Verwerkersovereenkomst Cooper

Versie: 1.6 Versiedatum: 2 augustus 2026 Status: Alfa-versie — geldig voor de gesloten testfase van Cooper

In één oogopslag

• Wat is dit? Een verwerkersovereenkomst (DPA) zoals voorgeschreven door artikel 28 van de Algemene Verordening Gegevensbescherming (AVG). Het regelt hoe Cooper in uw opdracht persoonsgegevens van úw klanten verwerkt.
• Tussen wie? U (de vakman, verwerkingsverantwoordelijke) en The Apex Group BV (Cooper, verwerker).
• Waarover? De gegevens van de klanten, opdrachten, facturen en offertes die u in Cooper invoert. Niet over uw eigen account-gegevens (daarvoor is Cooper zelf verwerkingsverantwoordelijke — zie de Privacyverklaring).
• Aanvaarding: door op “Akkoord en doorgaan” te tikken in stap 5 van de onboarding, aanvaardt u zowel deze Verwerkersovereenkomst als de Privacyverklaring en de Algemene Voorwaarden.
• Wijzigingen subverwerkers: 30 dagen vooraankondiging via e-mail/banner.
• Datalek-meldingsplicht: binnen 72 uur na ontdekking aan u via e-mail.
• Contact: info@getcooper.ai.

1. Partijen

1.1 De Verwerkingsverantwoordelijke (hierna ook: “u” of “de Klant”)

De zelfstandige ondernemer die houder is van een Cooper-account, die met behulp van Cooper persoonsgegevens van zijn eigen klanten, prospecten, leveranciers en andere zakelijke contacten beheert. U bent de verwerkingsverantwoordelijke in de zin van artikel 4(7) AVG voor deze gegevens.

1.2 De Verwerker (hierna ook: “Cooper” of “wij”)

The Apex Group BV Wandelaarstraat 25, 3080 Tervuren, België KBO-nummer: 0747.669.268 BTW-nummer: BE 0747.669.268 Wettelijk vertegenwoordigd door Thijs Vandekerckhove Privacy- en DPO-contact: info@getcooper.ai

Cooper is verwerker in de zin van artikel 4(8) AVG voor de in artikel 3 omschreven verwerkingen.

1.3 Voorrang en samenhang met andere documenten

Deze Verwerkersovereenkomst maakt integraal deel uit van de Algemene Voorwaarden tussen u en Cooper en moet samen met de Privacyverklaring worden gelezen. In geval van tegenstrijdigheid tussen deze drie documenten met betrekking tot de verwerker-verantwoordelijke-relatie, prevaleert deze Verwerkersovereenkomst.

2. Definities

Voor de begrippen “persoonsgegevens”, “verwerking”, “verwerkingsverantwoordelijke”, “verwerker”, “betrokkene”, “inbreuk in verband met persoonsgegevens” en aanverwante termen wordt verwezen naar de definities van artikel 4 AVG.

Bijkomende definities:

• “Gebruikersgegevens”: alle persoonsgegevens van uw eigen klanten, prospecten, leveranciers en andere natuurlijke personen die u in Cooper invoert, importeert, of laat genereren — met inbegrip van naam, adres, GPS-coördinaten, telefoonnummer, e-mailadres, BTW-nummer, vrije notities, opdrachtgegevens, factuurregels en offertes.
• “Subverwerker”: een door Cooper aangestelde derde verwerker die in opdracht van Cooper een deel van de Gebruikersgegevens verwerkt (zie sectie 6 voor de actuele lijst).
• “AVG”: Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens (Algemene Verordening Gegevensbescherming).
• “Belgische Kaderwet”: de Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens.
• “GBA”: de Belgische Gegevensbeschermingsautoriteit (Drukpersstraat 35, 1000 Brussel).
• “De Diensten”: de Cooper-applicatie — zowel de mobiele app als de webversie — en alle bijhorende functies zoals omschreven in de Algemene Voorwaarden. Beide werken op dezelfde gegevens; de spraakassistent is uitsluitend in de mobiele app beschikbaar.
• “Kring”: de groep gebruikers die u als houder van het bedrijfsaccount toevoegt en die daardoor toegang krijgt tot een deel van uw Gebruikersgegevens (zie sectie 5.5).

3. Voorwerp, aard en duur van de verwerking

3.1 Voorwerp

Cooper verwerkt Gebruikersgegevens uitsluitend om u in staat te stellen de Diensten te gebruiken voor uw beroepsactiviteit als zelfstandige Belgische vakman: klantbeheer, opdrachtbeheer, voorraadbeheer, opmaak en verzending van facturen en offertes, AI-stem-assistent, optionele Google Calendar/Gmail-koppelingen, en synchronisatie van deze gegevens tussen uw toestel(en) en de cloud.

3.2 Aard van de verwerking

De verwerking omvat geautomatiseerde handelingen zoals: opslag op uw toestel (lokale versleutelde SQLite-databank), opslag in de cloud (Supabase Postgres in eu-west-1), back-up en synchronisatie, generatie en verzending van factuur- en offerte-PDF’s, real-time AI-spraakverwerking bij Google (zie 5.4 voor de plaats van verwerking), en delen met de in sectie 6 vermelde Subverwerkers voor zover noodzakelijk om de Diensten te leveren.

Twee verwerkingen verdienen bijzondere vermelding omdat zij gegevens buiten uw eigen toestel of buiten uw eigen gebruikersaccount brengen:

• Gedeelde toegang binnen een kring — voegt u kringleden toe, dan kunnen zij een deel van uw Gebruikersgegevens raadplegen en bewerken. Sectie 5.5 beschrijft precies welke gegevens dat zijn.
• Agenda-synchronisatie op onze servers — heeft u de Google-Agenda-koppeling geactiveerd, dan plaatst Cooper geplande opdrachten in uw agenda vanaf onze eigen servers, ook wanneer uw toestel uit staat. Bestaat er een kring, dan gebeurt dat voor de agenda van elk kringlid aan wie de opdracht toebehoort.

3.3 Doeleinden

De Gebruikersgegevens worden uitsluitend verwerkt voor de doeleinden die u voor uw beroepsactiviteit nastreeft, zoals door uw gebruik van de Diensten in concreto worden bepaald (bv. het opmaken van een factuur voor een specifieke klant, het registreren van werkuren op een specifieke werf, het versturen van een offerte). Cooper verwerkt deze gegevens niet voor eigen doeleinden zoals direct marketing, profilering of training van algemene AI-modellen.

3.4 Categorieën van betrokkenen

De betrokkenen op wie de Gebruikersgegevens betrekking hebben, omvatten typisch:

• de natuurlijke personen die uw klanten zijn, ongeacht of het particulieren of contactpersonen bij zakelijke klanten zijn;
• de natuurlijke personen die u als prospect, leverancier, of zakelijke contactpersoon registreert (waaronder de boekhouder die u optioneel als BCC-ontvanger instelt voor uw uitgaande facturen);
• bystanders die zichtbaar of hoorbaar aanwezig zijn op of rond een werf (in zoverre een voice-sessie hun stem incidenteel doorstreamt naar het AI-model van Google — zie sectie 5.4 voor de plaats van verwerking en de voorzorgen).

3.5 Categorieën van persoonsgegevens

3.6 Bijzondere categorieën (artikel 9 AVG) en strafrechtelijke gegevens (artikel 10 AVG)

Cooper is niet ontworpen voor de verwerking van bijzondere categorieën of strafrechtelijke gegevens. U verbindt zich er overeenkomstig artikel 6.2 van de Algemene Voorwaarden toe deze gegevens niet in vrij-tekst velden in te voeren.

3.7 Duur

Deze Verwerkersovereenkomst gaat in op het ogenblik van uw aanvaarding (zie sectie 4.1 van de Algemene Voorwaarden) en blijft van kracht zolang u over een actief Cooper-account beschikt. De Verwerkersovereenkomst eindigt automatisch bij beëindiging van uw account, onverminderd de verplichtingen uit sectie 11 van deze Verwerkersovereenkomst.

4. Verwerkingsinstructies

4.1 Cooper handelt op uw instructie

Cooper verwerkt de Gebruikersgegevens uitsluitend op basis van uw gedocumenteerde instructies, zoals deze zich manifesteren in:

• uw effectieve gebruik van de Diensten (elke handeling die u in de app uitvoert, hetzij via de UI, hetzij via de stem-assistent, geldt als een instructie tot verwerking);
• de configuratie en instellingen die u in Cooper heeft gekozen (waaronder de optionele Google Calendar/Gmail-koppelingen en de boekhouder-BCC);
• deze Verwerkersovereenkomst en de Algemene Voorwaarden.

4.2 Strijdigheid met het Unierecht of het Belgisch recht

Indien Cooper meent dat een instructie van u in strijd is met de AVG of met andere bepalingen van het Unierecht of het Belgisch recht, brengt Cooper u hiervan onmiddellijk op de hoogte en kan zij weigeren de instructie uit te voeren tot het probleem is opgehelderd.

4.3 Geen verwerking voor eigen doeleinden

Cooper gebruikt de Gebruikersgegevens niet voor eigen doeleinden, in het bijzonder niet voor:

• direct marketing of klantwerving naar uw eigen klanten;
• profilering of geautomatiseerde besluitvorming met rechtsgevolg in de zin van artikel 22 AVG;
• het trainen van algemene AI-modellen (het Data Processing Addendum van Google Cloud verbiedt dit contractueel, en Cooper gebruikt een betaalde sleutel zodat die garantie op elk verwerkingspad geldt — zie 5.4 en 6.2);
• doorverkoop, verhuur of commercieel hergebruik aan derden.

5. Verplichtingen van Cooper als verwerker

5.1 Confidentialiteit

Cooper draagt er zorg voor dat de personen die binnen Cooper toegang hebben tot Gebruikersgegevens gehouden zijn aan geheimhouding, hetzij wettelijk, hetzij contractueel.

Tijdens de Alfa-fase is de toegangskring binnen Cooper beperkt tot personeel met een legitieme reden — voornamelijk debugging, klantondersteuning en kost- en stabiliteitsmonitoring van de stem-assistent. Voor stem-telemetrie (sessie-tellers, geen audio en geen transcripten) gebeurt deze toegang via een interne service-rol bij Supabase. Cooper verbindt zich ertoe audit-logs te activeren op deze administratieve toegangen, zodat interne raadplegingen achteraf herleidbaar blijven.

5.2 Beveiligingsmaatregelen (artikel 32 AVG)

Rekening houdend met de stand van de techniek, de uitvoeringskosten, en de aard, de omvang, de context en de doeleinden van de verwerking, treft Cooper passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, waaronder:

Technisch:

• Encryptie op uw toestel: uw lokale Cooper-databank wordt versleuteld met AES-256 — SQLCipher op telefoon en tablet, een gelijkwaardige versleutelde SQLite-variant in de webversie. Op telefoon en tablet wordt de versleutelingssleutel bewaard in de beveiligde sleutelopslag van uw besturingssysteem (Android Keystore / iOS Keychain); in de webversie bewaart de browser hem, aangezien een browser die kluis niet aanbiedt.
• Encryptie tijdens transport: alle netwerkcommunicatie verloopt over TLS (HTTPS / WSS).
• Encryptie op onze servers: Supabase past standaard versleuteling toe op zowel de Postgres-databank als op opslagbestanden.
• Toegangscontrole op rij-niveau: elke gesynchroniseerde tabel in onze Supabase-databank is beveiligd met Row-Level Security-beleid, dat de databank zelf afdwingt op elke afzonderlijke rij. De regel luidt: een geauthenticeerde gebruiker bereikt zijn eigen rijen, en daarnaast — uitsluitend voor de gedeelde categorieën uit sectie 5.5 — de rijen van de kring waartoe hij behoort. Voor uw facturen, offertes, accountgegevens en bedrijfsinstellingen geldt onverkort dat enkel u ze kan bereiken; die scheiding wordt door de databank zelf afgedwongen en niet enkel door de applicatie.
• Authenticatie: uw wachtwoord wordt door Supabase Auth met bcrypt gehasht; Cooper ziet uw wachtwoord nooit in leesbare vorm. Sessietokens worden ondertekend met een asymmetrische ES256-sleutel.
• Beheer van API-sleutels: alle Google API-sleutels (waaronder die voor de AI-diensten en Google Places) staan uitsluitend op de server (Supabase Secrets), nooit in de mobiele applicatie; het toestel haalt per sessie een kortlevende toegangssleutel op.
• Sanitisatie van diagnostische data: voor de optionele product-analytics en crashrapportage worden persoonsidentificatoren door een SHA-256-hash gepseudonimiseerd vóór verzending; foutmeldingen bevatten geen IP-adressen, request-bodies of unieke device-ID’s.

Organisatorisch:

• Beperkte toegangskring: zoals beschreven in 5.1.
• Data-minimalisatie in de stem-flow: payloads die naar het AI-model worden gestuurd, worden begrensd in grootte en lijst-elementen om onnodige PII-blootstelling te vermijden.
• Datalek-procedure: zoals beschreven in sectie 7.
• DPIA-verbintenis: Cooper heeft voor de Alfa-fase een lichte interne effectbeoordeling (DPIA) doorlopen en herziet deze bij materiële wijzigingen.

5.3 Onmiddellijke melding van bedreigingen

Indien Cooper redelijkerwijs vermoedt dat een wijziging in haar werking, een wijziging in de Subverwerker-keten, of een wijziging in de toepasselijke regelgeving het gewaarborgde beveiligingsniveau kan beïnvloeden, brengt Cooper u daarvan binnen redelijke termijn op de hoogte en stelt zij voor welke aanvullende maatregelen kunnen worden getroffen.

5.4 Voorzieningen voor de stem-functionaliteit

Voor de AI-stem-assistent gelden de volgende uitdrukkelijke verbintenissen:

• de audio-stream wordt door Cooper niet opgeslagen — niet op uw toestel en niet op onze servers;
• de transcripten worden door Cooper niet opgeslagen;
• de stem-telemetrie die wel wordt bewaard (voice_sessions, voice_tool_usages) bevat uitsluitend tellers en lifecycle-metadata zoals sessie-id, model-identificatie, modus, duur, aantal audio- en tekst-tokens, geschatte kost, tool-call namen, einde-reden, en — bij fouten — een korte technische foutmelding ter ondersteuning van debugging; deze telemetrie bevat geen audio, geen transcripten, geen tool-argumenten en geen tool-resultaten, en wordt na 24 maanden automatisch verwijderd;
• daarnaast houdt Cooper een activiteitenlogboek bij (voice_activity_log) van de wijzigingen die de assistent effectief doorvoert, zodat u ze op de webversie kan nakijken. Dit logboek bevat wél een momentopname van het gewijzigde record vóór en na de wijziging en kan dus Gebruikersgegevens bevatten. Het staat uitsluitend in onze eigen Supabase-databank, valt onder hetzelfde rij-niveau-beleid als uw overige gegevens, gaat naar geen enkele Subverwerker buiten Supabase, en wordt na 90 dagen automatisch verwijderd. Sectie 2.12 van de Privacyverklaring beschrijft het in detail;
• de plaats van de live spraakverwerking. Cooper is gebouwd op Google Cloud Vertex AI in regio europe-west1 (België) en daar hoort deze verwerking thuis. Het spraakmodel dat Cooper vandaag gebruikt, stelt Google in die regio nog niet beschikbaar; zolang dat zo is, loopt de sessie over het algemene Gemini-endpoint van Google, dat niet aan één regio gebonden is. Tijdens die overgangsfase kunnen de audio en de meegestuurde context ook buiten de EER worden verwerkt, gedekt door het EU-US Data Privacy Framework en de standaardcontractbepalingen (zie sectie 9). Cooper gebruikt op beide paden een betaalde Google Cloud-sleutel, zodat de niet-trainen-garantie uit 4.3 onverkort geldt. Cooper brengt u op de hoogte zodra de verwerking naar europe-west1 terugkeert;
• Cooper gebruikt uw stem niet voor biometrische identificatie en doet daarmee geen verwerking van bijzondere persoonsgegevens in de zin van artikel 9 AVG.

5.5 Gedeelde toegang binnen een kring

Cooper laat u toe om andere gebruikers aan uw bedrijfsaccount te koppelen. Die groep noemen wij uw kring. U beslist wie u toevoegt en wie u verwijdert; Cooper voegt nooit uit zichzelf iemand toe.

Welke gegevens een kringlid beheert. Voor de volgende categorieën kan een kringlid gegevens niet alleen raadplegen, maar ook aanmaken, wijzigen en verwijderen:

Wat uitsluitend bij u als eigenaar blijft. De volledige facturatie is voorbehouden aan de accounthouder: facturen, offertes en de regels die daarop staan zijn voor een kringlid niet bereikbaar — niet op het scherm, niet via de stemassistent, en ook niet in de databank zelf. Hetzelfde geldt voor uw bedrijfsgegevens, uw factuurinstellingen, de gegevensimport, uw IBAN, uw accountgegevens en uw inloggegevens.

Uw verantwoordelijkheid. U blijft voor al deze gegevens de verwerkingsverantwoordelijke. Door iemand aan uw kring toe te voegen, geeft u die persoon toegang tot persoonsgegevens van uw eigen klanten. U staat ervoor in dat daar een grondslag voor bestaat, dat de betrokkene tot vertrouwelijkheid gehouden is, en dat u de toegang intrekt zodra ze niet langer nodig is. Verwijdert u een lid uit uw kring, dan vervalt zijn toegang; gegevens die dat lid eerder heeft aangemaakt of gewijzigd, blijven bestaan.

6. Subverwerkers

6.1 Algemene toestemming

U geeft Cooper algemene toestemming in de zin van artikel 28(2) AVG om Subverwerkers in te schakelen, mits Cooper:

• de actuele lijst van Subverwerkers transparant beschikbaar houdt;
• u minstens 30 dagen vooraf op de hoogte brengt van een wijziging (toevoeging, vervanging) via e-mail aan het adres dat aan uw account gekoppeld is en/of via een banner in de app;
• u in deze kennisgeving voldoende informatie geeft om een geïnformeerde beslissing te nemen.

6.2 Actuele lijst van Subverwerkers

De volledige en actuele lijst van Subverwerkers, met hun functie, vestiging en doorgifte-mechanisme, is opgenomen in sectie 5 van de Privacyverklaring en maakt integraal deel uit van deze Verwerkersovereenkomst. De Subverwerkers omvatten op het ogenblik van publicatie van deze versie:

• Supabase Inc. (backend-infrastructuur, EU eu-west-1);
• Brevo (Sendinblue GmbH) (transactionele e-mail: authenticatie-e-mails, de demo-voorbeeldfactuur en opvolgmails over het pre-lanceringsaanbod, EU);
• GitHub, Inc. (uitvoering van de dagelijkse geautomatiseerde back-up op tijdelijke build-servers; kortstondige verwerking, resultaat uitsluitend client-side versleuteld);
• Google Workspace — Drive (opslag van de client-side versleutelde back-upbestanden);
• Google Cloud — Vertex AI / Gemini Live (AI-spraakverwerking; bestemd voor europe-west1, tijdens de overgangsfase uit 5.4 over het algemene Gemini-endpoint);
• Google Cloud — Places API (adres-autocompletie en adres → GPS-coördinaten);
• Apple / Google (OS-geocoding) (fallback-geocoding op het toestel);
• Google — Calendar API (optioneel, alleen na uw OAuth-toestemming);
• Google — Gmail API (optioneel, alleen na uw OAuth-toestemming);
• Google Sign-In (optioneel, voor de Gmail/Calendar-koppeling);
• PostHog Inc. (productanalytics, EU-server, op grond van gerechtvaardigd belang — zie sectie 10 van de Privacyverklaring);
• Sentry / Functional Software Inc. (foutrapportage, EU-server, op grond van gerechtvaardigd belang — zie sectie 10 van de Privacyverklaring);
• Apple App Store / Google Play Store (app-distributie en lokale push-notificaties).

6.3 Contractuele waarborgen jegens elke Subverwerker

Cooper zorgt ervoor dat elke Subverwerker contractueel gehouden is aan minstens dezelfde verplichtingen als die welke Cooper jegens u op zich neemt onder deze Verwerkersovereenkomst, in het bijzonder de verplichtingen uit hoofde van artikel 28(3) AVG. Cooper steunt daarbij op:

• specifieke Data Processing Addenda die werden aanvaard met Supabase Inc., Google Cloud (voor de AI-diensten, Places, Calendar, Gmail en Sign-In), Google Workspace (Drive-opslag van back-ups), GitHub, Inc. (back-upinfrastructuur), Brevo (Sendinblue GmbH) (transactionele e-mail), PostHog Inc. en Functional Software Inc. (Sentry), samen met de bijhorende standaardcontractbepalingen (SCC) van de Europese Commissie van 4 juni 2021 voor de daarbij horende doorgiften buiten de EER;
• de toepasselijke ontwikkelaars- en distributievoorwaarden van Apple en Google voor app-distributie via hun respectieve app stores en voor het gebruik van OS-systeemdiensten op uw toestel.

6.4 Bezwaar tegen een nieuwe Subverwerker

Indien u binnen de aankondigingstermijn van 30 dagen schriftelijk bezwaar maakt tegen een nieuwe Subverwerker en Cooper geen redelijke alternatieve regeling kan voorstellen, kan u uw account zonder kosten beëindigen overeenkomstig sectie 14 van de Algemene Voorwaarden. Cooper kan, zonder daartoe verplicht te zijn, de overeenkomst eveneens beëindigen indien een verdere uitvoering zonder de betwiste Subverwerker technisch of economisch onhaalbaar wordt.

6.5 Aansprakelijkheid voor Subverwerkers

Cooper blijft jegens u aansprakelijk voor de naleving van de verplichtingen uit deze Verwerkersovereenkomst door haar Subverwerkers, overeenkomstig artikel 28(4) AVG. De algemene aansprakelijkheidsregeling van artikel 12 van de Algemene Voorwaarden blijft van toepassing op de uit deze toerekening voortvloeiende schadevergoeding, behoudens voor zover dwingend recht (waaronder artikel 82 AVG) een ruimere aansprakelijkheid oplegt.

7. Datalekken (artikelen 33 en 34 AVG)

7.1 Meldingsplicht aan u

Indien Cooper kennis krijgt van een inbreuk in verband met persoonsgegevens die de Gebruikersgegevens raakt, brengt Cooper u zonder onnodige vertraging en in elk geval binnen 72 uur na het verkrijgen van die kennis op de hoogte via e-mail aan het adres dat aan uw account gekoppeld is.

7.2 Inhoud van de melding

De melding bevat, voor zover op het ogenblik van melding bekend bij Cooper:

• de aard van de inbreuk, met inbegrip van — voor zover mogelijk — de categorieën en het geschatte aantal getroffen betrokkenen en de categorieën en het geschatte aantal getroffen records;
• de naam en contactgegevens van de DPO (Thijs Vandekerckhove, info@getcooper.ai) of een ander contactpunt waar nadere informatie kan worden verkregen;
• de waarschijnlijke gevolgen van de inbreuk;
• de getroffen of voorgenomen maatregelen om de inbreuk aan te pakken en de mogelijke nadelige gevolgen te beperken.

7.3 Bijstand aan u

Cooper biedt u redelijke bijstand bij het vervullen van uw eigen meldingsverplichtingen aan de GBA en — waar artikel 34 AVG dit oplegt — aan de getroffen betrokkenen.

7.4 Eigen kennisgevingsverplichting van Cooper

Het bovenstaande laat de eigen kennisgevingsverplichting van Cooper als verwerkingsverantwoordelijke voor andere persoonsgegevens (zoals uw eigen account- en telemetriegegevens) onverlet.

8. Bijstand aan de Verwerkingsverantwoordelijke

8.1 Rechten van betrokkenen

Indien een betrokkene (typisch een klant van u) zich rechtstreeks tot Cooper wendt om een recht uit te oefenen onder de AVG (inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar — artikelen 15 tot en met 22 AVG), brengt Cooper u daarvan onverwijld op de hoogte en handelt zij niet zelfstandig op het verzoek, behoudens uw uitdrukkelijke instructie.

Cooper biedt u, rekening houdend met de aard van de verwerking en de aan haar ter beschikking staande informatie, alle redelijke bijstand om uw verplichting tot beantwoording van zulke verzoeken na te komen — onder andere via de in-app inzage- en wijzigingsfuncties, en — tijdens de Alfa-fase — via per-mail data-export op verzoek (zie sectie 14 van de Algemene Voorwaarden).

8.2 Effectbeoordeling en voorafgaande raadpleging

Cooper biedt u redelijke bijstand bij het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA, artikel 35 AVG) en — waar van toepassing — bij de voorafgaande raadpleging van de GBA (artikel 36 AVG). Deze bijstand omvat het verstrekken van technische documentatie over de verwerkingen die Cooper namens u uitvoert.

9. Internationale doorgifte

9.1 Algemene regel: opslag binnen de EER

Cooper streeft ernaar uw Gebruikersgegevens binnen de Europese Economische Ruimte te verwerken. De primaire opslag (Supabase Postgres) gebeurt in Ierland en blijft daar. De live AI-stemverwerking is bestemd voor europe-west1 (België), maar loopt tijdens de in 5.4 beschreven overgangsfase over het algemene Gemini-endpoint van Google en kan dan buiten de EER plaatsvinden; zie 9.2 voor de waarborgen.

De dagelijkse geautomatiseerde back-up wordt uitgevoerd op tijdelijke build-infrastructuur van GitHub (mogelijk buiten de EER) en vervolgens uitsluitend in client-side versleutelde vorm bewaard op Google Drive binnen de Workspace-omgeving van Cooper; de ontsleutelsleutel verlaat Cooper nooit. Back-upkopieën vervallen automatisch na 35 dagen. Zie sectie 9.2 voor de waarborgen bij deze doorgiften.

9.2 Onvermijdelijke doorgiften en waarborgen

Voor onvermijdelijke doorgiften naar landen buiten de EER — voornamelijk de Verenigde Staten via Google’s wereldwijde infrastructuur (de stem-assistent tijdens de overgangsfase uit 5.4, Places API, Calendar, Gmail, Sign-In) — steunt Cooper op:

• Het EU-US Data Privacy Framework (DPF), waarvoor Google zich heeft gecertificeerd en dat door de Europese Commissie op 10 juli 2023 als adequaat werd erkend;
• Standaardcontractbepalingen (SCC) van de Europese Commissie van 4 juni 2021 (Module 3 voor verwerker-tot-subverwerker relaties), als bijkomende waarborg voor alle Subverwerkers met een Amerikaanse moedermaatschappij (Supabase Inc., PostHog Inc., Functional Software Inc.).

9.3 Specifieke aandachtspunten

• De live stem-assistent is bestemd voor een EU-resident model in europe-west1 (België). Tot dat model daar beschikbaar is, geldt de overgangsregeling uit 5.4 en kan de verwerking buiten de EER plaatsvinden. Cooper meldt u de terugkeer naar europe-west1 zodra ze rond is.
• De import van uw klanten- en artikelbestand gebruikt géén AI en verlaat uw toestel niet: de kolommen worden lokaal herkend op de vaste titels van het Cooper-sjabloon.
• Wanneer u een Google-koppeling activeert (Calendar, Gmail), gebeurt dit op uitdrukkelijke OAuth-toestemming en geldt deze toestemming als rechtsgrond voor de doorgifte.

10. Audit en controle

10.1 Recht op informatie

U kan op redelijke termijn aan Cooper alle informatie opvragen die nodig is om aan te tonen dat de verplichtingen uit deze Verwerkersovereenkomst worden nagekomen. Cooper antwoordt binnen een redelijke termijn (en uiterlijk binnen 30 dagen) op zulke informatieverzoeken.

10.2 Audit op afstand

Cooper biedt u — bij voorkeur via een schriftelijke vragenlijst of een online vergadering — redelijke transparantie over haar verwerkings- en beveiligingsmaatregelen. Cooper kan voor deze doeleinden:

• documentatie verstrekken over haar architectuur, beveiligingsmaatregelen en Subverwerkers;
• u verwijzen naar de relevante secties van de Privacyverklaring en deze Verwerkersovereenkomst;
• u, waar beschikbaar, certificaten of attesteringen van haar Subverwerkers (Supabase, Google Cloud) verstrekken.

10.3 Audit op locatie

Een fysieke audit op de zetel van Cooper of op de zetel van haar Subverwerkers is niet praktisch realiseerbaar voor een SaaS-product van Cooper’s omvang en moet vooraf schriftelijk worden besproken. Indien u na een schriftelijke vragenlijst of online vergadering nog steeds redelijkerwijs een fysieke audit verlangt:

• gebeurt deze audit op uw kosten;
• maximaal eenmaal per kalenderjaar (behoudens in geval van een gestaafd vermoeden van inbreuk);
• met minstens 30 dagen voorafgaande schriftelijke kennisgeving;
• door u of door een door beide partijen aanvaarde, onafhankelijke auditor;
• onder strikte vertrouwelijkheid;
• in een redactie die de werking van de Diensten of de andere klanten van Cooper niet verstoort;
• en behoudens beperkingen die voortvloeien uit de Subverwerker-overeenkomsten van Cooper (Cooper kan u niet meer audit-rechten verlenen op haar Subverwerkers dan wat haar eigen contracten haar toelaten).

11. Beëindiging — verwijdering en teruggave

11.1 Bij beëindiging van het account

Bij beëindiging van uw Cooper-account, ongeacht de oorzaak (zie sectie 14 van de Algemene Voorwaarden), worden de Gebruikersgegevens verwijderd uit de actieve systemen van Cooper binnen de termijnen vermeld in sectie 14.4 van de Algemene Voorwaarden (typisch: handeling binnen 30 dagen, fysieke vernietiging binnen 90 dagen).

11.2 Voorafgaande export

Cooper biedt u op uw verzoek vóór de definitieve verwijdering een data-export aan in een machinaal leesbaar formaat (JSON / CSV / PDF-bundel), eveneens binnen 30 dagen na uw verzoek. U kan deze export aanvragen via info@getcooper.ai.

11.3 Belangrijke aandachtspunten voor de Belgische bewaarplicht

Aangezien artikel 60 van het Wetboek BTW u als Belgische BTW-plichtige verplicht om factuurgegevens gedurende tien (10) jaar te bewaren (vijftien jaar voor onroerend werk), bent u zelf verantwoordelijk om vóór beëindiging een data-export op te vragen of een ander archief aan te leggen (bijvoorbeeld via uw boekhouder als BCC, of via een volledige PDF-bundel via info@getcooper.ai). Cooper aanvaardt geen aansprakelijkheid voor het verlies van factuurgegevens na beëindiging van het account.

11.4 Teruggave aan derden onmogelijk

Cooper geeft Gebruikersgegevens niet rechtstreeks aan een door u aangewezen derde over (bv. aan een door u nieuw gekozen SaaS-leverancier), tenzij u die derde uitdrukkelijk aanduidt en Cooper de overdraging in een redelijk formaat kan uitvoeren. In de praktijk kan u dit realiseren door zelf de data-export uit 11.2 te ontvangen en die aan uw nieuwe leverancier te bezorgen.

12. Aansprakelijkheid

De aansprakelijkheid voor schade die voortvloeit uit een schending van deze Verwerkersovereenkomst wordt geregeld door artikel 12 van de Algemene Voorwaarden, behoudens dwingend recht (waaronder artikel 82 AVG inzake de directe aansprakelijkheid van de verwerker jegens betrokkenen).

Voor de verdeling van de aansprakelijkheid in een driehoeksverhouding (betrokkene → controller → processor) gelden de gemeenrechtelijke regels: elke partij draagt haar eigen aandeel in de schade conform haar eigen tekortkoming, zoals voorzien door artikel 82 AVG.

13. Wijzigingen aan deze Verwerkersovereenkomst

13.1 Recht tot wijziging

Cooper behoudt zich het recht voor om deze Verwerkersovereenkomst te wijzigen om redenen van wettelijke aanpassing, evolutie van de Diensten of de Subverwerker-keten, of operationele optimalisering, mits de wezenlijke verplichtingen uit hoofde van artikel 28 AVG behouden blijven.

13.2 Kennisgeving

Substantiële wijzigingen worden minstens 30 dagen vooraf aangekondigd via e-mail en/of een banner in de app, en treden in werking op de datum vermeld in de kennisgeving.

13.3 Aanvaarding bij eerstvolgende login — verplicht

Bij substantiële wijzigingen krijgt u de gewijzigde versie bij uw eerstvolgende aanmelding voorgelegd en moet u ze uitdrukkelijk aanvaarden. Aanvaarding is een noodzakelijke voorwaarde voor verdere toegang tot de Diensten: zolang u niet aanvaardt, blijft de app op dat scherm staan. U kan dan ofwel alsnog aanvaarden, ofwel uw account beëindigen overeenkomstig sectie 14.2 van de Algemene Voorwaarden.

Cooper registreert bij die aanvaarding het tijdstip én het versienummer van elk van de drie documenten, zodat achteraf vaststaat waarmee u akkoord ging.

13.4 Recht van weigering

Indien u niet akkoord gaat met een substantiële wijziging, kan u uw account zonder kosten beëindigen overeenkomstig sectie 14 van de Algemene Voorwaarden.

14. Toepasselijk recht en bevoegde rechtbank

14.1 Toepasselijk recht

Op deze Verwerkersovereenkomst is Belgisch recht van toepassing, in het bijzonder de AVG, de Belgische Kaderwet en de aanverwante regelgeving.

14.2 Bevoegde rechtbank

Voor elk geschil dat voortvloeit uit of verband houdt met deze Verwerkersovereenkomst en dat niet in der minne kan worden opgelost, is uitsluitend de Nederlandstalige Ondernemingsrechtbank te Leuven bevoegd. Het recht van een betrokkene om een klacht in te dienen bij de Belgische Gegevensbeschermingsautoriteit overeenkomstig artikel 77 AVG blijft onverkort gelden.

15. Diversen

15.1 Volledige overeenkomst

Deze Verwerkersovereenkomst, samen met de Algemene Voorwaarden en de Privacyverklaring, vormt de volledige overeenkomst tussen u en Cooper met betrekking tot de verwerking van Gebruikersgegevens en vervangt alle eerdere afspraken — schriftelijk of mondeling — over hetzelfde onderwerp.

15.2 Deelbaarheid

Indien een bepaling van deze Verwerkersovereenkomst geheel of gedeeltelijk nietig of onafdwingbaar zou worden verklaard, blijven de overige bepalingen onverkort van kracht.

15.3 Geen afstand

Het niet of niet-onmiddellijk uitoefenen door één van beide partijen van enig recht uit deze Verwerkersovereenkomst kan niet worden geïnterpreteerd als een afstand van dat recht.

15.4 Kennisgevingen

Kennisgevingen aan Cooper gebeuren per e-mail aan info@getcooper.ai. Kennisgevingen aan u gebeuren per e-mail aan het adres dat aan uw account gekoppeld is en/of via een banner in de app.

15.5 Taal

De authentieke versie van deze Verwerkersovereenkomst is Nederlands (Vlaams). Een Engelse of Franse vertaling kan op verzoek worden bezorgd via info@getcooper.ai; in geval van interpretatieverschil prevaleert de Nederlandse versie.

Deze Verwerkersovereenkomst is opgesteld in het Nederlands. Een Engelse of Franse versie is op verzoek beschikbaar via info@getcooper.ai.

Versie 1.6 — 2 augustus 2026 — alfa-versie.