Verwerkersovereenkomst
Deze verwerkersovereenkomst (DPA) hoort bij de overeenkomst tussen de Afnemer (verwerkingsverantwoordelijke) en Voxori (verwerker) en voldoet aan AVG art. 28.
Partijen
Verwerkingsverantwoordelijke: de Afnemer, zoals vermeld in de hoofdovereenkomst.
Verwerker: Prime Invest B.V. h.o.d.n. Voxori, Rotterdam, Nederland, KvK 93607083.
Artikel 1 — Onderwerp en duur
De verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van de Dienst en in opdracht van de verwerkingsverantwoordelijke. Deze overeenkomst geldt zolang de hoofdovereenkomst loopt.
Artikel 2 — Aard en doel van de verwerking
Het aannemen van telefoongesprekken, het omzetten van spraak naar tekst (transcriptie), het opslaan van gespreksgegevens, het inplannen van afspraken in de agenda en het versturen van SMS-bevestigingen namens de verwerkingsverantwoordelijke — en, bij afnemers met de aanbetalingsmodule, het verwerken van reserveringsaanbetalingen namens die afnemer.
Gebruikt de verwerkingsverantwoordelijke de eigen agenda-modules van de verwerker (Voxori Agenda, Planner, Restaurantreserveringen, Salonagenda), dan omvat de verwerking ook het beheren van afspraken en reserveringen in de agenda van de verwerker, inclusief de functies die de verwerkingsverantwoordelijke daarvan inschakelt, zoals tafeltoewijzing, een publieke reserveringspagina, goedkeuring van aanvragen, terugkerende afspraken, een kalenderfeed (ICS), een klantdossier met notities en rapportages.
Artikel 3 — Categorieën betrokkenen en gegevens
| Betrokkenen | Persoonsgegevens |
|---|---|
| Bellers (klanten van de Afnemer) | Naam, telefoonnummer, gespreksaudio, transcriptie, afspraakdetails, eventueel door de beller genoemde informatie, en — bij afnemers met de aanbetalingsmodule — het aanbetalingsbedrag |
Alleen bij gebruik van de eigen agenda-modules:
| Betrokkenen | Persoonsgegevens |
|---|---|
| Klanten en gasten van de Afnemer die een afspraak of reservering hebben (telefonisch, via de publieke reserveringspagina of door de Afnemer zelf ingevoerd) | Naam, telefoonnummer, desgevraagd e-mailadres, dienst, datum en tijd, medewerker, aantal personen en tafel, status van de afspraak, vrije opmerking van de klant of gast, notities en klantdossier-aantekeningen van de Afnemer, en de gekozen annulerings- of afwezigheidsstatus |
Artikel 4 — Instructies
De verwerker verwerkt de gegevens alleen op gedocumenteerde instructie van de verwerkingsverantwoordelijke, tenzij een wettelijke verplichting anders vereist. Acht de verwerker een instructie in strijd met de AVG, dan meldt hij dat.
Artikel 5 — Geheimhouding
Personen die toegang hebben tot de gegevens zijn tot geheimhouding verplicht.
Artikel 6 — Beveiliging (art. 32)
De verwerker treft passende technische en organisatorische maatregelen, zoals beschreven in Bijlage 3.
Artikel 7 — Sub-verwerkers
De verwerkingsverantwoordelijke geeft algemene toestemming voor het inschakelen van de sub-verwerkers in Bijlage 2. De verwerker informeert ten minste 30 dagen vooraf over voorgenomen wijzigingen of toevoegingen. De verwerkingsverantwoordelijke kan binnen die termijn gemotiveerd bezwaar maken; bij gegrond bezwaar zoekt de verwerker een alternatief en, indien dat redelijkerwijs niet mogelijk is, heeft de verwerkingsverantwoordelijke het recht de overeenkomst tegen de ingangsdatum van de wijziging op te zeggen. Met elke sub-verwerker gelden dezelfde verplichtingen als in deze overeenkomst (art. 28 lid 4 AVG). Een actueel sub-verwerkersregister is op verzoek beschikbaar.
Artikel 8 — Bijstand
De verwerker helpt de verwerkingsverantwoordelijke bij verzoeken van betrokkenen en bij beveiligings-, datalek- en DPIA-verplichtingen (art. 32–36).
Artikel 9 — Datalekken
De verwerker meldt een (vermoed) datalek zonder onredelijke vertraging en uiterlijk binnen 24 uur na ontdekking aan de verwerkingsverantwoordelijke, met alle informatie die nodig is voor diens eventuele melding aan de Autoriteit Persoonsgegevens (binnen 72 uur).
Artikel 10 — Bewaartermijnen
| Gegevens | Bewaartermijn |
|---|---|
| Transcripties — Voxori Flex | 7 dagen, daarna automatisch verwijderd |
| Transcripties — Voxori Basis en Voxori Compleet | Standaard 24 maanden, instelbaar (korter) via het dashboard |
| Transcripties — legacy-pakketten (Starter/Professional/Business) | Respectievelijk 7 dagen / 12 maanden / 24 maanden (instelbaar) |
| Gespreksaudio | Standaard opgeslagen, maximaal 30 dagen — daarna automatisch en onherroepelijk gewist. De beller wordt bij aanvang van het gesprek geïnformeerd. De verwerkingsverantwoordelijke kan opname voor zijn account uitzetten; Verwerker legt dan geen audio meer vast |
| Agenda-events (cache) | Tot intrekking van de agenda-autorisatie + 30 dagen |
| SMS-logbestanden | 30 dagen |
| Servicedeskmeldingen (module Voxori Servicedesk) | Afgeronde meldingen 24 maanden na de laatste behandeling; openstaande meldingen zolang zij in behandeling zijn. Een kortere, door de verwerkingsverantwoordelijke ingestelde algemene termijn gaat voor |
| Boekingen in de eigen agenda-modules, met bijbehorende aantekeningen en geplande berichten | 730 dagen (24 maanden) na het einde van de afspraak, daarna automatisch verwijderd (voor afnemers met een door de verwerker beheerde agenda) |
| Vrije opmerking van een klant of gast bij een boeking | 90 dagen na afloop van de afspraak leeggemaakt |
| Notitie bij een boeking, geschreven door de verwerkingsverantwoordelijke | Zolang de boeking bestaat; verdwijnt met de boeking |
| Klantdossier van de verwerkingsverantwoordelijke (aantekeningen en veld voor allergieën of dieetwensen) | Tot de verwerkingsverantwoordelijke het verwijdert; automatisch verwijderd wanneer het 730 dagen niet is bijgewerkt; uiterlijk tot en met 30 dagen na het einde van de overeenkomst (artikel 11) |
| Kopie van een boeking in de externe agenda van de verwerkingsverantwoordelijke | Door de verwerker aangemaakte kopieën worden verwijderd wanneer de boeking na de bewaartermijn wordt gewist, bij een verwijderverzoek over een verlopen afspraak en bij het einde van de overeenkomst zolang de koppeling bestaat. Na intrekking van de koppeling door de verwerkingsverantwoordelijke blijven al aangemaakte kopieën onder zijn eigen beheer |
| Geheime links (kalenderfeed, publieke reserveringspagina) | Tot de verwerkingsverantwoordelijke de link vernieuwt of uitschakelt, of de overeenkomst eindigt |
Het volledige bewaarschema en de instelbare termijnen zijn vastgelegd in het bewaar- en vernietigingsbeleid, dat van rechtswege onderdeel van deze overeenkomst uitmaakt.
Artikel 11 — Teruggave en verwijdering
Na het einde van de overeenkomst verwijdert de verwerker alle persoonsgegevens binnen 30 dagen, of geeft deze terug indien gevraagd, tenzij wettelijke bewaarplichten anders vereisen.
Tijdens de overeenkomst levert de verwerker op verzoek van de verwerkingsverantwoordelijke (via privacy@voxori.nl en, voor zover het klantportaal die functie biedt, ook zelf) een export van de boekings- en dossiergegevens van een betrokkene, en verwijdert of anonimiseert hij die gegevens. Bij verwijdering van een betrokkene blijven toekomstige afspraken als anonieme bezetting in de agenda staan, zodat de plek niet vrijkomt. De verwerkingsverantwoordelijke blijft verantwoordelijk voor het beoordelen van verzoeken van betrokkenen.
Artikel 12 — Audit
De verwerker stelt de informatie beschikbaar die nodig is om naleving aan te tonen en werkt mee aan audits, ten hoogste eenmaal per kalenderjaar en op redelijke voorwaarden. Buiten dit reguliere ritme heeft de verwerkingsverantwoordelijke recht op een aanvullende audit na een datalek of beveiligingsincident dat de gegevens van betrokkenen raakt, of na een onderbouwd verzoek van een toezichthouder.
Artikel 13 — Aansprakelijkheid en recht
Op deze overeenkomst is Nederlands recht van toepassing. De aansprakelijkheidsregeling van de hoofdovereenkomst is tussen partijen van overeenkomstige toepassing. Aansprakelijkheid jegens betrokkenen op grond van AVG art. 82 wordt niet door deze regeling beperkt voor zover dat naar dwingend recht niet is toegestaan.
Bijlage 1 — Verwerkingsdetails
Onderwerp: telefonische klantontvangst en afspraakplanning. Duur: gelijk aan de hoofdovereenkomst. Aard: transcriptie, opslag, SMS-doorgifte, agenda-boeking. Bij gebruik van de eigen agenda-modules daarnaast: opslag en beheer van afspraken, reserveringen, notities en klantdossiers, het tonen van beschikbaarheid via een publieke reserveringspagina en, indien gekoppeld, het spiegelen van boekingen naar de externe agenda van de verwerkingsverantwoordelijke.
Bijlage 2 — Sub-verwerkers
De verwerker schakelt sub-verwerkers in voor de volgende functies:
| Functie | Locatie | Waarborg doorgifte |
|---|---|---|
| Telefonie / communicatie | Deels buiten EER | SCC's |
| Spraak- en taaltechnologie (herkenning, synthese, taalbegrip) | Deels buiten EER | SCC's |
| Agenda- en planningsintegratie | Deels buiten EER | SCC's |
| SMS-verzending | EU + VS | SCC's |
| E-mailverzending (account-, support-, factuur- en bevestigingsmail) | EU + VS | SCC's; deels binnen EER |
| Hosting / opslag | Amsterdam (NL, EER) | Binnen EER |
| Betaaldienstverlener (uitsluitend bij de aanbetalingsmodule) | Amsterdam (NL, EER) | Binnen EER — geen doorgifte |
Koppelt de verwerkingsverantwoordelijke zelf een externe agenda (Google Agenda of, op aanvraag, Outlook-agenda) voor het spiegelen van boekingen, dan verstuurt de verwerker daarheen uitsluitend op diens instructie en onder zijn eigen account; de verwerker spiegelt geen vrije opmerkingen, e-mailadressen of allergie- of dieetgegevens.
Een actueel en specifiek overzicht van de ingeschakelde sub-verwerkers wordt op verzoek verstrekt en bij een voorgenomen wijziging vooraf gemeld, zodat de verwerkingsverantwoordelijke bezwaar kan maken (art. 28 lid 2 AVG).
Bijlage 3 — Technische en organisatorische maatregelen
- Versleuteling van gegevens in transit (TLS) en in rust.
- Toegangsbeheer op basis van noodzaak (least privilege) en sterke authenticatie.
- Logging en monitoring van toegang en verwerkingen.
- Gescheiden omgevingen per afnemer (multi-tenant isolatie).
- Periodieke evaluatie en, waar passend, back-ups met beperkte bewaartermijn.
- Geheime, niet-raadbare links voor de kalenderfeed en de publieke reserveringspagina; de verwerkingsverantwoordelijke kan een link vernieuwen, waarna de oude link niet meer werkt. Wie de link kent, heeft toegang tot de gegevens waarvoor hij bedoeld is.