De stukken waar een securityreview om vraagt, voordat hij vraagt.

1 · De overeenkomst

Verwerkersovereenkomst.

De overeenkomst onder artikel 28 dekt de reikwijdte van de verwerking, de keten van subverwerkers, de vestigingsplaats van de data, de beveiligingsmaatregelen uit artikel 32, de meldplicht bij inbreuken en crypto-shredding (volgt binnenkort) als wismechanisme. Hij staat online als concept dat bij de advocaat ligt en wordt niet pas na een gesprek toegestuurd.

De definitieve tekst ligt bij externe juristen. Wijkt de gepubliceerde tekst na die toetsing af van de ondertekende pdf, dan geldt de pdf, en wordt de wijziging op deze pagina vermeld.

2 · De keten

Het subverwerkersregister, en een voorbeeld van het bestandsformaat.

Wat geldt is de tabel in het Trust Center: elke subverwerker met het doel, de datacategorie, het land en het doorgiftemechanisme, inclusief standaardcontractbepalingen waar die gelden. Klanten krijgen 30 dagen vooraf bericht voordat er een partij bij komt, en kunnen binnen die termijn bezwaar maken.

De CSV hieronder is dat register niet. Het is een voorbeeld van het machineleesbare formaat dat een inkoopsysteem kan inlezen, met verwerkersovereenkomstnummers die niet tegen de onderliggende contracten zijn gecontroleerd. De subverwerkerstabel in het [Trust Center](/trust) is het gezaghebbende, actuele register.

3 · Wie wat verschuldigd is

Artikel 50-plichten, contractueel verdeeld.

De wederverkopersovereenkomst legt de aanbiederskant (integriteit van de bewijsketen en de verklaring bij de mededeling) bij Audact, en de gebruikskant (scriptinhoud, onboarding van de eindklant, het verzamelen van opt-ins) bij het bureau. Wat zij nog niet doet, is iets in geld maximeren: bedragsplafonds worden pas vastgelegd in het sjabloon van de wederverkopersovereenkomst zodra EU-raadsman het heeft getoetst, en tot die toetsing af is doen noch de servicevoorwaarden noch deze pagina een toezegging over een bedrag. Vraag het bedrag daar op waar het bestaat, in plaats van er achter de verdeling van plichten een te veronderstellen.

Dat weegt zwaarder dan het leest. Vanaf 9 december 2026 behandelt de herziene richtlijn productaansprakelijkheid de partij die haar eigen naam, merk of ander onderscheidend kenmerk op andermans product zet als de fabrikant ervan, software inbegrepen. Het is een richtlijn, dus zij bereikt u via het recht van uw eigen lidstaat, en welke partij dat in uw opzet is, volgt uit de rolverdeling op de white-labelpagina. Paragraaf 4 van de servicevoorwaarden zegt hetzelfde over de plafonds, in dezelfde termen.

4 · Weggaan

Overstappen en overdraagbaarheid onder de EU Data Act.

Hoofdstuk VI van Verordening (EU) 2023/2854 geldt sinds 12 september 2025, dus het eerste en het derde punt hieronder zijn rechten die u vandaag al hebt; alleen het verbod op overstapkosten begint later. Het derde is een recht waarvan de levering op 26 augustus op browsergesprekken opnieuw is gemeten, en dat staat hier en niet pas bij het vertrek, want weggaan is het punt waarop een koper het vaakst wordt verrast.

• Een opzegtermijn van twee maanden (fase 1), het maximum uit hoofdstuk VI, bij een overstap op initiatief van de klant.
• Geen overstapkosten vanaf 12 januari 2027.
• Export van uw bewijsketen in een gestructureerd, gangbaar, machineleesbaar formaat. Het recht volgt uit hoofdstuk VI en geldt of een contract het nu herhaalt of niet. De levering is op 26 augustus na de deploy opnieuw gemeten: vijf gesprekken, dertig gevalideerde beurten, dertig bonnen. Die meting is op browsergesprekken en niet over het telefoonnet — deze regel draagt daarom het recht en de meting in plaats van een contractuele garantie.

5 · Certificeringsstand

Wat we hebben, en wat niet.

Geen van de drie. Dat staat hier in dezelfde woorden als in het Trust Center, want een securityteam dat twee verschillende antwoorden vindt, vertrouwt ze allebei niet meer.

6 · De beoordeling

DPIA-sjabloon.

Er is geen DPIA-sjabloon om te downloaden. Deze sectie beschrijft de voorgenomen inhoud, geen bestaand document: de Audact-gegevensstroom, de standaardbewaartermijnen, de mogelijke grondslagen en de risicobeperkende maatregelen voor uitgaande spraak-AI onder AVG artikel 35, om door uw eigen functionaris voor gegevensbescherming te worden aangepast en niet om zo te tekenen.

7 · Het pakket

Voorbeeldexport voor gegevensbeschermingsteams.

Het JSON-pakket dat een functionaris voor gegevensbescherming op verzoek krijgt: voorbeeldbonnen, de beleidsversies waaronder ze ontstonden, de herkomst van de toestemming en de subverwerkersmatrix op dat moment. Het voorbeeld hieronder is geanonimiseerd en draagt synthetische waarden.

8 · Iets melden

Gecoördineerde kwetsbaarheidsmelding.

Meldingen gaan naar security@audact.ai, desgewenst versleuteld met onze publieke PGP-sleutel. Die is op aanvraag beschikbaar, en het beveiligingscontact staat op /.well-known/security.txt volgens RFC 9116. Bevestiging binnen 48 uur.

De safe-harbour-toezegging en het volledige beleid staan op een eigen pagina, inclusief wat geldt als handelen te goeder trouw en hoeveel tijd we vragen vóór mededeling.