[ Juridisch ] · Model-DPIA
Model-DPIA: Pipeline met een gekoppelde Microsoft-mailbox
Voordat je team Microsoft-mailboxen aan Pipeline koppelt, moet je organisatie beoordelen wat dat betekent voor de mensen van wie die mail is. Dit model doet het meeste werk. Je neemt het over, vult de delen in die gemarkeerd zijn met [je organisatie], neemt het besluit in deel 8 en bewaart het bij je administratie.
Dit is een vertaling van de Engelse tekst. Als de twee versies verschillen, geldt de Engelse tekst.
Modelversie 2 · 21 oktober 2026
1. Over dit model
- De DPIA is van jou. Je organisatie is verwerkingsverantwoordelijke voor de mail en afspraken die Pipeline bewaart. De plicht om een DPIA uit te voeren ligt dus bij jou (art. 35 AVG). Lyto is je verwerker. Lyto moet je daarbij helpen (art. 28 lid 3 sub f), en dit model is die hulp.
- Het beschrijft Pipeline zoals Lyto het bouwt. De delen 3 tot en met 6 zijn voor elke organisatie gelijk. Deel 7 en het besluit in deel 8 zijn van jou.
- Het is geen juridisch advies. Wijkt je situatie af van wat hier staat, bijvoorbeeld omdat je organisatie groter is of met gezondheidsgegevens werkt, laat de DPIA dan beoordelen.
- Zo gebruik je het. Kopieer deze pagina naar je eigen document, vul het aan en onderteken het voordat de eerste mailbox wordt gekoppeld. Bekijk het elk jaar opnieuw, en ook als Lyto je laat weten dat de verwerking is veranderd.
2. Waarom een DPIA nodig is
Pipeline leest doorlopend de hele Inbox, de Verzonden items en de agenda van elk lid dat koppelt. Dat is stelselmatige verwerking van e-mail van werknemers. De Autoriteit Persoonsgegevens noemt zowel controle werknemers (punt 11, met “controle van e-mail”) als communicatiegegevens (punt 13) als verwerkingen waarvoor een DPIA verplicht is (Stcrt. 2019, 64418). Ook voldoet het aan meerdere Europese criteria voor een hoog risico: stelselmatige monitoring, e-mail als zeer persoonlijke gegevens, werknemers als betrokkenen, en het combineren van gegevens (WP248 rev.01). Ga ervan uit dat de DPIA verplicht is.
3. De verwerking
3.1 Doel
Het vastleggen van de zakelijke relaties van de organisatie: de mail en afspraken die elk lid heeft met klanten, prospects en andere externe bedrijven, bij dat bedrijf en die persoon in Pipeline, zodat iedereen die met een klant werkt de geschiedenis kan zien. Daarnaast, als je dat wilt: leden laten mailen vanuit Pipeline via hun eigen mailbox.
3.2 Wat Pipeline leest
- Welke mailbox: alleen de mailbox van een lid dat hem zelf koppelt, één per lid. Voor een werkmailbox moet je Microsoft 365-beheerder Pipeline ook eenmalig goedkeuren. Gedeelde mailboxen worden niet aangeboden.
- Welke mappen: Inbox, Verzonden items en de hoofdagenda. Geen andere mappen of agenda’s.
- Hoe ver terug: bij de eerste koppeling de laatste 12 maanden mail en agenda. De agenda wordt ook 90 dagen vooruit gelezen. Daarna leest Pipeline elke 5 minuten nieuwe mail en elke 15 minuten de agenda.
- Microsoft-machtigingen:
openid profile offline_access User.Read Mail.Read Mail.Send Calendars.ReadBasic.Calendars.ReadBasicsluit de inhoud en bijlagen van afspraken uit. Pipeline kan niets in de mailbox wijzigen of verwijderen.
3.3 Wat Pipeline bewaart
Pipeline leest eerst de kopgegevens van elk bericht en past de regels voor vastleggen toe. Alleen van mail die daaraan voldoet, wordt de inhoud opgehaald.
| Onderdeel | Bewaard? | Hoe lang |
|---|---|---|
| Mail met een bedrijf waarnaar het lid heeft gemaild, of met een persoon of bedrijf dat al in Pipeline staat | Ja: afzender, ontvangers, datum, onderwerp, inhoud, bijlagen | Zolang die persoon of dat bedrijf in Pipeline staat, of tot het wordt verwijderd. Het ruwe berichtbestand: 30 dagen |
| Mail in één richting van een onbekend bedrijf (werkmailbox; in de geschiedenis alleen de laatste 90 dagen) | Alleen kopgegevens, als voorstel: afzender, ontvangers, datum, onderwerp | Tot het voorstel is geaccepteerd, afgewezen of 30 dagen oud is. Een afgewezen domein blijft geblokkeerd (alleen het domein) |
| Mail tussen collega’s, van gratis maildiensten zonder overeenkomst, nieuwsbrieven en alles wat verder niet voldoet | Nooit opgeslagen, zelfs geen kenmerk | Niet van toepassing |
| Mail die in Outlook als Privé is gemarkeerd | Overgeslagen | Niet van toepassing |
| Afspraken met een persoon of bedrijf in Pipeline (of een deelnemer van wie het onbekende bedrijf een voorstel wordt), met minstens één externe deelnemer, maximaal 25 deelnemers, niet afgewezen door het lid | Titel, tijd, plaats, organisator, deelnemers en hun antwoord. Nooit de inhoud | Zolang een gekoppelde persoon of gekoppeld bedrijf in Pipeline staat, of tot het wordt verwijderd |
| Interne afspraken, afspraken die bij niemand in Pipeline horen en geen voorstel opleveren, en afspraken die als privé, persoonlijk of vertrouwelijk zijn gemarkeerd | Nooit opgeslagen | Niet van toepassing |
| Koppeling: mailadres, Microsoft-kenmerken, versleuteld vernieuwingstoken, synchronisatiepositie | Ja | Tot de mailbox wordt ontkoppeld |
Een persoonlijke mailbox (Outlook.com, Hotmail) voegt nooit zelf een bedrijf toe: elk nieuw bedrijf wordt een voorstel dat het lid kan accepteren. Berichten die in Outlook worden verwijderd of gearchiveerd, blijven in Pipeline, omdat de bewaarde mail de vastlegging van de organisatie is. Remove from Pipeline verwijdert ze.
3.4 Wie erbij betrokken zijn
- Betrokkenen: leden die een mailbox koppelen; collega’s die voorkomen in bewaarde mail of afspraken; correspondenten en deelnemers aan afspraken buiten de organisatie.
- Wie bewaarde mail ziet: leden van je organisatie in Pipeline. Elk lid stelt zelf in wat collega’s zien: de volledige mail (de standaard) of alleen wie, wanneer en het onderwerp. Een lid kan elke conversatie privé maken of verwijderen. Het beheeroverzicht van teammailboxen laat zien of elke mailbox synchroniseert, nooit de mail zelf.
- Contactoverzicht: Pipeline laat zien hoe recent en hoe vaak elk lid contact had met een bedrijf (connection strength). Elk lid ziet het niveau van elk lid, ook voor privéconversaties, waarvan het onderwerp nooit wordt getoond.
- Lyto, als je verwerker, onder de verwerkersovereenkomst, die onderdeel is van de Lyto-voorwaarden, en de bijlage voor Pipeline (bijlage P).
- Subverwerkers (zie de privacyverklaring): Supabase bewaart de gegevens in Ierland. Anthropic verwerkt ze in de Verenigde Staten, onder de modelcontractbepalingen, alleen als een lid een AI-functie gebruikt die de gegevens leest; die invoer wordt niet gebruikt om modellen te trainen. Vercel levert de app vanuit Frankfurt en bewaart er niets van.
- Microsoft is geen subverwerker van Lyto. Het is de bron van de gegevens: je eigen Microsoft-dienst, onder je eigen overeenkomst met Microsoft.
4. Grondslag, noodzaak en evenredigheid
- Grondslag: je gerechtvaardigd belang bij een volledige vastlegging van je zakelijke relaties (art. 6 lid 1 sub f). Toestemming van werknemers is niet de grondslag: op het werk is die zelden vrij gegeven. Dat een lid zelf kiest om te koppelen, en kan ontkoppelen, privé maken en verwijderen, zijn waarborgen.
- Belangenafweging: het belang is echt en concreet (zonder koppeling zit de klantgeschiedenis verspreid over losse inboxen). De gevolgen voor leden en contacten zijn beperkt door de maatregelen in deel 5: alleen zakelijke mail met externe bedrijven, privé-items overgeslagen, al het andere nooit opgeslagen. Leden en contacten mogen redelijkerwijs verwachten dat een bedrijf zijn klantcorrespondentie bewaart, mits ze dat weten (zie hieronder).
- Noodzaak: het minder ingrijpende alternatief is het vastlegadres, waarnaar een lid elk bericht met de hand doorstuurt of in kopie zet. Dat blijft beschikbaar. Het mist geschiedenis, afspraken en elke mail die het lid vergeet, en daarom wordt de mailboxkoppeling aangeboden. Elk lid kan er nog steeds voor kiezen niet te koppelen.
- Minimalisatie en bewaartermijn: deel 3.3. De geschiedenis is vast 12 maanden, niet alles wat er is.
- Transparantie: voordat de eerste mailbox wordt gekoppeld, informeer je je team (Pipeline geeft je een bericht om te kopiëren) en werk je je eigen privacyverklaring bij voor je contacten (Pipeline geeft je de alinea, over mail en afspraken uit de mailboxen van teamleden). Elk lid ziet vóór het koppelen wat Pipeline met zijn of haar mailbox doet.
- Rechten van betrokkenen: Pipeline kan exporteren wat het over een persoon bewaart, een persoon of bedrijf wissen, en losse conversaties en afspraken verwijderen.
- Doorgifte buiten de EER: alleen aan Anthropic, als een AI-functie wordt gebruikt, onder de modelcontractbepalingen.
5. Risico’s en maatregelen
De kans en ernst hieronder zijn de inschatting van Lyto voor een klein bedrijf in de zakelijke dienstverlening, na de maatregelen. Pas ze aan waar jouw situatie afwijkt.
| Risico voor de betrokkenen | Maatregelen | Restrisico |
|---|---|---|
| Privémail van een lid komt in het CRM of wordt door collega’s gezien | Alleen mail met externe bedrijven waarnaar het lid mailde, of die al in Pipeline staan, wordt bewaard; mail van gratis maildiensten en interne mail niet; privémail en privéafspraken in Outlook worden overgeslagen; een persoonlijke mailbox doet alleen voorstellen; privé maken en verwijderen; zichtbaarheid per lid | Laag |
| Leden voelen zich gecontroleerd: met wie ze mailen, hoe vaak, hoe snel | Het doel is de klantvastlegging, niet prestaties; beheerders zien via het beheeroverzicht nooit mail; leden stellen hun eigen zichtbaarheid in; het team wordt vooraf geïnformeerd; koppelen doet het lid zelf. Het aantal contacten per lid is zichtbaar voor alle leden; noem dat in je bericht aan het team | Middel: besluit in deel 8 of je dit aanvaardt |
| Contacten weten niet dat hun mail wordt bewaard | De alinea in je privacyverklaring; alleen zakelijke correspondentie wordt bewaard; inzage en wissen op verzoek | Laag |
| Bijzondere persoonsgegevens (bijvoorbeeld over gezondheid) staan in mail | Er wordt niet naar gezocht; privé-items overgeslagen; verwijderen en wissen halen ze weg; toegang beperkt tot je organisatie | Laag tot middel, afhankelijk van je klanten |
| Onbevoegde toegang tot mail of tot de mailboxkoppeling | Hosting in de EU; versleuteling tijdens transport en in rust; vernieuwingstokens nogmaals versleuteld in de applicatie en bij elke vernieuwing vervangen; toegangstokens alleen in het geheugen; afscheiding per organisatie op rijniveau; meerfactorauthenticatie voor de beheertoegang van Lyto; melding van een datalek aan jou binnen de afgesproken tijd | Laag |
| Te veel bewaard, te lang | Mail die niet voldoet nooit opgeslagen; geschiedenis van 12 maanden; kopgegevens van voorstellen na 30 dagen verwijderd; ruwe berichtbestanden na 30 dagen; ontkoppelen verwijdert de koppeling en alles wat niet voldeed meteen | Laag |
| Gegevens gebruikt voor andere doelen | De verwerkersovereenkomst verbiedt het: geen advertenties, geen training van AI, geen gebruik voor eigen doelen van Lyto. Ook de Microsoft APIs Terms of Use verbieden elk gebruik voor advertenties of marketing | Laag |
| Mail blijft staan als een lid vertrekt of ontkoppelt | Het is de vastlegging van je organisatie en blijft dus staan; het lid kan bij ontkoppelen kiezen voor Remove what only my mailbox brought in; vertrekken verwijdert de koppeling, concepten en handtekening | Laag |
6. Ontkoppelen en beëindigen
- Een lid ontkoppelt in Pipeline. Een beheerder kan de mailbox van elk lid ontkoppelen. Pipeline ontkoppelt vanzelf als een lid vertrekt, na 90 dagen een verbroken koppeling, en als Lyto de functie voor je organisatie uitzet.
- Elke ontkoppeling verwijdert meteen de tokens, de synchronisatiepositie en de kopgegevens van alle voorstellen. Bewaarde mail en afspraken blijven staan, tenzij het lid kiest om te verwijderen wat alleen via zijn of haar mailbox binnenkwam.
- Pipeline intrekken via myapps.microsoft.com (werk) of account.live.com/consent/Manage (persoonlijk) stopt het lezen meteen.
- Sluit je organisatie haar Lyto-account, dan wordt alles binnen 90 dagen verwijderd, en back-ups worden binnen 30 dagen daarna vervangen.
7. Je organisatie
Vul dit in.
- Organisatie: [naam, KvK-nummer]
- Aantal mensen, en hoeveel een mailbox koppelen: [aantal]
- Werk- of persoonlijke mailboxen: [Microsoft 365 / Outlook.com]
- Soort klanten, en of hun mail waarschijnlijk bijzondere persoonsgegevens bevat: [omschrijving]
- Ondernemingsraad of personeelsvertegenwoordiging: [geen / geraadpleegd op datum, uitkomst]
- Team geïnformeerd: [datum, hoe]
- Privacyverklaring bijgewerkt voor contacten: [datum, link]
- Verwerkersovereenkomst met Lyto: [de standaardovereenkomst, aanvaard met de Lyto-voorwaarden op datum / een exemplaar ondertekend op datum]
- Functionaris gegevensbescherming, als je die hebt, geraadpleegd: [naam, advies]
- Wat afwijkt van de delen 3 tot en met 6: [omschrijving]
8. Besluit
- Restrisico: [aanvaardbaar / niet aanvaardbaar], omdat [reden].
- Voorafgaande raadpleging: blijft er na de maatregelen een hoog risico over, raadpleeg dan de Autoriteit Persoonsgegevens voordat je begint (art. 36). Voor de verwerking die hier staat, met de maatregelen, verwacht Lyto niet dat dat nodig is.
- Besloten door: [naam, functie], op [datum].
- Volgende beoordeling: [datum, uiterlijk over een jaar].
Vragen over dit model: lytoapp@gmail.com.