Verwerkersovereenkomst

De spiekbrief voor je FG

Deze pagina vat de verwerkersovereenkomst samen die ColPort elke klant aanbiedt onder artikel 28 van de AVG. Vraag de volledige tekst op voordat de inkoop wordt afgerond, zodat de vragen van uw FG vroeg op tafel liggen.

Laatst bijgewerkt: 10 oktober 2026

De rollen

Verwerkingsverantwoordelijke + verwerker, geen onduidelijkheid

Jij (de klant) bent de verwerkingsverantwoordelijke. Jij bepaalt welke leergegevens worden verzameld, waarom, en wie ze ziet. ColPort B.V. is de verwerker, wij verwerken persoonsgegevens uitsluitend volgens jouw schriftelijke instructies. Inn-experts die via het platform worden ingezet, zijn jouw subverwerkers voor de duur van hun opdracht (ColPort faciliteert de doorwerking van de verwerkersovereenkomst).

Kernverplichtingen

Waar wij ons toe verbinden

Uitsluitend schriftelijke instructies

We verwerken persoonsgegevens uitsluitend op basis van jouw schriftelijke instructies, vastgelegd in de MSA en de platformconfiguratie. Elke uitbreiding van de reikwijdte vereist een nieuwe schriftelijke instructie.

Doelbinding

Cursistgegevens worden uitsluitend gebruikt om de diensten onder jouw abonnement te leveren. We gebruiken ze nooit om AI van derden te trainen, advertentienetwerken te verrijken of concurrerende producten te bouwen.

Vertrouwelijkheid

Iedereen die aan ColPort werkt en toegang heeft tot persoonsgegevens, is gebonden aan geheimhouding.

Medewerking aan jouw verplichtingen

We helpen u bij het beantwoorden van verzoeken van betrokkenen, vragen van een toezichthouder en DPIA's.

Beveiligingsmaatregelen

Bijlage II, technische en organisatorische maatregelen (TOM's)

Versleuteling

Alleen HTTPS, met HSTS. Telefoonnummers worden versleuteld opgeslagen met een eigen sleutel. Clientgeheimen voor SSO en Mill-sleutels worden AES-256-GCM-versleuteld opgeslagen. Wachtwoorden worden als bcrypt-hash opgeslagen.

Toegangscontrole

Elk verzoek wordt in de applicatie gecontroleerd op de organisatie en de rol van de persoon, en elke query wordt beperkt tot die organisatie.

Audittrail met hashketen

Compliancegebeurtenissen worden per organisatie in een hashketen vastgelegd, zodat een gewijzigde of verwijderde rij de keten breekt.

Meldingen van kwetsbaarheden

Beveiligingsonderzoekers melden problemen aan security@colport.io, volgens het beleid in het trustcenter.

Subverwerkers

Bijlage III, geautoriseerde subverwerkers

Elke externe dienst waar de code van het platform persoonsgegevens naartoe kan sturen, en wanneer dat gebeurt. Een dienst die voor deze installatie niet aanstaat, ontvangt niets.

Subverwerkers
Dienst	Persoonsgegevens die de dienst ontvangt	Waar	Gebruikt wanneer
Hetzner Hetzner Online GmbH De server waarop Hall en Inn draaien: de applicatie, de database, de bestandsopslag en de achtergrondtaken.	Alles wat het platform bewaart.	Duitsland Binnen de EU	Altijd.
Resend Resend, Inc. Verstuurt de e-mails van het platform.	De naam en het e-mailadres van de ontvanger, en de e-mail zelf.	Verenigde Staten Gegevens kunnen de EU verlaten, onder de EU-modelcontractbepalingen (2021/914)	Wanneer deze installatie e-mail verstuurt.
Anthropic (Claude) Anthropic PBC Schrijft AI-concepten en beantwoordt de AI-assistenten.	De tekst die naar een AI-functie gaat: opdrachten, cursusmateriaal en wat iemand typt. E-mailadressen, telefoonnummers, IBAN's, kaartnummers en BSN-achtige nummers worden eerst vervangen; namen niet.	Verenigde Staten Gegevens kunnen de EU verlaten, onder de EU-modelcontractbepalingen (2021/914)	Wanneer een organisatie AI heeft aanstaan en Anthropic haar AI-aanbieder is, de standaard.
Mistral Mistral AI SAS Schrijft AI-concepten en beantwoordt de AI-assistenten, binnen de EU.	De tekst die naar een AI-functie gaat, met dezelfde nummers en adressen eerst vervangen.	Frankrijk Binnen de EU	Wanneer een organisatie Mistral als AI-aanbieder kiest.
Voyage AI Voyage AI Zet cursustekst om in zoekvectoren voor de zoekfunctie van Inn en de cursuscoach.	Cursustekst, en de vragen die cursisten aan de cursuscoach stellen.	Verenigde Staten Gegevens kunnen de EU verlaten, onder de EU-modelcontractbepalingen (2021/914)	Wanneer semantisch zoeken aanstaat, en alleen voor organisaties met Anthropic als AI-aanbieder.
Google Cloud Translation Google Cloud EMEA Limited Vertaalt cursustekst machinaal.	De cursustekst die wordt vertaald.	Verenigde Staten Gegevens kunnen de EU verlaten, onder de EU-modelcontractbepalingen (2021/914)	Wanneer machinaal vertalen aanstaat.
CM.com CM.com Netherlands B.V. Verstuurt sms-berichten.	Het telefoonnummer en het bericht.	Nederland Binnen de EU	Wanneer een organisatie training per sms verstuurt.
Twilio Twilio Inc. Verstuurt een sms als CM.com dat niet kan.	Het telefoonnummer en het bericht.	Verenigde Staten Gegevens kunnen de EU verlaten, onder de EU-modelcontractbepalingen (2021/914)	Wanneer CM.com niet is ingesteld of een bericht niet kan versturen.
Sentry Functional Software, Inc. Verzamelt foutrapporten zodat we fouten kunnen oplossen.	Technische details van een fout. E-mailadressen, IP-adressen en cookies worden verwijderd voordat een rapport wordt verstuurd.	Verenigde Staten Gegevens kunnen de EU verlaten, onder de EU-modelcontractbepalingen (2021/914)	Wanneer foutrapportage aanstaat.
Stripe Stripe Payments Europe, Limited Verwerkt betalingen voor cursussen en abonnementen op Inn.	De naam, het e-mailadres en de betaalgegevens van de koper.	Ierland Gegevens kunnen de EU verlaten, onder de EU-modelcontractbepalingen (2021/914)	Wanneer iemand betaalt voor een cursus of abonnement op Inn.

We laten klanten 30 dagen van tevoren weten dat we een subverwerker toevoegen of vervangen, en u kunt in die periode bezwaar maken.

Niet op deze lijst: de eigen inlogdienst van uw organisatie, die uw organisatie zelf kiest; video's die uw organisatie insluit van YouTube of Vimeo, die pas laden als een cursist op afspelen drukt en die in de privacyverklaring van uw organisatie staan; en de pushdiensten van browsers, die een pushbericht versleuteld doorgeven zodat ze het niet kunnen lezen.

Meldingsplicht bij datalekken

Wat er gebeurt als er iets misgaat

Melding binnen 48 uur

We melden een inbreuk in verband met persoonsgegevens die uw gegevens raakt zonder onredelijke vertraging aan uw aangewezen contactpersoon, en binnen 48 uur nadat we ervan op de hoogte zijn, binnen de 72 uur die de AVG u geeft.

Volledige evaluatie binnen 14 dagen

Gedocumenteerde hoofdoorzaak, omvang, herstelmaatregelen en preventieve acties. Gereed voor verdere melding aan de toezichthouder en betrokkenen.

Medewerking aan jouw onderzoek

We delen bewijs, uittreksels uit het hash-gekoppelde logboek en toegang op engineeringniveau om je onderzoek te ondersteunen. We verschuilen ons niet achter het label verwerker.

Internationale overdrachten

Modelcontractbepalingen 2021/914

Enkele subverwerkers verwerken gegevens buiten de EU; de lijst hierboven zegt welke. Die doorgiften berusten op de modelcontractbepalingen van de Europese Commissie (Besluit 2021/914) in de verwerkersvoorwaarden van elke aanbieder.

De getekende verwerkersovereenkomst nodig voor inkoop?

Vraag de volledige verwerkersovereenkomst op via dpo@colport.io.

Demo aanvragen