Gegevensverwerkingsovereenkomst

1. Partijen

Verwerkingsverantwoordelijke: U (“Klant”), de gebruiksverantwoordelijke van het AI-systeem, het bureau of het platform dat Audact-diensten gebruikt. Bent u richting uw eigen eindklant zelf verwerker en geen verwerkingsverantwoordelijke, dan werkt deze overeenkomst als subverwerkersovereenkomst, onder dezelfde voorwaarden. Welke van de twee rollen u heeft, wordt per inrichting vastgelegd in de overeenkomst die u tekent, niet op deze pagina.

Gegevensverwerker: de Audact-vennootschap die op het door u ondertekende opdrachtformulier als verwerker is genoemd. Er zijn twee vennootschappen en ze doen verschillend werk. Audact AI Ltd, 71-75 Shelton Street, London WC2H 9JQ, Verenigd Koninkrijk (nummer 17059133) houdt het intellectuele eigendom. AUDACT AI LIMITED (Ierland, CRO 822514, opgericht 29 juli 2026) is de EU-werkmaatschappij en is de vennootschap die in het impressum en in de voettekst van deze site als contractspartij wordt genoemd. Welke van de twee is genoemd, verwerkt interactiemetadata namens u als verwerker in de zin van artikel 28 AVG, onder de voorwaarden hieronder.

Welke van de twee partij is bij uw contract, is een open punt, en dit artikel zegt dat in plaats van het te veronderstellen. Een met Audact AI Ltd gesloten overeenkomst gaat door schriftelijke kennisgeving over op AUDACT AI LIMITED, met ingang van de datum van die kennisgeving en zonder dat de rechten van de klant verminderen. Dit artikel beweert niet dat elke bestaande overeenkomst al is overgegaan, want dat is hier niet vastgesteld. Vóór ondertekening gaat het opdrachtformulier voor; wilt u het eerder zeker weten, vraag dan via legal@audact.ai welke vennootschap vandaag uw verwerker is en laat dat schriftelijk bevestigen.

2. Reikwijdte van verwerking (AVG Art. 28(3))

Onderwerp & duur: Levering van het Audact complianceplatform; duur gelijk aan de onderliggende serviceovereenkomst plus eventuele bewaringsperiode vereist door wet.

Aard & doel: Compliancevalidatie, bewijs­ketenopbouw en audittrailbeheer zoals opgedragen door de Klant via de platformconfiguratie.

Gegevenscategorieën: Gespreksmetadata (tijdstempels, jurisdictie-ID's, beleidsbeslissingen, validatieresultaten, bewijs­hashes, toestemmingsregistraties); gespreksaudio tijdens de transmissie, en alleen bewaard waar de Klant opname aanzet; getranscribeerde gesprekstekst; de aan de beller vrijgegeven uitvoer; en de bon-, policy- en toestemmingsregistraties die daaruit volgen. Brengt de use case van de Klant bijzondere categorieën persoonsgegevens in de zin van artikel 9 binnen een bestuurde interactie, dan bepaalt de Klant als verwerkingsverantwoordelijke de grondslag van artikel 9 en instrueert Audact dienovereenkomstig.

Betrokkenen: Eindgebruikers / bellers / chatdeelnemers van de AI-implementatie van de Klant.

Niet bewaard: Audio loopt door de in sectie 3 genoemde subverwerkers (spraakherkenning, spraaksynthese en het taalmodel), want een bestuurd gesprek is zonder dat niet te besturen. Het wordt standaard niet bewaard. Zet de Klant opname aan, dan wordt gespreksaudio maximaal 90 dagen bewaard en daarna verwijderd. Buiten wat compliancevalidatie vereist, worden geen verdere persoonsgegevens opgeslagen. Alle PII wordt versleuteld; wissing via crypto-shredding (volgt binnenkort): de sleutel van de inhoud wordt vernietigd, de volgorde blijft toetsbaar, de inhoud is weg.

Verwerkersverplichtingen (Art. 28(3)): Audact (a) verwerkt uitsluitend op gedocumenteerde instructies van de Klant; (b) zorgt dat personeel gebonden is aan vertrouwelijkheid; (c) treft beveiligingsmaatregelen op grond van art. 32 (paragraaf 5); (d) schakelt subverwerkers uitsluitend in op de voorwaarden van paragraaf 3; (e) staat de Klant bij bij rechten van betrokkenen en bij de verplichtingen uit art. 32-36; (f) verwijdert of retourneert Klantgegevens bij beëindiging (paragraaf 8); (g) stelt de informatie beschikbaar die nodig is om naleving aan te tonen en maakt audits mogelijk zoals beschreven in paragraaf 10.

De duur van de verwerking staat per object in paragraaf 2A, want de zes dingen die een bestuurd gesprek achterlaat worden niet om dezelfde reden en niet even lang bewaard.

2A. Bewaring, per object

Een bestuurde interactie laat zes dingen achter. Ze worden om verschillende redenen en verschillend lang bewaard — en, dat is het deel waar het om gaat, ze worden niet allemaal door dezelfde partij vastgesteld. Eén regel per stuk.

Uit de AI-verordening volgt geen bewaartermijn. Artikel 50 is een transparantieplicht en kent geen bewaartermijn, en de richtsnoeren van de Commissie C(2026)5054 stellen onder punt (73) vast dat een volledige provenance-keten niet verplicht is. Waar een termijn wél geldt, volgt die uit deze overeenkomst of uit een regel die voor de sector van de Klant geldt.

De organisatie bepaalt het mandaat; Audact handhaaft het. Voor bewaring geldt dezelfde verdeling. De Klant stelt de termijnen vast die zijn eigen regels vereisen en Audact past ze toe; Audact adviseert de Klant nooit hoe lang hij iets moet bewaren.

Bewijsketenrecords worden bewaard gedurende de looptijd van de overeenkomst en daarna alleen zolang de toepasselijke regel dat vereist. Uit de AI-verordening volgt geen bewaartermijn; bepalend is de termijn uit uw overeenkomst.

3. Sub-verwerkers

Alle derden die gegevens verwerken namens Audact of onze klanten. Deze lijst wordt bijgehouden zoals vereist onder AVG Artikel 28.

De actuele lijst van sub-verwerkers is ook gepubliceerd op ons Trust Center.

Wij kondigen het toevoegen of vervangen van een subverwerker ten minste 30 dagen van tevoren aan. U kunt binnen die termijn op redelijke gronden schriftelijk bezwaar maken; wordt er geen aanvaardbare oplossing gevonden, dan kunt u de betrokken dienst opzeggen.

4. Dataresidentie

Primaire applicatiehosting: Frankfurt. AWS eu-central-1; een back-upregio in AWS eu-west-1 (Ierland) wordt ingericht. Klantcompliancegegevens (interactiemetadata, bewijsketens, auditlogs) worden op die infrastructuur binnen de EER opgeslagen en verwerkt.

Een aantal van de in paragraaf 3 genoemde subverwerkers is buiten de EER gevestigd. Voor zover zij persoonsgegevens verwerken, loopt de doorgifte via de standaardcontractbepalingen (module 3, verwerker naar verwerker, Besluit (EU) 2021/914) samen met passende technische en organisatorische maatregelen. De tabel hierboven vermeldt per subverwerker wat er verwerkt wordt en waar.

5. Beveiligingsmaatregelen (AVG Art. 32)

• Versleuteling in rust (AES-256) en in transit (TLS 1.3)
• Versleuteling van persoonsgegevens zodat crypto-shredding kan gelden (volgt binnenkort): de sleutel van de inhoud wordt vernietigd, de volgorde blijft toetsbaar, de inhoud is weg.
• SHA-256 hashketens voor bewijs­ketenintegriteit. Elke bestuurde interactie levert een compliancebon op; de Klant kan de hash van de invoer, de hash van de uitvoer en de koppeling naar de voorgaande bon narekenen uit alleen het geëxporteerde bestand, zonder sleutel en zonder toegang tot systemen van Audact. De exacte vorm staat gepubliceerd op /sample-receipt-readme.txt.
• Op rollen gebaseerde toegangscontrole (RBAC)
• SOC 2 Type II: gepland, geen auditor aangesteld, ingepland na de eerste betalende inzetten
• Kwetsbaarheidsscanning van afhankelijkheden en infrastructuur. Er is nog geen externe penetratietest uitgevoerd; een eerste test is voorzien vóór de eerste betalende inzet.

Audact is niet gecertificeerd voor ISO 27001 en heeft vandaag geen SOC 2-rapport. Een SOC 2 Type II staat gepland; het moment volgt op de eerste betalende inzetten. Waar deze overeenkomst naar auditrapporten van derden verwijst, verwijst zij naar rapporten die er nog niet zijn.

6. Rechten van betrokkenen

De verwerkingsverantwoordelijke heeft op grond van artikel 12, lid 3, één maand om de betrokkene te antwoorden, te verlengen met twee maanden. De termijn van Audact hieronder is de tijd waarin Audact die verwerkingsverantwoordelijke helpt, en niet diens termijn.

Audact helpt de Klant bij het vervullen van verzoeken van betrokkenen (toegang, rectificatie, wissing, portabiliteit) binnen 72 uur na kennisgeving. Wissing per crypto-shredding (volgt binnenkort): de sleutel van de inhoud wordt vernietigd, de volgorde blijft toetsbaar, de inhoud is weg.

7. Kennisgeving van inbreuk (AVG Art. 33(2))

De 72 uur zijn van de Klant, niet van Audact. Artikel 33(1) geeft de verwerkingsverantwoordelijke 72 uur om zijn toezichthouder te informeren, gerekend vanaf het moment dat hij er kennis van krijgt. Artikel 33(2) stelt de verwerker geen vaste termijn: die moet onverwijld melden aan de verantwoordelijke. Een verwerker die de 72 uur als zijn eigen budget behandelt, overhandigt de verantwoordelijke een termijn die al verstreken is.

Dat weegt zwaarder dan het leest: onder de richtsnoeren van de EDPB over datalekmeldingen geldt de Klant als bekend zodra Audact bekend is. De melding van Audact wordt daarom niet afgemeten aan die 72 uur — elk uur gaat af van de termijn van de Klant. Audact meldt onverwijld na bekendwording en in ieder geval binnen 72 uur; dat is een bovengrens en geen streefwaarde. Heeft de Klant een kortere vaste termijn in het contract nodig, dan wordt die in het opdrachtformulier afgesproken; dit gepubliceerde concept stelt er geen. De melding bevat: de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en records, de waarschijnlijke gevolgen, en de genomen of voorgestelde maatregelen om de inbreuk aan te pakken en de gevolgen te beperken. Is een gegeven nog niet bekend, dan zegt Audact dat en volgt het in fasen, in plaats van de eerste melding uit te stellen. Audact verleent redelijke bijstand zodat de Klant zijn verplichtingen uit art. 33 en 34 richting toezichthouders en betrokkenen kan nakomen.

8. Looptijd & Beëindiging

Deze GVO is van kracht voor de duur van de serviceovereenkomst. Bij beëindiging verwijdert of retourneert Audact alle Klantdata binnen 30 dagen (fase (3) van de offboarding-levenscyclus), behalve waar bewaring wordt vereist door Unierecht of het recht van een lidstaat dat voor de Klant of voor Audact geldt, of door de termijnen die in paragraaf 2A zijn afgesproken. Cryptografische bewijsketens mogen in niet-persoonsgebonden vorm, uitsluitend als hashes, worden bewaard om de auditintegriteit te behouden gedurende de termijn die op grond van paragraaf 2A geldt.

Geen termijn hier volgt uit de AI-verordening. Artikel 50 is een transparantieplicht en kent geen bewaartermijn, en een plafond van tien jaar is een regel die voor de sector van de Klant geldt en niet een die Audact stelt. Beide staan in paragraaf 2A, in de regel waar de vaststellende partij bij staat.

9. Internationale overdrachten

Klantcompliancegegevens worden binnen de EER opgeslagen en verwerkt. Voor zover de in paragraaf 3 genoemde subverwerkers die buiten de EER zijn gevestigd persoonsgegevens verwerken, waaronder gespreksaudio onderweg en gesprekstekst, loopt de doorgifte via de standaardcontractbepalingen (module 3, verwerker naar verwerker, Besluit (EU) 2021/914), aangevuld met passende technische en organisatorische maatregelen.

10. Auditrechten

Op redelijk schriftelijk verzoek, en ten hoogste eenmaal per periode van twaalf maanden, stelt Audact de informatie beschikbaar die nodig is om naleving van deze verwerkersovereenkomst aan te tonen, met inbegrip van auditrapporten van derden zodra die rapporten bestaan. Verlangt de klant redelijkerwijs een verdergaande audit, dan komen partijen omvang, tijdstip en kosten overeen; audits mogen andere klanten niet hinderen en zijn vertrouwelijk.

11. Contact

GVO-vragen: dpo@audact.ai

Versiegeschiedenis

Laatst gewijzigd op 8 oktober 2026. Eerdere versies van dit document zijn op verzoek beschikbaar.