Privacybeleid, CallMerlin

Verantwoordelijk voor de verwerking van persoonsgegevens: Small Guy B.V., handelend onder de naam CallMerlin Gevestigd te Breda, Nederland (KvK: 70358729) E-mail: privacy@callmerlin.app

Wij verzamelen en verwerken de volgende categorieën persoonsgegevens: a) Accountgegevens: naam, e-mailadres, bedrijfsnaam, telefoonnummer (optioneel), taalvoorkeur, IP-adres bij registratie. b) Betaalgegevens: factuurnaam, factuuradres, btw-nummer. Creditcard- of bankgegevens worden uitsluitend verwerkt en opgeslagen door Stripe, Inc. en worden niet door CallMerlin opgeslagen. c) Gebruiksgegevens: inlogtijden, gebruikte features, sessieduur, browsertype, besturingssysteem, apparaattype. d) Gespreksgegevens: gesprektranscripties van Merlin-sessies (audio van die sessies wordt niet bewaard), telefoonnummers van bellers, gespreksduur, tijdstip van het gesprek, uitkomst van het gesprek (zoals een geboekte afspraak of uitgevoerde actie) en AI-gegenereerde samenvattingen. e) Koppelingsgegevens: inloggegevens van Gekoppelde Diensten (API-sleutels, OAuth-tokens), versleuteld opgeslagen (AES-256), en de metadata van acties die namens de Gebruiker in die diensten zijn uitgevoerd. f) PIN-gebruikersgegevens: naam en PIN-configuratie van personen aan wie de Gebruiker spraaktoegang verleent, en verificatietelefoonnummers voor sms-tweefactorauthenticatie. g) Communicatiegegevens: correspondentie met onze support- of salesafdeling. h) Bellergegevens: persoonsgegevens die Bellers tijdens een gesprek met de spraakassistent delen (zoals naam, contactgegevens en het onderwerp van hun verzoek). Deze gegevens worden verwerkt in opdracht van de Gebruiker (de verwerkingsverantwoordelijke); CallMerlin treedt op als verwerker. i) Slack-kanaalgegevens (wanneer de Gebruiker de CallMerlin Slack-app installeert): Slack workspace (team) ID, Slack gebruikers-IDs, weergavenamen, e-mailadressen uit Slack-profielen (scope users:read.email), berichttekst gericht aan Merlin, en versleutelde Slack bot-tokens. Tokens worden gewist bij ontkoppelen of deinstallatie. j) OAuth-login data (Google of Sign in with Slack): e-mailadres, naam en profielinformatie van de identity provider, alleen voor het aanmaken of authenticeren van je CallMerlin-account. Sign in with Slack gebruikt alleen scopes openid, email en profile. Sign in with Slack (deze login-app) stuurt geen gebruikersdata naar een LLM. LLM-verwerking start pas na login wanneer de klant actief AI-features gebruikt. k) Tijdelijke opname-audio (live meeting opnemen en Bellen met opname in app/desktop): wanneer een PIN-gebruiker bewust opneemt, wordt audio tijdelijk in de EU opgeslagen voor spraak-naar-tekst en het maken van een samenvatting met actiepunten. Na geslaagde verwerking wordt de ruwe audio verwijderd. Samenvattingen blijven in het account (zie bewaartermijnen). Er is geen stille opname: bij Bellen met opname horen beide partijen eerst een aankondiging voordat de opname start. Niet gebruikt voor advertenties.

Wij verwerken persoonsgegevens voor de volgende doeleinden en op de volgende grondslagen: a) Uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG): — Aanmaken en beheren van accounts — Leveren van het Platform en alle features, inclusief het afhandelen van gesprekken — Verwerken van betalingen en facturatie — Leveren van technische support — Uitvoeren van AI-diensten en acties in Gekoppelde Diensten b) Gerechtvaardigd belang (art. 6 lid 1 sub f AVG): — Beveiliging en fraudepreventie (inclusief detectie van telefoniemisbruik) — Verbetering van het Platform en de dienstverlening — Analyse van gebruikspatronen (waar mogelijk geanonimiseerd) — Directe communicatie over de Dienst (geen marketing) c) Toestemming (art. 6 lid 1 sub a AVG): — Marketing-e-mails en nieuwsbrieven (opt-in) — Analytische cookies die niet strikt noodzakelijk zijn d) Wettelijke verplichting (art. 6 lid 1 sub c AVG): — Fiscale bewaarplichten voor factuurgegevens — Telecommunicatieregelgeving rond nummerregistratie — Medewerking aan gerechtelijke bevelen — Meldplicht datalekken

Wij delen persoonsgegevens met de volgende categorieën ontvangers: a) Hostingprovider: Google Cloud Platform (regio europe-west4, Eemshaven, Nederland). Verwerking uitsluitend binnen de EU. b) Content Delivery Network: Cloudflare, Inc. (EU-configuratie). Edge-caching voor statische content; geen opslag van persoonsgegevens. c) Betalingsverwerker: Stripe, Inc. / Stripe Payments Europe, Ltd. Verwerking conform PCI-DSS Level 1. d) Telecomaanbieders: voor het leveren van telefoonnummers, het routeren van gesprekken en het versturen van sms-berichten (zoals 2FA-codes). e) AI-modelaanbieder - xAI, Inc. (Grok): voor het leveren van AI-diensten (spraakherkenning, taalmodellen, chat en spraak). Chatberichten, spraak/transcripties en bestanden die je in het gesprek deelt, kunnen voor inference naar xAI worden gestuurd. Wij contracteren met xAI onder een verwerkersovereenkomst met opt-out voor modeltraining op klantgegevens. Klantgegevens worden niet gebruikt voor het trainen van AI-modellen. In de mobiele apps gebeurt dit delen pas nadat de gebruiker expliciete toestemming in de app heeft gegeven. f) E-mailproviders: voor het versturen van transactionele e-mails (accountbevestigingen, wachtwoordresets, facturen). g) Gekoppelde Diensten: in opdracht van de Gebruiker geeft de spraakassistent gegevens door aan de door de Gebruiker geconfigureerde Gekoppelde Diensten (bijvoorbeeld om een afspraak te boeken). De Gebruiker bepaalt welke diensten gekoppeld zijn. h) Website-analyse: Google LLC (Google Analytics 4 / Google Tag Manager), Apollo.io (Website Visitors: bezoekende bedrijven identificeren) en Hotjar Ltd. (sessie-opnames en heatmaps; gegevensopslag in de EU, Ierland), uitsluitend wanneer de bezoeker analytische cookies heeft geaccepteerd. Wij verkopen nooit persoonsgegevens aan derden. Wij verstrekken geen persoonsgegevens aan derden voor hun eigen marketingdoeleinden. Een actuele lijst van subverwerkers is op verzoek beschikbaar via privacy@callmerlin.app.

5.1. Alle primaire gegevensverwerking vindt plaats binnen de Europese Unie, in Google Cloud-regio europe-west4 (Eemshaven, Nederland). 5.2. Voor bepaalde AI-diensten, telefoniediensten of website-analyse (Apollo.io) kunnen persoonsgegevens worden doorgegeven aan subverwerkers gevestigd in de Verenigde Staten. In die gevallen is de doorgifte gebaseerd op: a) het EU-VS Data Privacy Framework (DPF), voor zover de ontvanger DPF-gecertificeerd is; of b) Standaardcontractbepalingen (SCC's) zoals vastgesteld bij Uitvoeringsbesluit (EU) 2021/914; en c) aanvullende technische maatregelen, waaronder versleuteling van gegevens in transit en beperking van de verwerkingsomvang. 5.3. Op verzoek informeert CallMerlin de Gebruiker over de specifieke waarborgen voor doorgifte buiten de EU.

Wij hanteren de volgende bewaartermijnen: a) Accountgegevens: bewaard zolang het account actief is. Na beëindiging worden persoonsgegevens binnen 30 dagen verwijderd, tenzij een wettelijke bewaarplicht geldt. b) Factuurgegevens: 7 jaar na het boekjaar waarin de factuur is uitgereikt, conform de Nederlandse fiscale bewaarplicht (art. 52 AWR). c) Gesprektranscripties en AI-samenvattingen: maximaal 90 dagen na het gesprek, tenzij de Gebruiker een andere bewaartermijn instelt. Audio van Merlin-sessies wordt niet bewaard. Bij live meeting-opname en Bellen met opname geldt: bel-opname of live-opname → tijdelijke EU-opslag → spraak-naar-tekst → samenvatting/actiepunten → ruwe audio wordt na geslaagde verwerking verwijderd. d) Koppelingsgegevens: direct verwijderd wanneer de Gebruiker de koppeling intrekt, en in ieder geval binnen 30 dagen na beëindiging van het account. e) Toegangslogs en beveiligingslogs: maximaal 12 maanden. f) Bellergegevens (verwerkt als verwerker): bewaard conform de instructies van de Gebruiker (verwerkingsverantwoordelijke) en verwijderd binnen 30 dagen na beëindiging van het account.

7.1. De marketingwebsite (callmerlin.app) gebruikt: a) Strikt noodzakelijke cookies: voor authenticatie, sessie-integriteit en taalinstellingen. Geen toestemming vereist. b) Cookieloze analytics: Umami Cloud meet paginaweergaven en geanonimiseerde gebruiksstatistieken zonder cookies en zonder persoonsgegevens. Geen toestemming vereist. c) Analytische cookies: voor het meten van websitegebruik via Google Analytics 4 (geladen via Google Tag Manager), voor het identificeren van bezoekende bedrijven via Apollo.io Website Visitors, en voor sessie-opnames en heatmaps via Hotjar. Worden alleen geplaatst na uitdrukkelijke toestemming (opt-in) via de cookiebanner. 7.2. Het dashboard gebruikt strikt noodzakelijke cookies voor authenticatie en sessiebeheer. Optioneel, alleen na uitdrukkelijke toestemming via de cookiebanner, laadt Hotjar voor sessie-opnames en heatmaps van de dashboardnavigatie. Gevoelige dashboardinhoud (zoals gesprekken, PIN-gegevens en accountnamen) wordt gemaskeerd in opnames. 7.3. De insluitbare spraakwidget plaatst geen trackingcookies op de website van de Gebruiker. De Gebruiker is verantwoordelijk voor het informeren van zijn websitebezoekers conform de ePrivacy-richtlijn. 7.4. De Gebruiker kan cookievoorkeuren beheren via de cookiebanner of de browserinstellingen.

Op grond van de AVG heeft iedere betrokkene de volgende rechten: a) Recht op inzage (art. 15 AVG): het recht om te weten of en welke persoonsgegevens worden verwerkt. b) Recht op rectificatie (art. 16 AVG): het recht om onjuiste of onvolledige gegevens te laten corrigeren. c) Recht op gegevenswissing / vergetelheid (art. 17 AVG): het recht om verwijdering van persoonsgegevens te verzoeken, voor zover geen wettelijke bewaarplicht geldt. d) Recht op beperking van de verwerking (art. 18 AVG): het recht om de verwerking in bepaalde omstandigheden te beperken. e) Recht op overdraagbaarheid (art. 20 AVG): het recht om persoonsgegevens te ontvangen in een gestructureerd, gangbaar en machineleesbaar formaat. f) Recht van bezwaar (art. 21 AVG): het recht om bezwaar te maken tegen verwerking op basis van gerechtvaardigd belang. g) Recht op intrekking van toestemming (art. 7 lid 3 AVG): waar verwerking op toestemming is gebaseerd, kan deze op ieder moment worden ingetrokken, zonder dat dit de rechtmatigheid van eerdere verwerking aantast. h) Recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens: als toezichthouder in Nederland. Website: https://autoriteitpersoonsgegevens.nl Verzoeken kunnen worden ingediend via privacy@callmerlin.app. Wij reageren binnen 7 dagen. Bij complexe verzoeken kan deze termijn met maximaal 60 dagen worden verlengd; daarover informeren wij de betrokkene binnen de eerste 7 dagen. Bellers van wie gegevens in opdracht van een Gebruiker (onze klant) worden verwerkt, kunnen hun verzoek primair richten aan die Gebruiker, die de verwerkingsverantwoordelijke is. Wij ondersteunen de Gebruiker bij de afhandeling van zulke verzoeken.

CallMerlin heeft passende technische en organisatorische maatregelen geïmplementeerd om persoonsgegevens te beschermen tegen ongeautoriseerde of onrechtmatige verwerking, onopzettelijk verlies, vernietiging of beschadiging: a) Versleuteling: TLS 1.3 voor gegevens in transit; AES-256 voor gegevens at rest, inclusief inloggegevens van Gekoppelde Diensten. b) Toegangscontrole: Role-Based Access Control (RBAC), least-privilege-principe, tweefactorauthenticatie voor adminaccounts, PIN-verificatie voor spraaktoegang. c) Data-isolatie: multi-tenant architectuur met strikte scheiding per account. d) Monitoring: realtime logging en alerting op ongebruikelijke toegangspatronen en telefoniemisbruik. e) Back-ups: dagelijkse geautomatiseerde back-ups met versleutelde opslag. f) Incident response: gedocumenteerd incident-responseplan met datalekprocedure. g) Bewustwording: periodieke training van medewerkers over gegevensbescherming.

Het Platform is niet gericht op personen jonger dan 16 jaar. Wij verzamelen niet bewust persoonsgegevens van kinderen. Indien wij ontdekken dat persoonsgegevens van een kind zijn verzameld zonder toestemming van ouder of voogd, verwijderen wij die gegevens zo snel mogelijk.

11.1. Wanneer een Gebruiker Google-diensten koppelt (bijvoorbeeld Agenda, Docs, Sheets, Contacten of Gmail versturen) via OAuth, gebruikt CallMerlin Google Workspace-gebruikersgegevens alleen om de gebruikersgerichte functies uit te voeren die de Gebruiker via spraak of chat vraagt. 11.2. Limited Use-verklaring: Het gebruik van ruwe of afgeleide gebruikersgegevens ontvangen via Google Workspace-API's voldoet aan het Google User Data Policy, inclusief de Limited Use-vereisten. 11.3. CallMerlin gebruikt, deelt of verkoopt Google Workspace-gebruikersgegevens (inclusief ruwe, geaggregeerde of afgeleide gegevens) niet om foundationele of algemene AI/ML-modellen te maken, te trainen of te verbeteren. 11.4. Waar Google Workspace-gegevens door een externe AI-provider worden verwerkt voor inference (om het verzoek te begrijpen en tools uit te voeren), is die verwerking beperkt tot de door de gebruiker gevraagde functie. Met providers is overeengekomen dat klantdata via de API niet voor modeltraining wordt gebruikt zonder expliciete toestemming. 11.5. Gebruikers kunnen Google-toegang altijd intrekken via CallMerlin Koppelingen en via https://myaccount.google.com/permissions.

12.1. CallMerlin kan dit Privacybeleid van tijd tot tijd wijzigen. Wijzigingen worden ten minste 30 dagen vooraf per e-mail aangekondigd op het geregistreerde e-mailadres. 12.2. De actuele versie van het Privacybeleid is altijd beschikbaar op callmerlin.app/nl/legal/privacy. 12.3. Voortgezet gebruik van het Platform na de ingangsdatum van het gewijzigde Privacybeleid geldt als aanvaarding.

Voor vragen over dit Privacybeleid of om uw rechten uit te oefenen: Small Guy B.V. (CallMerlin) E-mail: privacy@callmerlin.app Wij reageren binnen 7 dagen. U kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens: https://autoriteitpersoonsgegevens.nl