Verwerkersovereenkomst

overeenkomstig art. 28 van de Algemene verordening gegevensbescherming (AVG)

Partijen

Klant (verwerkingsverantwoordelijke in de zin van art. 4, punt 7, AVG):

Bedrijf / naam: ______________________________________

Adres: ______________________________________

E-mailadres van het scryp-account: ______________________________________

scryp (verwerker in de zin van art. 4, punt 8, AVG):

Gökhan Sagir, zelfstandig ondernemer, handelend onder de merknaam scryp Erdbergstraße 121/9, 1030 Wenen, Oostenrijk UID: ATU83108129 Contact gegevensbescherming: datenschutz@scryp.at

Hierna ‘Klant’ en ‘scryp’, gezamenlijk ‘Partijen’.

Waar het om gaat

De Klant gebruikt scryp om audio- en video-opnamen te laten transcriberen en analyseren. In deze opnamen spreken mensen voor wier persoonsgegevens de Klant verantwoordelijk is. scryp verwerkt deze gegevens uitsluitend in opdracht van de Klant. Deze overeenkomst legt vast wat scryp met de gegevens mag doen, hoe scryp ze beschermt en wat er uiteindelijk mee gebeurt.

1. Onderwerp en toepassingsgebied

1.1 Deze overeenkomst geldt voor alle persoonsgegevens die scryp bij het verlenen van de dienst scryp volgens de Servicevoorwaarden (algemene voorwaarden, beschikbaar op www.scryp.at/agb) in opdracht van de Klant verwerkt. De overeenkomst over het gebruik van de dienst wordt hierna ‘Hoofdovereenkomst’ genoemd. De actuele versie van deze overeenkomst is beschikbaar op www.scryp.at/avv.

1.2 Deze overeenkomst heeft geen betrekking op de gegevens van de contractuele relatie zelf, dat wil zeggen de account-, contract-, facturerings- en supportgegevens van de Klant. Deze verwerkt scryp als zelfstandige verwerkingsverantwoordelijke overeenkomstig zijn Privacybeleid (www.scryp.at/datenschutz).

1.3 De Bijlagen 1 tot en met 3 maken deel uit van deze overeenkomst. Bij tegenstrijdigheden tussen deze overeenkomst en de Hoofdovereenkomst heeft deze overeenkomst in kwesties van gegevensbescherming voorrang.

1.4 Deze overeenkomst is bestemd voor Klanten die scryp gebruiken in het kader van een beroepsmatige, zakelijke of ambtelijke activiteit. Bij zuiver privégebruik is de AVG overeenkomstig art. 2, lid 2, onder c), niet van toepassing en is geen verwerkersovereenkomst vereist.

2. Aard, doel en omvang van de verwerking

2.1 De aard en het doel van de verwerking, de soorten gegevens en de categorieën van betrokkenen zijn beschreven in Bijlage 1.

2.2 scryp verwerkt de gegevens uitsluitend in lidstaten van de Europese Unie. De verwerkingslocaties zijn vermeld in Bijlage 1 en Bijlage 3.

2.3 De duur van de verwerking komt overeen met de looptijd van de Hoofdovereenkomst, vermeerderd met de in artikel 12 geregelde verwijderingstermijnen.

3. Instructies

3.1 scryp verwerkt de gegevens uitsluitend op gedocumenteerde instructie van de Klant. De instructies van de Klant zijn de Hoofdovereenkomst, deze overeenkomst en het gebruik van de functies van de dienst door de Klant (in het bijzonder uploaden, transcriberen, analyseren, bewerken, delen, exporteren en verwijderen). Elk gebruik van een functie is een gedocumenteerde afzonderlijke instructie om de bijbehorende verwerking uit te voeren.

3.2 Verdere instructies geeft de Klant schriftelijk; een e-mail aan datenschutz@scryp.at volstaat. Bevoegd tot het geven van instructies zijn de accounthouder en de personen die de Klant voor zijn scryp-account inzet. Instructies die verder gaan dan de omvang van de dienstverlening, gelden als verzoek tot een wijziging van de dienstverlening.

3.3 Is een instructie naar het oordeel van scryp in strijd met de AVG of andere bepalingen inzake gegevensbescherming, dan informeert scryp de Klant onverwijld. scryp mag de uitvoering opschorten totdat de Klant de instructie bevestigt of wijzigt.

3.4 scryp gebruikt de gegevens niet voor eigen doeleinden. In het bijzonder worden opnamen, transcripties en analyses van de Klant niet gebruikt voor het trainen of verbeteren van AI-modellen en niet aan derden doorgegeven, tenzij deze overeenkomst anders bepaalt.

3.5 Verlangt een overheidsinstantie of een rechter van scryp de afgifte van gegevens van de Klant, dan informeert scryp de Klant onverwijld voor zover dit wettelijk is toegestaan, verwijst scryp de instantie naar de Klant en geeft scryp uitsluitend af waartoe scryp wettelijk verplicht is. scryp gaat daarbij na of een wettelijke geheimhoudingsplicht van de Klant aan de afgifte in de weg staat (§ 6, lid 5, DSG).

4. Verplichtingen van de Klant

4.1 De Klant is verantwoordelijk voor de rechtmatigheid van de opnamen en van de verwerking ervan. Hij zorgt in het bijzonder voor een rechtsgrond (art. 6 en, bij bijzondere categorieën, art. 9 AVG), voor de informatieverstrekking aan de betrokkenen (art. 13 en 14 AVG) en ervoor dat geen niet-openbare uitlatingen zonder instemming van de sprekers worden opgenomen (bijvoorbeeld § 120 StGB in Oostenrijk).

4.2 Bevatten opnamen bijzondere categorieën van persoonsgegevens (bijvoorbeeld gezondheidsgegevens) of inhoud die onder een beroepsgeheim valt, dan gaat de Klant vooraf na of de verwerking toelaatbaar is en of een gegevensbeschermingseffectbeoordeling (art. 35 AVG) vereist is. scryp stelt daarvoor de informatie uit deze overeenkomst en de bijlagen ervan ter beschikking.

4.3 De Klant houdt het e-mailadres van zijn scryp-account actueel. Aan dit adres richt scryp alle mededelingen op grond van deze overeenkomst, in het bijzonder meldingen overeenkomstig artikel 10.

4.4 De Klant heeft het recht scryp instructies te geven, bewijs te verlangen en audits overeenkomstig artikel 11 uit te voeren.

5. Vertrouwelijkheid en beroepsgeheim

5.1 scryp verleent uitsluitend toegang tot de gegevens aan personen die tot geheimhouding van gegevens (§ 6 DSG) en tot vertrouwelijkheid zijn verplicht en die over de gevolgen van een schending zijn geïnformeerd (art. 28, lid 3, onder b), en art. 29 AVG). Deze verplichting blijft na het einde van de werkzaamheden bestaan.

5.2 scryp is zo opgebouwd dat inhoud van de Klant (opnamen, transcripties, analyses, bestands- en mapnamen) uitsluitend versleuteld wordt opgeslagen en alleen voor de duur van de betreffende verwerking in leesbare vorm in het werkgeheugen van de verwerkingsservers aanwezig is. Personen bij scryp hebben tijdens de normale bedrijfsvoering geen toegang tot inhoud in leesbare vorm. Details staan in Bijlage 2.

5.3 Is de Klant onderworpen aan een wettelijke geheimhoudingsplicht (bijvoorbeeld § 9 RAO, § 54 ÄrzteG, § 121 StGB), dan verbindt scryp zich als hulppersoon van de Klant ertoe alle inhoud die scryp in het kader van de dienstverlening toegankelijk wordt, op dezelfde wijze geheim te houden. Voor Klanten die aan het Duitse recht zijn onderworpen, geldt dit tevens als verplichting tot geheimhouding overeenkomstig § 203, lid 4, StGB (Duitsland). Op verzoek bevestigt scryp deze verplichting in een afzonderlijke verklaring.

6. Beveiliging van de verwerking

6.1 scryp treft de technische en organisatorische maatregelen overeenkomstig art. 32 AVG die in Bijlage 2 zijn beschreven.

6.2 scryp mag deze maatregelen verder ontwikkelen en door gelijkwaardige of betere vervangen. Het beschermingsniveau mag daarbij niet worden verlaagd. Wezenlijke wijzigingen documenteert scryp en deelt scryp aan de Klant mee. De actuele versie van Bijlage 2 is beschikbaar op www.scryp.at/avv.

6.3 scryp controleert de doeltreffendheid van de maatregelen ten minste eenmaal per jaar en deelt het resultaat op verzoek aan de Klant mee.

7. Subverwerkers

7.1 De Klant keurt de in Bijlage 3 genoemde subverwerkers goed (algemene toestemming overeenkomstig art. 28, lid 2, AVG).

7.2 Wil scryp een subverwerker toevoegen of vervangen, dan informeert scryp de Klant ten minste 30 dagen vóór de inzet per e-mail aan het adres van het scryp-account. De Klant kan binnen 14 dagen na ontvangst van deze mededeling om een gewichtige reden op het gebied van gegevensbescherming schriftelijk bezwaar maken; een e-mail volstaat. Maakt de Klant geen bezwaar, dan geldt de wijziging als goedgekeurd.

7.3 Vinden de Partijen na een bezwaar geen oplossing, dan kan de Klant de Hoofdovereenkomst opzeggen tegen het tijdstip van de geplande inzet. Vergoedingen die de Klant voor de periode na de beëindiging vooruit heeft betaald, betaalt scryp naar evenredigheid terug.

7.4 scryp legt elke subverwerker bij overeenkomst dezelfde verplichtingen inzake gegevensbescherming op als die welke voor scryp uit deze overeenkomst voortvloeien, in het bijzonder afdoende garanties voor passende technische en organisatorische maatregelen (art. 28, lid 4, AVG). Komt een subverwerker zijn verplichtingen niet na, dan is scryp jegens de Klant aansprakelijk voor diens verplichtingen als voor eigen gedrag.

7.5 Nevendiensten zonder toegang tot klantgegevens, bijvoorbeeld telecommunicatie, schoonmaak of onderhoud zonder toegang tot gegevens, gelden niet als subverwerking.

8. Verwerkingslocatie en derde landen

8.1 scryp verwerkt en bewaart de gegevens in Oostenrijk en Duitsland. Doorgifte naar landen buiten de Europese Unie of de Europese Economische Ruimte vindt door scryp niet plaats.

8.2 Mocht een subverwerker gegevens in een derde land verwerken, dan gebeurt dit uitsluitend in de in Bijlage 3 beschreven omvang en uitsluitend met een passende waarborg overeenkomstig hoofdstuk V AVG (bijvoorbeeld een adequaatheidsbesluit van de Europese Commissie of de EU-modelcontractbepalingen).

9. Ondersteuning van de Klant

9.1 Rechten van betrokkenen: de Klant kan inzage, rectificatie, wissing en overdraagbaarheid van gegevens in de meeste gevallen zelf via de functies van de dienst afhandelen (weergeven, bewerken, exporteren, verwijderen). Omdat scryp inhoud uitsluitend versleuteld bewaart, kan scryp niet vaststellen welke personen in een opname voorkomen. Wendt een betrokkene zich tot scryp, dan stuurt scryp het verzoek onverwijld door aan de Klant en beantwoordt scryp het niet zelf, tenzij de Klant scryp daartoe instrueert.

9.2 Beveiliging, inbreuken in verband met persoonsgegevens, gegevensbeschermingseffectbeoordeling en raadpleging van de toezichthoudende autoriteit (art. 32 tot en met 36 AVG): scryp ondersteunt de Klant met de informatie waarover scryp beschikt, in het bijzonder met deze overeenkomst, Bijlage 2 en de gegevens over een incident overeenkomstig artikel 10.

9.3 Voor ondersteuning die verder gaat dan het ter beschikking stellen van de in deze overeenkomst beschreven informatie en functies, mag scryp na voorafgaande aankondiging een redelijke vergoeding op basis van de bestede tijd in rekening brengen. Dit geldt niet wanneer de ondersteuning noodzakelijk wordt door een fout van scryp.

10. Melding van inbreuken in verband met persoonsgegevens

10.1 Wordt scryp een inbreuk in verband met persoonsgegevens bekend die gegevens van de Klant betreft, dan meldt scryp dit zonder onredelijke vertraging en uiterlijk binnen 48 uur na kennisname per e-mail aan het adres van het scryp-account aan de Klant.

10.2 De melding bevat, voor zover bekend: de aard van de inbreuk, de betrokken soorten gegevens en het geschatte aantal betrokkenen, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen en een contactpunt bij scryp. Informatie die nog niet beschikbaar is, verstrekt scryp zonder onredelijke vertraging na.

10.3 scryp documenteert de inbreuk en ondersteunt de Klant bij de melding aan de toezichthoudende autoriteit en bij het informeren van de betrokkenen. Meldingen aan autoriteiten of betrokkenen namens de Klant doet scryp uitsluitend op diens instructie. De melding aan de Klant houdt geen erkenning van schuld in.

11. Aantonen van naleving en audits

11.1 scryp stelt de Klant alle informatie ter beschikking die nodig is om de nakoming van de verplichtingen uit art. 28 AVG aan te tonen. Daartoe behoren deze overeenkomst, de beschrijving van de maatregelen in Bijlage 2, het register overeenkomstig art. 30, lid 2, AVG, de certificeringen van de subverwerkers en schriftelijke antwoorden op gemotiveerde vragen van de Klant.

11.2 Volstaat dit bewijs in een concreet geval niet, dan kan de Klant zelf of via een tot vertrouwelijkheid verplichte auditor die geen concurrent van scryp is, een audit, met inbegrip van een inspectie, uitvoeren. Audits vinden ten hoogste eenmaal per kalenderjaar plaats, na aankondiging van ten minste 30 dagen, tijdens de gebruikelijke kantooruren en zonder verstoring van de bedrijfsvoering. Bij concrete aanwijzingen voor een schending of op verlangen van een toezichthoudende autoriteit is een audit ook op korte termijn en vaker mogelijk.

11.3 De audit strekt zich niet uit tot gegevens van andere klanten en niet tot datacenters van subverwerkers. Daarvoor gelden hun certificeringen en auditrapporten. Elke Partij draagt haar eigen kosten van de audit.

12. Verwijdering en teruggave van de gegevens

12.1 Tijdens de looptijd kan de Klant zijn gegevens op elk moment zelf verwijderen en in gangbare formaten exporteren. Verwijderde inhoud wordt onmiddellijk uit het actieve gegevensbestand verwijderd.

12.2 Geüploade oorspronkelijke bestanden verwijdert scryp automatisch na afronding van de verwerking, doorgaans binnen enkele minuten en uiterlijk 72 uur na het uploaden. Bewaard blijven uitsluitend de versleutelde afspeelversie, de versleutelde transcriptie en de versleutelde analyses.

12.3 Na het einde van de Hoofdovereenkomst blijft de inhoud nog maximaal 90 dagen voor export beschikbaar voor de Klant. Daarna verwijdert scryp deze, met inbegrip van alle kopieën, automatisch. Verwijdert de Klant zijn account, dan worden alle gegevens onmiddellijk verwijderd.

12.4 Reservekopieën dienen uitsluitend voor het herstel van het gehele systeem. Zij bevatten inhoud van de Klant uitsluitend in versleutelde vorm en worden uiterlijk na 30 dagen overschreven. Afzonderlijke verwijderde klantgegevens worden niet uit reservekopieën hersteld.

12.5 Gegevens die scryp op grond van wettelijke bewaarplichten verder moet bewaren (bijvoorbeeld factuurgegevens overeenkomstig § 132 BAO), zijn van de verwijdering uitgezonderd. Zij worden geblokkeerd en na afloop van de termijn verwijderd.

12.6 Op verzoek bevestigt scryp de verwijdering schriftelijk; een e-mail volstaat.

13. Aansprakelijkheid

13.1 Jegens betrokkenen zijn de Partijen aansprakelijk overeenkomstig art. 82 AVG.

13.2 In de verhouding tussen de Partijen onderling gelden de aansprakelijkheidsregelingen van de Hoofdovereenkomst, voor zover wettelijk toegestaan. Voor subverwerkers is scryp aansprakelijk als voor eigen gedrag (artikel 7.4).

13.3 Heeft een Partij schadevergoeding aan betrokkenen betaald, dan kan zij van de andere Partij het deel terugvorderen dat overeenkomt met diens aandeel in de verantwoordelijkheid voor de schade (art. 82, lid 5, AVG).

13.4 Handhaaft de Klant een instructie hoewel scryp hem overeenkomstig artikel 3.3 op de onrechtmatigheid ervan heeft gewezen, dan vrijwaart de Klant scryp tegen alle aanspraken van derden en boetes die op deze instructie berusten.

14. Looptijd, opschorting en beëindiging

14.1 Deze overeenkomst geldt zolang scryp gegevens voor de Klant verwerkt, dus voor de duur van de Hoofdovereenkomst en tot de voltooiing van de verwijdering overeenkomstig artikel 12.

14.2 Gebruik van de dienst zonder deze overeenkomst is voor Klanten overeenkomstig artikel 1.4 niet voorzien. Opzegging van deze overeenkomst geldt daarom tevens als opzegging van de Hoofdovereenkomst.

14.3 Schendt scryp deze overeenkomst, dan kan de Klant verlangen dat scryp de betrokken verwerking opschort totdat de schending is verholpen. Verhelpt scryp een ernstige schending niet binnen een maand na aanmaning, dan kan de Klant de Hoofdovereenkomst met onmiddellijke ingang opzeggen.

15. Slotbepalingen

15.1 Deze overeenkomst wordt in elektronische vorm gesloten (art. 28, lid 9, AVG). Voor Klanten overeenkomstig artikel 1.4 wordt zij door opname in de Servicevoorwaarden bij het sluiten van de Hoofdovereenkomst onderdeel van de overeenkomst; contractspartij is dan de houder van het scryp-account met de daar geregistreerde gegevens. Daarnaast kan zij worden gesloten door ondertekening van dit document door beide Partijen, ook als elektronische kopie.

15.2 Wijzigingen van deze overeenkomst behoeven de schriftelijke vorm; een e-mail volstaat. scryp mag Bijlage 2 overeenkomstig artikel 6.2 en Bijlage 3 overeenkomstig artikel 7.2 aanpassen. Andere wijzigingen kondigt scryp ten minste 30 dagen vóór de inwerkingtreding per e-mail aan; de Klant kan tot dan bezwaar maken en de Hoofdovereenkomst tegen dat tijdstip opzeggen. scryp houdt elke versie van deze overeenkomst met versienummer en datum beschikbaar.

15.3 Het Oostenrijkse recht is van toepassing; de AVG blijft onverlet. Is de Klant ondernemer, dan is voor alle geschillen uit deze overeenkomst uitsluitend de materieel bevoegde rechter in Wenen bevoegd. Dwingendrechtelijke bevoegdheidsregels blijven onverlet.

15.4 Mocht een bepaling ongeldig zijn, dan blijft de rest van de overeenkomst geldig. In de plaats van de ongeldige bepaling treedt de wettelijke regeling die haar doel het dichtst benadert.

15.5 Aanspreekpunt voor alle vragen over deze overeenkomst is bij scryp datenschutz@scryp.at. Aan de zijde van de Klant is dit het e-mailadres van het scryp-account, tenzij de Klant iets anders meedeelt.

15.6 scryp stelt deze overeenkomst in meerdere talen ter beschikking. Bindend is de Duitse versie; vertalingen dienen uitsluitend ter verduidelijking. Bij afwijkingen geldt de Duitse tekst.

Ondertekening

Bijlage 1: Beschrijving van de verwerking

Bijlage 2: Technische en organisatorische maatregelen (art. 32 AVG)

Laatst bijgewerkt: 22 september 2026. De maatregelen beschrijven de normale bedrijfsvoering van scryp.

1. Versleuteling en zero-knowledge-architectuur

• Opnamen worden al in de browser van de Klant met AES-256-GCM versleuteld voordat zij aan scryp worden overgedragen. Voor elk bestand wordt een eigen bestandssleutel (FEK) gegenereerd.
• Bestandssleutels worden versleuteld met een hoofdsleutel van het account (MEK). De hoofdsleutel is uitsluitend toegankelijk met het wachtwoord van de Klant (afleiding met PBKDF2-SHA256, 600.000 iteraties). scryp kent noch het wachtwoord, noch de hoofdsleutel in leesbare vorm.
• Voor de transcriptie verzendt de browser de bestandssleutel, versleuteld met een serversleutel (RSA-4096, OAEP), aan scryp. De verwerkingsserver ontsleutelt de opname uitsluitend in het werkgeheugen. Tijdelijke bestanden bevinden zich in een RAM-bestandssysteem en worden na de opdracht verworpen; onversleutelde inhoud wordt op geen enkel moment naar gegevensdragers geschreven.
• Transcripties en analyses worden direct na het aanmaken met de bestandssleutel versleuteld en uitsluitend versleuteld opgeslagen. Bestands- en mapnamen worden in de browser versleuteld.
• Bij het delen van een transcriptie wordt de bestandssleutel versleuteld met een uit het deelwachtwoord afgeleide sleutel. Ontvangers ontsleutelen uitsluitend in hun eigen browser.
• Uitzondering upload via URL: haalt de Klant een opname op via een internetadres, dan downloadt de verwerkingsserver het bestand rechtstreeks, verwerkt het in het werkgeheugen en verwijdert het daarna; transcriptie en afspeelversie worden zoals gebruikelijk versleuteld opgeslagen.
• Alle verbindingen zijn versleuteld met TLS 1.2 of 1.3.

2. Fysieke toegangscontrole

• Webapplicatie, database, bestandsopslag en reservekopieën draaien in het datacenter van Hetzner Online GmbH in Neurenberg (ISO/IEC 27001-gecertificeerd, BSI C5 Type 2-attest) met toegangscontrole, videobewaking en beveiligingspersoneel van de exploitant.
• De GPU-servers voor transcriptie en AI-analyse staan in eigen, afgesloten ruimten van scryp in Wenen. Alleen bevoegde personen hebben toegang; de toegang is mechanisch afgesloten en aanvullend biometrisch beveiligd.
• Alle gegevensdragers van deze servers zijn volledig versleuteld. Bij diefstal of verwijdering van een gegevensdrager blijven de gegevens zonder de sleutel onleesbaar. Onversleutelde inhoud is op deze servers uitsluitend tijdens een lopende opdracht in het werkgeheugen aanwezig en wordt nooit naar een gegevensdrager geschreven.

3. Toegangs- en autorisatiecontrole

• Servertoegang uitsluitend voor beheerders van scryp via versleutelde SSH-verbindingen met persoonlijke sleutels dan wel willekeurig gegenereerde, sterke wachtwoorden; toegang volgens het beginsel van minimale bevoegdheden.
• Gescheiden beheerinterface met eigen aanmelding, beperkt tot vrijgegeven IP-adressen. De beheerinterface toont uitsluitend account- en opdrachtmetadata, geen inhoud.
• Gebruikersaccounts: wachtwoorden worden gehasht met Argon2id; bescherming tegen aanmeldpogingen door beperking van het aantal pogingen en tijdelijke blokkering; sessies werken zonder cookies met kortlevende tokens.
• Bescherming van de interfaces tegen misbruik en overbelasting door beperking van het aantal verzoeken en automatische blokkeringen.
• Geautomatiseerde diensten (verwerkingsservers) authenticeren zich met eigen, roteerbare toegangsgegevens en ontvangen uitsluitend de voor de betreffende opdracht benodigde sleutels.

4. Scheiding van gegevens en pseudonimisering

• Cryptografische scheiding: elke Klant heeft een eigen hoofdsleutel, elk bestand een eigen bestandssleutel. Inhoud van een Klant is met andere sleutels niet leesbaar.
• Logische scheiding van productie-, database-, cache- en monitoringsystemen in gescheiden netwerkzones.
• Verwerkingsopdrachten aan de GPU-servers bevatten geen namen en geen e-mailadressen, uitsluitend de voor de opdracht benodigde technische gegevens.

5. Integriteit en traceerbaarheid

• Alle wijzigingen aan applicatie en infrastructuur verlopen via geversioneerde broncode en geautomatiseerde, traceerbare uitrol; software-images worden vastgelegd aan de hand van hun controlesom.
• Accountgebeurtenissen (bijvoorbeeld aanmelding, verwijdering, abonnementswijzigingen) worden met tijdstip geregistreerd, zonder IP-adressen.
• Systeemlogboeken bevatten geen inhoud en worden na 14 dagen verwijderd. IP-adressen worden niet opgeslagen en niet geregistreerd. Ter afweer van misbruik worden verzoeken uitsluitend geteld via een kortlevend, met een geheime sleutel gevormd en niet-herleidbaar pseudoniem, dat na ten hoogste één uur vervalt.

6. Beschikbaarheid en veerkracht

• Hoogbeschikbaar cluster van drie servers met lastverdeling; database met synchrone replicatie over drie knooppunten; cache met automatische failover.
• Dagelijkse versleutelde reservekopie van de database met herstel naar elk tijdstip binnen de laatste 30 dagen; van de clusterconfiguratie wordt elke zes uur een reservekopie gemaakt. Reservekopieën bevinden zich in het datacenter in Neurenberg.
• Uitrol van nieuwe versies zonder onderbreking van de dienst; bescherming tegen overbelastingsaanvallen op netwerk- en applicatieniveau.
• Continue monitoring met automatische alarmering bij storingen.

7. Verwijdering en gegevensminimalisatie

• Geüploade oorspronkelijke bestanden worden na de verwerking verwijderd, doorgaans binnen enkele minuten; een automatische regel verwijdert achtergebleven uploads uiterlijk na 72 uur.
• De Klant verwijdert inhoud en account op elk moment zelf; de verwijdering werkt onmiddellijk door in het actieve gegevensbestand. Na het einde van een abonnement wordt inhoud na 90 dagen automatisch verwijderd.
• Geen cookies, geen volg- of analysetools van derden, geen opslag van IP-adressen.

8. Organisatie

• Alle bij scryp werkzame personen zijn tot geheimhouding van gegevens en tot vertrouwelijkheid verplicht en zijn geïnstrueerd over de beveiligingsarchitectuur.
• scryp houdt een register van verwerkingsactiviteiten bij (art. 30 AVG). Gegevensbeschermingseffectbeoordeling, register en deze maatregelen worden ten minste jaarlijks en bij wezenlijke wijzigingen gecontroleerd.
• Incidentproces: detectie door monitoring, beoordeling, indamming, melding aan de betrokken Klanten overeenkomstig artikel 10 van de overeenkomst, evaluatie achteraf.
• Subverwerkers worden vóór de inzet op hun waarborgen beoordeeld en contractueel overeenkomstig art. 28, lid 4, AVG verplicht.

Bijlage 3: Subverwerkers

Laatst bijgewerkt: 22 september 2026.