Verwerkersovereenkomst

Partijen

Waarom deze overeenkomst er is

Jij bepaalt waarom en hoe de persoonsgegevens in jouw telefooncentrale worden verwerkt. Je kiest wie er een account krijgt, wie je belt, welke nummers je opslaat en of je gesprekken opneemt. In de AVG heet jij daarom de verwerkingsverantwoordelijke.

Wij verwerken die gegevens voor jou, omdat je onze dienst gebruikt. Wij bepalen niet zelf wat er met jouw gegevens gebeurt. In de AVG heten wij daarom de verwerker.

De AVG schrijft voor dat die verhouding schriftelijk wordt vastgelegd. Dat is precies wat dit document doet.

1Wat de woorden betekenen

1.1Persoonsgegevens: alle gegevens die iets zeggen over een herkenbaar persoon. Een naam, een e-mailadres, maar ook een telefoonnummer of een geluidsopname van een stem.

1.2Verwerken: alles wat je met gegevens kunt doen. Opslaan, bekijken, doorsturen, wijzigen, wissen.

1.3Betrokkene: de persoon over wie de gegevens gaan. Bijvoorbeeld jouw medewerker of jouw klant die belt.

1.4Verwerkingsverantwoordelijke: degene die bepaalt waarom en hoe gegevens worden verwerkt. Dat ben jij, behalve waar artikel 5 iets anders zegt.

1.5Verwerker: degene die de gegevens verwerkt in opdracht van de verwerkingsverantwoordelijke. Dat zijn wij.

1.6Subverwerker: een partij die wij inschakelen en die daarbij persoonsgegevens van jou verwerkt. Bijlage B noemt ze bij naam.

1.7Datalek: een inbreuk op de beveiliging waardoor persoonsgegevens verloren gaan, of waardoor iemand er bij kan die er niet bij mag. In de AVG heet dit “inbreuk in verband met persoonsgegevens”.

1.8Verkeersgegevens: gegevens over een gesprek, niet de inhoud ervan. Wie belde welk nummer, op welk moment, hoe lang, via welke route. Ook een gemiste oproep levert verkeersgegevens op.

1.9AVG: de Algemene verordening gegevensbescherming, ook bekend als GDPR.

1.10Tw: de Telecommunicatiewet.

1.11EER: de Europese Economische Ruimte. Dat is de Europese Unie plus Noorwegen, IJsland en Liechtenstein.

1.12De dienst: KobiVoice, onze zakelijke internettelefonie. Inclusief de app, het desktopprogramma, de browserversie, de koppeling met vaste toestellen en de beheeromgeving.

2Onderwerp, aard, doel en duur van de verwerking

2.1Onderwerp. Wij leveren jou zakelijke internettelefonie. Om dat te kunnen doen, verwerken wij persoonsgegevens die jij via de dienst invoert of die ontstaan doordat jij en je medewerkers bellen en gebeld worden.

2.2Aard van de verwerking. Wij verzamelen, ontvangen, routeren, opslaan, tonen, doorsturen, bewaren en wissen gegevens. Dat gebeurt grotendeels automatisch, als onderdeel van de technische werking van de telefooncentrale. Een medewerker van ons kijkt alleen in jouw gegevens wanneer dat nodig is voor beheer, ondersteuning of het oplossen van een storing.

2.3Doel van de verwerking. Wij verwerken de gegevens uitsluitend om:

• gesprekken op te zetten, door te verbinden, in een wachtrij te zetten en te beëindigen;
• de functies te laten werken die jij aanzet, zoals voicemail, doorschakelen, wachtrijen, conferentie, keuzemenu, belgroepen en gespreksopname;
• gebruikers en toestellen te laten inloggen en aan jouw account te koppelen;
• jouw verbruik bij te houden en je abonnement en je gesprekken correct te factureren;
• storingen op te lossen en ondersteuning te geven als je daarom vraagt;
• de dienst en de beveiliging in stand te houden, waaronder het tegengaan van misbruik en fraude.

Voor iets anders gebruiken wij jouw gegevens niet. Wij verkopen ze niet, wij verhuren ze niet en wij gebruiken ze niet om onze eigen producten te trainen of te verrijken.

2.4Duur. Deze verwerkersovereenkomst loopt zolang jouw overeenkomst met ons loopt, en daarna zolang wij nog gegevens van jou onder ons hebben. Artikel 16 regelt wat er bij het einde gebeurt.

2.5Soorten gegevens en betrokkenen. Welke persoonsgegevens het precies betreft en over wie ze gaan, staat in bijlage A.

3Wat jij en wij afspreken over de rolverdeling

3.1Jij bent verwerkingsverantwoordelijke. Jij zorgt ervoor dat je een geldige reden hebt om de gegevens te verwerken, dat je de mensen om wie het gaat informeert, en dat je je eigen verplichtingen uit de AVG nakomt.

3.2Wij zijn verwerker. Wij verwerken de gegevens alleen voor jou en alleen zoals in deze overeenkomst staat.

3.3Jij staat ervoor in dat je de gegevens rechtmatig aan ons mag verstrekken. Wij controleren niet of jij een geldige grondslag hebt, en dat kunnen wij ook niet.

3.4Zet je gespreksopname aan, dan ben jij degene die bepaalt of dat mag en die de gesprekspartners daarover informeert. Wij leveren alleen de knop. Artikel 15 gaat hier verder op in.

4Uitsluitend verwerken op jouw schriftelijke instructie

4.1Wij verwerken jouw persoonsgegevens uitsluitend op jouw schriftelijke instructie. Dat geldt ook voor doorgifte naar een land buiten de EER.

4.2Als schriftelijke instructie gelden:

• deze verwerkersovereenkomst en de bijlagen;
• de overeenkomst en de algemene voorwaarden;
• de instellingen die jij zelf in de beheeromgeving kiest;
• een aanvullende instructie die je ons per e-mail stuurt op support@kobivoice.nl en die wij bevestigen.

4.3Wij verwerken de gegevens niet voor eigen doeleinden, tenzij artikel 5 dat uitdrukkelijk bepaalt.

4.4Uitzondering: wettelijke plicht. Verplicht het Unierecht of het Nederlandse recht ons tot een verwerking, dan mogen wij die uitvoeren zonder jouw instructie. Wij laten je dat vooraf weten, tenzij de wet ons verbiedt je te informeren. Dat verbod komt in ons vakgebied echt voor: bij een vordering tot aftappen of tot verstrekking van gegevens mogen wij daar in de regel niets over zeggen, ook niet tegen jou.

4.5Wij waarschuwen je bij een strijdige instructie. Vinden wij dat een instructie van jou in strijd is met de AVG of met andere gegevensbeschermingsregels, dan melden wij je dat direct. Wij mogen de uitvoering opschorten totdat je de instructie hebt ingetrokken of aangepast. Wij zijn geen juridisch adviseur en onze beoordeling is geen advies.

4.6Wij houden bij welke instructies wij van je krijgen, zodat achteraf navolgbaar is wat wij op wiens verzoek hebben gedaan.

5Verkeersgegevens onder de Telecommunicatiewet: daar zijn wij zélf verantwoordelijke

5.1Het uitgangspunt. Voor bijna alles wat jij via KobiVoice doet, zijn wij verwerker en ben jij de baas over de gegevens. Maar wij zijn ook zelf een aanbieder van openbare elektronische communicatiediensten. Die hoedanigheid brengt verplichtingen mee die rechtstreeks op ons rusten en niet op jou.

5.2Waar het om gaat. Wij zijn zelfstandig verwerkingsverantwoordelijke - dus geen verwerker - voor:

• verkeersgegevens die wij op grond van de Telecommunicatiewet en de daarop gebaseerde regelgeving moeten vastleggen en bewaren, en die wij op een rechtmatige vordering van een bevoegde autoriteit moeten verstrekken;
• abonnee- en identificerende gegevens die wij beschikbaar moeten houden voor het Centraal Informatiepunt Onderzoek Telecommunicatie (CIOT), zodat bevoegde instanties kunnen opvragen bij welk nummer welke abonnee hoort;
• gegevens rond het aftapbaar maken van onze dienst, wanneer een bevoegde autoriteit daar rechtmatig om vordert;
• gegevens die nodig zijn voor noodoproepen, waaronder het nummer en het adres dat wij bij een oproep naar 112 aan de alarmcentrale moeten meesturen;
• gegevens die wij nodig hebben voor onze eigen facturatie, boekhouding en fraudebestrijding, voor zover de wet ons daartoe verplicht of daarvoor een eigen grondslag geeft.

5.3Wat dat praktisch betekent.

• Jij kunt ons geen instructie geven om deze gegevens eerder te wissen, niet vast te leggen of niet te verstrekken. Wij zouden zo'n instructie niet mogen opvolgen.
• Deze gegevens vallen niet onder artikel 16 (wissen of teruggeven na afloop). Ze blijven staan tot de wettelijke termijn is verstreken, ook als je klant af bent.
• Voor deze gegevens zijn wij zelf aanspreekbaar. Heeft een betrokkene hier vragen over of wil hij inzage, dan moet hij bij ons zijn, niet bij jou. Wij handelen dat af als verantwoordelijke.
• Krijgen wij een vordering, dan mogen wij jou daar meestal niet over informeren. Wij zullen nooit doen alsof dat anders is.

5.4Wat wij niet doen. Wij luisteren geen gesprekken af en wij bewaren geen gespreksinhoud, behalve de opnames die jij zelf aanzet. Wij verstrekken geen gegevens aan derden, tenzij dat op grond van een rechtmatige vordering moet. Bij zo'n vordering controleren wij of hij van een bevoegde instantie komt en of hij aan de wettelijke eisen voldoet. Wij verstrekken nooit meer dan waar de vordering om vraagt.

5.5De bewaartermijn. Wij bewaren verkeersgegevens zolang dat nodig is voor facturering en voor het oplossen van storingen, en daarna niet langer. Voor gegevens die op een factuur staan geldt de fiscale bewaarplicht van zeven jaar. Voor onze eigen facturatie en voor geschillen over facturen houden wij 12 maanden aan, gerekend vanaf het einde van de maand waarin het gesprek plaatsvond. Loopt er een geschil over een factuur, dan bewaren wij de gegevens die op dat geschil betrekking hebben totdat het is afgehandeld.

5.6Aftapbaarheid en CIOT. Als geregistreerde aanbieder moeten wij aftapbaarheid en de CIOT-verstrekking regelen. Wij besteden dat uit aan een gespecialiseerde partij; die aansluiting is in voorbereiding. Zodra die rond is vermelden wij hier om welke partij het gaat.

5.7Noodoproepen. Oproepen naar 112 en naar andere noodnummers, en naar de Europese hulpdiensten op 116xxx, worden nooit geblokkeerd. Ze blijven ook werken als je over je bestedingslimiet heen zit of als je account om een andere reden geblokkeerd is. Bij zo'n oproep geven wij het nummer en het bij ons bekende adres door aan de alarmcentrale. Dat is een wettelijke plicht en die kun je niet uitzetten. Zorg er daarom voor dat het adres in je account klopt.

5.8Voor al het andere blijft artikel 3 gelden. De gegevens in je adresboek, je voicemailberichten, je gespreksopnames, je gebruikersaccounts en de gespreksgeschiedenis die je in de beheeromgeving ziet, verwerken wij gewoon als verwerker voor jou.

6Geheimhouding door onze mensen

6.1Iedereen bij ons die toegang heeft tot jouw persoonsgegevens is tot geheimhouding verplicht. Dat geldt voor medewerkers in loondienst en voor ingehuurde krachten en freelancers.

6.2Die geheimhouding leggen wij schriftelijk vast, in de arbeidsovereenkomst of in een aparte geheimhoudingsverklaring. Waar de wet al een geheimhoudingsplicht oplegt, geldt die daarnaast.

6.3De geheimhoudingsplicht blijft gelden nadat iemand bij ons weg is.

6.4Wij geven alleen toegang aan mensen die die toegang nodig hebben voor hun werk, en niet ruimer dan nodig. Wij zorgen dat zij weten hoe zij met persoonsgegevens moeten omgaan.

6.5Wanneer een medewerker toegang heeft tot je omgeving voor ondersteuning, leggen wij dat vast in een logboek.

7Beveiliging

7.1Wij nemen passende technische en organisatorische maatregelen om jouw persoonsgegevens te beveiligen, zoals artikel 32 AVG voorschrijft. Daarbij kijken wij naar de stand van de techniek, de kosten, de aard van de gegevens en de risico's voor de mensen om wie het gaat.

7.2Onze maatregelen omvatten in elk geval:

• Versleuteling onderweg. Het signaleringsverkeer en het gespreksverkeer worden versleuteld waar de gebruikte apparatuur dat ondersteunt. Bij oude vaste toestellen die geen versleuteling aankunnen, is dat technisch niet altijd mogelijk. Wij verzwijgen dat niet: gebruik je zulke apparatuur, dan is dat deel van de verbinding niet versleuteld.
• Versleuteling in rust. Opgeslagen gegevens worden versleuteld bewaard. De precieze inrichting: versleuteling op schijf- en opslagniveau bij onze hostingpartij binnen de Europese Unie, waar die versleuteling standaard en niet uitschakelbaar is. Dat geldt ook voor de back-ups.
• Toegangsbeheer. Toegang op basis van persoonlijke accounts, met rollen en rechten, volgens het principe dat niemand meer rechten heeft dan hij nodig heeft.
• Meervoudige verificatie voor beheerderstoegang tot onze systemen.
• Logging en monitoring van toegang tot systemen en van afwijkend belgedrag, zodat misbruik en fraude opvallen.
• Scheiding van omgevingen, zodat test- en ontwikkelwerk niet op echte klantgegevens plaatsvindt.
• Back-ups, met een herstelprocedure die wij periodiek testen. Elke dag maken wij een back-up. Back-ups bewaren wij dertig dagen en daarna worden ze overschreven.
• Onderhoud en updates, waaronder het tijdig doorvoeren van beveiligingsupdates.
• Bescherming tegen misbruik van je account, waaronder een bestedingslimiet en het standaard dichtzetten van dure bestemmingen zoals betaalnummers en satellietreeksen.
• Herstelvermogen, zodat wij de beschikbaarheid van en de toegang tot de gegevens bij een incident tijdig kunnen herstellen.
• Periodieke toetsing van de maatregelen, minimaal één keer per jaar.

7.3Beveiliging is geen eenmalige klus. Wij evalueren en actualiseren de maatregelen. Wij mogen ze wijzigen zolang het beschermingsniveau daardoor niet lager wordt.

7.4Jij hebt ook een rol. Wij kunnen jouw kant van de lijn niet beveiligen. Jij zorgt voor sterke wachtwoorden, voor het intrekken van accounts van mensen die uit dienst gaan, voor veilige apparatuur en voor een zorgvuldige omgang met de koppelcode waarmee een toestel aan jouw omgeving wordt gekoppeld.

7.5Wij hebben op dit moment geen functionaris voor gegevensbescherming aangesteld. Contactpunt voor privacyvragen is support@kobivoice.nl. Wij reageren op werkdagen tussen 09:00 en 17:30 uur, en in elk geval binnen 5 werkdagen.

8Subverwerkers

8.1Jij geeft ons algemene toestemming om subverwerkers in te schakelen. De partijen die wij op dit moment inschakelen, staan in bijlage B.

8.2Wij schakelen een subverwerker alleen in als dat nodig is om de dienst te leveren, en wij beoordelen vooraf of die partij voldoende garanties biedt.

8.3Met elke subverwerker sluiten wij een schriftelijke overeenkomst waarin minstens dezelfde verplichtingen staan als in deze verwerkersovereenkomst. Voldoet een subverwerker niet, dan blijven wij volledig aansprakelijk tegenover jou voor het nakomen van diens verplichtingen.

8.4Wijzigingen melden wij vooraf. Willen wij een subverwerker toevoegen of vervangen, dan laten wij je dat minstens 30 dagen van tevoren weten, per e-mail op het adres dat in je account staat.

8.5Je mag bezwaar maken. Heb je een redelijk, op gegevensbescherming gebaseerd bezwaar tegen een nieuwe subverwerker, dan laat je dat binnen 14 dagen na onze melding weten. Wij gaan dan met je in gesprek en zoeken een oplossing. Komen we er niet uit, dan mag je de overeenkomst opzeggen tegen de datum waarop de wijziging ingaat, zonder dat je daarvoor een vergoeding verschuldigd bent. Je krijgt het ongebruikte deel van vooruitbetaalde abonnementskosten terug. Voor de gesprekken die je tot dat moment hebt gevoerd, krijg je nog een laatste factuur.

8.6Wij mogen een subverwerker in dringende gevallen eerder inzetten wanneer dat nodig is om de dienst in de lucht te houden of om een acuut beveiligingsrisico af te wenden. Wij melden dat dan zo snel mogelijk achteraf, en je bezwaarrecht uit 8.5 blijft gewoon gelden.

8.7De partij die het feitelijke telefonieverkeer voor ons afwikkelt, verwerkt gegevens deels in onze opdracht als subverwerker en deels op grond van haar eigen wettelijke verplichtingen als telecomaanbieder. Voor dat laatste deel is zij zelfstandig verantwoordelijk en kunnen wij haar geen instructie geven. Zie ook artikel 5.

9Bijstand bij verzoeken van betrokkenen

9.1Mensen hebben rechten over hun eigen gegevens: inzage, correctie, wissen, beperking, overdraagbaarheid en bezwaar. Die verzoeken moeten bij jou terechtkomen, want jij bent de verantwoordelijke.

9.2Krijgen wij zo'n verzoek dat over jouw gegevens gaat, dan handelen wij het niet zelf af. Wij sturen het binnen 5 werkdagen naar je door en laten de betrokkene weten dat hij bij jou moet zijn. Uitzondering: gaat het verzoek over gegevens waarvoor wij op grond van artikel 5 zelf verantwoordelijke zijn, dan handelen wij het wel zelf af.

9.3Wij helpen je om verzoeken te kunnen beantwoorden. Wij geven je daarvoor de functies in de beheeromgeving waarmee je zelf gegevens kunt opzoeken, aanpassen, exporteren en verwijderen. Kom je er daarmee niet uit, dan helpen wij je verder met passende technische en organisatorische maatregelen.

9.4De hulp uit 9.3 is kosteloos, voor zover het gaat om wat je redelijkerwijs mag verwachten en om wat met de standaardfuncties kan. Vraagt een verzoek om aanzienlijk handwerk van ons, dan overleggen wij vooraf met je over de kosten. Wij brengen nooit kosten in rekening zonder dat je daar vooraf mee hebt ingestemd.

10Datalekken

10.1Ontdekken wij een datalek dat jouw gegevens raakt, dan melden wij dat aan jou zonder onredelijke vertraging en in elk geval binnen 48 uur nadat wij ervan op de hoogte zijn.

10.2Wij melden per e-mail aan het contactadres in je account, en bij een ernstig lek daarnaast telefonisch.

10.3Onze melding bevat in elk geval, voor zover wij dat op dat moment weten:

• wat er is gebeurd en wanneer;
• welke soorten gegevens het betreft en om hoeveel betrokkenen het ongeveer gaat;
• wat de waarschijnlijke gevolgen zijn;
• welke maatregelen wij hebben genomen of voorstellen om de schade te beperken;
• bij wie je bij ons terecht kunt voor meer informatie.

Weten wij nog niet alles, dan sturen wij eerst wat wij wél weten en vullen wij daarna aan. Wij wachten niet met melden tot het complete plaatje er is.

10.4Jij meldt, niet wij. Of een lek gemeld moet worden bij de Autoriteit Persoonsgegevens of bij de betrokkenen, beoordeel jij als verantwoordelijke. Wij doen die melding niet namens jou, tenzij we dat apart schriftelijk afspreken.

10.5Wij werken mee aan jouw onderzoek naar het lek en aan jouw melding. Wij geven je de informatie en de logbestanden die je daarvoor redelijkerwijs nodig hebt, en wij houden je op de hoogte van wat wij zelf uitzoeken.

10.6Wij houden een intern register bij van datalekken die jouw gegevens raken, met de feiten, de gevolgen en de genomen maatregelen.

10.7Onze eigen meldplicht staat hier los van. Als aanbieder van openbare elektronische communicatiediensten hebben wij ook een eigen meldplicht bij een inbreuk in verband met persoonsgegevens en bij een verstoring van de veiligheid of continuïteit van ons netwerk. Die melding doen wij zelf bij de bevoegde toezichthouder. Dat vervangt jouw beoordeling uit 10.4 niet en jouw beoordeling vervangt de onze niet.

11Bijstand bij beveiligings­onderzoek en gegevensbeschermings­effect­beoordeling

11.1Wij helpen je bij het nakomen van je verplichtingen uit de artikelen 32 tot en met 36 AVG. Dat gaat over beveiliging, over het melden van datalekken en over risicobeoordelingen vooraf.

11.2Voer je een gegevensbeschermingseffectbeoordeling uit - vaak DPIA genoemd, een onderzoek vooraf naar de privacyrisico's van een verwerking - dan geven wij je de informatie over onze dienst die je daarvoor nodig hebt. Denk aan de opzet van de systemen, de gegevensstromen, de bewaartermijnen en de beveiligingsmaatregelen.

11.3Moet je op grond van artikel 36 AVG vooraf overleggen met de Autoriteit Persoonsgegevens, dan werken wij daaraan mee met de informatie die wij redelijkerwijs kunnen leveren.

11.4Onderzoek jij zelf de beveiliging van jouw omgeving, dan werken wij daaraan mee. Wil je een technische test uitvoeren waarbij onze systemen worden benaderd, zoals een penetratietest, dan spreken we vooraf schriftelijk af wat er getest wordt, wanneer, door wie en binnen welke grenzen. Zonder die afspraak mag zo'n test niet.

11.5Voor deze bijstand geldt hetzelfde als in artikel 9.4: wat redelijk is, doen wij kosteloos. Kost het aanzienlijk meer werk, dan overleggen we vooraf over de kosten.

12Doorgifte buiten de EER

12.1Wij verwerken jouw persoonsgegevens in beginsel binnen de EER. Onze servers, onze opslag en onze back-ups staan binnen de Europese Unie.

12.2Wij geven persoonsgegevens alleen door naar een land buiten de EER als daarvoor een geldige grondslag uit hoofdstuk V AVG bestaat. Dat betekent: een adequaatheidsbesluit van de Europese Commissie, of standaardcontractbepalingen, of een andere in de AVG genoemde waarborg. Zonder zo'n grondslag doen wij het niet.

12.3Is een aanvullende maatregel nodig om het beschermingsniveau op peil te houden, bijvoorbeeld extra versleuteling of beperking van toegang, dan treffen wij die.

12.4In bijlage B staat per subverwerker of er sprake is van verwerking buiten de EER en op welke grondslag die doorgifte dan plaatsvindt.

12.5Eerlijk over de aard van telefonie. Bel je zelf naar het buitenland, of word je vanuit het buitenland gebeld, dan gaat dat verkeer nu eenmaal via netwerken buiten de EER. Dat is inherent aan telefonie en niet iets wat wij kunnen voorkomen of contractueel kunnen afdekken. De AVG-regels over doorgifte zien op de verwerkingen die wij organiseren, niet op de route die een internationaal gesprek fysiek aflegt.

12.6Krijgen wij van een autoriteit buiten de EER een verzoek om jouw gegevens, dan geven wij die niet, tenzij het Unierecht of het Nederlandse recht ons daartoe verplicht. Wij laten je dat weten, tenzij de wet ons dat verbiedt.

13Informatieplicht en audits

13.1Wij stellen je alle informatie ter beschikking die nodig is om aan te tonen dat wij de verplichtingen uit artikel 28 AVG nakomen. Je vraagt die op via support@kobivoice.nl.

13.2Je mag een audit laten uitvoeren, zelf of door een onafhankelijke auditor die je daarvoor inschakelt. Wij werken daaraan mee en maken zo'n audit mogelijk.

13.3Voor een audit gelden deze spelregels:

• je kondigt de audit minstens 30 dagen van tevoren schriftelijk aan;
• een audit vindt maximaal één keer per twaalf maanden plaats, tenzij er een concrete aanleiding is, zoals een datalek of een aanwijzing dat wij ons niet aan de afspraken houden;
• de audit vindt plaats tijdens kantooruren en verstoort onze dienstverlening zo min mogelijk;
• de auditor tekent vooraf een geheimhoudingsverklaring en is geen directe concurrent van ons;
• de audit gaat alleen over de verwerkingen die jouw gegevens betreffen. Gegevens van andere klanten blijven buiten beeld.

13.4Beschikken wij over een actueel certificerings- of auditrapport van een onafhankelijke partij, dan mag je daar genoegen mee nemen in plaats van een eigen audit. Je bent daar niet toe verplicht. Welke rapporten of certificeringen wij hebben: op dit moment hebben wij zelf geen certificering en geen auditrapport van een onafhankelijke partij. Wij zeggen dat liever eerlijk dan dat we ermee schermen. Zodra dat verandert, passen wij dit artikel aan.

13.5De kosten van de audit draag je zelf. Blijkt uit de audit dat wij ons niet aan deze overeenkomst houden, dan dragen wij de redelijke kosten van de audit en herstellen wij het gebrek op onze kosten, binnen een termijn die we samen afspreken.

13.6Wij mogen de redelijke kosten van onze eigen inzet bij een audit in rekening brengen, mits wij die vooraf met je afstemmen. Bij een tekortkoming van onze kant doen wij dat niet.

14Gespreksopname

14.1KobiVoice heeft een functie om gesprekken op te nemen. Die functie staat standaard uit. Jij zet hem aan.

14.2Zet je hem aan, dan ben jij de verantwoordelijke voor die opnames. Jij bepaalt of er een geldige grondslag is, jij informeert de gesprekspartners en jij bepaalt hoe lang de opnames bewaard worden.

14.3Wij slaan de opnames voor jou op en geven je de mogelijkheid ze te beluisteren, te downloaden en te verwijderen. Wij beluisteren opnames niet, behalve wanneer jij ons uitdrukkelijk om hulp vraagt bij een technisch probleem met een specifieke opname.

14.4Geen automatische melding, geen automatische verwijdertermijn. Het platform speelt op dit moment geen automatische melding af aan het begin van een gesprek, en kent geen automatische verwijdertermijn voor opnamen. Je bepaalt zelf wanneer je opnamen verwijdert, en je regelt zelf hoe je de gesprekspartners informeert.

14.5Neem je gesprekken op waarin bijzondere persoonsgegevens voorkomen - bijvoorbeeld over gezondheid - dan gelden daarvoor strengere regels. Die beoordeling is aan jou.

15Ondersteuning en toegang tot jouw omgeving

15.1Vraag je ons om hulp, dan kan het nodig zijn dat wij in jouw omgeving meekijken. Wij doen dat alleen voor zover nodig om je vraag te beantwoorden of je storing op te lossen.

15.2Voor onderhoud en storingsoplossing hebben onze beheerders technisch toegang tot de systemen waarop jouw gegevens staan. Die toegang is beperkt tot de mensen die hem nodig hebben en wordt gelogd.

15.3Wij gebruiken jouw gegevens nooit om je te benaderen namens iemand anders, en wij bekijken je gespreksgeschiedenis niet uit nieuwsgierigheid of voor commerciële doeleinden.

16Wissen of teruggeven na afloop

16.1Eindigt de overeenkomst, dan geldt het volgende.

16.2Je kunt je gegevens meenemen. Vanaf de einddatum heb je 30 dagen om je gegevens te exporteren. Wij bieden daarvoor een exportfunctie in de beheeromgeving. Lukt dat niet, dan leveren wij de gegevens op jouw verzoek aan in een gangbaar, machineleesbaar formaat.

16.3Daarna wissen wij. Na afloop van die 30 dagen wissen wij de persoonsgegevens die wij als verwerker voor jou verwerken, of geven wij ze terug, naar jouw keuze. Het wissen ronden wij af binnen 30 dagen. Op jouw verzoek bevestigen wij schriftelijk dat het gebeurd is.

16.4Back-ups. Gegevens kunnen nog in back-ups voorkomen nadat ze uit de actieve systemen zijn verwijderd. Die back-ups worden niet apart uitgekamd. Ze verdwijnen vanzelf zodra de back-upcyclus is doorlopen. Tot die tijd blijven de beveiligingsmaatregelen en de geheimhouding uit deze overeenkomst er onverkort op van toepassing en gebruiken wij die gegevens nergens anders voor dan voor herstel na een calamiteit. De duur van de back-upcyclus: 30 dagen.

16.5Uitzondering: wat wij wettelijk moeten bewaren. Wij bewaren gegevens langer voor zover de wet ons dat verplicht of toestaat. Dat betreft in elk geval:

• de verkeers- en abonneegegevens uit artikel 5, voor de wettelijke termijn;
• de gegevens die wij op grond van de fiscale bewaarplicht moeten bewaren, zoals facturen en betaalgegevens.

Die gegevens gebruiken wij uitsluitend voor het doel waarvoor wij ze moeten bewaren.

16.6Nummerbehoud. Neem je je telefoonnummer mee naar een andere aanbieder, dan wisselen wij daarvoor de gegevens uit die voor die overstap nodig zijn. Dat is een wettelijk geregeld proces waarin wij zelf verantwoordelijke zijn.

17Aansprakelijkheid en vrijwaring

17.1Op deze verwerkersovereenkomst is de aansprakelijkheidsregeling uit onze algemene voorwaarden van toepassing, met de aanvullingen en uitzonderingen die hieronder staan.

17.2Ieder van ons is aansprakelijk voor zijn eigen tekortkoming. Wij zijn aansprakelijk voor schade die ontstaat doordat wij ons niet houden aan de verplichtingen die de AVG specifiek aan een verwerker oplegt, of doordat wij buiten of in strijd met jouw rechtmatige instructie hebben gehandeld.

17.3Jij vrijwaart ons voor aanspraken van derden, waaronder betrokkenen en toezichthouders, die voortkomen uit:

• het ontbreken van een geldige grondslag voor de verwerking aan jouw kant;
• het niet of onvoldoende informeren van betrokkenen door jou;
• een instructie van jou die in strijd is met de wet;
• jouw gebruik van de gespreksopnamefunctie;
• het handelen of nalaten van jouw eigen medewerkers en gebruikers.

17.4Wij vrijwaren jou voor aanspraken van derden die voortkomen uit een tekortkoming van ons in de verplichtingen uit deze verwerkersovereenkomst, of uit een tekortkoming van een door ons ingeschakelde subverwerker.

17.5Legt een toezichthouder een boete op, dan draagt die boete degene aan wiens handelen of nalaten de overtreding te wijten is. Zijn beiden aan te rekenen, dan verdelen we naar rato van ieders aandeel. Artikel 82 AVG blijft onverkort gelden in de verhouding tot betrokkenen: die kunnen hun schade bij ieder van ons volledig verhalen, waarna wij onderling verrekenen.

17.6Een aansprakelijkheidsbeperking uit de algemene voorwaarden geldt niet bij opzet of bewuste roekeloosheid.

17.7Aansprakelijkheid ontstaat pas nadat je ons schriftelijk in gebreke hebt gesteld en wij een redelijke termijn hebben gekregen om te herstellen, tenzij nakoming blijvend onmogelijk is of de aard van de tekortkoming onmiddellijk ingrijpen vereist.

18Duur en beëindiging

18.1Deze verwerkersovereenkomst gaat in op het moment waarop je de overeenkomst met ons sluit en je de dienst in gebruik neemt.

18.2Hij loopt zolang de overeenkomst loopt. Hij kan niet los van de overeenkomst worden opgezegd, want zonder verwerkersovereenkomst mogen wij jouw gegevens niet verwerken.

18.3Eindigt de overeenkomst, dan eindigt deze verwerkersovereenkomst op hetzelfde moment, met uitzondering van de bepalingen die naar hun aard doorlopen. Dat zijn in elk geval: geheimhouding (artikel 6), beveiliging voor zover wij nog gegevens onder ons hebben (artikel 7), wissen en teruggeven (artikel 16), aansprakelijkheid en vrijwaring (artikel 17) en toepasselijk recht (artikel 20).

18.4Kom jij je verplichtingen uit deze overeenkomst niet na, en herstel je dat niet binnen een redelijke termijn nadat wij je daarop hebben gewezen, dan mogen wij de verwerking opschorten. Wij doen dat alleen als het echt niet anders kan en wij informeren je vooraf. Ook bij opschorting blijven noodoproepen, inkomende gesprekken en intern bellen werken.

18.5Kunnen wij door een wijziging in de wet of in de uitleg daarvan niet meer aan deze overeenkomst voldoen, dan overleggen we over een aanpassing. Komen we er niet uit, dan mag ieder van ons de overeenkomst opzeggen tegen het einde van de lopende maand.

19Wijzigingen van deze overeenkomst

19.1Wij mogen deze verwerkersovereenkomst wijzigen wanneer wet- of regelgeving, een uitspraak van een rechter of een aanwijzing van een toezichthouder daartoe aanleiding geeft, of wanneer onze dienst verandert.

19.2Een wijziging melden wij minstens 30 dagen van tevoren per e-mail. Verslechtert de wijziging jouw positie wezenlijk, dan mag je de overeenkomst opzeggen tegen de ingangsdatum van de wijziging, zonder kosten en met teruggave van vooruitbetaalde bedragen. Voor de gesprekken die je tot dat moment hebt gevoerd, krijg je nog een laatste factuur.

19.3De actuele versie staat altijd op onze website, met de datum van laatste wijziging bovenaan.

20Rangorde, toepasselijk recht en geschillen

20.1Spreekt deze verwerkersovereenkomst iets anders af dan de overeenkomst of de algemene voorwaarden, dan gaat deze verwerkersovereenkomst voor, maar alleen op het punt van de verwerking van persoonsgegevens.

20.2Is een bepaling uit deze overeenkomst ongeldig, dan blijven de overige bepalingen gewoon gelden. We vervangen de ongeldige bepaling dan door een geldige die er qua strekking zo dicht mogelijk bij komt.

20.3Op deze overeenkomst is Nederlands recht van toepassing.

20.4Geschillen leggen we voor aan de bevoegde rechter in het arrondissement Zeeland-West-Brabant. We proberen er eerst samen uit te komen.

21Contact

Vragen over deze verwerkersovereenkomst, over de verwerking van persoonsgegevens, of een melding van een mogelijk datalek:

Wij zijn bereikbaar op werkdagen van 09:00 tot 17:30 uur en reageren binnen 5 werkdagen, meestal sneller. Gaat het om een datalek of een acuut beveiligingsprobleem, bel dan ook even, dan pakken we het meteen op.

ABijlage A - Verwerkingen, gegevenssoorten en betrokkenen

Deze bijlage hoort bij artikel 2 en artikel 3.

A.1Categorieën betrokkenen

Het gaat om persoonsgegevens van:

• jouw medewerkers en andere gebruikers die een account of toestel binnen jouw omgeving hebben;
• de beheerders die jouw omgeving instellen;
• personen die jouw medewerkers bellen, of die door jouw medewerkers gebeld worden. Dat zijn onder meer jouw klanten, leveranciers en sollicitanten;
• personen van wie de gegevens in jouw adresboek of contactenlijst staan;
• personen die een voicemailbericht achterlaten;
• personen van wie een gesprek wordt opgenomen, als je die functie gebruikt;
• jouw contactpersoon voor facturatie en administratie.

A.2Soorten persoonsgegevens

Account- en gebruikersgegevens

Naam, zakelijk e-mailadres, gebruikersnaam, versleuteld wachtwoord, toestelnummer, gekoppelde apparaten, rol en rechten, taalinstelling, tijdstip van laatste inlog.

Nummers en identificatie

Het aan jou toegewezen telefoonnummer of nummers, extensienummers, het nummer dat je naar buiten toont, en de nummers van degenen met wie gebeld wordt.

Verkeers- en gespreksgegevens

Wie belde welk nummer, richting van het gesprek, datum en tijd, duur, of het gesprek werd beantwoord, gemiste oproepen, doorschakelingen, wachtrijtijd, doorverbindingen, keuzes in een keuzemenu, en de technische kenmerken die bij een gesprek horen zoals IP-adres en apparaattype. Voor het deel van deze gegevens waarvoor wij op grond van de Telecommunicatiewet zelf verantwoordelijke zijn, geldt artikel 5 en niet deze verwerkersovereenkomst.

Inhoud die jij laat opslaan

Voicemailberichten en de transcripties daarvan als je die functie gebruikt, gespreksopnames als je die functie aanzet, contactpersonen in je adresboek, gesproken meldteksten en de teksten van je keuzemenu.

Instellingen die iets over personen zeggen

Belgroepen, wachtrijleden, doorschakelregels, aanwezigheidsstatus, openingstijden per gebruiker.

Verbruiks- en betaalgegevens

Aantal gebruikers, verbruikte belminuten, je verbruik ten opzichte van de bestedingslimiet, facturen, betaalkenmerken. Wij zien geen volledige rekeningnummers of betaalgegevens van je bank: die verwerkt de betaaldienstverlener.

Contactgegevens uit ondersteuning

Wat je ons per e-mail, telefoon of chat stuurt als je een vraag of storing meldt, inclusief eventuele schermafbeeldingen die je meestuurt.

Bijzondere persoonsgegevens

Wij vragen niet om bijzondere persoonsgegevens en de dienst is er niet op ingericht. Toch kunnen ze in de inhoud terechtkomen, bijvoorbeeld in een opgenomen gesprek of in een voicemailbericht. Als dat gebeurt, is dat het gevolg van jouw gebruik en ben jij daarvoor verantwoordelijk.

A.3Verwerkingen

Veeg opzij om de hele tabel te zien

A.4Bewaartermijnen

Veeg opzij om de hele tabel te zien

BBijlage B - Subverwerkers

Deze bijlage hoort bij artikel 8. Dit is de lijst zoals die geldt op 25 juli 2026. Wijzigingen melden wij vooraf, zoals artikel 8.4 beschrijft.

B.1Telecomleverancier - het bellen zelf

Veeg opzij om de hele tabel te zien

B.2Betaaldienstverlener

Veeg opzij om de hele tabel te zien

B.3Hostingpartij

Veeg opzij om de hele tabel te zien

B.4Overige partijen

Naast de bovenstaande partijen kunnen wij gebruikmaken van leveranciers die alleen bij uitzondering en incidenteel bij persoonsgegevens kunnen komen, bijvoorbeeld bij onderhoud aan software. Voor zover zij daarbij persoonsgegevens van jou verwerken, sluiten wij met hen een verwerkersovereenkomst en vullen wij deze bijlage aan. Op dit moment gaat het om: geen andere partijen.