Verwerkersovereenkomst

1Partijen en rangorde

Deze verwerkersovereenkomst hoort bij de algemene voorwaarden en maakt daar onlosmakelijk deel van uit. U bent verwerkingsverantwoordelijke voor de persoonsgegevens die via de AI-telefonist worden verwerkt; Dirivian B.V. is verwerker.

Wijkt deze overeenkomst af van de algemene voorwaarden, dan gaat deze overeenkomst voor op het punt van de gegevensverwerking.

2Waarvoor wij gegevens verwerken, en welke

Doel en aard: het aannemen van uw inkomende telefoongesprekken door een AI-assistent, het beantwoorden van vragen, het inplannen van afspraken in uw agenda, en het beschikbaar stellen van een samenvatting en een transcript van elk gesprek in uw dashboard. Wij verwerken uitsluitend op uw instructie; die instructie bestaat uit het gebruik van de dienst en de configuratie die u in uw account vastlegt.

Betrokkenen: de mensen die uw bedrijf bellen, en de gebruikers van uw account.

Categorieën gegevens:

• Het telefoonnummer waarvandaan wordt gebeld.
• De naam die de beller opgeeft, en een e-mailadres als de beller dat zelf noemt.
• De audio van het gesprek, tijdens het gesprek, om het te kunnen begrijpen en beantwoorden.
• Het transcript en een samenvatting van het gesprek, plus datum, tijd en duur.
• De afspraakgegevens die in uw agenda worden geschreven.
• Van uzelf: naam, e-mailadres, telefoonnummer, bedrijfsnaam, openingstijden en factuurgegevens.

Een beller kan uit zichzelf gevoelige gegevens noemen — een klacht over zijn gezondheid, bijvoorbeeld. Wij vragen daar nooit naar; die gegevens worden alleen verwerkt doordat ze in het gesprek voorkomen. Gebruikt u de dienst in een sector waar dat structureel gebeurt, neem dan eerst contact met ons op: dan is er meer nodig dan deze overeenkomst.

3Geheimhouding en beveiliging

Iedereen die bij ons toegang tot deze gegevens heeft, is tot geheimhouding gehouden. Toegang is beperkt tot wie het voor het uitvoeren of ondersteunen van de dienst nodig heeft.

De maatregelen die wij nemen:

• Versleuteling van gegevens onderweg (TLS) en in rust bij onze cloudleverancier.
• Toegang tot uw gegevens is per account afgeschermd: een gebruiker ziet uitsluitend de gesprekken van zijn eigen account.
• Inloggen gaat via Google. Wij slaan zelf geen wachtwoorden op.
• Beheertoegang tot onze systemen is beperkt tot benoemde personen en verloopt via de identiteits- en toegangscontrole van Google Cloud.
• Logboeken van systeemhandelingen, waarin wij de inhoud van gesprekken niet opnemen.

Wij hebben op dit moment geen ISO 27001-, SOC 2- of vergelijkbare certificering, en wij beweren dat ook niet. Vraagt uw eigen beleid daarom, laat het ons weten voordat u de dienst in gebruik neemt.

4Subverwerkers

U geeft ons algemene toestemming om subverwerkers in te schakelen. Dit zijn de partijen die wij op 1 september 2026 gebruiken:

• Google Cloud / Firebase — hosting, database en het uitvoeren van onze software. Database in Europa; een deel van de verwerkende functies in de Verenigde Staten (zie het volgende artikel).
• Google (Gemini) — het taalmodel dat het gesprek begrijpt en beantwoordt. De audio en het transcript van het gesprek gaan hier langs.
• Telnyx — telefonie: uw 085-nummer en het transport van het gesprek. Verwerkt telefoonnummers en verkeersgegevens.
• Stripe — betalingen en facturatie. Verwerkt uw eigen gegevens, niet die van uw bellers. Wij slaan zelf geen kaartgegevens op.
• HighLevel (GoHighLevel) — uitsluitend voor aanvragen die u via onze website doet en voor WhatsApp-berichten aan uzelf. Niet voor uw gespreksgegevens.

Wisselen wij een subverwerker, of komt er een bij, dan melden wij dat ten minste dertig dagen vooraf per e-mail op het adres van uw account. Maakt u binnen die termijn bezwaar en komen wij er niet uit, dan mag u de overeenkomst per direct opzeggen, zonder kosten voor de resterende termijn.

5Waar uw gegevens staan

Hier zijn wij liever precies dan mooi, want dit is het punt waarop leveranciers gewoonlijk vaag worden.

• Uw gegevens staan in Europa. De database met gesprekken, transcripten, afspraken en accountgegevens draait in europe-west1 (België). Vastgesteld op 3 september 2026.
• De telefonie en de spraakverwerkende dienst draaien eveneens in Europa (europe-west4, Nederland).
• Een deel van onze verwerkende software, de achtergrondfuncties die de database lezen en schrijven, draait op dit moment in de Verenigde Staten. Uw gegevens worden dus in Europa bewaard, maar passeren bij het verwerken een server in de VS. Die doorgifte gebeurt op grond van het EU-US Data Privacy Framework en, waar dat niet van toepassing is, de standaardcontractbepalingen van de Europese Commissie.
• Het taalmodel van Google verwerkt de gesprekken buiten een door ons vastgezette EU-regio.

Die laatste twee punten zijn wat ons nog scheidt van "alles in Europa", en het eerste ervan is een verhuizing van dagen, geen maanden: de opslag hoeft niet mee. Heeft u een harde eis dat alle verwerking binnen de EU blijft, neem dan contact op, dan zeggen wij waar we staan en wanneer we er zijn.

6Bewaren en wissen

Gespreksgegevens blijven in uw account staan zolang uw abonnement loopt. Er staat op dit moment geen automatische bewaartermijn op transcripten: ze verdwijnen niet vanzelf na een aantal maanden. Wilt u een kortere termijn, dan spreken wij die met u af en voeren wij hem in.

Zegt u op, dan verwijdert u uw account zelf in de app; wij verwijderen uw gegevens en die van uw bellers, behalve wat wij wettelijk moeten bewaren (factuurgegevens, zeven jaar fiscale bewaarplicht). Vraagt u ons om verwijdering, dan doen wij het binnen dertig dagen.

Eén uitzondering noemen wij expliciet omdat hij makkelijk wordt vergeten: afspraken die de assistent in uw eigen Google Agenda heeft geschreven staan in uw agenda. Die kunnen wij niet voor u verwijderen; dat doet u zelf.

7Verzoeken van bellers

Een beller die inzage, correctie of verwijdering wil, wendt zich tot u — u bent zijn aanspreekpunt. Wij helpen u daarbij: laat het ons weten en wij zoeken de betreffende gesprekken op en verwijderen of exporteren ze. Daarvoor rekenen wij niets, tenzij het om een structurele stroom verzoeken gaat.

Komt een verzoek per ongeluk bij ons binnen, dan verwijzen wij de betrokkene naar u en laten wij u dat weten. Wij handelen zo'n verzoek nooit zelf af zonder uw instructie.

8Datalekken

Merken wij een inbreuk op de beveiliging waarbij uw gegevens of die van uw bellers betrokken zijn, dan melden wij dat zonder onnodige vertraging en in ieder geval binnen 48 uur na constatering, per e-mail en telefonisch op de gegevens van uw account. Wij melden wat er is gebeurd, welke gegevens het betreft, wat wij doen, en wat u zou moeten doen.

De melding aan de Autoriteit Persoonsgegevens en aan de betrokkenen doet u, als verwerkingsverantwoordelijke. Wij leveren de informatie die u daarvoor nodig heeft.

9Controle en informatie

U mag ons vragen aan te tonen dat wij ons aan deze overeenkomst houden; die informatie leveren wij op verzoek. Wilt u een audit door een onafhankelijke partij laten uitvoeren, dan kan dat maximaal eenmaal per jaar, op uw kosten, met ten minste dertig dagen aankondiging, en zonder dat de gegevens van onze andere klanten inzichtelijk worden.

10Duur, wijziging en aansprakelijkheid

Deze overeenkomst geldt zolang wij voor u gegevens verwerken, en eindigt wanneer wij daarmee stoppen en de gegevens hebben verwijderd.

Wijzigen wij deze overeenkomst, dan publiceren wij een nieuwe versie met een nieuw versienummer en melden wij dat per e-mail. Bij een wijziging die uw positie wezenlijk verslechtert, mag u binnen dertig dagen opzeggen. Elke versie blijft op te vragen, zodat na te gaan is welke tekst gold op het moment dat u akkoord gaf.

Op deze overeenkomst is Nederlands recht van toepassing. De aansprakelijkheidsregeling uit de algemene voorwaarden geldt ook hier, met dien verstande dat die geen boete van een toezichthouder uitsluit die aan onze eigen tekortkoming te wijten is.

11Contact

Dirivian B.V., handelend onder de naam VoiceHelden.
Science Park 608, Unit A.08, 1098 XH Amsterdam
info@voicehelden.nl

Hoe wij met persoonsgegevens omgaan buiten deze overeenkomst staat in ons privacybeleid. Wij hebben geen functionaris voor gegevensbescherming aangesteld; voor een bedrijf van deze omvang is dat niet verplicht.