Verwerkersovereenkomst (DPA)

Deze Verwerkersovereenkomst ("DPA") maakt integraal en onlosmakelijk deel uit van de overeenkomst tussen AIOS Flow ("Verwerker") en de klant ("Verwerkingsverantwoordelijke" of "Klant") betreffende de AI-receptionistdienst ("de Dienst"). Deze DPA is een verwerkersovereenkomst als bedoeld in artikel 28 lid 3 AVG en is, overeenkomstig artikel 28 lid 9 AVG, in elektronische vorm opgesteld. Zij is van rechtswege van toepassing en bindend zodra de Klant akkoord gaat met de offerte, het e-mailvoorstel en/of de algemene voorwaarden van de Verwerker. Een handgeschreven of afzonderlijke ondertekening is niet vereist.

De Klant is verwerkingsverantwoordelijke; de Verwerker verwerkt persoonsgegevens uitsluitend namens de Klant en op grond van diens gedocumenteerde instructies, zoals vastgelegd in de overeenkomst en deze DPA. De verwerking is strikt beperkt tot het leveren van de Dienst: het geautomatiseerd beantwoorden van telefoongesprekken, algemene klantenservice en afsprakenbeheer. Verwerking voor enig ander doel vindt niet plaats.

De Verwerker verplicht de bij de verwerking betrokken personen tot geheimhouding en treft passende technische en organisatorische maatregelen conform artikel 32 AVG, waaronder versleuteling tijdens transport en opslag, toegangsbeheer op basis van noodzaak, en logische scheiding van gegevens per klant. Het beveiligingsniveau is afgestemd op het risico van de verwerking.

De Klant verleent hierbij algemene voorafgaande toestemming voor het inschakelen van subverwerkers, uitsluitend ten behoeve van de Dienst, binnen de volgende functionele categorieën:

• Telecommunicatie- en spraakverbindingsdiensten;

• AI-taalmodellen en spraak- en documentverwerking;

• Cloudinfrastructuur en dataopslag;

• Authenticatie- en identiteitsbeheer;

• Betalings-, e-mail- en communicatiediensten.

Verwerking vindt plaats binnen de Europese Economische Ruimte (EER), dan wel — bij verwerking daarbuiten — uitsluitend op basis van een geldig doorgiftemechanisme zoals de door de Europese Commissie goedgekeurde modelcontractbepalingen (SCC's) met passende aanvullende waarborgen. Een actuele lijst van subverwerkers wordt op verzoek of via een beveiligde URL ter beschikking gesteld. De Verwerker informeert de Klant vooraf bij een voorgenomen wijziging en biedt gelegenheid tot bezwaar op redelijke gronden. De Verwerker legt aan elke subverwerker gelijkwaardige verplichtingen op en blijft jegens de Klant verantwoordelijk. De door de Klant gekoppelde agendaprovider (o.a. Cal.com, Google of Microsoft) betreft een directe relatie en een eigen account van de Klant en valt buiten het netwerk van subverwerkers van de Verwerker.

De Dienst betreft een AI-systeem met beperkt risico. De Verwerker garandeert:

• Transparantie (art. 50 AI Act): de AI-assistent meldt automatisch bij aanvang van elk gesprek dat de beller met een kunstmatige-intelligentie-assistent spreekt;

• Geen modeltraining: klantdata, audio-opnamen en transcripties worden niet gebruikt voor het trainen van publieke of externe AI-modellen;

• Doelbinding en menselijk toezicht: de AI is uitsluitend bestemd voor algemene klantenservice en afsprakenbeheer, met te allen tijde de mogelijkheid tot escalatie naar een menselijke medewerker.

De Verwerker meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging na ontdekking aan de Klant, met de op dat moment bekende informatie. De Verwerker verleent de Klant, voor zover redelijkerwijs mogelijk en tegen kostprijs, bijstand bij verzoeken van betrokkenen en bij de verplichtingen uit de artikelen 32 tot en met 36 AVG. De Verwerker stelt de Klant op verzoek de nodige informatie ter beschikking en werkt maximaal eenmaal per jaar mee aan een schriftelijke audit ter controle op de naleving van deze DPA, op kosten van de Klant.

Gespreksnotities, gespreksgegevens en audio worden standaard 30 dagen na het gesprek automatisch verwijderd, tenzij schriftelijk anders overeengekomen. Deze DPA geldt zolang de Verwerker persoonsgegevens namens de Klant verwerkt. Na beëindiging van de Dienst worden de persoonsgegevens, naar keuze van de Klant, verwijderd of geretourneerd, tenzij een wettelijke bewaarplicht anders vereist. De aansprakelijkheid van partijen onder deze DPA is onderworpen aan de beperkingen en uitsluitingen zoals opgenomen in de hoofdovereenkomst en/of de algemene voorwaarden.

Categorieën betrokkenen: bellers en (mede)werkers van de Klant. Categorieën gegevens: naam, contactgegevens, gespreksinhoud (audio/transcript), afspraakgegevens en overige door de beller verstrekte gegevens. Bijzondere categorieën persoonsgegevens worden niet beoogd.