Skip to content
papii

Documentsjabloon · eu.gdpr.dpa

Data Processing Agreement

  • Rendering geverifieerd
  • Juridisch gevoelig
  • Versie 1.0.0

Controller-to-processor contract mandated by Art. 28(3) GDPR. Structured to align with the Article 28 obligations and compatible with Commission SCCs 2021/914 Module 2 for onward transfers outside the EU/EEA.

JSON Schema

Velden in dit sjabloon

Data die naar de API wordt gestuurd, wordt gevalideerd tegen het JSON-schema van het sjabloon vóór er iets wordt gerenderd. Dit sjabloon definieert 32 velden:

Veld Verplicht Type Beschrijving
agreement_reference Optioneel string
effective_date Optioneel date
controller Verplicht object
processor Verplicht object
main_agreement_reference Optioneel string Reference to the underlying services agreement this DPA annexes (e.g. 'Master Services Agreement dated 2024-06-01').
subject_matter Verplicht string Art. 28(3) subject-matter clause — what the processor is asked to do with the data.
duration Optioneel string Art. 28(3) duration — usually 'term of the main agreement' plus any wind-down period.
processing Verplicht object
processing.nature_and_purpose Verplicht string
processing.data_subjects Verplicht array of string
processing.data_categories Verplicht array of string
processing.special_categories Optioneel array of string
sub_processors Optioneel array of object Approved sub-processors at the time of signing. Additions require notice per Art. 28(2) + the controller's right to object.
sub_processors[].name Verplicht string
sub_processors[].service Verplicht string
sub_processors[].location Optioneel string
sub_processor_notice_period_days Optioneel integer Days of advance notice for new or replacement sub-processors. 30 is the de-facto market norm; shorter is controller-unfriendly.
security_measures Verplicht array of string Annex II equivalent — technical and organisational measures per Art. 32.
international_transfers Optioneel array of object
international_transfers[].country Verplicht string
international_transfers[].safeguard Verplicht string
breach_notification_hours Optioneel integer Hours within which the processor must notify the controller of a personal data breach. 48 is typical; anything over 72 undermines the contr…
audit_rights Optioneel string Scope of the controller's audit rights (direct audit, third-party auditor, frequency, cost allocation).
return_or_deletion Optioneel enum Art. 28(3)(g) — at end of services, processor returns or deletes. 'controller_choice' is the default.
term Verplicht object
term.governing_law Verplicht string
term.jurisdiction Verplicht string
signatures Optioneel object
signatures.controller_signatory Optioneel string
signatures.controller_title Optioneel string

+2 extra velden — het volledige JSON-schema is beschikbaar in het dashboard en via de API.

POST /render

Genereer het

Eén POST /render-oproep: stuur je JSON, ontvang de afgewerkte PDF. Of sla de JSON over en beschrijf het document in gewone taal op chut.app.

curl 
curl -X POST https://api.papii.eu/render \
  -H "X-API-Key: YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "template": "eu.gdpr.dpa",
    "data": { ... },
    "options": {"language": "nl"}
  }' -o dpa.pdf
Genereren met AI op chut.app Proberen in het dashboard

Veelgestelde vragen

Wat is een “Data Processing Agreement”?

Controller-to-processor contract mandated by Art. 28(3) GDPR. Structured to align with the Article 28 obligations and compatible with Commission SCCs 2021/914 Module 2 for onward transfers outside the EU/EEA. Op papii is dit document beschikbaar als sjabloon eu.gdpr.dpa: een JSON-schema plus een deterministische PDF-renderer — dezelfde data levert altijd hetzelfde document op.

Kan ik een “Data Processing Agreement” genereren met AI?

Ja. chut.app — de AI-backoffice aangedreven door papii — vult dit sjabloon in op basis van een beschrijving in gewone taal: jij beschrijft het document in één zin, de AI structureert de data, papii valideert die tegen het schema en rendert de PDF. Ontwikkelaars kunnen de papii-API ook rechtstreeks aanroepen met gestructureerde JSON.

Is het sjabloon “Data Processing Agreement” juridisch conform?

Dit sjabloon heeft een geverifieerde rendering: het schema, de voorbeelddata en de PDF-uitvoer worden bij elke release automatisch getest. Het is gepubliceerd met status “ready”, wat betekent dat het de finale juridische review van papii nog niet heeft doorlopen. Waar het naar specifieke wetgeving verwijst, staat dat vermeld in de sjabloonbeschrijving — laat documenten met juridische gevolgen altijd door een professional nakijken voor je erop vertrouwt.