Verwerkersovereenkomst

Versie: september 2026

tussen de klant (“verwerkingsverantwoordelijke”) en Rylivo UG (haftungsbeschränkt), Friedrichstr. 155, 10117 Berlijn (“verwerker”).

§ 1 Voorwerp en duur

(1) De verwerker verricht voor de verwerkingsverantwoordelijke de in de gebruiksovereenkomst beschreven diensten van AI-gestuurde telefonische gespreksaanname. Voorwerp van deze verwerkersovereenkomst is de daarbij plaatsvindende verwerking van persoonsgegevens in opdracht.

(2) De duur van deze verwerkersovereenkomst komt overeen met de looptijd van de gebruiksovereenkomst. Zij eindigt met diens beëindiging, uiterlijk echter met de volledige verwijdering of teruggave van de gegevens op grond van § 8.

§ 2 Aard en doel van de verwerking

De verwerking omvat de telefonische aanname van inkomende gesprekken, de realtime-transcriptie van de gesprekken, de machinele samenvatting en gestructureerde vastlegging van verzoeken (met name terugbel- en afspraakwensen) alsmede de melding aan de verwerkingsverantwoordelijke per e-mail en de beschikbaarstelling van de gegevens in het dashboard. Doel is de bereikbaarheid van de verwerkingsverantwoordelijke en de geordende afhandeling van zijn gesprekken.

§ 3 Gegevenscategorieën en kring van betrokkenen

Gegevenscategorieën:

• Basisgegevens van bellers, voor zover in het gesprek meegedeeld (bijv. naam, bedrijf)
• Telefoonnummers en verbindingsgegevens (tijdstip, duur)
• Gespreksinhoud in tekstvorm (transcript, samenvatting, vastgelegde verzoeken zoals terugbelnummer en afspraakwens)

Kring van betrokkenen: bellers van de verwerkingsverantwoordelijke (met name klanten, prospects, leveranciers en overige contactpersonen).

§ 4 Plichten van de verwerker

De verwerker

1. verwerkt de gegevens uitsluitend op gedocumenteerde instructie van de verwerkingsverantwoordelijke (art. 28 lid 3 sub a AVG); de gebruiksovereenkomst en de configuratie van de assistent door de verwerkingsverantwoordelijke gelden als instructies. Acht hij een instructie onrechtmatig, dan informeert hij de verwerkingsverantwoordelijke onverwijld;
2. waarborgt dat de tot verwerking bevoegde personen tot vertrouwelijkheid zijn verplicht (art. 28 lid 3 sub b AVG);
3. treft alle op grond van art. 32 AVG vereiste technische en organisatorische maatregelen (bijlage 1);
4. ondersteunt de verwerkingsverantwoordelijke met passende middelen bij de beantwoording van verzoeken van betrokkenen (art. 12–23 AVG) alsmede bij de plichten uit art. 32–36 AVG, met name bij de melding van inbreuken op de bescherming van persoonsgegevens; zulke inbreuken meldt hij onverwijld aan de verwerkingsverantwoordelijke;
5. wist of retourneert de gegevens overeenkomstig § 8;
6. stelt aan de verwerkingsverantwoordelijke alle voor het aantonen van de naleving van art. 28 AVG vereiste informatie beschikbaar (§ 7).

§ 5 Subverwerkers

(1) De verwerkingsverantwoordelijke keurt de in bijlage 2 vermelde subverwerkers goed. De verwerker heeft met elke subverwerker een overeenkomst gesloten die deze dezelfde plichten op het gebied van gegevensbescherming oplegt als in deze verwerkersovereenkomst zijn vastgelegd.

(2) Over de voorgenomen inschakeling of vervanging van subverwerkers informeert de verwerker de verwerkingsverantwoordelijke in tekstvorm. De verwerkingsverantwoordelijke kan binnen 14 dagen om gewichtige privacyrechtelijke redenen bezwaar maken tegen de wijziging. Is een vergelijk in der minne niet mogelijk, dan komt beide partijen een bijzonder opzeggingsrecht toe.

§ 6 Doorgifte aan derde landen

Verwerking in derde landen vindt alleen plaats onder de voorwaarden van art. 44 e.v. AVG, met name op basis van de EU-modelcontractbepalingen (SCC) met de in bijlage 2 genoemde subverwerkers, aangevuld met aanvullende beschermingsmaatregelen (met name transportversleuteling, pseudonimisering waar mogelijk).

§ 7 Controlerechten van de verwerkingsverantwoordelijke

(1) De verwerkingsverantwoordelijke is gerechtigd de naleving van deze verwerkersovereenkomst te controleren. De verwerker maakt controles — inclusief inspecties —, die door de verwerkingsverantwoordelijke of een door hem aangewezen controleur worden uitgevoerd, mogelijk en ondersteunt deze.

(2) Controles vinden plaats na redelijke voorafgaande aankondiging tijdens gebruikelijke kantooruren. De verwerker kan bewijs eerst leveren door middel van passende documentatie, verklaringen of certificeringen.

§ 8 Verwijdering en teruggave

(1) De verwerker wist afzonderlijke datasets te allen tijde op instructie van de verwerkingsverantwoordelijke.

(2) Na beëindiging van de gebruiksovereenkomst wist de verwerker naar keuze van de verwerkingsverantwoordelijke alle persoonsgegevens of geeft deze in een gangbaar formaat terug en wist bestaande kopieën, voor zover geen wettelijke bewaarplichten daaraan in de weg staan.

§ 9 Slotbepalingen

(1) Bij tegenstrijdigheden tussen deze verwerkersovereenkomst en de gebruiksovereenkomst gaan in privacyrechtelijke kwesties de bepalingen van deze verwerkersovereenkomst voor.

(2) Er geldt Duits recht. Wijzigingen en aanvullingen behoeven de tekstvorm.

Bijlage 1: Technische en organisatorische maatregelen (TOM’s)

• Versleuteling: Alle gegevensoverdrachten vinden transportversleuteld plaats (TLS); opgeslagen gegevens worden bewaard op versleutelde systemen van de infrastructuuraanbieders.
• Toegangscontrole: Toegang tot gespreksgegevens hebben alleen de betreffende klant (dashboard met toegangsbescherming, HttpOnly-sessiecookies) en geautoriseerde medewerkers van de verwerker volgens het need-to-know-principe; administratieve toegangen zijn apart beveiligd.
• Locatiekeuze: Verwerking en opslag vinden plaats in EU-datacentra, waar de ingezette aanbieders dit mogelijk maken.
• Audiobewaring met verwijderconcept: Gesprekken worden na voorafgaande melding als audio opgenomen en getranscribeerd; opname en transcript worden overeenkomstig het overeengekomen verwijderconcept bewaard en gewist.
• Logging: Systeemgebeurtenissen en administratieve toegangen worden gelogd en regelmatig geëvalueerd.
• Scheiding: De gegevens van klanten worden logisch gescheiden (klantspecifieke toewijzing van alle gespreksgegevens).
• Herstelbaarheid: Regelmatige back-ups van de database en gedocumenteerde herstelprocedures.

Bijlage 2: Goedgekeurde subverwerkers