mijnannabel Overzicht Voorwaarden Privacy Verwerkersovereenkomst AI

Algemene voorwaarden mijnannabel

Documentversie 1.1 — onderdeel van pakketversie 1.0, vastgesteld op 31 juli 2026.

Geldig vanaf 21 augustus 2026.

Het pakket bestaat uit vier documenten die samen één versie vormen: deze algemene voorwaarden (documentversie 1.1), de verwerkersovereenkomst, de privacyverklaring en de publieke AI-pagina. Het pakket heeft één pakketversie; elk document houdt daaronder zijn eigen documentversie. Verwijs bij acceptatie altijd naar de pakketversie én de documentversie, zodat achteraf vaststaat welke combinatie je hebt geaccepteerd.

mijnannabel is een handelsnaam van mijnannabel B.V., ingeschreven bij de Kamer van Koophandel onder nummer 42143671, btw-identificatienummer NL869911788B01, gevestigd aan Kortelaan 3, 3771 HS Barneveld.

Contact voor gewone vragen en ondersteuning: info@mijnannabel.nl (dat is de mailbox van de AI-medewerker; die leest en beantwoordt mee).

Contact voor opzegging, klachten, datalek- en kwetsbaarheidsmeldingen, privacyverzoeken en juridische kennisgevingen: privacy@mijnannabel.nl. Die post gaat niet eerst door een AI-model. mijnannabel.nl · zakelijk.mijnannabel.nl Deze voorwaarden gelden alleen voor zakelijke klanten. Wij leveren niet aan consumenten.

Zorgaanbieders mogen de dienst gebruiken voor hun bedrijfsvoering, maar niet voor zorggerelateerde communicatie of patiëntgegevens — artikel 2 lid 3 legt precies uit waar die grens ligt.

Nog in te vullen vóór publicatie (dit blok verwijder je als alles staat): rechtsvorm, KvK-nummer, btw-nummer en vestigingsadres, het menselijke contactadres, het incassant-ID uit artikel 12 lid 2, het bodembedrag uit artikel 19 lid 1, het maandbudget voor modelverbruik uit artikel 13 lid 6, de updateprocedure uit artikel 5 lid 4, de hostingpartij en het land van de hub uit artikel 15 lid 4, de doorgiftegrondslag per Amerikaanse subverwerker in artikel 16 lid 2, en de vier lidnummers van artikel 11.7 Telecommunicatiewet in artikel 10 (die staan nu bewust als controlepunt in de tekst). Zonder KvK-inschrijving is er geen partij die kan contracteren, zonder btw-nummer geen geldige factuur en zonder incassant-ID geen SEPA-incasso. Deze voorwaarden kunnen dus pas in werking treden als die velden zijn ingevuld.

In het kort

Dit blok is een samenvatting voor het snelle lezen. Er kunnen geen rechten aan worden ontleend; de artikelen hierna zijn wat telt.

Duitsland en werkt in jouw mailbox, agenda en zakelijke tools.

betalen als je dat zelf actief bevestigt.

exclusief btw, per automatische incasso, maand vooruit.

naar buiten gaat. De eerste veertien dagen werkt de AI standaard in concept-modus: jij keurt goed, dan pas gaat het weg.

gesprek, in elk kanaal, tegenover iedereen.** Hij zegt dat hij een AI-systeem is en geen mens, en hoe je een mens krijgt (antwoord met: mens) of hoe je stopt (antwoord met:

stop). Dat kun je niet uitzetten, wij ook niet op jouw verzoek, en het kost ook niets extra's om het wél te doen. Naast die zichtbare zin sturen we een machineleesbare markering mee. Lukt die markering niet, dan gaat het bericht niet uit maar naar de conceptenmap.

krijgt daar één bevestiging van.** Overal hetzelfde woord.

inrichten wordt ingetrokken. Beheer gaat via een kanaal waarin jouw server elk kwartier zelf vraagt of er werk is, en waarin maar vier soorten opdrachten bestaan.

een waarschuwing; bij overschrijding stopt de AI-medewerker automatisch tot wij hem weer aanzetten. Dat beschermt je tegen een ontspoorde rekening, maar het betekent ook dat de dienst tijdelijk kan stilvallen.

niet toegestaan (artikel 11.7 Telecommunicatiewet). Artikel 10 legt uit wat wél mag — en dat een commerciële LinkedIn-DM dezelfde toets krijgt als e-mail.

selectie en kredietbeoordeling — het gaat om toepassingen, niet om hele sectoren.

die grond, dan betalen we het vooruitbetaalde deel naar rato terug.

dertigste dag verwijderen we de server, de versleutelingssleutel, de back-ups en het auditlogboek.

bodembedrag dat ook tijdens de gratis proefperiode geldt. Gevolgschade is uitgesloten, opzet en bewuste roekeloosheid nooit.

Artikel 1 — Definities

In deze voorwaarden bedoelen we met:

overeenkomst sluit. De klant handelt altijd in de uitoefening van beroep of bedrijf.

inclusief deze voorwaarden, de verwerkersovereenkomst en de bestelbevestiging.

en de ondersteuning die wij daarbij leveren.

afspraken inplant, uitzoekwerk doet en documenten opstelt.

Telefonie is geen onderdeel van de dienst.

Online GmbH in Duitsland, met volledige schijfversleuteling (LUKS).

leveranciers, zet opdrachten klaar voor het beheerkanaal en verwerkt de verbruiksmeldingen. De hub staat los van de klant-servers; zie artikel 15 lid 4.

zonder toegang tot je omgeving: jouw server vraagt zelf periodiek om werk en voert uitsluitend opdrachten uit een vaste, korte lijst uit.

van een derde, bijvoorbeeld je mailbox, agenda, WhatsApp of een andere zakelijke tool.

kanaal. Een nieuw gesprek begint in elk geval: (a) bij het eerste bericht aan of van die persoon, (b) als er meer dan 24 uur geen bericht is gewisseld, en (c) bij een nieuwe e-mailthread of een duidelijk nieuw onderwerp. Deze definitie bepaalt wanneer de AI-vermelding uit artikel 8 lid 2 opnieuw moet worden meegestuurd, en is zo opgeschreven dat je het in het auditlogboek kunt nakijken.

documenten voorbereidt, maar niets verstuurt of vastlegt voordat een mens van jouw kant het heeft goedgekeurd.

markering per uitgaand bericht en elk gebruik van het beheerkanaal. Zie artikel 7 lid 6.

(DISC-nummers), zoals de AI-vermelding (DISC-009), de stop-bevestiging (DISC-003) en het informatieblok bij een eerste zakelijke e-mail (DISC-014). Die teksten worden op één plek beheerd en overal identiek gebruikt.

houdt op de AI-medewerker en aanspreekpunt is.

beschreven in artikel 4.

Raad tot vaststelling van geharmoniseerde regels betreffende artificiële intelligentie.

AI-verordening. Wij zijn aanbieder van de AI-medewerker; jij bent gebruiksverantwoordelijke (deployer) bij het inzetten ervan in je eigen bedrijf.

Artikel 2 — Toepasselijkheid

1. Deze voorwaarden gelden op elke offerte, bestelling, proefperiode en overeenkomst tussen jou en ons, en op alles wat daaruit voortvloeit.

2. Wij leveren uitsluitend zakelijk. Sluit je namens een onderneming, dan verklaar je bevoegd te zijn die onderneming te binden. Consumentenregels zijn niet van toepassing, en waar de wet dat toestaat sluiten we de artikelen 6:227b lid 1 en 6:227c lid 2 van het Burgerlijk Wetboek uit.

3. Zorg: bedrijfsvoering mag, patiëntcontact en patiëntgegevens niet. Wij sluiten geen hele sector uit. Een fysiotherapiepraktijk, tandartspraktijk of andere zorgaanbieder mag de AI-medewerker gebruiken voor de bedrijfsvoering: facturatie en debiteurenmail, leveranciers- en verhuurderscontact, inkoop, offertes, en interne planning waarin geen patiëntgegevens voorkomen. Wat niet mag, is de AI-medewerker inzetten voor zorggerelateerde communicatie of voor patiëntgegevens: contact met patiënten of hun naasten over klachten, behandeling of afspraken, triage of intake, verslaglegging, herinneringen over behandelingen, en het verwerken van medische dossiers, verwijsbrieven, declaratiegegevens die tot een patiënt herleidbaar zijn, of burgerservicenummers in een zorgcontext.

Zet je de dienst toch daarvoor in, dan mogen wij de overeenkomst met onmiddellijke ingang beëindigen. **Beëindigen wij op deze grond, dan betalen wij het vooruitbetaalde deel van de lopende periode naar rato terug**, gerekend vanaf de dag van beëindiging.

Dat geldt ook als het gebruik pas later duidelijk wordt en jij niets hebt verzwegen.

4. Jouw inkoop- of andere voorwaarden wijzen we uitdrukkelijk van de hand. Ze gelden alleen als wij ze schriftelijk en per geval hebben aanvaard.

5. Wijkt een individuele schriftelijke afspraak af van deze voorwaarden, dan gaat die afspraak voor, **met uitzondering van de artikelen 8 en 10, waarvan niet ten nadele kan worden afgeweken.** Bij tegenstrijdigheid geldt deze volgorde: (a) de individuele schriftelijke afspraak, (b) de verwerkersovereenkomst, (c) deze voorwaarden, (d) overige documentatie. De verwerkersovereenkomst gaat dus voor op alles wat hier over gegevensbescherming staat. We hebben de termijnen in beide documenten gelijkgetrokken, zodat die voorrang in de praktijk niets verandert. De transparantie- en afmeldregels van artikel 8 en de regels voor uitgaande commerciële berichten van artikel 10 staan buiten elke individuele afspraak: daar kun je niet omheen contracteren, ook niet met wederzijds goedvinden.

6. Is een bepaling nietig of vernietigbaar, dan blijven de overige bepalingen gewoon gelden. We vervangen de bepaling dan door een geldige die er qua strekking zo dicht mogelijk bij komt.

Artikel 3 — Totstandkoming van de overeenkomst

1. Offertes en prijsopgaven zijn vrijblijvend en dertig dagen geldig, tenzij er iets anders in staat.

2. De overeenkomst komt tot stand zodra wij jouw bestelling schriftelijk bevestigen, of zodra we op jouw verzoek beginnen met het inrichten van de klant-server — wat het eerste gebeurt.

3. Je geeft bij de bestelling de gegevens door die we nodig hebben: bedrijfsnaam, KvK-nummer, btw-nummer, factuuradres, en de naam en het e-mailadres van de verantwoordelijke gebruiker. Je staat ervoor in dat die gegevens kloppen en je geeft wijzigingen door.

4. Wij mogen een bestelling weigeren zonder opgaaf van reden, bijvoorbeeld als het beoogde gebruik onder artikel 2 lid 3, artikel 9 of artikel 10 valt.

Artikel 4 — De proefperiode van twee weken

1. Je begint met een proefperiode van veertien kalenderdagen. Die start op de dag dat wij je AI-medewerker opleveren en je erin kunt.

2. De proefperiode is kosteloos. We incasseren er niets voor. Heb je bij de bestelling al een incassomachtiging afgegeven, dan gebruiken we die pas na jouw bevestiging zoals bedoeld in lid 4.

3. **De proefperiode eindigt automatisch en gaat niet vanzelf over in een betaald abonnement.** Je hoeft niet op te zeggen en er is geen stilzwijgende verlenging.

4. Wil je verder, dan bevestig je dat zelf actief: via de knop in de klantomgeving of per e-mail. Pas vanaf die bevestiging loopt een betaald abonnement en gaan de artikelen 12 en 21 gelden.

5. Bevestig je niet, dan stopt de dienst op de laatste dag van de proefperiode. Je export blijft daarna nog dertig dagen beschikbaar; uiterlijk op de dertigste dag verwijderen wij alles, zoals beschreven in artikel 22. Dat is dezelfde termijn als bij een gewone opzegging — een proefklant krijgt hier geen kortere termijn.

6. Tijdens de proefperiode mogen we de dienst met een korte aankondiging beëindigen of beperken; we leggen dan uit waarom.

7. Onze aansprakelijkheid is tijdens de proefperiode niet anders dan daarna. Artikel 19 geldt onverkort, inclusief het bodembedrag uit artikel 19 lid 1 dat juist bedoeld is voor de periode waarin je nog niets hebt betaald. De verwerkersovereenkomst geldt vanaf de eerste dag van de proefperiode, want vanaf dag één staan er echte mailboxen in.

8. Eén proefperiode per onderneming. Voor extra AI-medewerkers die je later afneemt geldt geen nieuwe proefperiode, tenzij we dat schriftelijk afspreken.

Artikel 5 — Wat de dienst wél is

1. Wij richten voor jou een eigen klant-server in bij Hetzner Online GmbH in Duitsland (EU), met volledige schijfversleuteling. Wat die versleuteling wel en niet doet, staat eerlijk in artikel 15 lid 2.

2. Op die server draait jouw AI-medewerker. Die kan, binnen de koppelingen en instellingen die jij toestaat:

3. De AI-medewerker heeft een eigen mailbox en werkt met de koppelingen die jij activeert. Wat de AI doet, leggen we vast in een auditlogboek dat jij kunt inzien (artikel 7 lid 6).

4. Beheer, updates en toegang — eerlijk verhaal. Wij zorgen voor het beheer, de updates en het draaiend houden van de klant-server en de software daarop. Sinds 31 juli 2026 doen wij dat zonder toegang tot jouw omgeving. Zo werkt het:

waarmee wij de server inrichten (de provisioningsleutel) wordt bij oplevering ingetrokken. Wij kunnen daarna niet inloggen, niet meekijken en niet in je bestanden, berichten of mailbox.

iets voor hem klaarstaat. Het initiatief ligt bij jouw server; wij kunnen er niet naar binnen.

een instelling wijzigen, een instelling verwijderen, een versienummer noteren, of zijn eigen toestand rapporteren. Meer staat er niet op de lijst. Geen willekeurige code, geen shell-commando's, geen toegang tot bestanden of gegevens.

terugkomt, komt in het auditlogboek dat jij kunt inzien.

Dit kanaal bestaat zodat wij sleutels kunnen vervangen, instellingen kunnen corrigeren en kunnen bijhouden welke versie er draait, zonder ooit in jouw omgeving te hoeven kijken. Wat het wél betekent, eerlijk gezegd: wij kunnen via dit kanaal instellingen op jouw server wijzigen. Dat is precies genoeg om te beheren en te weinig om bij je gegevens te komen. Hoe nieuwe softwareversies op de server terechtkomen nu wij er zelf niet meer in kunnen, staat in [UPDATEPROCEDURE: beschrijf hoe een nieuwe versie van de AI-medewerker en van het besturingssysteem op de klant-server komt zonder menselijke inlog — invullen vóór de eerste klant]. Wat we hier wél beloven: het gaat niet via een mens die inlogt.

5. Ondersteuning krijg je per e-mail via info@mijnannabel.nl op werkdagen.

We reageren zo snel als redelijkerwijs kan; in deze fase geven we daar geen harde reactietijden op. Gaat het om een opzegging, een klacht, een datalekmelding of een privacyverzoek, gebruik dan het menselijke contactadres bovenaan deze voorwaarden.

Artikel 6 — Wat de dienst niet is

1. De dienst is geen juridisch, fiscaal, medisch, financieel of ander professioneel advies. Wat de AI-medewerker oplevert, is werk dat jij nog moet beoordelen.

2. De dienst is geen back-up- of archiveringsdienst. Zorg zelf dat je bedrijfsgegevens elders bewaard blijven.

3. De dienst is geen vervanging van menselijk toezicht en geen garantie op resultaat, omzet, snelheid of kwaliteit van individuele antwoorden.

4. De dienst is geen medisch hulpmiddel. Hij is niet bedoeld voor zorgverlening, patiëntcontact of het verwerken van patiëntgegevens; zie artikel 2 lid 3.

5. Wij leveren geen telefonie. De AI-medewerker belt niet en wordt niet gebeld. De dienst werkt via e-mail en WhatsApp. Wordt telefonie ergens in ouder materiaal of in een gesprek toch genoemd, dan geldt deze bepaling: het is geen onderdeel van de dienst en wij beloven het niet.

6. Wij zijn niet de leverancier van de systemen waarmee je koppelt (zoals je mailprovider, agenda, WhatsApp Business of andere tools). Werkt zo'n systeem niet, verandert het, of wordt jouw toegang daar beperkt, dan raakt dat de dienst en ligt dat buiten onze macht. Voor de bescherming van persoonsgegevens door onze eigen subverwerkers staan we wél in — zie artikel 19 lid 4.

Artikel 7 — De AI-medewerker: grenzen, concept-modus en eindverantwoordelijkheid

Dit artikel is het belangrijkste van deze voorwaarden. Lees het even rustig.

1. De AI kan fouten maken. Taalmodellen kunnen dingen verkeerd begrijpen, feiten door elkaar halen of zelfverzekerd iets onjuists opschrijven. Dat is geen incident maar een eigenschap van de techniek. Wij spannen ons in om dat te beperken, maar we kunnen het niet uitsluiten en we doen ook niet alsof.

2. Jij blijft eindverantwoordelijk voor alles wat namens jou naar buiten gaat. Berichten, toezeggingen, afspraken en documenten die de AI-medewerker onder jouw naam verstuurt of vastlegt, gelden tussen jou en de ontvanger als jouw eigen communicatie. Wij zijn geen partij bij die communicatie.

3. Concept-modus als startpunt. De eerste veertien dagen na oplevering staat de AI-medewerker standaard in concept-modus: hij bereidt voor, jij keurt goed, dan pas gaat er iets weg. Daarna kun je zelf, per kanaal, autonome verzending aanzetten. Doe je dat, dan doe je dat bewust en met de wetenschap uit lid 1.

Je kunt op elk moment terug naar concept-modus.

4. Vaste escalatieregels. Ook buiten concept-modus geldt: de AI-medewerker verzint geen prijzen, geen levertijden en geen toezeggingen. Weet hij het niet zeker, dan legt hij het voor aan jouw verantwoordelijke gebruiker in plaats van te gokken. Deze regels staan altijd aan.

5. Verantwoordelijke gebruiker. Je wijst één persoon aan (en bij voorkeur een vervanger) die toezicht houdt op de AI-medewerker, escalaties oppakt, het auditlogboek periodiek bekijkt en voor ons het aanspreekpunt is. Wijzig je die persoon, dan geef je dat door. Die persoon moet de bevoegdheid en de tijd hebben om dit echt te doen.

Dit toezicht is een contractuele afspraak tussen jou en ons. Het is uitdrukkelijk geen verplichting uit artikel 26 van de AI-verordening: dat artikel gaat over gebruiksverantwoordelijken van hoog-risicosystemen, en juist die toepassingen verbieden wij in artikel 9. Wat wél rechtstreeks op jou kan rusten, is de bekendmakingsplicht van artikel 50 lid 4 van de AI-verordening: maak je AI-gegenereerd of AI-bewerkt beeld, geluid of video openbaar, of publiceer je AI-gegenereerde tekst om het publiek te informeren over zaken van algemeen belang, dan moet je dat als zodanig bekendmaken.

6. Auditlogboek. Wij houden bij welke acties de AI-medewerker heeft uitgevoerd, inclusief de vastlegging van de markering uit artikel 8 lid 3 en elke opdracht en elk resultaat van het beheerkanaal uit artikel 5 lid 4. Je kunt dat logboek inzien en exporteren. **Wij bewaren het twaalf maanden tijdens de looptijd van de overeenkomst;

bij het einde gaat het logboek mee in de export en wordt het uiterlijk op de dertigste dag na het einde vernietigd, samen met de server, de sleutel en de back-ups.** Het logboek staat op jouw eigen klant-server en blijft daar herleidbaar: wie wat wanneer heeft ontvangen, kun je erin terugvinden, zodat het bruikbaar is als bewijs onder artikel 11.7 Telecommunicatiewet en artikel 14 AVG. Wat wij daarbuiten gebruiken om de dienst te bewaken — bijvoorbeeld verbruikstellingen op de hub — bevat geen herleidbare ontvangergegevens, maar alleen een onomkeerbare verwijzing (hash). Zo blijft het bewijs bij jou en houden wij bij ons zo min mogelijk.

Het logboek is bedoeld om te kunnen nagaan wat er gebeurd is; het is geen bewijs dat een inhoudelijk antwoord juist was.

7. Controle bij gevoelige berichten. Bij communicatie met juridische, financiële of contractuele gevolgen laat je de AI-medewerker altijd in concept-modus werken, of je controleert het bericht voordat het weggaat. Doe je dat niet, dan komt dat voor jouw rekening.

8. AI-geletterdheid (artikel 4 AI-verordening). Sinds 2 februari 2025 moeten zowel aanbieders als gebruiksverantwoordelijken zorgen voor voldoende AI-geletterdheid bij de mensen die met hun AI-systemen werken — ongeacht de risicoklasse. Wij doen dat voor onze eigen mensen én voor jou: bij oplevering leggen we uit wat de AI-medewerker wel en niet kan, waar hij typisch fouten maakt, hoe concept-modus en escalatie werken, wat de AI-vermelding en het stop-woord doen en hoe je het auditlogboek leest. Die uitleg herhalen we bij wezenlijke wijzigingen. Jij zorgt dat iedereen binnen jouw onderneming die met de AI-medewerker werkt of zijn uitvoer gebruikt die instructie krijgt en begrijpt — in elk geval de verantwoordelijke gebruiker.

Artikel 8 — AI-transparantie en afmelden: niet uitschakelbaar

1. Wat de wet vraagt. Artikel 50 van de AI-verordening geldt vanaf 2 augustus 2026. Lid 1: mensen moeten weten dat ze met een AI-systeem communiceren. Lid 2:

wie een AI-systeem aanbiedt dat synthetische audio, beeld, video of tekst genereert, moet die uitvoer machineleesbaar markeren als kunstmatig gegenereerd.

Wij schuiven lid 2 niet af op onze leveranciers. Van de e-mails, WhatsApp-berichten en documenten die de AI-medewerker zelfstandig opstelt zijn wíj de aanbieder — die teksten zijn geen "ondersteunende functie bij een standaardbewerking" en de invoer wordt wezenlijk gewijzigd. De plicht rust dus mede op ons, en wij voeren hem zelf uit.

2. Zichtbare vermelding — in elk eerste bericht van elk gesprek. De AI-medewerker maakt zich kenbaar als AI in het eerste bericht van elk gesprek — zoals "gesprek" is gedefinieerd in artikel 1, inclusief de 24-uursregel — in elk kanaal waarin wij leveren (e-mail en WhatsApp), tegenover elke natuurlijke persoon. Niet alleen bij het allereerste contact ooit: bij elk nieuw gesprek opnieuw.

Wij gebruiken overal één formulering. Die tekst wordt op één plek beheerd, in ons disclosureregister onder DISC-009, en wordt in deze voorwaarden, op de publieke AI-pagina en in het interne nalevingsmemo letterlijk en identiek geciteerd:

> "Je hebt contact met Annabel, de AI-medewerker van > mijnannabel B.V.. Ik ben een AI-systeem, geen mens. Wil je een mens spreken, > antwoord dan met: mens. Wil je geen berichten meer ontvangen, antwoord dan met:

> stop."

De kern daarvan — *"Ik ben een AI-systeem, geen mens. Wil je een mens spreken, antwoord dan met: mens."* — staat woordelijk vast in DISC-009 en mag nergens anders worden geformuleerd. De aanhef met jouw bedrijfsnaam en de afmeldregel (DISC-003) staan eromheen. Wijzigt DISC-009, dan wijzigen deze voorwaarden mee, en alleen binnen de grenzen van artikel 23 lid 5: nooit in jouw nadeel.

Vraagt iemand later in het gesprek of hij met een mens praat, dan bevestigt de AI-medewerker altijd opnieuw dat hij een AI-systeem is. Hij ontkent het nooit.

3. "mens" werkt altijd. Antwoordt iemand met "mens", of vraagt iemand op een andere manier om een mens, dan stopt de AI-medewerker in dat gesprek onmiddellijk met zelfstandig verzenden, bevestigt hij het verzoek en legt hij het gesprek voor aan jouw verantwoordelijke gebruiker. **Jij zorgt dat een mens uiterlijk de eerstvolgende werkdag contact opneemt.** Wij beloven namens jou geen reactietijd aan derden; wat wij wél garanderen is dat de AI-medewerker vanaf dat moment niet meer zelfstandig antwoordt in dat gesprek.

4. Machineleesbare markering. Naast de zichtbare zin markeren wij de uitgaande AI-uitvoer machineleesbaar:

naam en versie van het systeem) bij elk bericht dat de AI-medewerker opstelt;

technisch markeringsveld. De vaste tekstuele markering uit lid 2 ís daar de markering, en we leggen per bericht vast dat die is meegestuurd. Dat is de eerlijke stand van de techniek, geen keuze van ons;

én in de begeleidende tekst, plus herkomstmetadata (C2PA) in het bestand waar het platform dat ondersteunt;

gaat het bericht niet uit. Het belandt in de conceptenmap, met een melding aan de verantwoordelijke gebruiker. Bij twijfel verzendt de AI-medewerker dus niets;

en hoe de markering is meegestuurd. Elk kwartaal nemen wij daar zelf een steekproef uit, per kanaal, en leggen we de uitkomst vast. Zo is naleving achteraf aantoonbaar.

5. Afmelden met één woord: "stop". Iedereen die een bericht van de AI-medewerker krijgt, kan antwoorden met "stop". Dat leidt tot directe blokkering van dat contact voor uitgaande berichten en tot één bevestiging daarvan (DISC-003, in de variant met jouw bedrijfsnaam). In elk kanaal hetzelfde woord, in elk bericht dezelfde uitleg. Ook dit is ingebouwd en niet uitschakelbaar.

6. Je kunt dit niet uitzetten. Wij bouwen geen instelling waarmee het uit kan, we schakelen het niet uit op jouw verzoek, het is geen onderhandelbaar punt in een offerte en het is geen betaalde optie. Vraag je erom, dan zeggen we nee. Ook een individuele afspraak kan hier niet omheen; zie artikel 2 lid 5.

7. Omzeil je het toch — door de uitvoer aan te passen, de kopregel te verwijderen, de AI-medewerker als mens te presenteren of een medewerkersnaam met foto te gebruiken — dan geldt:

hoedanigheid zelf verantwoordelijk jegens de toezichthouder voor het naleven van artikel 50. Breng je de AI-medewerker onder je eigen naam of merk in de handel, wijzig je hem wezenlijk of verander je het beoogde doel, dan kun je bovendien op grond van artikel 25 zelf als aanbieder worden aangemerkt, met alle verplichtingen van dien;

overtreding heeft begaan. Zo'n boete kunnen wij niet contractueel naar jou verplaatsen en dat proberen we hier dus ook niet. Wat wél geldt: lijden wij schade doordat jij je niet aan dit artikel hebt gehouden — een aanspraak van een derde, onderzoekskosten, of een boete die door jouw handelen aan óns wordt opgelegd — dan vergoed je die schade en vrijwaar je ons voor aanspraken van derden.

8. Je informeert je eigen medewerkers en, waar dat aan de orde is, je klanten over het feit dat je met een AI-medewerker werkt. Wij helpen je met standaardteksten daarvoor; die staan in het disclosureregister, zodat jouw teksten en de onze niet uit elkaar lopen.

Artikel 9 — Verboden gebruik en hoog-risico-toepassingen

1. Je gebruikt de AI-medewerker niet voor toepassingen die volgens bijlage III van de AI-verordening hoog risico zijn. **Het gaat om toepassingen, niet om hele sectoren:** een taalschool, een installateur van waterleidingen of een incassobureau mag de AI-medewerker gewoon gebruiken voor klantenmail, offertes, agenda en administratie. Niet toegestaan zijn de volgende toepassingen:

sollicitanten, en het nemen of voorbereiden van besluiten over aanname, promotie, beoordeling, taaktoewijzing of ontslag;

kredietwaardigheid van natuurlijke personen, en het beoordelen van aanvragen voor essentiële publieke of particuliere diensten, of van risico en prijsstelling bij levens- en zorgverzekeringen;

categorisering en emotieherkenning;

beoordelen, het passende onderwijsniveau vaststellen, of toezicht houden op verboden gedrag tijdens toetsen;

de exploitatie van elektriciteit, water, gas, verwarming, verkeer of kritieke digitale infrastructuur;

migratie-, asiel- of grenscontroleautoriteiten, en het onderzoeken of uitleggen van feiten en recht ter voorbereiding van rechterlijke beslissingen;

referenda of van het stemgedrag van personen.

2. Je gebruikt de dienst evenmin voor de praktijken die artikel 5 van de AI-verordening verbiedt, waaronder manipulatieve of misleidende technieken, misbruik van kwetsbaarheden, social scoring, emotieherkenning op de werkplek en in het onderwijs, en het ongericht verzamelen van gezichtsbeelden.

3. Bijzondere persoonsgegevens — realistisch geregeld. Wij weten dat er in een zakelijke mailbox nu eenmaal gevoelige dingen binnenkomen: een ziekmelding, een BSN in een bijlage van de boekhouder, een sollicitatiebrief die je niet hebt gevraagd. Zulke incidentele gegevens zijn geen overtreding van deze voorwaarden; ze vallen gewoon onder de beveiligingsmaatregelen uit de verwerkersovereenkomst en worden daar hetzelfde behandeld als de rest. Wat je niet doet, is de AI-medewerker structureel of doelbewust inzetten op bijzondere persoonsgegevens in de zin van artikel 9 AVG, op strafrechtelijke gegevens of op burgerservicenummers — bijvoorbeeld door er een verzuim-, een patiënten- of een screeningsproces omheen te bouwen. Voor patiëntgegevens en zorggerelateerde communicatie geldt bovendien artikel 2 lid 3. Wil je toch iets in deze hoek, dan maken we daar vooraf een aparte schriftelijke afspraak over waarin staat welke gegevens het betreft, waarom, en welke extra maatregelen gelden.

4. Verder gebruik je de dienst niet voor:

betekent;

AI-medewerker aan derden, tenzij schriftelijk anders afgesproken;

artikel 7, de transparantie- en afmeldregels uit artikel 8, of het kostenplafond uit artikel 13 lid 6.

5. Kom je hier niet uit — bijvoorbeeld omdat je twijfelt of jouw personeelsadministratie eronder valt — vraag het ons dan vóór je begint. Een nette afspraak vooraf is altijd mogelijk; achteraf repareren meestal niet.

6. Overtreed je dit artikel, dan mogen we de dienst per direct opschorten of beëindigen. Een bestuurlijke boete voor die overtreding wordt opgelegd aan degene die haar heeft begaan; die kunnen en willen wij hier niet naar jou verplaatsen. Wel geldt: lijden wij schade doordat jij je niet aan dit artikel hield, dan vergoed je die schade en vrijwaar je ons voor aanspraken van derden die daaruit voortkomen. Deze vrijwaring blijft gelden na het einde van de overeenkomst (artikel 24 lid 4).

Artikel 10 — Uitgaande commerciële berichten: artikel 11.7 Telecommunicatiewet

Dit artikel staat er omdat het in de praktijk het vaakst misgaat, en omdat de AVG alleen over de gegevensverwerking gaat — of je het bericht überhaupt mag sturen, bepaalt artikel 11.7 van de Telecommunicatiewet.

Let op bij de lidnummers. Artikel 11.7 Tw is meermaals gewijzigd. Wij beschrijven hieronder de inhoud van elke regel en zetten er een controlepunt bij in plaats van een stellig lidnummer. Controleer de nummering tegen de actuele wettekst voordat je dit artikel citeert in correspondentie of in een boetezaak.

1. Hoofdregel: toestemming, ook zakelijk. Ongevraagde commerciële, ideële of charitatieve communicatie per e-mail, WhatsApp, sms, DM of ander elektronisch bericht mag in Nederland alleen met voorafgaande toestemming van de ontvanger (artikel 11.7 Telecommunicatiewet). Een keurig opgeschreven belangenafweging onder artikel 6 lid 1 sub f AVG vervangt die toestemming niet.

2. Bestaande klanten (soft opt-in). Heb je iemands elektronische contactgegevens gekregen in het kader van een verkoop, dan mag je die gebruiken voor je eigen, gelijksoortige producten of diensten — mits je bij het verzamelen én in elk bericht een duidelijke en kosteloze afmeldmogelijkheid biedt (artikel 11.7 Telecommunicatiewet).

3. Rechtspersonen. Naar elektronische adressen die een rechtspersoon zelf publiek heeft bestemd voor het ontvangen van dit soort communicatie — het info@-adres op de eigen website is het schoolvoorbeeld — mag je benaderen zonder voorafgaande toestemming, met dezelfde duidelijke afmeldmogelijkheid (artikel 11.7 Telecommunicatiewet).

4. Identiteit en afmelding in elk bericht. In elk commercieel bericht moet duidelijk zijn namens wie het wordt verstuurd en moet een werkende, kosteloze afmeldmogelijkheid staan (artikel 11.7 Telecommunicatiewet). Bij ons is dat het woord "stop"

uit artikel 8 lid 5.

5. Eenmanszaken en ZZP'ers: de uitzondering van lid 3 geldt niet. Een eenmanszaak, een vof-vennoot of een ZZP'er is een natuurlijke persoon en wordt als zodanig beschermd. Voor die groep geldt gewoon toestemming, of de soft opt-in van lid 2 als er al een klantrelatie is. **Koude commerciële e-mail naar geschraapte, gekochte of uit registers gehaalde adressen van eenmanszaken en ZZP'ers is dus niet toegestaan**, hoe zorgvuldig de onderbouwing verder ook is. De ACM handhaaft artikel 11.7 Tw en kan daar stevige boetes voor opleggen.

6. Koude WhatsApp is verboden. Acquisitie via WhatsApp naar mensen die daar niet om hebben gevraagd, doe je niet — ook niet naar rechtspersonen. Naast artikel 11.7 Tw, dat elk elektronisch bericht dekt en niet alleen e-mail, verbiedt de WhatsApp Business Messaging Policy van Meta ongevraagde berichten zonder aantoonbare opt-in, op straffe van blokkade van je nummer. **WhatsApp gebruik je alleen voor bestaande klanten en voor mensen die zelf om contact hebben gevraagd.** 7. LinkedIn: connectieverzoeken wel, commerciële DM's niet zomaar. Wat wij onder "benaderen via LinkedIn" verstaan, is beperkt: een connectieverzoek sturen en contact leggen op basis van wat iemand zelf op zijn profiel heeft gezet. Zodra je een commercieel aanbod in een DM zet, is dat een elektronisch bericht als elk ander:

naar een eenmanszaak of ZZP'er krijgt het dezelfde toets als een koude e-mail, en dus mag het niet zonder toestemming of bestaande klantrelatie. Wij trekken hier geen kunstmatige grens tussen kanalen: de vraag is niet welk platform je gebruikt, maar of de ontvanger een natuurlijke persoon is en of er een grondslag is om hem commercieel te benaderen.

8. Wat wél mag. Inbound: mensen die zelf contact opnemen, zich inschrijven of een formulier invullen. Bestaande klanten binnen lid 2. Publiek gepubliceerde zakelijke adressen van rechtspersonen binnen lid 3. En connectieverzoeken en profielgebaseerd contact binnen lid 7.

Telefonisch benaderen valt buiten deze dienst: wij leveren geen telefonie (artikel 6 lid 5). Ga er ook niet van uit dat telefoon "dus mag": het bel-me-niet-register bestaat sinds 1 juli 2021 niet meer en is vervangen door een opt-inregime voor telemarketing richting natuurlijke personen. Voor eenmanszaken en ZZP'ers geldt telefonisch dus dezelfde waarschuwing als voor koude e-mail.

9. Wat er in elk eerste bericht hoort te staan. De AI-vermelding en het afmeldwoord uit artikel 8, en — als je de gegevens niet van de persoon zelf hebt gekregen — de informatie die artikel 14 AVG voorschrijft: wie je bent, waarvoor je de gegevens gebruikt, waar je ze vandaan hebt, hoe lang je ze bewaart en welke rechten de ontvanger heeft. Wij leveren daarvoor een vaste tekst, beheerd in het disclosureregister onder DISC-014, die de AI-medewerker automatisch aan een eerste zakelijke e-mail toevoegt.

10. "stop" werkt altijd. Antwoordt iemand met "stop", dan blokkeert de AI-medewerker dat contact direct voor uitgaande berichten en stuurt hij één bevestiging. Dat zit in het product en kun je niet uitzetten.

11. Overtreed je dit artikel, dan geldt artikel 9 lid 6: wij mogen opschorten of beëindigen, en je vergoedt de schade die wij daardoor lijden.

12. Wij houden ons hier zelf ook aan, in onze eigen acquisitie. Vragen we het van jou, dan doen we het zelf ook.

Artikel 11 — Wat wij van jou verwachten

1. Je zorgt dat de koppelingen die je activeert van jou zijn of dat je bevoegd bent ze te laten gebruiken, en dat je voldoet aan de voorwaarden van die platformen (zoals de WhatsApp Business-voorwaarden van Meta, zie artikel 10 lid 6).

2. Je zorgt voor een geldige grondslag onder de AVG voor de gegevens die je door de AI-medewerker laat verwerken, en je informeert de betrokkenen. Jij bent verwerkingsverantwoordelijke, wij zijn verwerker.

3. Je houdt inloggegevens en toegangstokens geheim en meldt ons zo snel mogelijk als je vermoedt dat iemand onbevoegd bij jouw omgeving kan. Gebruik daarvoor het menselijke contactadres bovenaan deze voorwaarden.

4. Je houdt toezicht zoals beschreven in artikel 7, zorgt voor de instructie uit artikel 7 lid 8, pakt "mens"-verzoeken op binnen de termijn van artikel 8 lid 3, en meldt fouten van de AI-medewerker aan ons zodat we kunnen bijsturen.

5. Je geeft ons de medewerking en informatie die we redelijkerwijs nodig hebben om de dienst te leveren.

Artikel 12 — Prijzen en betaling

1. De prijs is € 350 per maand voor de eerste AI-medewerker en **€ 299 per maand** voor elke extra AI-medewerker. Alle bedragen zijn exclusief btw en exclusief kosten van derden die jij zelf afneemt.

2. Je betaalt per maand vooruit, via automatische incasso (SEPA). Bij de bevestiging uit artikel 4 lid 4 geef je een machtiging af ten name van mijnannabel B.V., incassant-ID [INCASSANT-ID (SEPA): aan te vragen bij de bank en in te vullen vóór de eerste incasso]. De eerste incasso vindt plaats op of kort na de dag waarop het betaalde abonnement start; daarna telkens op dezelfde dag van de maand.

3. Neem je gedurende een maand een extra AI-medewerker af, dan brengen we die eerste maand naar rato in rekening.

4. Facturen sturen we digitaal naar het opgegeven e-mailadres, met vermelding van ons btw-identificatienummer. Klopt er iets niet, laat het ons dan binnen veertien dagen na factuurdatum weten. Een betwisting schort de betalingsverplichting voor het onbetwiste deel niet op.

5. Lukt de incasso niet — bijvoorbeeld door onvoldoende saldo of een storno — dan laten we dat weten en heb je veertien dagen om alsnog te betalen. Daarna ben je zonder nadere ingebrekestelling in verzuim en mogen we de wettelijke handelsrente (artikel 6:119a BW) en de buitengerechtelijke incassokosten in rekening brengen.

6. Bij verzuim mogen we de dienst opschorten nadat we je dat schriftelijk hebben aangekondigd en er nog eens zeven dagen zijn verstreken. Opschorting is geen beëindiging: je gegevens blijven gedurende de opschorting bewaard.

7. Verrekening of opschorting door jou is niet toegestaan, tenzij de wet dat dwingend voorschrijft.

Artikel 13 — Fair use en kostenplafond

1. Bij de prijs hoort een normaal gebruiksniveau: één AI-medewerker die de zakelijke communicatie van één onderneming afhandelt, gebruikt door de mensen binnen die onderneming.

2. We werken niet met harde limieten en zetten je nooit zonder waarschuwing af.

Wat we wel doen: we kijken naar het gemiddelde verbruik van vergelijkbare klanten. Zit jouw gebruik daar structureel en aanmerkelijk boven — als richtsnoer: meer dan drie keer dat gemiddelde in twee opeenvolgende kalendermaanden — dan nemen we contact met je op.

3. In dat gesprek zoeken we samen een oplossing. Dat kan zijn: het gebruik optimaliseren, een extra AI-medewerker afnemen, of een meerprijs afspreken. Een meerprijs geldt nooit met terugwerkende kracht en gaat pas in na jouw schriftelijke akkoord, met minimaal dertig dagen aankondiging.

4. Ga je niet akkoord met de meerprijs, dan mag je opzeggen per de datum waarop die zou ingaan. Zeg je niet op en wil je ook niet optimaliseren, dan mogen we het gebruik vanaf die datum redelijkerwijs begrenzen. We leggen dan uit wat we begrenzen en waarom.

5. Gebruik dat de infrastructuur of andere klanten aantoonbaar schaadt, of dat valt onder artikel 2 lid 3, artikel 9 of artikel 10, mogen we wel direct beperken.

6. Kostenplafond en automatische rem — eerlijk over wat er dan gebeurt. Naast lid 2 bewaken we de kosten van het taalmodel, en dat gaat wél automatisch:

MODELVERBRUIK PER AI-MEDEWERKER: € per maand — vast te stellen vóór de eerste klant]), dan krijgen jij en wij een waarschuwing;

modelsleutel van jouw server. Vanaf dat moment zijn er geen betaalde AI-aanroepen meer mogelijk: de AI-medewerker leest, schrijft en antwoordt niet meer, totdat wij die sleutel terugzetten.

Dit is geen storing maar een bewuste rem. Hij beschermt jou tegen een rekening die je niet zag aankomen en ons tegen verbruik dat we niet kunnen dragen. Wij nemen bij een plafond direct contact op en zetten de sleutel terug zodra duidelijk is wat het verbruik veroorzaakte en hoe we verdergaan. Is er structureel meer nodig, dan geldt de meerprijsprocedure van lid 3. De keerzijde staat eerlijk in artikel 14 lid 5: de dienst kan hierdoor tijdelijk stilvallen.

Artikel 14 — Beschikbaarheid en onderhoud

1. Wij spannen ons in om de dienst zo goed en zo continu mogelijk beschikbaar te houden. We geven in deze fase bewust geen uptimegarantie en geen SLA. Dat is geen bescheidenheid maar eerlijkheid: we willen niets beloven wat we nu niet waar kunnen maken. Spreken we later een SLA af, dan leggen we dat apart vast.

2. Onderhoud plannen we zoveel mogelijk buiten Nederlandse kantooruren en kondigen we minimaal 24 uur vooraf aan, tenzij het spoed is (beveiliging, storing, maatregel van een leverancier). Bij spoed informeren we je zo snel mogelijk achteraf.

3. De dienst leunt op diensten van derden (zie artikel 16). Vallen die uit, veranderen ze, of beperken ze de toegang, dan kan de dienst geheel of gedeeltelijk uitvallen. We doen dan wat redelijkerwijs mogelijk is en houden je op de hoogte.

4. Wij mogen de dienst doorontwikkelen en functies wijzigen. Vervalt een functie waar je aantoonbaar op leunt, dan melden we dat minimaal dertig dagen vooraf en mag je tegen die datum opzeggen. De transparantie- en afmeldfuncties uit artikel 8 vervallen nooit.

5. Dienstbeperking door het kostenplafond. Wordt het maandbudget uit artikel 13 lid 6 overschreden, dan wordt de modelsleutel automatisch van jouw server verwijderd en verstuurt en beantwoordt de AI-medewerker niets meer tot wij die sleutel terugzetten.

De dienst valt dan tijdelijk stil. We noemen dat hier met zoveel woorden, zodat je het niet als onverklaarbare storing hoeft te ontdekken. Deze onderbreking geldt niet als tekortkoming van onze kant; zie artikel 19 lid 3.

Artikel 15 — Beveiliging en infrastructuur

1. Elke klant krijgt een eigen klant-server bij Hetzner Online GmbH in een datacenter in Duitsland (EU). De schijf is volledig versleuteld met LUKS.

2. Eerlijk over wat die versleuteling wél en niet doet. Wél: raakt een schijf zoek, wordt hij vervangen, afgevoerd of gestolen, of komt een uitgeschakeld volume in verkeerde handen, dan zijn de gegevens zonder de sleutel niet leesbaar.

Niet: op een dráaiende server staat de sleutel in het werkgeheugen, en de virtualisatielaag is in beheer bij Hetzner. Volledige schijfversleuteling beschermt je dus tegen iemand die fysiek bij de hardware kan — niet tegen de hostingpartij zelf en niet tegen toegang tot het geheugen van een draaiende machine. Dat is de eerlijke grens van deze maatregel. Wie meer belooft, belooft te veel.

3. Toegang: wij zitten er na oplevering niet meer in. De provisioningsleutel waarmee wij de klant-server inrichten, wordt bij oplevering ingetrokken. Daarna hebben wij geen interactieve toegang meer: geen inlog, geen sessie, geen bestandstoegang. Beheer verloopt uitsluitend via het beheerkanaal uit artikel 5 lid 4, met zijn vaste lijst van vier opdrachten, en elk gebruik daarvan komt in het auditlogboek. De mensen bij mijnannabel die opdrachten voor dat kanaal mogen klaarzetten, doen dat met persoonlijke inloggegevens op de hub, en dat wordt gelogd.

4. Eerlijk over wat wél en niet gescheiden is. Dit is de stand van 31 juli 2026; de eerdere beschrijving, waarin de gedeelde projectsleutel op de klant-server stond, is achterhaald.

projectsleutel van Composio staat niet meer op de klant-server. Op jouw server staat alleen een eigen token. Dat token is een HMAC-afgeleide die uitsluitend voor jouw server werkt en elders geen bruikbaar geheim is: wie het zou buitmaken, kan daarmee niet bij een andere klant en niet rechtstreeks bij Composio. Jouw server praat via onze hub met Composio; de gedeelde projectsleutel staat uitsluitend op die hub.

een eigen gebruikers-id en een eigen sessie-URL, en een token dat alleen voor jou werkt.

van mijnannabel waar alle klanten binnen vallen, en onze hub houdt de sleutel van dat account. Wie de hub zou compromitteren, komt bij die sleutel. De hub is daarom onze zwaarst afgeschermde component en draait bij Hetzner Online GmbH — datacenter Falkenstein, Duitsland (EU).

AgentMail is van de klantmachines gehaald. Op jouw server staat alleen een sleutel die uitsluitend jouw eigen mailbox ziet.

Dat vertellen we je liever nu dan achteraf.

5. Wij nemen passende technische en organisatorische maatregelen zoals bedoeld in artikel 32 AVG. De details staan in de verwerkersovereenkomst. Wij hebben op dit moment geen ISO 27001-certificering en geen SOC 2-rapport; ook dat zeggen we liever meteen.

6. Kostenbewaking is ook een beveiligingsmaatregel. De uurlijkse verbruiksmelding en de automatische verwijdering van de modelsleutel uit artikel 13 lid 6 remmen niet alleen de rekening. Een plotselinge verbruikspiek is een van de vroegste signalen dat er iets misgaat: een verkeerde instelling, een lus in een automatisering, of misbruik van een koppeling. Het plafond begrenst wat er in zo'n geval kan gebeuren, ook financieel.

7. Ontdek je een kwetsbaarheid, meld die dan op het menselijke contactadres bovenaan deze voorwaarden. We reageren zo snel mogelijk en gaan er niet juridisch achteraan als je netjes meldt en niets misbruikt.

Artikel 16 — Persoonsgegevens en de verwerkingsketen

1. Jij bent verwerkingsverantwoordelijke voor de persoonsgegevens die door de AI-medewerker worden verwerkt. Wij zijn verwerker. Bij het sluiten van de overeenkomst sluiten we een verwerkersovereenkomst; die gaat op dit punt voor op deze voorwaarden en geldt vanaf de eerste dag van de proefperiode. De bewaartermijnen in die overeenkomst zijn gelijk aan die in artikel 7 lid 6 en artikel 22.

2. Wij schakelen de volgende subverwerkers in:

| Partij | Rol | Locatie | Grondslag voor doorgifte | | --- | --- | --- | --- | | Hetzner Online GmbH | hosting van de klant-server | Duitsland (EU) | geen doorgifte buiten de EER | | Composio | koppelingen met mailbox, agenda en apps, via onze hub (artikel 15 lid 4) | Verenigde Staten | Niet DPF-gecertificeerd (gecontroleerd 29 augustus 2026). Doorgifte op basis van de standaardcontractbepalingen (module 2/3) die in de verwerkersovereenkomst van Composio zijn opgenomen, plus de overdrachtstoets hieronder; bij "nee": SCC's module 3 + uitgevoerde overdrachtstoets | | AgentMail | de eigen mailbox van de AI-medewerker | Verenigde Staten | Niet DPF-gecertificeerd (gecontroleerd 29 augustus 2026); standaardcontractbepalingen module 3 zijn bij AgentMail in aanvraag — tot die rond zijn geldt als beperkende maatregel dat deze mailbox uitsluitend de eigen correspondentie van de AI-medewerker bevat en per klant strikt gescheiden is; bij "nee": SCC's module 3 + uitgevoerde overdrachtstoets | | xAI (Grok) | het taalmodel dat de antwoorden opstelt | Verenigde Staten | Niet DPF-gecertificeerd (gecontroleerd 29 augustus 2026). Doorgifte op basis van de standaardcontractbepalingen (module 2/3, Iers recht) in het Data Processing Addendum van xAI, plus de overdrachtstoets hieronder; bij "nee": SCC's module 3 + uitgevoerde overdrachtstoets | | Microsoft Azure Speech | synthetische spraak voor video's | EU-regio West Europe | verwerking in de EU; voor zover support- of diagnosegegevens naar de VS gaan: Actief DPF-gecertificeerd, inclusief UK-extensie en Zwitsers kader (gecontroleerd 29 augustus 2026 via dataprivacyframework.gov); bij "nee": SCC's module 3 + uitgevoerde overdrachtstoets | Deze tabel staat in identieke bewoordingen in de verwerkersovereenkomst, op de publieke AI-pagina en in het interne nalevingsmemo. Wijkt een van die documenten af, dan geldt de verwerkersovereenkomst.

3. **Doorgifte naar de Verenigde Staten — per partij vastgesteld, niet onder voorbehoud.** Hoofdstuk V AVG eist dat vóór de eerste doorgifte per ontvanger vaststaat op welke grondslag die doorgifte rust. Wij schrijven daarom niet "voor zover gecertificeerd", maar vullen het per partij in, met datum, in de tabel hierboven. Staat er "nee", of dekt de certificering niet de gegevenscategorie die wij doorgeven, dan geldt voor die partij: de standaardcontractbepalingen van de Europese Commissie, module 3 (verwerker naar subverwerker), getekend, plus een uitgevoerde en gedocumenteerde overdrachtstoets (transfer impact assessment)

met de daaruit volgende aanvullende maatregelen. Is geen van beide rond, dan dragen wij geen persoonsgegevens over aan die partij.

4. Wij controleren de certificeringsstatus per partij op dataprivacyframework.gov ten minste eenmaal per jaar en bij elke wijziging van de lijst; de datum van de laatste controle staat in de tabel. Vervalt een certificering of het adequaatheidsbesluit, dan stappen we voor die partij over op module 3 met overdrachtstoets, of we stoppen de doorgifte. We melden dat aan je.

5. Wijzigt de lijst met subverwerkers, dan melden we dat minimaal dertig dagen vooraf, met de doorgiftegrondslag van de nieuwe partij erbij. Heb je een redelijk bezwaar, laat het weten; komen we er niet uit, dan mag je opzeggen tegen de datum van de wijziging.

6. Wij gebruiken de inhoud van jouw gegevens niet om modellen te trainen en we spreken met onze leveranciers af dat zij dat evenmin doen. Wat we wel gebruiken zijn geaggregeerde, niet tot personen herleidbare gebruiksgegevens, om de dienst te verbeteren — waaronder de verbruikstellingen uit artikel 13 lid 6.

7. Meer staat in onze privacyverklaring op mijnannabel.nl.

Artikel 17 — Geheimhouding

1. We houden geheim wat we van elkaar aan vertrouwelijke informatie ontvangen, en gebruiken die alleen voor de uitvoering van de overeenkomst.

2. Deze plicht geldt niet voor informatie die al openbaar was, die je zelf openbaar maakt, of die op grond van de wet of een rechterlijk bevel moet worden verstrekt. In dat laatste geval informeren we elkaar vooraf, als dat mag.

3. De geheimhouding blijft gelden na afloop van de overeenkomst, zolang de informatie vertrouwelijk van aard is.

4. Wij mogen je naam en logo alleen als referentie gebruiken als je daar vooraf schriftelijk mee instemt.

Artikel 18 — Intellectuele eigendom

1. Alle rechten op de dienst, de software, de prompts, de configuraties, de documentatie en de merknaam mijnannabel blijven bij ons of onze licentiegevers.

2. Je krijgt voor de duur van de overeenkomst een niet-exclusief, niet-overdraagbaar gebruiksrecht op de dienst, voor gebruik binnen je eigen onderneming.

3. Jouw gegevens en jouw teksten blijven van jou. Voor de teksten, documenten en antwoorden die de AI-medewerker voor jou opstelt geldt: voor zover daar auteursrechten op rusten en die bij ons zouden ontstaan, geven wij je daarop een **onbeperkt, eeuwigdurend, wereldwijd, overdraagbaar en royaltyvrij gebruiksrecht**, ook na afloop van de overeenkomst. Dat gebruiksrecht is de hoofdregel, omdat het meteen werkt.

4. Wil je de rechten daarnaast overgedragen krijgen, dan doen we dat. Omdat artikel 2 lid 3 van de Auteurswet daarvoor een akte vereist, tekenen wij op jouw verzoek kosteloos een korte akte van overdracht. Zonder die akte houd je in elk geval het gebruiksrecht uit lid 3.

5. Je mag de software niet decompileren, reverse-engineeren of kopiëren, behalve voor zover de wet dat dwingend toestaat.

6. Geef je ons feedback of suggesties, dan mogen we die vrij gebruiken om de dienst te verbeteren, zonder vergoeding.

Artikel 19 — Aansprakelijkheid

1. Onze totale aansprakelijkheid per gebeurtenis en per kalenderjaar samen is beperkt tot het bedrag dat je in de twaalf maanden vóór de schadeveroorzakende gebeurtenis aan ons hebt betaald, exclusief btw, **met een minimum van € 500**. Dat minimum geldt uitdrukkelijk óók tijdens de proefperiode, waarin je nog niets hebt betaald: een datalek in week één mag contractueel niet op nul uitkomen.

Reeksen samenhangende gebeurtenissen gelden als één gebeurtenis. Deze formulering, inclusief het bodembedrag, wordt in elk document van het pakket identiek gebruikt.

2. Wij zijn niet aansprakelijk voor indirecte schade en gevolgschade. Daaronder vallen in elk geval gederfde winst, gemiste omzet of besparingen, bedrijfsstagnatie, reputatieschade, bestuurlijke boetes die aan jouw eigen handelen te wijten zijn, en aanspraken van derden. **Verlies of beschadiging van jouw gegevens rekenen wij hier uitdrukkelijk niet toe:** het bewaren en verwerken van jouw communicatie is de kern van wat we leveren, dus die schade valt gewoon onder lid 1.

3. Wij zijn niet aansprakelijk voor schade die voortvloeit uit:

artikel 7;

derden uit artikel 16;

in werking is getreden;

4. Uitzondering op het vierde streepje van lid 3. Gaat het niet om beschikbaarheid maar om een tekortkoming van een subverwerker in de bescherming of beveiliging van persoonsgegevens, dan staan wij daarvoor jegens jou in alsof het onze eigen tekortkoming was. Dat schrijft artikel 28 lid 4 AVG dwingend voor en zo staat het ook in de verwerkersovereenkomst. Op die aansprakelijkheid is de begrenzing van lid 1 van toepassing.

5. De beperkingen in dit artikel gelden niet bij opzet of bewuste roekeloosheid van mijnannabel of van onze leidinggevenden, en niet voor aansprakelijkheid die op grond van dwingend recht niet beperkt mag worden, waaronder dood of lichamelijk letsel.

6. Een aanspraak vervalt als je die niet binnen twaalf maanden nadat je de schade ontdekte of had moeten ontdekken schriftelijk bij ons hebt gemeld.

7. Voorwaarde voor elk recht op schadevergoeding is dat je ons schriftelijk in gebreke stelt en ons een redelijke termijn geeft om het alsnog goed te doen, tenzij nakoming blijvend onmogelijk is.

Artikel 20 — Overmacht

1. Bij overmacht zijn we niet gehouden tot nakoming en niet tot schadevergoeding.

Onder overmacht verstaan we in elk geval: storingen of beëindiging van diensten van de partijen genoemd in artikel 16, grootschalige internet- of stroomstoringen, cyberaanvallen, overheidsmaatregelen, exportbeperkingen die de toegang tot AI-modellen raken, en oorlog of natuurramp.

2. Duurt de overmacht langer dan zestig dagen, dan mag elk van ons de overeenkomst schriftelijk beëindigen, zonder schadeplicht. Wat je vooruit hebt betaald voor een periode die niet is geleverd, betalen we terug.

Artikel 21 — Duur, opzegging en ontbinding

1. Het betaalde abonnement loopt per maand en verlengt telkens stilzwijgend met één maand.

2. **Je kunt op elk moment opzeggen. Er is geen minimumlooptijd en geen opzegtermijn.** Opzeggen doe je via de klantomgeving of per e-mail aan het menselijke contactadres bovenaan deze voorwaarden. Wij bevestigen elke opzegging schriftelijk; heb je binnen twee werkdagen geen bevestiging, neem dan opnieuw contact op.

3. De overeenkomst eindigt aan het einde van de lopende, reeds betaalde maandperiode. Tot dat moment blijft de dienst gewoon werken. Reeds betaalde maanden betalen we niet terug, behalve in de gevallen die in deze voorwaarden staan.

4. Wij kunnen opzeggen met inachtneming van een termijn van dertig dagen.

5. Elk van ons mag de overeenkomst per direct beëindigen als de ander in staat van faillissement verkeert, surseance heeft aangevraagd of zijn activiteiten staakt.

6. Wij mogen per direct beëindigen bij overtreding van artikel 8, artikel 9 of artikel 10, en bij verzuim in betaling dat na aanmaning en opschorting nog dertig dagen voortduurt.

7. Beëindigen wij op grond van artikel 2 lid 3 (zorggerelateerde communicatie of patiëntgegevens), dan betalen wij het vooruitbetaalde deel van de lopende periode naar rato terug, gerekend vanaf de dag van beëindiging.

Artikel 22 — Einde van de overeenkomst: export en vernietiging

1. Bij het einde van de overeenkomst krijg je een export van je gegevens: de e-mail- en berichtgeschiedenis van de AI-medewerker, de documenten die op de klant-server staan en het auditlogboek, in een gangbaar en machineleesbaar formaat.

2. Wij leveren die export binnen vijf werkdagen na het einde van de overeenkomst, of eerder als je erom vraagt. **De download blijft beschikbaar tot en met de dertigste dag na het einde van de overeenkomst.** 3. **Uiterlijk op die dertigste dag verwijderen wij de klant-server, vernietigen wij de bijbehorende versleutelingssleutel en verwijderen wij de back-ups en snapshots.** Voor de back-ups geldt dus dezelfde termijn als voor de server: geen extra veertien dagen. Zonder de sleutel is de inhoud niet meer te herstellen — ook niet door ons.

4. Het auditlogboek volgt dezelfde lijn. De bewaartermijn van twaalf maanden uit artikel 7 lid 6 geldt tijdens de looptijd van de overeenkomst; bij het einde gaat het logboek mee in de export van lid 1 en wordt het uiterlijk op de dertigste dag na het einde vernietigd, samen met de server, de sleutel en de back-ups. Wij bewaren daarna geen kopie van het logboek buiten de klant-server. Wil je het langer houden, bewaar dan de export zelf; die is van jou.

5. Wil je de vernietiging eerder, dan voeren we dat op jouw schriftelijke verzoek binnen vijf werkdagen uit. Wil je juist langer bewaren, dan kan dat alleen bij een schriftelijke afspraak vooraf, tegen de dan geldende serverkosten.

6. Na de vernietiging bewaren wij alleen wat we wettelijk moeten bewaren: facturen en administratie, zeven jaar, op grond van de fiscale bewaarplicht. Die gegevens staan buiten de klant-server en bevatten geen inhoud van je communicatie en geen auditlogboek.

7. Op verzoek bevestigen we de vernietiging schriftelijk.

8. Eindigt de proefperiode zonder bevestiging, dan geldt dit artikel onverkort: je export blijft dertig dagen beschikbaar en op de dertigste dag gaan server, sleutel, back-ups en logboek weg. Er geldt geen kortere termijn voor proefklanten.

Artikel 23 — Wijziging van voorwaarden en prijzen

1. Wij mogen deze voorwaarden en de prijzen wijzigen. Een wijziging kondigen we minimaal dertig dagen vooraf aan per e-mail, met een korte uitleg van wat er verandert, en met vermelding van de nieuwe pakketversie en documentversie.

2. Ben je het niet eens met een wijziging die niet in jouw voordeel is, dan mag je opzeggen tegen de datum waarop die ingaat. Je hoeft daar geen reden voor te geven.

3. Kleine wijzigingen die geen gevolgen voor jou hebben — zoals tekstuele correcties of een nieuw adres — mogen we zonder die termijn doorvoeren.

4. De prijs van jouw lopende abonnement verhogen we niet binnen twaalf maanden na de start ervan.

5. Artikel 8 wijzigen we nooit in jouw nadeel: de AI-vermelding (DISC-009) en het afmeldwoord blijven zoals ze zijn, of ze worden strenger. De regels in artikel 10 volgen de wet; verandert de wet, dan volgen wij die.

Artikel 24 — Overige bepalingen

1. Wij mogen onze rechten en verplichtingen uit de overeenkomst overdragen bij een overname of reorganisatie; we melden dat vooraf. Jij mag dat alleen met onze schriftelijke instemming, die we niet zonder redelijke grond weigeren.

2. Wij mogen derden inschakelen bij de uitvoering. De artikelen 7:404, 7:407 lid 2 en 7:409 BW sluiten we uit.

3. Berichten sturen we naar het laatst opgegeven e-mailadres. Jij zorgt dat dat adres actueel is en wordt gelezen. Juridische kennisgevingen — opzegging, ingebrekestelling, ontbinding — stuur je naar het menselijke contactadres bovenaan deze voorwaarden, niet naar de mailbox van de AI-medewerker.

4. Bepalingen die naar hun aard bedoeld zijn om door te lopen — waaronder de artikelen 7, 8, 9, 10, 17, 18, 19 en 22 — blijven na het einde van de overeenkomst gelden. Dat geldt uitdrukkelijk ook voor de vrijwaringen in artikel 8 lid 7 en artikel 9 lid 6.

Artikel 25 — Toepasselijk recht en bevoegde rechter

1. Op de overeenkomst is uitsluitend Nederlands recht van toepassing. Het Weens Koopverdrag is niet van toepassing.

2. Hebben we een geschil, dan bellen of mailen we elkaar eerst. We proberen het binnen dertig dagen samen op te lossen voordat iemand naar de rechter stapt.

3. Lukt dat niet, dan is de bevoegde rechter de rechtbank in het arrondissement waar mijnannabel is gevestigd, onverminderd ons recht om je te dagvaarden voor de rechter die volgens de wet bevoegd is.

Artikel 26 — Contact

Vragen over deze voorwaarden of over de dienst? Mail naar

info@mijnannabel.nl. Dat is de mailbox van de AI-medewerker; die leest en antwoordt mee, en meldt in zijn eerste bericht dat hij een AI-systeem is.

Gaat het om een **opzegging, een klacht, een datalek- of kwetsbaarheidsmelding, een privacyverzoek of een juridische kennisgeving**, mail dan naar

privacy@mijnannabel.nl. Die post gaat niet eerst door een AI-model.

We antwoorden in gewoon Nederlands. mijnannabel — handelsnaam van mijnannabel B.V.

KvK 42143671 · btw NL869911788B01 · Kortelaan 3, 3771 HS Barneveld mijnannabel.nl · zakelijk.mijnannabel.nl *Documentversie 1.1, onderdeel van pakketversie 1.0 van 31 juli 2026. Vastgesteld op 31 juli 2026, geldig vanaf 21 augustus 2026.*

Pakketversie 1.0 · 31 juli 2026