Verwerkersovereenkomst, CallMerlin

Deze Verwerkersovereenkomst ("Verwerkersovereenkomst") maakt integraal onderdeel uit van de Algemene Voorwaarden van CallMerlin en is van toepassing op de verwerking van persoonsgegevens door CallMerlin (de "Verwerker") in opdracht van de Gebruiker (de "Verwerkingsverantwoordelijke"). Deze Verwerkersovereenkomst is opgesteld conform artikel 28 lid 3 van Verordening (EU) 2016/679 (AVG).

In deze Verwerkersovereenkomst gelden de volgende definities: a) "Verwerkingsverantwoordelijke": de Gebruiker die doel en middelen van de verwerking van persoonsgegevens vaststelt. b) "Verwerker": Small Guy B.V. (CallMerlin), die persoonsgegevens verwerkt in opdracht van de Verwerkingsverantwoordelijke. c) "Betrokkene": de geïdentificeerde of identificeerbare natuurlijke persoon op wie de persoonsgegevens betrekking hebben. d) "Persoonsgegevens": alle gegevens als bedoeld in artikel 4 lid 1 AVG. e) "Verwerking": elke bewerking als bedoeld in artikel 4 lid 2 AVG. f) "Subverwerker": een door de Verwerker ingeschakelde derde die persoonsgegevens verwerkt ten behoeve van de Verwerkingsverantwoordelijke. g) "Datalek": een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van of toegang tot persoonsgegevens.

2.1. De Verwerker verwerkt persoonsgegevens uitsluitend in het kader van het leveren van het CallMerlin-platform aan de Verwerkingsverantwoordelijke. 2.2. De verwerking duurt zolang de overeenkomst tussen partijen van kracht is. Na beëindiging worden persoonsgegevens verwijderd conform artikel 10 van deze Verwerkersovereenkomst.

De verwerking betreft: a) Het afhandelen van inkomende telefoongesprekken en spraakwidget-gesprekken via de AI-spraakassistent; b) Het transcriberen van gesprekken en het genereren van samenvattingen; c) Het uitvoeren van acties in Gekoppelde Diensten in opdracht van de Verwerkingsverantwoordelijke (zoals het aanmaken van afspraken, tickets of records); d) Het verifiëren van PIN-gebruikers, inclusief sms-tweefactorauthenticatie; e) Het opslaan en tonen van gesprekslogs en statistieken; f) Het versturen van notificaties over gesprekken en uitgevoerde acties.

De volgende categorieën persoonsgegevens worden verwerkt: a) Contactgegevens van Bellers: naam, telefoonnummer, e-mailadres, voor zover gedeeld tijdens een gesprek. b) Gespreksgegevens: transcripties, tijdstip, duur, uitkomst van het gesprek. Audio wordt niet bewaard. c) Afspraak- en verzoekgegevens: datum, tijd, onderwerp en overige door de Beller gedeelde details. d) PIN-gebruikersgegevens: naam, PIN-configuratie, verificatietelefoonnummer. e) Gegevens in Gekoppelde Diensten: gegevens die in opdracht van de Verwerkingsverantwoordelijke uit Gekoppelde Diensten worden opgehaald of daarin worden weggeschreven. In beginsel worden geen bijzondere categorieën persoonsgegevens (art. 9 AVG) verwerkt. Bellers kunnen zulke gegevens echter spontaan delen tijdens een gesprek (bijvoorbeeld gezondheidsinformatie bij het maken van een afspraak). De Verwerkingsverantwoordelijke is verantwoordelijk voor de rechtmatigheid van die verwerking en voor het dienovereenkomstig configureren van de spraakassistent.

De persoonsgegevens hebben betrekking op: a) Bellers die met de spraakassistent van de Verwerkingsverantwoordelijke communiceren, telefonisch of via de spraakwidget. b) Medewerkers en PIN-gebruikers van de Verwerkingsverantwoordelijke. c) Eindklanten van de Verwerkingsverantwoordelijke (bij Bureaus). d) Personen van wie gegevens in opdracht van de Verwerkingsverantwoordelijke uit Gekoppelde Diensten worden opgehaald of daarin worden weggeschreven.

6.1. De Verwerker verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Verwerkingsverantwoordelijke, tenzij Unierecht of lidstatelijk recht hem tot verwerking verplicht. De configuratie van de spraakassistent en de Gekoppelde Diensten door de Verwerkingsverantwoordelijke geldt als zodanige instructie. 6.2. De Verwerker waarborgt dat personen die gemachtigd zijn persoonsgegevens te verwerken zich tot vertrouwelijkheid hebben verbonden. 6.3. De Verwerker treft passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG, waaronder: a) Versleuteling: TLS 1.3 (transit), AES-256 (rest), inclusief inloggegevens van Gekoppelde Diensten; b) Toegangscontrole: RBAC, least-privilege, 2FA; c) Data-isolatie: multi-tenant scheiding per account; d) Monitoring en logging; e) Dagelijkse versleutelde back-ups; f) Incident-responseplan. 6.4. De Verwerker ondersteunt de Verwerkingsverantwoordelijke bij het nakomen van diens verplichtingen uit de artikelen 32 tot en met 36 AVG (beveiliging, melding datalekken, DPIA, voorafgaande raadpleging). 6.5. De Verwerker ondersteunt bij verzoeken van betrokkenen uit hoofdstuk III AVG (inzage, rectificatie, wissing, overdraagbaarheid, bezwaar). Kosten voor ondersteuning die redelijkerwijs verder gaat dan normale medewerking kunnen aan de Verwerkingsverantwoordelijke worden doorberekend.

7.1. De Verwerkingsverantwoordelijke verleent de Verwerker een algemene schriftelijke toestemming om subverwerkers in te schakelen. 7.2. De Verwerker maakt gebruik van de volgende categorieën subverwerkers: a) Google Cloud Platform (EU), hosting en opslag b) Cloudflare, Inc. (EU-configuratie), CDN en DDoS-bescherming c) Stripe, Inc. / Stripe Payments Europe, Ltd., betalingsverwerking d) Telecomaanbieders, telefoonnummers, gespreksroutering en sms-bezorging e) xAI, Inc. (Grok), spraakherkenning en uitvoering van AI-diensten f) E-mailproviders, bezorging van transactionele e-mail 7.3. De Verwerker informeert de Verwerkingsverantwoordelijke ten minste 30 dagen vooraf over het voornemen een nieuwe subverwerker in te schakelen of een bestaande te vervangen. 7.4. De Verwerkingsverantwoordelijke kan binnen 14 dagen na kennisgeving gemotiveerd bezwaar maken tegen een nieuwe subverwerker. Indien het bezwaar gegrond is en de Verwerker geen redelijk alternatief kan bieden, heeft de Verwerkingsverantwoordelijke het recht de overeenkomst kosteloos te beëindigen. 7.5. De Verwerker legt iedere subverwerker bij overeenkomst dezelfde verplichtingen op als in deze Verwerkersovereenkomst.

8.1. De Verwerker informeert de Verwerkingsverantwoordelijke zonder onredelijke vertraging, en uiterlijk binnen 48 uur na ontdekking, over een Datalek. 8.2. De melding omvat ten minste: a) de aard van de inbreuk, waar mogelijk onder vermelding van de categorieën en (bij benadering) aantallen betrokkenen en persoonsgegevensregisters; b) de naam en contactgegevens van het contactpunt van de Verwerker; c) de waarschijnlijke gevolgen van de inbreuk; d) de genomen of voorgestelde maatregelen om de inbreuk aan te pakken en de nadelige gevolgen te beperken. 8.3. De Verwerker verleent redelijke ondersteuning aan de Verwerkingsverantwoordelijke bij het nakomen van diens meldplichten aan de toezichthouder (art. 33 AVG) en betrokkenen (art. 34 AVG).

9.1. De Verwerker stelt alle informatie ter beschikking die nodig is om naleving van de verplichtingen uit artikel 28 AVG aan te tonen. 9.2. De Verwerkingsverantwoordelijke heeft het recht maximaal eenmaal per jaar een audit uit te (laten) voeren. De audit wordt ten minste 30 dagen vooraf aangekondigd en vindt plaats tijdens kantooruren. 9.3. De kosten van de audit komen voor rekening van de Verwerkingsverantwoordelijke, tenzij uit de audit een aan de Verwerker toerekenbare materiële tekortkoming blijkt. 9.4. Indien meerdere Verwerkingsverantwoordelijken dezelfde audit verlangen, kan de Verwerker voorstellen een onafhankelijke externe auditor in te schakelen wiens rapport met alle relevante Verwerkingsverantwoordelijken wordt gedeeld.

10.1. Na beëindiging van de overeenkomst biedt de Verwerker de Verwerkingsverantwoordelijke gedurende 30 dagen de mogelijkheid persoonsgegevens (waaronder gesprektranscripties) te exporteren via de exportfunctionaliteit van het Platform. 10.2. Na de exportperiode verwijdert de Verwerker alle persoonsgegevens onherroepelijk, inclusief alle kopieën, tenzij bewaring op grond van Unierecht of lidstatelijk recht verplicht is. 10.3. De Verwerker bevestigt de verwijdering desgevraagd schriftelijk.

11.1. De Verwerker verwerkt persoonsgegevens in beginsel uitsluitend binnen de Europese Economische Ruimte (EER). 11.2. Indien doorgifte naar een derde land noodzakelijk is (bijvoorbeeld voor AI-diensten of telefonierouting), gebeurt dit uitsluitend op basis van een adequaatheidsbesluit, Standaardcontractbepalingen of het EU-VS Data Privacy Framework, aangevuld met passende technische maatregelen. 11.3. De Verwerker informeert de Verwerkingsverantwoordelijke vooraf over voorgenomen doorgiften naar derde landen.

12.1. Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. 12.2. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Zeeland-West-Brabant. 12.3. Bij strijdigheid tussen deze Verwerkersovereenkomst en de Algemene Voorwaarden prevaleert deze Verwerkersovereenkomst ten aanzien van de verwerking van persoonsgegevens.