EU Data Act: overstappen en dataportabiliteit

1. Doel en status

Dit overzicht geeft de informatie die Dreebro als aanbieder van een gegevensverwerkingsdienst beschikbaar stelt voor hoofdstuk VI van Verordening (EU) 2023/2854 (de Data Act). Het vormt onderdeel van de algemene voorwaarden.

Het overzicht beschrijft de huidige procedure en is tegelijk het online register van beschikbare datastructuren, formaten, standaarden en bekende technische beperkingen. Dreebro houdt het actueel wanneer de Dienst of exportmogelijkheden wijzigen.

2. Keuzes van de Afnemer

De Afnemer kan Dreebro verzoeken om:

1. over te stappen naar een andere gegevensverwerkingsdienst;
2. Exporteerbare data naar eigen lokale of cloudinfrastructuur over te brengen;
3. alleen Exporteerbare data op te halen en de Dienst te beëindigen; of
4. waar technisch mogelijk meerdere diensten naast elkaar te gebruiken.

De Afnemer bepaalt de bestemming en is verantwoordelijk voor het sluiten van een overeenkomst met de nieuwe provider, het veilig aanleveren van bestemmingsgegevens en het controleren van de ontvangen export.

3. Aanvraag en tijdlijn

1. Een bevoegde vertegenwoordiger stuurt het verzoek naar [email protected] vanaf het bij Dreebro bekende zakelijke e-mailadres. Vermeld organisatie, gewenste bestemming, gewenste exportvorm, contactpersoon en gewenste startdatum.
2. Dreebro verifieert de bevoegdheid en bevestigt de aanvraag, de scope, beschikbare methoden, beveiligde overdrachtswijze, eventuele directe kosten en bekende beperkingen.
3. De kennisgevingstermijn voor het starten van de overstap bedraagt nooit meer dan twee maanden.
4. Na de kennisgevingstermijn geldt een verplichte maximale overgangsperiode van 30 kalenderdagen. Tijdens deze periode blijft de Overeenkomst gelden en werkt Dreebro redelijk mee om continuïteit te behouden.
5. De Afnemer kan de overgangsperiode eenmaal verlengen met een periode die voor zijn eigen doeleinden passender is.
6. Alleen als voltooiing binnen 30 kalenderdagen technisch niet haalbaar is, informeert Dreebro de Afnemer binnen 14 werkdagen na het verzoek, motiveert de technische onhaalbaarheid en noemt een alternatieve overgangsperiode van maximaal zeven maanden.
7. Na de overeengekomen overgangsperiode heeft de Afnemer minimaal 30 kalenderdagen om de export op te halen.
8. De Overeenkomst eindigt na succesvolle voltooiing van de overstap of, als geen overstap wordt gewenst, na de kennisgevingstermijn en de overeengekomen teruggave of verwijdering.

4. Ondersteuning tijdens de overstap

Dreebro:

• handelt met redelijke zorg om bedrijfscontinuïteit te behouden;
• ondersteunt de exportstrategie met relevante technische informatie;
• maakt de in dit register beschreven Exporteerbare data beschikbaar;
• ondersteunt waar technisch haalbaar functionele equivalentie voor hetzelfde diensttype, zonder te garanderen dat een andere provider alle Ordamo-functionaliteit kan reproduceren;
• informeert over bekende risico's voor continuïteit;
• handhaaft passende beveiliging tijdens overdracht;
• bevestigt op verzoek de voltooiing en daaropvolgende verwijdering.

De standaardprocedure omvat levering van een exportpakket en technische toelichting. Migratieontwerp, datamapping naar een specifiek product, inrichting van de nieuwe dienst, trainingen en maatwerkconversie vallen alleen onder de standaardondersteuning voor zover de Data Act dat verplicht.

5. Register van Exporteerbare data

Een volledige export wordt op dit moment op verzoek samengesteld; Ordamo heeft nog geen self-service totaalexport. Afzonderlijke documenten en bepaalde PDF-exports kunnen al rechtstreeks in de applicatie worden gedownload.

Organisatie en configuratie

• organisatieprofiel, type, contact- en abonnementskenmerken;
• rollen, permissies, groepen, lidmaatschappen en zichtbaarheid;
• functionele instellingen voor termijnen, herinneringen, AI en opslag;
• gebruikersprofielen die aan de organisatie zijn gekoppeld;
• SSO-metadata, zonder geheime sleutels, private certificaten of tokens.

Formaat: JSON; waar praktisch tevens CSV voor vlakke tabellen.

Vergaderingen en samenwerking

• vergaderingen, agenda's, deelnemers, locaties en statussen;
• onderwerpen, voorstellen, taken, activiteiten en relaties;
• notulen, transcripties en door AI gegenereerde concepten;
• verzoeken, reacties, opmerkingen, besluiten en tijdlijnen;
• feedbackrondes, vragen, opties, antwoorden en samenvattingen;
• verkiezingen, kandidaten, stemmingen, stemmen en uitslagen.

Formaat: JSON in UTF-8. Leesbare tekst wordt als tekst of HTML in het JSON-pakket opgenomen. Relationele verwijzingen gebruiken stabiele Ordamo-ID's. Waar zinvol kan aanvullend CSV worden geleverd.

Documenten en media

• documentmetadata, bestandsnaam, titel, MIME-type, grootte, maker en koppelingen;
• door Ordamo beheerde bestanden in hun oorspronkelijke bestandsformaat;
• avatar- en logo-objecten voor zover zij onderdeel zijn van Afnemersdata;
• externe documentlinks als URL en metadata.

Formaat: oorspronkelijke binaire bestanden plus een JSON-manifest. Externe links bevatten niet automatisch een kopie van de inhoud achter de link.

AI- en zoekgegevens

• opgeslagen transcripties, AI-analyses en andere zichtbare AI-uitvoer;
• metadata over het gebruikte model voor zover beschikbaar;
• numerieke embeddings als JSON-arrays wanneer de Afnemer die uitdrukkelijk vraagt.

Formaat: JSON. Dreebro levert geen modelgewichten, systeemprompts die bedrijfsgeheimen vormen of onderdelen van externe AI-providers.

Activiteits- en technische metadata

• aan Afnemersdata gekoppelde aanmaak- en wijzigingstijdstippen;
• functionele activiteitenlogs en notificatiegebeurtenissen die onderdeel zijn van de klantworkflow;
• transcriptiegebruik en relevante abonnementsmetadata.

Formaat: JSON en waar praktisch CSV.

6. Niet-exporteerbare of beperkte gegevens

Niet in het exportpakket vallen:

• broncode, platformconfiguratie, beveiligingsgeheimen en interne beheertools van Dreebro;
• wachtwoordhashes, sessietokens, API-sleutels, S3-geheimen, private SSO-sleutels en verificatietokens;
• gegevens van andere klanten;
• interne beveiligingslogs, fraudedetectie en diagnostiek die geen door de Afnemer gegenereerde workflowdata zijn;
• gegevens of onderdelen waarop intellectuele-eigendomsrechten of bedrijfsgeheimen van Dreebro of derden rusten, voor zover de Data Act export niet vereist;
• inhoud van externe links of systemen waartoe Dreebro geen exportrecht of technische toegang heeft.

Waar gegevens van meerdere personen rechten of vertrouwelijkheid raken, kan Dreebro passende toegangscontrole, afscherming of beveiligde levering toepassen. Dit wordt niet gebruikt om rechtmatige portabiliteit te verhinderen.

7. Bekende technische beperkingen

• De huidige volledige export is een begeleid proces en geen directe knop in de gebruikersinterface.
• PDF-exports van verzoeken en notulen zijn bedoeld voor leesbaarheid en zijn niet het machineleesbare hoofdformaat van een volledige overstap.
• Samenwerkingsinhoud kan intern als versleutelde Yjs-status zijn opgeslagen. Dreebro exporteert daarvan waar mogelijk de leesbare inhoud en relevante metadata; een andere editor kan opmaak of realtime-geschiedenis anders interpreteren.
• Bestanden in een eigen S3-bucket van de Afnemer blijven onder beheer van de Afnemer. Het exportpakket bevat de metadata; kopiëren van die bestanden gebeurt alleen als dit nodig en toegestaan is.
• Een nieuwe provider kan Ordamo-specifieke rollen, workflows, AI-resultaten, relaties of zichtbaarheid niet altijd functioneel equivalent importeren.
• Externe AI-providers kunnen model- of gebruiksmetadata beperken. De zichtbare invoer en uitvoer van de Afnemer blijft wel onderdeel van de export voor zover Dreebro daarover beschikt.
• Verwijderde gegevens en verlopen technische logs kunnen niet worden geëxporteerd.

8. Overdracht en beveiliging

Afhankelijk van omvang en bestemming levert Dreebro de export via een tijdelijk beveiligde download, versleuteld archief, de door de Afnemer beheerde opslag of een andere overeengekomen veilige methode. Toegangscodes worden via een afzonderlijk kanaal gedeeld. Dreebro en de Afnemer spreken af wie de integriteit en volledigheid controleert.

De Afnemer zorgt dat de ontvanger bevoegd is en de bestemming passend beveiligd is. Dreebro mag een overdracht pauzeren als bestemmingsgegevens onjuist zijn of een concreet beveiligingsrisico bestaat, maar hervat deze zodra het risico is opgelost.

9. Kosten

• Tot en met 11 januari 2027: Dreebro mag alleen vooraf gespecificeerde overstapkosten berekenen die niet hoger zijn dan de rechtstreeks aan de verplichte overstap verbonden kosten.
• Vanaf 12 januari 2027: Dreebro rekent geen overstapkosten voor de handelingen die de Data Act verplicht.
• Standaarddienstkosten blijven verschuldigd zolang de Overeenkomst tijdens kennisgeving en overgang doorloopt.
• Een eventuele evenredige vergoeding voor voortijdige beëindiging van een vaste periode staat in de algemene voorwaarden of ondertekende offerte en is geen overstapkostenpost.
• Optioneel maatwerk buiten de wettelijke verplichtingen wordt alleen na voorafgaande prijsopgave uitgevoerd.

10. Verwijdering na voltooiing

Na succesvolle overstap en het einde van de ophaaltermijn verwijdert Dreebro de rechtstreeks door of voor de Afnemer gegenereerde Exporteerbare data uit actieve systemen, tenzij partijen een latere datum overeenkomen of de wet bewaring verplicht. Back-ups worden tegen regulier gebruik afgeschermd en binnen de in de verwerkersovereenkomst genoemde cyclus overschreven.

Dreebro verstrekt op verzoek een redelijke bevestiging van verwijdering. De Afnemer blijft verantwoordelijk voor eigen kopieën, eigen S3-opslag en gegevens die al naar de bestemmingsprovider zijn overgedragen.

11. Rechtsgebied en internationale overheidsverzoeken

Dreebro is in Nederland gevestigd en valt primair onder Nederlands en Unierecht. De standaard objectopslag en platform-AI bevinden zich in de EER; Mistral-transcriptie gebruikt de EU/EVA-regio. Door de Afnemer zelf gekozen providers kunnen onder andere rechtsgebieden vallen.

Dreebro beperkt het risico op onrechtmatige internationale toegang tot niet-persoonsgebonden data door:

• opslag en standaardverwerking in de EER;
• versleutelde verbindingen en beperkte toegang;
• beoordeling van de rechtsgeldigheid en reikwijdte van verzoeken;
• bezwaar of rechtsmiddelen waar een verzoek strijdig lijkt met EU- of Nederlands recht;
• verstrekking van niet meer gegevens dan juridisch verplicht;
• kennisgeving aan de Afnemer voordat gegevens worden verstrekt, tenzij dit wettelijk verboden is.

Dreebro erkent een uitspraak of besluit van een autoriteit uit een derde land om niet-persoonsgebonden data over te dragen of toegankelijk te maken alleen onder de voorwaarden van artikel 32 Data Act.

12. Contact

Vragen of overstapverzoeken kunnen naar:

Dreebro VOF — aanbieder van Ordamo
Van Walbeeckstraat 102-1
1058 CZ Amsterdam
KvK 95678972
[email protected]