Verwerkersovereenkomst

1. Onderwerp en duur

De Verwerkingsverantwoordelijke draagt de Verwerker op persoonsgegevens te verwerken met het oog op het leveren van de AI-telefoonassistent Telofia, voor de duur van de overeenkomst voor de levering van de dienst en gedurende de periode die nodig is om de gegevens na afloop daarvan te verwijderen of te retourneren.

2. Aard en doel van de verwerking

Het aannemen en voeren van telefoon- en webgesprekken, spraakherkenning en spraaksynthese, het genereren van antwoorden door taalmodellen, het inplannen van afspraken en het doorschakelen van gesprekken, het versturen van sms- en e-mailberichten die verband houden met het gesprek, het maken van opnames (als de Verwerkingsverantwoordelijke deze heeft ingeschakeld), transcripties, samenvattingen en kwaliteitsbeoordelingen van gesprekken, het bewaren van de gespreksgeschiedenis en de synchronisatie met integraties die de Verwerkingsverantwoordelijke heeft gekoppeld.

3. Categorieën van gegevens en betrokkenen

Betrokkenen: personen die de Verwerkingsverantwoordelijke bellen of met diens assistent spreken, klanten en contactpersonen van de Verwerkingsverantwoordelijke en diens personeel.

Categorieën van gegevens: telefoonnummers, voor- en achternamen, e-mailadressen, stemopnames, transcripties en samenvattingen van gesprekken, gegevens over afspraken en verzoeken en andere informatie die gesprekspartners verstrekken. De Verwerkingsverantwoordelijke dient de assistent niet zo te configureren dat dit leidt tot het verzamelen van bijzondere categorieën van gegevens (art. 9 AVG), tenzij dat noodzakelijk is en daarvoor een rechtsgrond bestaat.

4. Instructies van de Verwerkingsverantwoordelijke

De Verwerker verwerkt de gegevens uitsluitend op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke; deze bestaan met name uit de Voorwaarden, deze Verwerkersovereenkomst en de instellingen die de Verwerkingsverantwoordelijke in het dashboard heeft gekozen (bijv. het inschakelen van opnames, de bewaartermijn, integraties). Als een instructie naar het oordeel van de Verwerker inbreuk maakt op de regels inzake gegevensbescherming, stelt de Verwerker de Verwerkingsverantwoordelijke daarvan onverwijld in kennis.

5. Verplichtingen van de Verwerker

De Verwerker: zorgt ervoor dat de tot verwerking gemachtigde personen zich tot geheimhouding hebben verbonden; treft passende technische en organisatorische maatregelen (art. 32 AVG); helpt de Verwerkingsverantwoordelijke bij het afhandelen van verzoeken van betrokkenen en bij het nakomen van de verplichtingen uit art. 32–36 AVG; gebruikt de toevertrouwde gegevens niet voor eigen doeleinden, waaronder het trainen van modellen voor kunstmatige intelligentie.

6. Subverwerkers

De Verwerkingsverantwoordelijke verleent algemene toestemming voor het inschakelen van de subverwerkers die zijn vermeld op de pagina met subverwerkers. De Verwerker legt subverwerkers verplichtingen inzake gegevensbescherming op die niet minder strikt zijn dan die uit deze Verwerkersovereenkomst, en is voor hun handelingen aansprakelijk als voor zijn eigen handelingen. Over voorgenomen wijzigingen van de lijst informeert de Verwerker ten minste 14 dagen van tevoren; de Verwerkingsverantwoordelijke kan binnen die termijn gemotiveerd bezwaar maken en, als geen overeenstemming wordt bereikt, de overeenkomst opzeggen.

7. Doorgifte van gegevens naar derde landen

De gegevens worden primair opgeslagen in de EU (Frankfurt). Doorgifte van gegevens buiten de Europese Economische Ruimte vindt uitsluitend plaats op basis van een besluit waarin een passend beschermingsniveau wordt vastgesteld (waaronder het EU-VS-kader voor gegevensbescherming) of van modelcontractbepalingen, samen met aanvullende maatregelen.

8. Beveiligingsmaatregelen

Versleuteling tijdens transport en bij opslag, versleuteling van integratietokens, toegangsbeheer en het principe van minimale rechten, logische scheiding van klantgegevens, afgeschermde opslag van opnames die toegankelijk is via kortlevende ondertekende links, logging van gebeurtenissen, back-ups, kwetsbaarhedenbeheer en procedures voor incidentrespons.

9. Inbreuken in verband met persoonsgegevens

De Verwerker stelt de Verwerkingsverantwoordelijke zonder onredelijke vertraging – zo mogelijk binnen 48 uur – in kennis nadat hij een inbreuk in verband met persoonsgegevens heeft vastgesteld, en verstrekt de informatie die de Verwerkingsverantwoordelijke nodig heeft om de inbreuk te melden bij de toezichthoudende autoriteit en de betrokkenen te informeren.

10. Bewaring, verwijdering en retournering van gegevens

Opnames en transcripties worden bewaard gedurende de termijn die de Verwerkingsverantwoordelijke in het dashboard heeft ingesteld (Privacymodus) of totdat de Verwerkingsverantwoordelijke ze verwijdert. Na beëindiging van de overeenkomst retourneert of verwijdert de Verwerker – naar keuze van de Verwerkingsverantwoordelijke, door te geven via support@aiagenthub.pl – de toevertrouwde gegevens binnen 30 dagen, tenzij wettelijke voorschriften verdere bewaring vereisen.

11. Audits en aansprakelijkheid

De Verwerker stelt de Verwerkingsverantwoordelijke de informatie ter beschikking die nodig is om aan te tonen dat de verplichtingen uit art. 28 AVG zijn nagekomen, en maakt audits, waaronder inspecties, mogelijk na voorafgaande kennisgeving ten minste 14 dagen van tevoren, niet vaker dan eenmaal per jaar (tenzij zich een inbreuk in verband met persoonsgegevens heeft voorgedaan). Op de aansprakelijkheid van de partijen zijn de bepalingen van de Voorwaarden van toepassing, onverminderd art. 82 AVG.