← Terug naar Timo

Verwerkersovereenkomst Timo AI

Versie 1.5 — 15 september 2026

Verwerker: Timo Intelligence B.V. (Timo AI), KvK 42163308, Bijsterhuizen 2513, 6604 LM Wijchen, Nederland — info@timointelligence.nl

Deze Verwerkersovereenkomst geldt tussen de Klant (Verwerkingsverantwoordelijke) en Timo AI (Verwerker) wanneer de Klant de dienst Timo AI gebruikt om persoonsgegevens van derden te laten verwerken.

De afspraken vloeien voort uit artikel 28 van de Algemene Verordening Gegevensbescherming (AVG) en horen bij de Algemene Voorwaarden en de Privacyverklaring van Timo AI.

Door Timo AI te gebruiken voor het verwerken van persoonsgegevens van derden, aanvaardt de Klant deze standaard Verwerkersovereenkomst. Organisaties die een ondertekend exemplaar nodig hebben, vullen de gegevens van de Verwerkingsverantwoordelijke in, ondertekenen en sturen het document naar info@timointelligence.nl.

Artikel 1. Definities

• AVG: de Algemene Verordening Gegevensbescherming (EU) 2016/679.
• Verwerkingsverantwoordelijke / Klant: de organisatie of persoon die Timo AI inzet en doeleinden en middelen van de verwerking bepaalt.
• Verwerker / Timo AI: Timo Intelligence B.V. (handelend onder de naam Timo AI), KvK 42163308, gevestigd te Bijsterhuizen 2513, 6604 LM Wijchen, Nederland, bereikbaar via info@timointelligence.nl en www.timoai.nl.
• Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon die de Klant via de Dienst laat verwerken.
• Dienst: de SaaS-omgeving Timo AI, waaronder chat, documenten, notities, vergaderingen, media, presentaties, teamfuncties en optionele koppelingen die de Klant zelf aanzet.
• Subverwerker: een derde die in opdracht van Timo AI persoonsgegevens verwerkt.
• Datalek: een inbreuk in verband met persoonsgegevens als bedoeld in artikel 4 lid 12 AVG.

Artikel 2. Onderwerp, aard, doel en duur

Timo AI verwerkt persoonsgegevens uitsluitend om de Dienst te leveren: opslaan, tonen, doorzoeken, samenvatten, genereren van output en uitvoeren van door de Klant gegeven opdrachten in de applicatie.

De aard van de verwerking is geautomatiseerde verwerking in een cloudomgeving, inclusief AI-verwerking via Google Cloud Vertex AI.

De verwerking duurt zolang de Klant een account heeft, plus de hieronder genoemde bewaartermijn voor back-ups na wissen of beëindiging.

Timo AI verwerkt geen persoonsgegevens voor eigen marketing, werving of profilering van betrokkenen van de Klant, en traint geen eigen AI-modellen op de inhoud van de Klant. Google verwerkt invoer in een enterprise-omgeving zonder training op de inhoud van de Klant.

Artikel 3. Categorieën van betrokkenen en persoonsgegevens

De Klant bepaalt welke gegevens hij invoert. Timo AI heeft geen zeggenschap over de inhoud van chats, bestanden of koppelingen van de Klant.

• Betrokkenen: medewerkers en gebruikers van de Klant, en derden van wie de Klant gegevens invoert (zoals cliënten, patiënten, leveranciers, relaties of gesprekspartners).
• Accountgegevens: naam, e-mailadres, inloggegevens, teamlidmaatschap, rollen, tegoeden en instellingen.
• Inhoudelijke gegevens: prompts, chats, bijlagen, notities, vergaderverslagen, presentaties, gegenereerde output en vergelijkbare content die de Klant opslaat.
• Optionele koppelingen: gegevens uit bijvoorbeeld Microsoft 365 (mail, agenda, bestanden) die de Klant zelf verbindt en ophaalt.
• Technische gegevens die nodig zijn voor beveiliging en levering van de Dienst (zoals sessie- en beveiligingslogs), voor zover die persoonsgegevens bevatten.

Artikel 4. Bijzondere persoonsgegevens en zorggebruik

De Dienst is een administratief hulpmiddel en geen medisch hulpmiddel in de zin van de MDR. Timo AI stelt geen diagnoses en neemt geen behandelbeslissingen.

Als de Klant bijzondere persoonsgegevens invoert (zoals gezondheidsgegevens), blijft de Klant verantwoordelijk voor een geldige grondslag, waaronder artikel 9 AVG, en voor minimisatie, autorisatie en controle van de output.

De Klant mag de Dienst niet gebruiken als enige bron voor medische, juridische of financiële beslissingen. Output kan onjuistheden bevatten. Menselijke controle is verplicht.

Artikel 5. Instructies van de Verwerkingsverantwoordelijke

Timo AI verwerkt persoonsgegevens alleen op basis van gedocumenteerde instructies van de Klant. Die instructies bestaan uit deze overeenkomst, de productinstellingen van de Klant en redelijke schriftelijke aanwijzingen via info@timointelligence.nl.

Timo AI informeert de Klant onverwijld als een instructie naar haar oordeel in strijd is met de AVG of ander recht. Timo AI mag die instructie dan opschorten totdat de Klant de instructie aanpast of schriftelijk bevestigt.

Timo AI gebruikt invoer en uitvoer van de Klant niet om eigen AI-modellen te trainen. Voor het genereren van output stuurt Timo AI de nodige invoer door naar Google Cloud Vertex AI. Die enterprise-omgeving gebruikt de inhoud van de Klant niet om modellen te trainen. De Klant bepaalt welke gegevens hij invoert en is daar verantwoordelijk voor.

Artikel 6. Beveiliging

Timo AI neemt passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG, afgestemd op de aard van de Dienst. De maatregelen staan in bijlage 3 en omvatten in ieder geval:

• Versleuteling van verkeer (TLS) en versleuteling van gegevens in de database.
• Logische scheiding tussen klantomgevingen (row level security) zodat een klant geen toegang heeft tot data van een andere klant.
• Toegangsbeheer, minimale autorisaties en logging van beheeracties.
• Hosting en opslag van klantdata in datacenters in de Europese Unie (Ierland), voor zover hieronder niet anders vermeld.
• Automatische back-ups (point-in-time recovery) met een vaste overschrijftermijn.

Artikel 7. Geheimhouding

Timo AI zorgt dat personen die namens haar persoonsgegevens verwerken tot geheimhouding zijn verplicht, contractueel of uit hoofde van een wettelijke plicht.

Timo AI verstrekt persoonsgegevens niet aan derden, behalve aan goedgekeurde subverwerkers, op schriftelijke instructie van de Klant, of wanneer een wettelijk voorschrift dat verplicht. Bij een wettelijk verzoek informeert Timo AI de Klant vooraf, tenzij dat rechtens niet is toegestaan.

Artikel 8. Subverwerkers

De Klant verleent algemene schriftelijke toestemming voor het inschakelen van de subverwerkers in bijlage 2.

Timo AI blijft verantwoordelijk voor de nakoming door subverwerkers van de verplichtingen uit deze overeenkomst. Met iedere subverwerker sluit Timo AI een schriftelijke overeenkomst die minstens dezelfde bescherming biedt.

Timo AI mag een subverwerker vervangen of toevoegen. Zij informeert de Klant vooraf via de Privacyverklaring, deze overeenkomst of een bericht aan het account. De Klant kan binnen 14 dagen gemotiveerd bezwaar maken. Bij gegrond bezwaar zoeken partijen een redelijk alternatief. Lukt dat niet, dan kan de Klant het getroffen onderdeel van de Dienst beëindigen zonder dat Timo AI tot schadevergoeding verplicht is voor die beëindiging.

Artikel 9. Internationale doorgifte

Klantdata wordt opgeslagen in de Europese Unie. Sommige subverwerkers zijn van origine gevestigd buiten de EU (onder meer de Verenigde Staten).

Doorgifte buiten de EER vindt alleen plaats met een geldige grondslag uit hoofdstuk V AVG, zoals een adequaatheidsbesluit of standaardcontractbepalingen, plus aanvullende waarborgen waar nodig.

De Klant machtigt Timo AI om namens de Klant de voor die doorgifte nodige afspraken met subverwerkers te maken, voor zover die strikt nodig zijn om de Dienst te leveren.

Artikel 10. Rechten van betrokkenen en bijstand

De Klant is het aanspreekpunt voor betrokkenen. Timo AI helpt de Klant, voor zover redelijk en mogelijk via de Dienst, bij verzoeken tot inzage, rectificatie, wissing, beperking, overdraagbaarheid of bezwaar.

Ontvangt Timo AI een verzoek rechtstreeks van een betrokkene, dan verwijst zij de betrokkene naar de Klant en informeert zij de Klant, tenzij dat rechtens niet is toegestaan.

Timo AI ondersteunt de Klant verder bij verplichtingen uit de artikelen 32 tot en met 36 AVG (beveiliging, datalekken, gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging), rekening houdend met de aard van de verwerking en de informatie die Timo AI redelijkerwijs heeft.

Artikel 11. Datalekken

Timo AI meldt een datalek onverwijld aan de Klant, en in ieder geval binnen 48 uur nadat Timo AI ervan kennis heeft genomen, via het bij het account bekende e-mailadres of info@timointelligence.nl als terugval.

De melding bevat, voor zover bekend: de aard van het incident, de betrokken categorieën gegevens en betrokkenen, waarschijnlijke gevolgen, genomen of voorgestelde maatregelen, en een contactpunt.

Timo AI documenteert incidenten intern en werkt mee aan de beoordeling of de Klant de Autoriteit Persoonsgegevens of betrokkenen moet informeren. De wettelijke meldplicht aan de AP en aan betrokkenen ligt bij de Klant, tenzij partijen schriftelijk anders afspreken.

Artikel 12. Audit en verantwoording

Timo AI stelt de Klant de informatie ter beschikking die nodig is om nakoming van artikel 28 AVG aan te tonen, waaronder deze overeenkomst, de Privacyverklaring en een redelijke schriftelijke toelichting op beveiliging.

De Klant mag hoogstens eenmaal per kalenderjaar een audit laten uitvoeren, plus extra bij een concreet, schriftelijk onderbouwd vermoeden van een ernstige tekortkoming. Eerst wordt een schriftelijke vragenlijst gebruikt. Een verdergaande controle (inclusief inspectie op locatie van Timo AI of een subverwerker) alleen als de vragenlijst onvoldoende is, met minimaal 30 dagen vooraankondiging, onder geheimhouding, zonder onevenredige verstoring, en zonder toegang tot data van andere klanten.

Kosten van een audit draagt de Klant, tenzij uit de audit een wezenlijke toerekenbare tekortkoming van Timo AI blijkt.

Artikel 13. Wissen, teruggeven en bewaartermijn

De Klant kan inhoudelijke data (chats, agents, invoer) zelf wissen via de instellingen. Wissen is onherroepelijk. Accountgegevens en tegoeden blijven daarbij in beginsel behouden.

Na beëindiging van de Dienst verwijdert Timo AI de inhoudelijke persoonsgegevens van de Klant, of geeft deze terug in een gangbaar formaat als de Klant dat schriftelijk vraagt voordat het account is gesloten, tenzij een wettelijke bewaarplicht zich daartegen verzet.

Back-ups worden na een vaste termijn overschreven. Verwijderde data verdwijnt daarmee ook uit back-upsystemen. Timo AI is niet verplicht oneindig exportkopieën te bewaren.

Artikel 14. Aansprakelijkheid

Iedere partij is aansprakelijk volgens de AVG voor schade die het gevolg is van haar eigen verwerking. Timo AI is niet aansprakelijk voor onjuiste, onvolledige of onrechtmatige gegevens die de Klant invoert, noch voor output die de Klant zonder controle gebruikt.

Voor het overige geldt de aansprakelijkheidsregeling uit de Algemene Voorwaarden van Timo AI, inclusief de daarin opgenomen beperkingen, voor zover dwingend recht dat toelaat.

Artikel 15. Duur, wijziging en slot

Deze overeenkomst geldt zolang Timo AI voor de Klant persoonsgegevens verwerkt en eindigt van rechtswege na afronding van wissen of teruggeven volgens artikel 13, onverminderd verplichtingen die naar hun aard doorlopen (geheimhouding, bewijs van wissen).

Timo AI mag deze standaardovereenkomst wijzigen als wetgeving, subverwerkers of de Dienst dat nodig maken. De actuele versie staat op www.timoai.nl/verwerkersovereenkomst. Ingrijpende wijzigingen worden redelijk van tevoren bekendgemaakt. Voortgezet gebruik na de ingangsdatum geldt als aanvaarding, tenzij de Klant de Dienst beëindigt.

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de Rechtbank Gelderland, locatie Arnhem.

Als een bepaling nietig of onuitvoerbaar is, blijven de overige bepalingen in stand. Partijen vervangen de bepaling door een geldige regeling die de bedoeling zo dicht mogelijk benadert.

Bijlage 1. Specificatie van de verwerking

Onderwerp: levering van de AI-assistent Timo AI als SaaS.

Doeleinden: uitvoering van de overeenkomst met de Klant; verwerken van door de Klant aangeboden content; beveiliging, storingsoplossing en wettelijke plichten.

Verwerkingen: opslaan, structureren, raadplegen, wijzigen, wissen, genereren van output, en doorgeven aan subverwerkers die nodig zijn voor hosting en AI-verwerking.

Locatie opslag: Europese Unie (Ierland), tenzij een door de Klant aangezette koppeling gegevens bij die derde (bijvoorbeeld Microsoft 365 van de Klant) ophaalt of toont.

Bijlage 2. Subverwerkers

De Klant machtigt de volgende subverwerkers. De actuele toelichting staat ook in de Privacyverklaring.

• Supabase en Amazon Web Services (AWS): database, authenticatie, opslag en serverfuncties. Regio: EU-West / Ierland.
• Google Cloud Vertex AI: AI-verwerking van prompts en output, zonder training op de inhoud van de Klant.
• Vercel: webhosting van de applicatie.
• Google Fonts: levering van de lettertypen Inter, Lexend en Caveat, zonder tracking-account van Timo AI.
• Microsoft: alleen als de Klant zelf een Microsoft 365-koppeling aanzet. Timo AI haalt dan in opdracht van de Klant de gevraagde gegevens op. Microsoft blijft verwerker of verantwoordelijke van de Klant voor diens eigen tenant.

Bijlage 3. Beveiligingsmaatregelen

• Transportbeveiliging: TLS op verbindingen tussen het apparaat van de gebruiker en de Dienst.
• Opslagbeveiliging: versleuteling van gegevens in de database (AES-256 of gelijkwaardig bij de hostingpartij).
• Scheiding: row level security en teamautorisaties zodat toegang beperkt blijft tot de eigen omgeving van de Klant.
• Toegang: beheertoegang tot productiesystemen is beperkt tot personen die dat voor hun taak nodig hebben.
• Weerbaarheid: automatische back-ups en herstelprocedures bij storingen.
• AI-beleid: gebruik van Google Cloud Vertex AI; geen training op klantdata.
• Privacy by design: de Klant kan inhoudelijke data zelf wissen; wissen is definitief in de productiedatabase.
• Geen cookiemeting of advertentienetwerken in de Dienst voor trackingdoeleinden.

Ondertekening

Voor organisaties die een getekend exemplaar archiveren. Timo AI aanvaardt terugzending per e-mail naar info@timointelligence.nl als geldige ondertekening van deze versie. Ontbreekt een handtekening, dan geldt de aanvaarding door gebruik van de Dienst zoals in de inleiding.