Verwerkersovereenkomst

Met wie u de overeenkomst sluit. Zit uw bedrijf in de EU of de EER, dan sluit u deze verwerkersovereenkomst met e-consultants Emmeloord B.V. (Ballumerbocht 11, 8303 KB Emmeloord, KvK 39050063), en geldt Nederlands recht. Overal elders sluit u die met Clavitor LLC (851 Brightwaters Blvd NE, Saint Petersburg, FL 33704, VS), onder het recht dat in onze voorwaarden staat. Met “wij” bedoelen we dat bedrijf. Callitor wordt gebouwd en beheerd door Clavitor LLC.

Deze verwerkersovereenkomst geldt vanzelf voor elk Callitor-account, ook tijdens de proefperiode, vanaf de dag dat u uw receptioniste houdt.

Verwerkingsverantwoordelijke: u, de klant: het bedrijf dat Callitor gebruikt en bepaalt wat uw receptioniste vraagt, bewaart en zegt.

Verwerker: wij. Wij verwerken persoonsgegevens alleen voor u, om Callitor te leveren.

Betrokkene, persoonsgegevens, verwerken: zoals in de AVG.

3.1 Alleen in uw opdracht. Wij verwerken persoonsgegevens alleen om Callitor te leveren zoals onze voorwaarden en ons privacybeleid beschrijven, of zoals u ons schriftelijk vraagt. Lijkt een opdracht in strijd met de privacywet, dan zeggen we dat. Wij gebruiken gegevens niet voor onszelf, trainen er geen AI-modellen mee, halen er geen inzichten uit en verdienen er niets aan behalve het abonnement. Uw receptioniste werkt met AI: een taalmodel leest wat een klant schrijft of zegt en stelt haar antwoord op, en bewaart niets. Voor een bedrijf in Europa draait dat bij Telnyx in de EU, voor elk ander bedrijf bij Fireworks AI in de Verenigde Staten. Bij telefoongesprekken zet een spraakleverancier (xAI) spraak om in tekst en tekst in stem, en bewaart een gesprek maximaal 30 dagen om misbruik te controleren. Geen van hen wordt met uw gegevens getraind.

3.2 Geheimhouding. Iedereen die mogelijk bij onze systemen kan, heeft een geheimhoudingsplicht. Toegang krijgt alleen wie het nodig heeft, en wordt vastgelegd.

3.3 Beveiliging. Wij nemen de maatregelen uit artikel 06.

3.4 Subverwerkers. Welke bedrijven ons helpen (onze subverwerkers), staat op callitor.nl/subverwerkers. Met deze verwerkersovereenkomst geeft u ons toestemming om hen in te schakelen.

• Gaan uw gegevens door een wijziging naar een ander land of rechtsgebied, of naar een bedrijf met minder waarborgen, dan mailen we u minstens 14 dagen voordat dat ingaat.
• Blijft het gelijkwaardig (een ander bedrijf in hetzelfde land, met dezelfde waarborgen, bijvoorbeeld van Vultr in Amsterdam naar Linode in Amsterdam), dan regelen we dat zelf; we zetten het op die pagina voordat het ingaat.
• In beide gevallen kunt u bezwaar maken via legal@callitor.ai. Komen we er samen niet uit, dan kunt u opzeggen; u betaalt dan alleen tot de dag dat u stopt.
• Bedrijven die uw gegevens niet verwerken, zetten we op die pagina zodra we ze inschakelen.
• Elke subverwerker heeft minstens dezelfde verplichtingen als in deze verwerkersovereenkomst. Wij blijven tegenover u verantwoordelijk voor wat zij doen.

3.5 Hulp bij rechten van betrokkenen. Op uw verzoek helpen wij u bij verzoeken van mensen die hun rechten onder de AVG of de Zwitserse privacywet gebruiken (inzage, verbetering, verwijdering, overdracht, beperking, bezwaar). Elke afspraak, elk bericht en elke uitkomst die bij iemand hoort, kunnen we op uw verzoek exporteren of verwijderen.

3.6 Hulp bij beveiliging. Wij helpen u met beveiliging, het melden van datalekken, een risicoanalyse (DPIA) en een eventueel voorafgaand overleg met de toezichthouder (artikelen 32 tot en met 36 AVG), en geven u op verzoek beveiligingsdocumentatie en auditlogs.

3.7 Verwijderen of teruggeven. Zegt u op, dan kunt u uw agenda nog 30 dagen inzien en alles exporteren. Na 30 dagen verwijderen we uw gegevens definitief. Wordt een account opgeschort omdat er niet betaald is, dan verwijderen we de gegevens 30 dagen na de opschorting. U kunt ook altijd vragen om alles meteen te verwijderen. We bewaren alleen wat de wet ons verplicht te bewaren, zoals facturen.

3.8 Controle. U kunt met 30 dagen schriftelijke aankondiging controleren of wij ons aan deze verwerkersovereenkomst houden. Dat gebeurt op afstand, of op een plek die we schriftelijk afspreken. Wij geven u de documentatie die u nodig heeft; direct toegang tot onze systemen vraagt een veiligheidsscreening.

3.9 Datalekken. Wij melden u een datalek dat uw persoonsgegevens raakt zonder onnodige vertraging, en uiterlijk 48 uur nadat we het ontdekken. We wachten daarmee niet op onderzoek of juridisch advies; we sturen wat we weten en vullen dat aan zodra we meer weten.

3.10 Register. Wij houden een register van onze verwerkingen bij en geven u op verzoek een samenvatting.

U staat ervoor in dat:

• u een grondslag heeft voor de persoonsgegevens die uw receptioniste verwerkt;
• u de mensen om wie het gaat de juiste privacyinformatie heeft gegeven;
• u Callitor niet gebruikt in strijd met de wet;
• u ons snel laat weten als u een verzoek van een betrokkene of een vraag van een toezichthouder krijgt die ons raakt.

Uw agenda staat op één locatie, de locatie die gekozen is toen uw proef werd ingesteld (een bedrijf in de EU of de EER kiest uit onze EU-locaties, in Zwitserland is dat Zürich, in het Verenigd Koninkrijk Londen), zonder kopie elders. De locaties staan op callitor.nl/locaties.

Een deel van de verwerking gebeurt buiten de EER:

• Clavitor LLC bouwt en beheert Callitor vanuit de Verenigde Staten. Voor bedrijven in de EU en de EER zijn e-consultants Emmeloord B.V. en Clavitor LLC gebonden aan de standaardcontractbepalingen van de Europese Commissie (Uitvoeringsbesluit (EU) 2021/914, module 3).
• Telnyx LLC (Verenigde Staten) draait het taalmodel voor bedrijven in Europa, binnen de EU, onder zijn verwerkersovereenkomst met de standaardcontractbepalingen.
• Fireworks AI (Verenigde Staten) draait het taalmodel voor andere bedrijven, onder zijn eigen verwerkersovereenkomst, met de standaardcontractbepalingen en de Britse en Zwitserse aanvullingen.
• xAI (Verenigde Staten) verwerkt de audio van gesprekken onder zijn eigen voorwaarden.

Uw receptioniste draait op onze servers in Amsterdam als uw bedrijf in de EU, de EER, Zwitserland of het VK zit, en anders in de Verenigde Staten.

Voordat u uw receptioniste houdt. Probeert een bedrijf Callitor uit, dan lezen we de openbare website van dat bedrijf om een receptioniste klaar te zetten. Tot het bedrijf haar houdt, beslissen we zelf wat er met die gegevens gebeurt (als verwerkingsverantwoordelijke), op grond van ons gerechtvaardigd belang om te laten zien wat Callitor voor het bedrijf kan doen. Houdt niemand haar, dan verwijderen we de proef. Automatisch verwijderen na 90 dagen wordt gebouwd; tot dan verwijderen we haar op verzoek meteen.

• Versleuteling. Opgeslagen gegevens zijn versleuteld met een cryptografische module die volgens FIPS 140-3 is gevalideerd; alles wat over het internet gaat, is versleuteld met TLS.
• Gescheiden. De agenda van elk bedrijf staat in een eigen versleutelde opslag (een eigen kluis), op één locatie, zonder kopieën.
• Toegang. Alleen bevoegde beheerders kunnen bij de systemen; toegang krijgt alleen wie het nodig heeft, wordt vastgelegd, en elke wijziging in de agenda wordt bijgehouden.
• Leveranciers. Subverwerkers verwerken alleen wat hun taak vraagt, onder contract, en trainen niet op uw gegevens.
• Geen back-ups van agenda's. Een verwijderde agenda is weg.

Vragen over deze verwerkersovereenkomst: legal@callitor.ai. Een ondertekend exemplaar sturen we u op verzoek.

Deze verwerkersovereenkomst geldt vanaf de dag dat u uw receptioniste houdt en zolang wij gegevens voor u verwerken; 3.2 en 3.7 blijven gelden zolang wij nog gegevens van u hebben. Voor aansprakelijkheid gelden onze voorwaarden. Wijzigingen in deze verwerkersovereenkomst kondigen we 30 dagen van tevoren aan. Deze verwerkersovereenkomst staat voor het gemak in meerdere talen online. De Engelse tekst gaat voor.