Verwerkersaddendum

Verwerkersaddendum — Sessy.app

Laatst bijgewerkt: 11 september 2026
Partijen: de Aanbieder (verwerkingsverantwoordelijke) en Sessy (verwerker).
Dit addendum vult artikel 6 lid 6 van de Gebruiksvoorwaarden aan en geldt voor alle Aanbieders die het Platform gebruiken. Bij vertalingen is deze Nederlandse tekst doorslaggevend.

Dit is de schriftelijke verwerkersovereenkomst in de zin van artikel 28 AVG. Vraag geen aparte kopie aan — deze pagina is de overeenkomst.

1. Rollen

1. De Aanbieder is verwerkingsverantwoordelijke voor persoonsgegevens van Leden, medewerkers en andere betrokkenen die de Aanbieder in Sessy vastlegt.
2. Sessy is verwerker voor die gegevens, voor zover Sessy ze verwerkt om het Platform te leveren.
3. Sessy is zelf verwerkingsverantwoordelijke voor eigen bedrijfsdoeleinden (licentiefacturatie, accounts van Aanbieders, websitebezoek, supportchat op sessy.app). Die verwerkingen vallen onder de Privacyverklaring, niet onder dit addendum.

2. Onderwerp van de verwerking

Notities kunnen bijzondere categorieën bevatten (bijvoorbeeld gezondheidsgegevens over blessures). Sessy verwerkt die alleen als de Aanbieder ze vastlegt of via AI/MCP laat ophalen. De Aanbieder is verantwoordelijk voor een geldige grondslag, inclusief artikel 9 AVG waar dat van toepassing is.

3. Instructies

1. Sessy verwerkt persoonsgegevens alleen in opdracht van de Aanbieder, zoals volgt uit het gebruik van het Platform, de Gebruiksvoorwaarden, dit addendum en redelijke schriftelijke instructies.
2. Sessy AI (platformmodus) is een instructie van de Aanbieder om relevante gymgegevens (afhankelijk van rol en vraag) te laten verwerken via Sessy’s AI-subverwerkers, uitsluitend om de assistent te laten antwoorden of een wijziging voor te bereiden.
3. BYOK: als de Aanbieder een eigen Opper-sleutel inschakelt, is dat een instructie om dezelfde in-app verzoeken via het Opper-account van de Aanbieder te sturen. De Aanbieder kiest model en regio en moet zelf een passende relatie (inclusief DPA) met Opper hebben.
4. MCP: als de Aanbieder een agenttoken aanmaakt, is dat een instructie om API-toegang te geven aan het externe AI-hulpmiddel dat de Aanbieder kiest. Dat hulpmiddel is geen subverwerker van Sessy. De Aanbieder is zelf verantwoordelijk voor die aanbieder (DPA, doorgifte, training, locatie).

4. Geheimhouding en beveiliging

Sessy zorgt dat personen die toegang hebben tot de gegevens tot geheimhouding verplicht zijn, en treft passende technische en organisatorische maatregelen (artikel 32 AVG), waaronder toegangsbeheer, versleuteling in transit, en hosting in de EU voor de kerngegevens van het Platform.

5. Subverwerkers

1. De Aanbieder geeft algemene schriftelijke toestemming aan Sessy om subverwerkers in te schakelen.
2. De actuele lijst, met type verwerking, staat op Subverwerkers. Die pagina maakt deel uit van dit addendum.
3. Voor Sessy AI in platformmodus zijn de relevante subverwerkers in ieder geval Opper (AI-gateway, EU) en de door Sessy gekozen EU-modelprovider (standaard: Microsoft Azure in de EU, via Opper). Opper mag eigen subverwerkers gebruiken zoals vermeld in de Opper-subverwerkerslijst.
4. Sessy sluit met subverwerkers een verwerkersovereenkomst met minstens gelijkwaardige verplichtingen.
5. Bij toevoeging of vervanging van een subverwerker werkt Sessy de lijst bij. De Aanbieder kan binnen 30 dagen na publicatie bezwaar maken op objectieve gronden die verband houden met gegevensbescherming. Zonder tijdig bezwaar geldt de wijziging als aanvaard. Bij gegrond bezwaar mag de Aanbieder de betreffende functie uitzetten (bijvoorbeeld Sessy AI) of de overeenkomst beëindigen.

6. Doorgifte buiten de EER

Kerngegevens van het Platform worden primair in de EU verwerkt. Sommige subverwerkers (met name Stripe voor betalingen) kunnen gegevens buiten de EER verwerken. Sessy doet dat alleen met een geldig doorgiftemechanisme (zoals standaardcontractbepalingen) via de DPA van die subverwerker.

Sessy AI in platformmodus is ingesteld op een EU-route (Opper in de EU + Azure in de EU). BYOK en MCP kunnen buiten de EU uitkomen als de Aanbieder dat zo configureert; dat is dan de keuze en verantwoordelijkheid van de Aanbieder.

7. Training

Sessy gebruikt gegevens van Aanbieders en Leden niet om AI-modellen te trainen. Onder de standaard platformroute stelt Opper dat Opper zelf niet traint en dat de Azure-route niet voor training van het model wordt gebruikt. Modelproviders kunnen verzoeken beperkt bewaren voor misbruikdetectie (bij Azure: tot 30 dagen volgens Opper). Andere modellen die de Aanbieder zelf via BYOK of MCP kiest, kunnen andere voorwaarden hebben.

8. Rechten van betrokkenen, incidenten, audits

1. Sessy helpt de Aanbieder bij verzoeken van betrokkenen (inzage, rectificatie, wissing, enz.), voor zover dat via de functies van het Platform of redelijke medewerking mogelijk is. Verzoeken die Sessy rechtstreeks ontvangt, stuurt Sessy door naar de Aanbieder waar het om ledengegevens van die Aanbieder gaat.
2. Sessy meldt een datalek dat de verwerking onder dit addendum raakt zonder onredelijke vertraging aan de Aanbieder, met de informatie die de Aanbieder nodig heeft voor artikel 33/34 AVG.
3. Sessy maakt op verzoek de informatie beschikbaar die nodig is om artikel 28 AVG aan te tonen. Audits vinden hooguit één keer per jaar plaats, na redelijke aankondiging, op kosten van de Aanbieder, en zonder onevenredige verstoring of inzage in gegevens van andere klanten.

9. Einde

Na einde van het gebruik verwijdert of retourneert Sessy de persoonsgegevens van de Aanbieder, tenzij een wettelijke plicht tot bewaring geldt. Export via de functies van het Platform telt als retournering.

10. Aansprakelijkheid en recht

Aansprakelijkheid volgt de Gebruiksvoorwaarden. Nederlands recht; bevoegde rechter zoals in de Gebruiksvoorwaarden.

Contact: contact@sessy.app