Addendum gegevensverwerking voor ChatGPT‑sites

Dit DPA is van toepassing op gebruikers van ChatGPT Plus, Pro en andere diensten voor particulieren, wanneer je gepubliceerde ChatGPT‑site Persoonsgegevens verzamelt.

Als je ChatGPT Enterprise, Business of andere Diensten voor bedrijven en ontwikkelaars gebruikt, kun je dit DPA⁠ raadplegen, of de DPA die tussen je organisatie en OpenAI is ondertekend, voor informatie over hoe OpenAI namens jou Persoonsgegevens verwerkt om de Diensten te leveren, waaronder ChatGPT‑sites.

Dit addendum gegevensverwerking voor ChatGPT‑sites ('DPA') vormt een aanvulling op, en maakt deel uit van, de Voorwaarden voor ChatGPT‑sites en de andere voorwaarden, beleidsregels en servicevoorwaarden die samen je gebruik van de Diensten regelen (de 'Overeenkomst'). Dit is van toepassing wanneer OpenAI Persoonsgegevens verwerkt die door je gepubliceerde ChatGPT‑site zijn verzameld voor het hosten, onderhouden en ondersteunen van je ChatGPT‑site. Voor alle duidelijkheid: dit DPA is niet van toepassing op je gebruik van ChatGPT bij het maken of bewerken van een ChatGPT Site, ook niet op je prompts, bestanden of andere content die je verstrekt in je gesprekken met ChatGPT. Dit DPA wordt aangegaan tussen jou en OpenAI OpCo, LLC, tenzij je gevestigd bent in een land binnen de Europese Economische Ruimte of in Zwitserland, in welk geval deze wordt aangegaan met OpenAI Ireland Ltd ('OpenAI'). Termen met een hoofdletter worden gedefinieerd in Artikel 6, of elders in dit DPA. In dit DPA worden OpenAI en jij elk aangeduid als een 'Partij' en gezamenlijk als de 'Partijen'. Je verklaart dat je wettelijk in staat bent om dit DPA aan te gaan en, indien je de DPA aangaat voor een entiteit, dat je de wettelijke bevoegdheid hebt om die entiteit te binden. Door de Diensten te gebruiken om een ChatGPT‑site te publiceren en te hosten die Persoonsgegevens verzamelt van eindgebruikers van je ChatGPT‑site, ga je akkoord met dit DPA.

• 1.1 Toepassingsgebieden en rollen. Als onderdeel van de dienstverlening aan jou op grond van de Overeenkomst kan OpenAI namens jou Persoonsgegevens verwerken. Dit is het geval als je gepubliceerde ChatGPT‑site Persoonsgegevens verzamelt, bijvoorbeeld door eindgebruikers toe te staan in te loggen of een account aan te maken, of content te plaatsen of te uploaden, of als je ChatGPT‑site Persoonsgegevens verzamelt met behulp van cookies of vergelijkbare technologieën. In dit DPA worden deze Persoonsgegevens aangeduid als 'Gehoste Gegevens', omdat OpenAI deze Persoonsgegevens namens jou host. OpenAI verwerkt Gehoste Gegevens als Gegevensverwerker namens jou, en dit DPA is leidend voor die verwerking. 
• 1.2 Details van de verwerking. OpenAI verwerkt Gehoste Gegevens uitsluitend om de Diensten aan jou te leveren, conform de afspraken in de Overeenkomst en dit DPA. De details over de aard en duur van de verwerking, de soorten Gehoste Gegevens en de categorieën van Betrokkenen staan in Bijlage 1 (Details van de Verwerking) van dit DPA. OpenAI en jij stemmen er beiden mee in om te voldoen aan hun respectievelijke verplichtingen krachtens de Wetgeving inzake Gegevensbescherming in verband met de diensten.

• 2.1 Jouw instructies. De Partijen komen overeen dat dit DPA en de Overeenkomst, evenals alle instructies en prompts die via de Diensten worden verstrekt, de instellingen en configuraties in de Diensten, en andere tools die OpenAI binnen de Diensten beschikbaar stelt, je gedocumenteerde instructies vormen met betrekking tot de verwerking door OpenAI van Gehoste Gegevens ('Gebruikersinstructies'). OpenAI verwerkt Gehoste Gegevens om je gepubliceerde ChatGPT‑site te hosten, te onderhouden en te ondersteunen uitsluitend in overeenstemming met de Gebruikersinstructies, tenzij OpenAI hiertoe verplicht is op grond van toepasselijke wetgeving waaraan OpenAI is onderworpen. In dat geval stelt OpenAI je voorafgaand aan de verwerking op de hoogte van deze verplichting, tenzij dit wettelijk verboden is.
• 2.2 Kennisgevingen aan jou. OpenAI stelt je onmiddellijk schriftelijk op de hoogte als een Klantinstructie volgens OpenAI in strijd is met de Wetgeving inzake Gegevensbescherming. Voor zover wettelijk toegestaan, informeert OpenAI je als zij een wettelijk bindend verzoek ontvangt van een rechtshandhavingsinstantie om Gehoste Gegevens vrij te geven.
• 2.3 Vertrouwelijkheid. OpenAI waarborgt dat alle personen die door OpenAI gemachtigd zijn om Gehoste Gegevens te verwerken, zich tot geheimhouding hebben verplicht of gebonden zijn aan een passende wettelijke geheimhoudingsplicht.
• 2.4 Verzoeken van Betrokkenen. Voor zover wettelijk toegestaan, informeert OpenAI je als zij een verzoek ontvangt om rechten van betrokkenen uit te oefenen op grond van de Wetgeving inzake Gegevensbescherming ('Verzoek van Betrokkene') met betrekking tot Gehoste Gegevens. OpenAI reageert niet op dergelijke verzoeken zonder jouw voorafgaande schriftelijke toestemming. Wel machtig je OpenAI om Verzoeken van Betrokkenen door te sturen, zodat je rechtstreeks kunt reageren. Gezien de aard van de verwerking helpt OpenAI je, voor zover mogelijk, met passende technische en organisatorische maatregelen om te reageren op Verzoeken van Betrokkenen.
• 2.5 Beveiliging. OpenAI implementeert en handhaaft redelijke en passende organisatorische en technische beveiligingsmaatregelen ter bescherming van Gehoste Gegevens, zoals vastgelegd in de Overeenkomst.
• 2.6 Ondersteuning aan jou. Rekening houdend met de aard van de verwerking en de informatie waarover zij beschikt, verleent OpenAI redelijke bijstand aan je om je te helpen voldoen aan je verplichtingen krachtens de Wetgeving inzake Gegevensbescherming. Dit omvat, voor zover van toepassing, bijstand bij het uitvoeren van gegevensbeschermingseffectbeoordelingen met betrekking tot de Verwerking van Gehoste Gegevens door OpenAI en, indien vereist door de Wetgeving inzake gegevensbescherming, wanneer jij de bevoegde toezichthoudende autoriteit raadpleegt.
• 2.7 Inbreuken op Persoonsgegevens. OpenAI stelt je zonder onnodige vertraging op de hoogte zodra zij kennisneemt van een Inbreuk op Persoonsgegevens. OpenAI biedt je redelijke ondersteuning om te voldoen aan de verplichtingen op grond van de Wetgeving inzake Gegevensbescherming rondom dergelijke inbreuken.
• 2.8 Controle op naleving. Als je redelijke gronden hebt om te vermoeden dat OpenAI niet heeft voldaan aan haar verplichtingen onder dit DPA en de toepasselijke Wetgeving inzake Gegevensbescherming je het recht geeft om een audit uit te voeren, dan heb je de volgende rechten om OpenAI te controleren: 
  • 2.8.1 Op schriftelijk verzoek en niet vaker dan eenmaal per jaar verstrekken wij je een samenvatting van de auditrapporten die relevant zijn voor de naleving door OpenAI van dit DPA en andere dergelijke informatie die nodig is om de naleving van de verplichtingen van OpenAI uit hoofde van dit DPA aan te tonen. OpenAI is gerechtigd een nominale vergoeding in rekening te brengen voor het verstrekken van informatie op grond van dit artikel 2.8.1; 
  • 2.8.2 Indien de op grond van Sectie 2.8.1 verstrekte informatie voor jou niet voldoende is om aan te tonen dat je je eigen verplichtingen uit hoofde van de Wetgeving inzake Gegevensbescherming naleeft, kun je, op eigen kosten, om nadere informatie en/of een inspectie verzoeken door een geschikte en gekwalificeerde auditor die gebonden is aan passende geheimhoudingsverplichtingen. OpenAI zal elk dergelijk verzoek redelijkerwijs in overweging nemen en bekijken hoe we je tegemoet kunnen komen zonder de vertrouwelijkheid van de informatie van onze andere klanten en gebruikers in gevaar te brengen. 

Alle resultaten en documentatie die krachtens deze Sectie 2.8 van OpenAI zijn verkregen, inclusief de resultaten van audits of inspecties, gelden als vertrouwelijke informatie van OpenAI. 

• 2.9 Inschakeling van Subverwerkers. Je geeft OpenAI hierbij algemene toestemming om de Subverwerkers, vermeld op de Lijst van Subverwerkers, in te schakelen voor de verwerking van Gehoste Gegevens in het kader van de Diensten. OpenAI stelt je op de hoogte van wijzigingen in de Lijst van Subverwerkers via een blogpost, een melding binnen de Diensten of andere redelijke middelen. Indien je je hiervoor hebt aangemeld op de pagina van de Lijst van Subverwerkers, gebeurt deze kennisgeving per e-mail. Je kunt binnen 30 dagen na ontvangst van de kennisgeving bezwaar maken tegen het gebruik van een nieuwe Subverwerker. Dit kan via de instructies bij de Lijst van Subverwerkers of door contact op te nemen met privacy@openai.com⁠. In dat geval zal OpenAI met je samenwerken om je zorgen weg te nemen. Indien de bezwaren niet binnen 30 dagen na ontvangst door OpenAI van je kennisgeving van bezwaar naar tevredenheid van de Partijen zijn opgelost, kan elk van de Partijen de Overeenkomst of de betreffende Diensten beëindigen die niet kunnen worden geleverd zonder gebruikmaking van de nieuwe Subverwerker. In geval van een dergelijke beëindiging heb je recht op terugbetaling van eventuele vooruitbetaalde vergoedingen voor de resterende periode na beëindiging.
• 2.10 Verplichtingen van Subverwerkers. OpenAI legt elke Subverwerker contractueel verplichtingen op die vergelijkbaar zijn met de verplichtingen van OpenAI krachtens dit DPA. Onder voorbehoud van de aansprakelijkheidsbeperkingen in de Overeenkomst, blijft OpenAI aansprakelijk voor de handelingen en nalatigheden van zijn Subverwerkers in dezelfde mate als OpenAI aansprakelijk zou zijn onder de voorwaarden van de DPA als het dergelijke handelingen of nalatigheden zelf zou uitvoeren.
• 2.11 Teruggave of verwijdering van gegevens. Na afloop of beëindiging van de Overeenkomst zal OpenAI, op jouw instructie, de Gehoste Gegevens retourneren of verwijderen (inclusief kopieën), tenzij het bewaren van Gehoste Gegevens vereist is op grond van toepasselijke wetgeving. In dat geval zal OpenAI de gegevens isoleren en beschermen tegen verdere verwerking, behalve voor zover wettelijk vereist.

• 3.1 Kennisgevingen en machtigingen. Je verklaart en garandeert dat je alle benodigde kennisgevingen hebt gedaan en gedurende de Looptijd over alle vereiste rechten en toestemmingen beschikt, zoals vereist door de Wetgeving inzake Gegevensbescherming, om de Gehoste Gegevens aan OpenAI te verstrekken en de verwerking daarvan krachtens deze Overeenkomst (inclusief dit DPA) toe te staan.
• 3.2 Samenwerking. Je verleent in redelijkheid medewerking om OpenAI te helpen bij het nakomen van diens verplichtingen onder de toepasselijke Wetgeving inzake Gegevensbescherming.
• 3.3 Configuraties. Onverminderd de beveiligingsverplichtingen van OpenAI in Sectie 2.5 van dit DPA, erken je zelf verantwoordelijk te zijn voor bepaalde configuraties en ontwerpbeslissingen voor de Diensten en voor de implementatie daarvan (zoals bewaartermijnen en verwijdering) in overeenstemming met de toepasselijke Wetgeving inzake Gegevensbescherming.

• 4.1 Gegevens uit de EER en Zwitserland. Gehoste Gegevens die door OpenAI op grond van dit DPA worden verwerkt, kunnen vallen binnen het toepassingsgebied van de Wetgeving inzake Gegevensbescherming van de Europese Economische Ruimte of Zwitserland ('Gegevens uit de EER en Zwitserland'). Ongeacht de toepasselijke contracterende Partij van OpenAI op grond van dit DPA, geef je hierbij OpenAI Ireland Limited de opdracht om eventuele Gegevens uit de EER en Zwitserland conform dit DPA te verwerken. Als OpenAI Ireland Limited Gegevens uit de EER en Zwitserland doorgeeft aan andere Gelieerde Ondernemingen van OpenAI of derden buiten de Europese Economische Ruimte of Zwitserland om de Diensten te leveren, vindt deze doorgifte plaats op basis van overeenkomsten met modelcontractbepalingen (SCC's), die passende waarborgen bieden voor de bescherming van Gehoste Gegevens, of op basis van een adequaatheidsbesluit van de Europese Commissie overeenkomstig Artikel 45 van de AVG.
• 4.2 VK-gegevens. Gehoste Gegevens die door OpenAI op grond van dit DPA worden verwerkt, kunnen vallen onder de reikwijdte van de Wetgeving inzake Gegevensbescherming van het Verenigd Koninkrijk ('VK-gegevens'). Ongeacht wie de contractpartij van OpenAI is onder dit DPA, geef je hierbij opdracht aan OpenAI OpCo, LLC om VK-gegevens te verwerken in overeenstemming met dit DPA en de Modelcontractbepalingen (SCC's), zoals gewijzigd door het VK-addendum. Deze worden geacht te zijn aangegaan (en door middel van deze verwijzing in dit DPA te zijn opgenomen) en te zijn ingevuld zoals beschreven in Bijlage 1.

Voor zover Amerikaanse privacywetgeving van toepassing is:

• 5.1 OpenAI stemt ermee in om (a) je geen geldelijke of andere op geld waardeerbare tegenprestatie te verstrekken in ruil voor Gehoste Gegevens van jou, waarbij de Partijen erkennen en overeenkomen dat je geen Gehoste Gegevens aan OpenAI hebt 'verkocht' (zoals gedefinieerd in de Amerikaanse privacywetgeving); (b) Persoonsgegevens niet te 'verkopen' (zoals gedefinieerd in de Amerikaanse privacywetgeving) of te 'delen' (zoals gedefinieerd in de CCPA); (c) voor zover je aan OpenAI toestemming of opdracht geeft om Gehoste Gegevens die onder de Amerikaanse privacywetgeving vallen te verwerken in gede-identificeerde vorm als onderdeel van de Diensten, zal OpenAI: (i) redelijke maatregelen treffen om te voorkomen dat dergelijke gede-identificeerde gegevens worden gebruikt om informatie af te leiden over, of anderszins te koppelen aan, een specifieke natuurlijke persoon of huishouden; (ii) zich publiekelijk verbinden om dergelijke gede-identificeerde gegevens in die vorm te bewaren en te gebruiken en niet te proberen deze te heridentificeren, tenzij toegestaan op grond van de Amerikaanse privacywetgeving; en (iii) voordat gede-identificeerde gegevens met een andere partij worden gedeeld, waaronder Subverwerkers, deze ontvangers contractueel verplichten te voldoen aan de vereisten van deze bepaling (c)(i)-(iii); en (d) voor zover de Gehoste Gegevens onder de CCPA vallen: (i) Gehoste Gegevens niet bewaren, gebruiken, verstrekken of anderszins verwerken, behalve voor zover noodzakelijk voor de zakelijke doeleinden die in de Overeenkomst zijn vastgelegd, waaronder de doeleinden in Bijlage 1 bij dit DPA; (ii) Gehoste Gegevens niet bewaren, gebruiken, verstrekken of anderszins verwerken op een wijze die buiten de directe zakelijke relatie tussen OpenAI en jou valt; (iii) geen Gehoste Gegevens combineren met Persoonsgegevens die OpenAI ontvangt van of namens een andere derde partij, of die OpenAI verzamelt via eigen interacties met individuen, met dien verstande dat OpenAI Gehoste Gegevens op die manier mag combineren voor een doel dat is toegestaan op grond van de CCPA indien je daartoe opdracht geeft of indien dit anderszins is toegestaan op grond van de CCPA; (iv) je onverwijld in kennis stellen indien OpenAI vaststelt dat zij niet langer aan haar verplichtingen op grond van de CCPA kan voldoen; en (v) indien je redelijkerwijs van mening bent dat de verwerking van Gehoste Gegevens door OpenAI niet in overeenstemming is met de vereisten van de CCPA, en na jouw redelijke kennisgeving daarvan aan OpenAI, zullen de Partijen te goeder trouw samenwerken om de kwestie op te lossen; indien je na deze samenwerking redelijkerwijs vaststelt dat de kwestie niet kan worden opgelost, zal OpenAI de verwerking van de betreffende Gehoste Gegevens staken op jouw schriftelijke instructie.
• 5.2 Je stemt ermee in geen enkele handeling te verrichten die ertoe zou leiden dat (a) de verstrekking van Gehoste Gegevens aan OpenAI wordt aangemerkt als een 'verkoop' op grond van de Amerikaanse Privacywetgeving of een 'share' op grond van de CCPA (of gelijkwaardige begrippen op grond van de Amerikaanse Privacywetgeving); of (b) OpenAI niet langer kwalificeert als 'service provider' op grond van de CCPA of 'processor' op grond van de Amerikaanse Privacywetgeving.

'Gegevensverantwoordelijke' heeft de betekenis die aan de term 'verwerkingsverantwoordelijke' (of een andere soortgelijke term) is toegekend op grond van de Wetgeving inzake gegevensbescherming.

'Gegevensverwerker' heeft de betekenis die aan de term 'verwerker' (of een andere soortgelijke term) is toegekend op grond van de Wetgeving inzake gegevensbescherming.

'Wetgeving inzake Gegevensbescherming' betekent wetten inzake gegevensprivacy en gegevensbescherming die van toepassing zijn op de verwerking van Gehoste Gegevens door OpenAI in verband met de Diensten.

'Betrokkene' heeft de betekenis die aan de term 'betrokkene' (of een andere soortgelijke term) is toegekend op grond van de Wetgeving inzake gegevensbescherming.

'AVG' betekent Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016.

“Gehoste Gegevens” betekent alle Persoonsgegevens die door je ChatGPT‑site worden verzameld nadat deze is gepubliceerd.

'Persoonsgegevens' heeft de betekenis die aan de term 'persoonsgegevens' of 'persoonlijke informatie' (of een andere soortgelijke term) is toegekend op grond van de Wetgeving inzake gegevensbescherming.

'Inbreuk op Persoonsgegevens' betekent een inbreuk op de beveiliging die leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot Gehoste Gegevens die zijn opgeslagen, doorgegeven of anderszins verwerkt door OpenAI, diens Subverwerkers of andere derden die namens OpenAI handelen, hetzij per ongeluk, hetzij op onrechtmatige wijze.

'Verwerking' heeft de betekenis die aan de term 'verwerking' (of een andere soortgelijke term) is toegekend op grond van de Wetgeving inzake gegevensbescherming.

'SCCs' betekent de standaardcontractbepalingen voor de doorgifte van persoonsgegevens naar derde landen, aangenomen door de Europese Commissie op 4 juni 2021 (zoals van tijd tot tijd gewijzigd, bijgewerkt of vervangen).

'Subverwerkers' betekent de subverwerkers die door OpenAI zijn ingeschakeld om Gehoste Gegevens te verwerken in verband met de Diensten en die zijn vermeld in de Lijst van Subverwerkers.

'Lijst van Subverwerkers' betekent de lijst die beschikbaar is op het volgende adres: https://platform.openai.com/subprocessors⁠(opent in een nieuw venster).

'VK-addendum' betekent het VK-addendum bij de EU SCC's, uitgegeven door de Information Commissioner op grond van sectie 119A(1) van de Data Protection Act 2018.

'Amerikaanse privacywetgeving' betekent de subset van Wetgeving inzake gegevensbescherming die van toepassing is op inwoners van de Verenigde Staten, waaronder de California Consumer Privacy Act ('CCPA').

• 1. Aard en doel:
  • De hosting, het onderhoud en de ondersteuning van je gepubliceerde ChatGPT‑site.
• 2. Duur:
  • De looptijd en de tijd die daarna nodig is voor de partijen om hun toepasselijke verplichtingen na afloop van de looptijd na te komen, waaronder gegevensverwijdering.
• 3. Categorieën van Gehoste Gegevens:
  • Persoonsgegevens die worden verstrekt door eindgebruikers van je ChatGPT‑site (bijvoorbeeld tekst, afbeeldingen, video's of andere content die op je ChatGPT‑site wordt geplaatst of geüpload).
  • Persoonsgegevens die worden gegenereerd door het gebruik door eindgebruikers van je ChatGPT‑site (bijvoorbeeld loggegevens, gebruiksgegevens, apparaatinformatie en gegevens die worden verzameld via cookies en vergelijkbare technologieën). 
• 4. Categorieën van betrokkenen:
  • Eindgebruikers van je ChatGPT‑site; en
  • Derden van wie persoonsgegevens door eindgebruikers worden verstrekt in verband met hun gebruik van je ChatGPT‑site.
• 5. Doorgegeven gevoelige gegevens (indien van toepassing):
  • Gevoelige gegevens die worden overgedragen (indien van toepassing) en toegepaste beperkingen of beveiligingsmaatregelen waarbij volledig rekening wordt gehouden met de aard van de gegevens en de risico's die daarbij horen, zoals bijvoorbeeld een strikte beperking van het doel, toegangsbeperkingen (waaronder alleen toegang voor personeel dat een gespecialiseerde training heeft gevolgd), het bijhouden van een toegangsoverzicht tot de gegevens, beperkingen voor verdere overdracht of aanvullende beveiligingsmaatregelen.
  • Gevoelige gegevens kunnen volgens jouw instructies worden verwerkt, voor zover deze gegevens door een eindgebruiker worden verstrekt. OpenAI verwerkt deze gevoelige gegevens uitsluitend op basis van je instructies.
• 6. Frequentie:
  • De frequentie van het overdragen (bijv. of de gegevens eenmalig of continu worden overgedragen).
  • Op doorlopende basis, afhankelijk van je gebruik van de Diensten
• 7. Doorgifte aan subverwerkers:
  • Conform Artikel 2.9 van het DPA zullen Subverwerkers Gehoste Gegevens verwerken voor zover nodig om de Diensten uit te voeren. Een dergelijke verwerking geldt voor de duur van de Overeenkomst, tenzij schriftelijk anders overeengekomen.
• 8. Informatie over de SCC's voor de doorgifte van VK-gegevens volgens Sectie 4.2:
  • 8.1 Module Twee (Verwerkingsverantwoordelijke naar Verwerker) van de SCC's is als volgt van toepassing: (i) de optionele dockingclausule in clausule 7 is niet van toepassing; (ii) In Clausule 9 is Optie 2 (algemene schriftelijke toestemming) van toepassing, en de minimale termijn voor voorafgaande kennisgeving van wijzigingen in subverwerkers is zoals uiteengezet in Sectie 2.9 van het DPA; (iii) In Clausule 11 is de optionele tekst niet van toepassing; (iv) Alle vierkante haken in Clausule 13 worden hierbij verwijderd; (v) In Clausule 17 (Optie 1) worden de SCC's beheerst door het recht van Engeland en Wales; (vi) In Clausule 18(b) worden geschillen beslecht voor de rechtbanken van Engeland en Wales; (vii) Deze Bijlage 1 bevat de informatie vereist in Annex I en Annex III van de SCC's; (viii) Sectie 2.5 (Beveiliging) van het DPA bevat de informatie vereist in Annex II van de SCC's; en (ix) de bevoegde toezichthoudende autoriteit is de Information Commissioner's Office ('ICO').
  • 8.2 Gegevensexporteur(s): jij; gegevensimporteur(s): OpenAI OpCo, LLC, 1455 3rd Street, San Francisco, CA 94158, functionaris gegevensbescherming, privacy@openai.com⁠.