Verwerkersovereenkomst (DPA)

Versie 1.1 · Laatst bijgewerkt: 10 november 2026 · Van kracht sinds 10 november 2026

Deze Verwerkersovereenkomst („DPA”) maakt deel uit van de Algemene Voorwaarden tussen Jacopo Di Loreto (AFTERTOUCH LABS DI DI LORETO JACOPO), Via Europa 18, 66020 San Giovanni Teatino (CH), Italië, btw-nummer IT02882890698 („verwerker”, „wij”) en een zakelijke klant („verwerkingsverantwoordelijke”, „u”) die LIA gebruikt voor zijn eigen gebruikers, bijvoorbeeld een school, een studio of een label. Zij is van toepassing wanneer de verwerkingsverantwoordelijke is gevestigd in de Europese Economische Ruimte (EER), het Verenigd Koninkrijk of Zwitserland, of wanneer de AVG van toepassing is op de verwerking door de verwerkingsverantwoordelijke. Voor personen die LIA voor zichzelf gebruiken, zijn wij de verwerkingsverantwoordelijke en geldt ons Privacybeleid.

1. Definities

De termen in deze DPA hebben de betekenis zoals gegeven in de Verordening (EU) 2016/679 („AVG”). „Persoonsgegevens” betekent alle informatie die betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon.

2. Onderwerp en Duur

De verwerker verwerkt Persoonsgegevens namens de verwerkingsverantwoordelijke uitsluitend om de LIA-dienst te leveren zoals beschreven in de Algemene Voorwaarden. Deze DPA blijft van kracht voor de duur van de dienstverleningsovereenkomst en voor de bewaartermijnen die volgen op het einde ervan (§11).

3. Aard en Doel van de Verwerking

De verwerking is beperkt tot de bewerkingen die nodig zijn om de LIA-dienst te leveren:

• accountbeheer: inloggen, plan en betalingen;
• chats, geschreven, gedicteerd of gesproken in Talk Mode, en de verwerking ervan door de AI-leverancier;
• het lezen van de geopende Ableton Live-set en de lijst met geïnstalleerde plugins via de LIA-app en de LIA Bridge, en het schrijven van het gevraagde werk in Live;
• chatgeheugen, werklogboeken, verbruik van het plan, stemminuten en dicteerseconden;
• Community en Support;
• beveiliging, monitoring van fouten en back-ups.

4. Categorieën van Persoonsgegevens en Betrokkenen

Betrokkenen: de gebruikers die de verwerkingsverantwoordelijke toestaat LIA te gebruiken (bijvoorbeeld leerlingen of studenten, personeel, muzikanten, opdrachtnemers).

Persoonsgegevens: e-mailadressen en, als een gebruiker inlogt met een ander account, de identificatiecode, de naam, de gebruikersnaam en de profielfoto die die dienst aan ons doorgeeft; wachtwoorden, door de authenticatieleverancier alleen opgeslagen als onomkeerbare hash; profielnamen en de naam die in de Instellingen is gekozen; metadata van plan, abonnement, ingewisselde codes en betalingen (geen kaartgegevens), eventuele herroepingsverzoeken en de eventueel gebruikte code van een partner, en de naam, het e-mailadres en het factuuradres in de meldingen van de betalingsleverancier; wanneer een gebruiker in de app de Algemene Voorwaarden en het Privacybeleid aanvaardt of vraagt een plan meteen te laten ingaan, de registratie van die aanvaarding of dat verzoek; chatberichten, inclusief de tekst van gesprekken in Talk Mode en de gedicteerde berichten die de gebruiker verstuurt; gegevens die uit de Live-set worden gelezen (tempo, toonsoort, tracks en hun namen, devices en hun parameters, mixer en niveaus, clips met hun MIDI-noten, locators, namen van presets) en de lijst met plugins; chatgeheugen, werklogboeken en gebruikstellers, inclusief stemminuten en dicteerseconden; posts, reacties, stemmen, meldingen en sancties in de Community; berichten en schermafbeeldingen voor Support; meldingsvoorkeuren en de toestemming „Gebruik mijn chats om LIA te verbeteren”; technische gegevens zoals versie van de app, systeem en taal, fouten en technische sporen van de modelaanroepen; aan het account gekoppelde statistieken van de website en van de e-mails (bekeken pagina's; aflevering, openen en klikken van de e-mails); IP-adressen, met land en browser- of appversie, volledig bewaard in de toegangslogs van de server gedurende ongeveer 30 dagen en in de inlog- en beveiligingslogboeken gedurende 12 maanden. De verwerker bewaart geen audio: de audio van Talk Mode gaat van de app rechtstreeks naar de spraakleverancier, en de audio van het dicteren gaat alleen via de server van LIA om in tekst te worden omgezet.

De Dienst is niet bedoeld voor bijzondere categorieën van gegevens (art. 9 AVG). De verwerkingsverantwoordelijke mag zijn gebruikers niet vragen zulke gegevens in LIA in te voeren.

5. Verplichtingen van de Verwerker

1. De Persoonsgegevens uitsluitend verwerken op basis van gedocumenteerde instructies van de verwerkingsverantwoordelijke, met inbegrip van doorgiften aan derde landen (art. 28, lid 3, onder a, AVG). De Algemene Voorwaarden, deze DPA en de instellingen die de verwerkingsverantwoordelijke in de app gebruikt, zijn de instructies van de verwerkingsverantwoordelijke.
2. Ervoor zorgen dat personen die gemachtigd zijn de Persoonsgegevens te verwerken, gebonden zijn aan vertrouwelijkheid.
3. Passende technische en organisatorische beveiligingsmaatregelen treffen (art. 32 AVG), zie §9.
4. Subverwerkers alleen inschakelen met de algemene schriftelijke toestemming van de verwerkingsverantwoordelijke (zie §8).
5. De verwerkingsverantwoordelijke bijstaan bij het beantwoorden van verzoeken van betrokkenen (art. 15 tot 22 AVG) en bij de verplichtingen van de artikelen 32 tot 36 AVG, rekening houdend met de aard van de verwerking.
6. De verwerkingsverantwoordelijke zonder onnodige vertraging op de hoogte stellen van inbreuken op Persoonsgegevens (art. 33 AVG), zie §10.
7. Naar keuze van de verwerkingsverantwoordelijke alle Persoonsgegevens wissen of teruggeven aan het einde van de diensten (art. 28, lid 3, onder g, AVG), zie §11.
8. De informatie ter beschikking stellen die nodig is om de naleving van artikel 28 AVG aan te tonen en audits mogelijk maken, uitgevoerd met een redelijke aankondigingstermijn, tijdens kantooruren en zonder toegang tot gegevens van andere klanten (art. 28, lid 3, onder h, AVG).

6. Verplichtingen van de Verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke bevestigt dat hij een rechtsgrond (art. 6 AVG) heeft voor de Persoonsgegevens die onder deze DPA worden verwerkt, dat hij de betrokkenen heeft geïnformeerd overeenkomstig de artikelen 13 en 14 AVG en, wanneer gebruikers jonger zijn dan 16 jaar, dat hij de toestemming van de ouders heeft verkregen voordat hij hun toegang tot LIA geeft.

7. Plaats van verwerking en internationale doorgiften

De server van LIA draait op een gehuurde virtuele server in Duitsland (Hostinger), en de database en de authenticatie bevinden zich in de regio Europese Unie van Supabase. Sommige subverwerkers verwerken gegevens buiten de EER, met name de AI-leverancier (OpenAI, Verenigde Staten). Deze doorgiften worden beheerst door:

• het EU-US Data Privacy Framework (DPF), wanneer de ontvanger gecertificeerd is;
• anders, de Standaardcontractbepalingen (SCC's) vastgesteld bij Uitvoeringsbesluit (EU) 2021/914 van de Commissie, module 3 (verwerker aan subverwerker).

8. Subverwerkers

De verwerkingsverantwoordelijke geeft de verwerker een algemene toestemming om subverwerkers in te schakelen. De huidige subverwerkers, met hun land, worden genoemd in §4 en §5 van ons Privacybeleid. De volledige lijst, met de grondslag voor de doorgifte en de verwerkersovereenkomst van elke subverwerker, is op verzoek beschikbaar via privacy@liaplugin.com: wij sturen hem binnen 7 dagen. De verwerker stelt de verwerkingsverantwoordelijke ten minste 30 dagen van tevoren op de hoogte van elke voorgenomen wijziging; de verwerkingsverantwoordelijke kan om redelijke redenen die verband houden met gegevensbescherming bezwaar maken en, als er geen oplossing wordt gevonden, de dienst zonder boete opzeggen. De verwerker legt elke subverwerker verplichtingen inzake gegevensbescherming op die gelijkwaardig zijn aan die van deze DPA en blijft daarvoor verantwoordelijk.

9. Beveiligingsmaatregelen (Artikel 32 AVG)

• Versleuteling tijdens de overdracht (TLS) voor de website, de app en de server.
• Database beheerd door Supabase met versleuteling in rust; nachtelijke back-ups van de server en de database, versleuteld op de server voordat ze naar de opslag voor back-ups gaan (Backblaze, Verenigde Staten).
• Inlog die bij elk verzoek aan de server van LIA wordt gecontroleerd, met limieten per account; databaseregels waardoor elke gebruiker alleen zijn eigen gegevens ziet.
• Interne diensten van de server alleen bereikbaar vanaf de server zelf of vanuit ons privénetwerk; beheerderstoegang alleen met SSH-sleutels of via panelen die met een eigen inlog zijn beveiligd.
• Toegangslogs zonder querystrings en zonder headers met sleutels of tokens; automatische verwijdering van logs en sporen aan het einde van hun bewaartermijn.

10. Melding van Inbreuken op Persoonsgegevens

De verwerker stelt de verwerkingsverantwoordelijke zonder onnodige vertraging, en in elk geval binnen 48 uur na kennisneming, op de hoogte van elke inbreuk die de onder deze DPA verwerkte Persoonsgegevens betreft, zodat de verwerkingsverantwoordelijke zijn termijn van 72 uur kan naleven. De melding bevat, voor zover op dat moment bekend:

• de aard en de geschatte omvang van de inbreuk;
• de categorieën en het geschatte aantal getroffen betrokkenen en gegevensrecords;
• de waarschijnlijke gevolgen en de getroffen of voorgestelde maatregelen;
• een contactpunt voor verdere informatie: privacy@liaplugin.com.

11. Einde van de diensten

Wanneer de dienstverleningsovereenkomst eindigt, wist de verwerker op schriftelijk verzoek van de verwerkingsverantwoordelijke alle Persoonsgegevens of geeft hij ze terug, behalve de gegevens die hij wettelijk moet bewaren (bijvoorbeeld betalings- en belastinggegevens). Gewiste gegevens verdwijnen binnen 63 dagen uit de versleutelde back-ups.

12. Aansprakelijkheid

De aansprakelijkheid onder deze DPA volgt de Algemene Voorwaarden, behalve wanneer dat de rechten van betrokkenen op grond van artikel 82 AVG zou beperken.

13. Toepasselijk Recht en Bevoegde Rechter

Deze DPA wordt beheerst door het recht van de Italiaanse Republiek. De bevoegde rechter is de rechtbank van de statutaire zetel van de verwerkingsverantwoordelijke, of, indien deze buiten de EER is gevestigd, de rechtbank van Abruzzo, Italië. Klachten over de verwerking van uw Persoonsgegevens kunnen worden ingediend bij de bevoegde toezichthoudende autoriteit. In Nederland: Autoriteit Persoonsgegevens (AP), Postbus 93374, 2509 AJ Den Haag.

14. Contact

Voor alle aangelegenheden met betrekking tot deze DPA: privacy@liaplugin.com