lid 3 sub h AVG.

Single Sign-On (SSO) en gecentraliseerd identiteitsbeheer

Grondslag: AVG art. 32 lid 1 sub b (vertrouwelijkheid, integriteit en beschikbaarheid van verwerkingssystemen) | ISO/IEC 27001:2022 Annex A.8.2 (beheer bevoorrechte toegangsrechten) | ISO/IEC 27001:2022 Annex A.8.3 (authenticatie-informatie) | ISO/IEC 27001:2022 Annex A.8.5 (veilige authenticatie) | NIST SP 800-63B (Digital Identity Guidelines, authenticatieniveaus) | Cbw art. 21 maatregel #2 (toegangsbeheer) | Aanbeveling: ENISA Guidelines on Security of Personal Data Processing (2017)

8g.1 SSO — definitie en juridisch kader

Single Sign-On (SSO) is een authenticatiemechanisme waarbij een gebruiker éénmalig inlogt via een centrale identiteitsprovider (IdP) en daarmee toegang verkrijgt tot meerdere systemen of diensten zonder herhaald inloggen. SSO is geen wettelijke verplichting onder de AVG of enige andere op PropAI van toepassing zijnde EU-regelgeving per juni 2026. SSO is een enterprise-beveiligingsfaciliteit die de beveiliging en het gebruiksgemak voor organisaties met meerdere gebruikers kan verbeteren.

8g.2 Huidige authenticatie-infrastructuur van PropAI

PropAI hanteert momenteel directe authenticatie via Supabase Auth, conform de volgende standaarden:

• Wachtwoordbeveiliging: Supabase Auth gebruikt bcrypt (cost factor 10) — wachtwoorden worden nooit in plaintext opgeslagen of verzonden;
• JWT-sessies: JSON Web Tokens met configureerbare sessie-expiratie; tokens worden geroteerd bij elke herverificatie;
• E-mail + wachtwoord authenticatie: standaard voor verhuurders en huurders;
• Rol-isolatie: scheiding verhuurder/huurder/admin op database-niveau (RLS, zie art. 8b.3);
• MFA (Multi-Factor Authenticatie): ✅ geïmplementeerd 20 juni 2026 op alle beheerplatforms (GitHub, Vercel, Supabase — inclusief organisatie-level enforcement). NIS2 art. 21(2)(j) + AVG art. 32 volledig gedekt.

8g.3 SSO-roadmap en enterprise-faciliteiten

PropAI is bereid om SSO te faciliteren voor enterprise-klanten die dit contractueel vereisen. De geplande roadmap:

8g.4 Positiebepaling: MFA prioriteit boven SSO

Conform NIST SP 800-63B (Level of Assurance 2) en ENISA-aanbevelingen geldt MFA als de effectiefste maatregel om accountcompromittering te voorkomen. Voor PropAI — met enkelvoudige inlogpunten per gebruikerstype — biedt MFA meer beveiligingswaarde dan SSO. SSO is primair relevant bij meerdere interne systemen per organisatie (federatief identiteitsbeheer), een scenario dat pas bij enterprise-klanten met meerdere beheerders relevant wordt.

Enterprise-klanten die SSO als contractuele eis stellen, kunnen dit opnemen in een aanvullende overeenkomst. PropAI verleent medewerking aan een redelijke implementatietijdlijn en zal de Verhuurder tijdig informeren over de beschikbaarheid van SSO-functionaliteit.

Meldplicht datalekken (art. 33-34 AVG)

9.1 Melding door PropAI aan Verhuurder

PropAI meldt een inbreuk op de beveiliging van persoonsgegevens zo spoedig mogelijk aan de Verhuurder, en in ieder geval binnen 48 uur nadat PropAI hiervan kennis heeft genomen. De melding bevat minimaal:

• De aard van de inbreuk;
• De categorieën en het (geschatte) aantal betrokken personen;
• De categorieën en het (geschatte) aantal betrokken records;
• De vermoedelijke gevolgen van de inbreuk;
• De getroffen of voorgestelde maatregelen.

9.2 Melding door Verhuurder aan Autoriteit Persoonsgegevens

De Verhuurder is verantwoordelijk voor het beoordelen of de inbreuk gemeld moet worden aan de Autoriteit Persoonsgegevens (binnen 72 uur, art. 33 AVG) en/of aan de betrokkenen (art. 34 AVG). PropAI verleent hierbij redelijke bijstand. De volledige datalekprocedure is beschikbaar op propai.nl/datalekprocedure.

Rechten van betrokkenen (art. 15-22 AVG)

Indien een huurder of andere betrokkene een verzoek indient bij PropAI over uitoefening van zijn rechten (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid, bezwaar), dan:

• Stuurt PropAI het verzoek onmiddellijk door aan de Verhuurder;
• Verleent PropAI redelijke technische bijstand aan de Verhuurder om het verzoek te kunnen afhandelen;
• Beantwoordt de Verhuurder het verzoek binnen 1 maand (art. 12 lid 3 AVG).

PropAI heeft in het platform een directe verwijderfunctie voor documenten beschikbaar voor de Verhuurder.

Bewaartermijnen en verwijdering van gegevens (art. 5 lid 1 sub e + art. 28 lid 3 sub g AVG)

Grondslag: art. 5 lid 1 sub e AVG (opslagbeperking) | AP richtlijn bewaren persoonsgegevens | BW art. 2:24 (bewaarplicht) | AWR art. 52 (fiscale bewaarplicht 7 jaar) | BW art. 3:310 (verjaringstermijn 5 jaar) | Law&More NL januari 2026

11.1 Bewaartermijnen per gegevenscategorie (tijdens actief gebruik)

PropAI hanteert de volgende bewaartermijnen voor persoonsgegevens tijdens de actieve dienstverlening. Gegevens worden na afloop van de termijn automatisch verwijderd of geanonimiseerd, tenzij een wettelijke bewaarplicht langer bewaren vereist.

11.2 Automatische verwijdering (technische implementatie)

PropAI streeft naar automatische verwijdering van gegevens na het verstrijken van de bewaartermijn. De huidige implementatie:

• Geüploade documenten: De Verhuurder kan documenten op elk moment handmatig verwijderen via het platform. Automatische verwijdering na 2 jaar post-huurrelatie wordt gefaseerd geïmplementeerd (Q3 2026).
• AI-risicoscores: Worden bij beëindiging huurrelatie direct geanonimiseerd in de database.
• Huurder-accounts: De Verhuurder kan huurderaccounts deactiveren en verwijderen via de beheerfunctie.

11.3 Bij beëindiging van de dienst

Na beëindiging van het PropAI-abonnement verwijdert PropAI alle persoonsgegevens van de Verhuurder en zijn huurders binnen 30 dagen, tenzij de Verhuurder binnen die periode verzoekt om retournering in CSV/JSON-formaat.

Gegevens met een lopende wettelijke bewaarplicht (zie tabel 11.1) worden na beëindiging voor de resterende wettelijke termijn bewaard in geïsoleerde opslag, zonder actieve verwerking, en daarna onherstelbaar verwijderd.

11.4 Bevestiging en recht op vergetelheid

PropAI verstrekt op verzoek van de Verhuurder een schriftelijke bevestiging van verwijdering. Bij een verzoek om vergetelheid (art. 17 AVG) van een huurder beoordeelt de Verhuurder als verwerkingsverantwoordelijke of een wettelijke bewaarplicht het verzoek beperkt. PropAI verleent technische bijstand bij de uitvoering.

EU Data Act — Overstaprecht en data-portabiliteit (Verordening (EU) 2023/2854)

Grondslag: Verordening (EU) 2023/2854 van 13 december 2023 (Dataverordening / EU Data Act) | Van toepassing vanaf 12 september 2025 | Hoofdstuk VI art. 23–31 (overstappen dataverwerkingsdiensten) | Art. 25 (contractuele bepalingen bij overstap) | Art. 23 (verbod op belemmeringen) | Art. 29 (overstapkosten) | EUR-Lex CELEX:32023R2854 | Clairfield analyse Data Act SaaS november 2025 | Hannes Snellman Digital Horizon Data Act Commentary 2025

11a.1 Toepasselijkheid op PropAI

PropAI is een aanbieder van dataverwerkingsdiensten (SaaS-platform) die persoonsgegevens verwerkt namens de Verhuurder. PropAI valt daarmee onder het toepassingsbereik van Hoofdstuk VI van de EU Data Act (art. 23–31), dat van toepassing is vanaf 12 september 2025. De bepalingen in dit artikel zijn rechtstreeks werkend EU-recht en hebben voorrang op tegenstrijdige contractuele bedingen.

11a.2 Verbod op belemmeringen bij overstap (art. 23 Data Act)

PropAI legt de Verhuurder geen commerciële, technische, contractuele of organisatorische belemmeringen op die de overstap naar een andere aanbieder van dataverwerkingsdiensten bemoeilijken of verhinderen. Verboden zijn onder meer:

• het ontoegankelijk maken van exporteerbare gegevens tijdens of na het overstapproces;
• het onredelijk verlengen van de overgangsperiode;
• het weigeren van of vertragen bij technische assistentie;
• het opleggen van uitstapkosten (zie art. 11a.5).

11a.3 Verplichte contractuele bepalingen bij overstap (art. 25 lid 2 Data Act)

Conform art. 25 lid 2 van de EU Data Act bevat deze overeenkomst de volgende verplichte bepalingen:

11a.4 Exporteerbare gegevens en digitale assets (art. 25 lid 2 sub e)

De volgende gegevenscategorieën zijn exporteerbaar in machineleesbaar formaat (CSV/JSON/PDF):

• Pand- en vastgoedgegevens — adressen, kenmerken, status, notities;
• Huurdergegevens — namen, contactgegevens, contractstatus (anonimiseerbaar op verzoek);
• Huurcontracten — volledige contractinhoud, digitale handtekeningen, bijlagen (PDF);
• Betalingsoverzichten — huurbetalingen, status, facturen;
• Onderhoudsmeldingen en tickets — beschrijving, categorie, status, afhandelingshistorie;
• Documenten — plaatsbeschrijvingen, inspecties, geüploade bestanden (via signed download URLs);
• Leads — contactgegevens, type, status, notities;
• AI-rapportages en risicoscores — gegenereerde rapporten in PDF-formaat.

Interne configuratiedata specifiek voor de PropAI-architectuur (databaseschema, interne logging, beveiligingssleutels) is uitgezonderd van de export conform art. 25 lid 2 sub f Data Act, voor zover openbaarmaking een risico op schending van bedrijfsgeheimen oplevert en de overstap niet belemmert.

11a.5 Overstapkosten (art. 29 Data Act)

Op grond van art. 29 van de EU Data Act geldt het volgende regime voor overstapkosten:

• Tot 12 september 2027: PropAI brengt geen overstapkosten in rekening. Dit is een wettelijk verbod.
• Vanaf 12 september 2027: PropAI mag uitsluitend marginale overstapkosten in rekening brengen — dit zijn de daadwerkelijk gemaakte kosten voor de data-overdracht, zonder winstopslag. PropAI publiceert een transparant kostenoverzicht vóór het initiëren van het overstapproces.

Aansprakelijkheid

PropAI is aansprakelijk voor schade die het gevolg is van een verwerkingsactiviteit waarbij PropAI niet heeft voldaan aan de specifiek op verwerkers gerichte verplichtingen van de AVG, of waarbij PropAI buiten de rechtmatige instructies van de Verhuurder heeft gehandeld (art. 82 lid 2 AVG).

PropAI is niet aansprakelijk als zij aantoont dat haar geen schuld treft voor de schadeveroorzakende gebeurtenis (art. 82 lid 3 AVG).

Wijzigingen en looptijd

PropAI kan deze verwerkersovereenkomst aanpassen bij wetswijzigingen of operationele noodzaak. Verhuurders worden minimaal 30 dagen van tevoren per e-mail geïnformeerd. Voortgezet gebruik na de ingangsdatum geldt als akkoord.

Bij substantiële wijzigingen die de rechten van betrokkenen beïnvloeden, heeft de Verhuurder het recht de overeenkomst te beëindigen zonder kosten.

Toepasselijk recht en geschillen

Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Amsterdam, tenzij partijen overeenkomen het geschil via mediation te beslechten.

De Autoriteit Persoonsgegevens is de bevoegde toezichthoudende autoriteit (art. 51 AVG): www.autoriteitpersoonsgegevens.nl