Verwerkersovereenkomst, subverwerkersmatrix, aansprakelijkheid, voorbeeld-FG-export.
Trust Center
Wat inkoop, security en juridisch vandaag kunnen beoordelen.
Bijgewerkt op 8 oktober 2026
De verwerkersovereenkomst, de volledige subverwerkerslijst met land en doorgiftegrondslag, waar de data staat, hoe lang die bewaard blijft, waar we geen certificering voor hebben, en wat de Audact-garantie precies dekt. Zonder formulier, zonder geheimhoudingsverklaring en zonder gesprek ertussen.
Wat u moet kunnen aantonen
- Een schriftelijke overeenkomst met uw verwerker over onderwerp, duur, instructies, vertrouwelijkheid, beveiliging en subverwerking.
- Verordening (EU) 2016/679 (AVG), art. 28(3)
- Een register van verwerkingsactiviteiten, per doel, met bewaartermijnen en categorieën van ontvangers.
- Verordening (EU) 2016/679, art. 30
- Passende technische en organisatorische maatregelen, waaronder versleuteling waar dat passend is.
- Verordening (EU) 2016/679, art. 32
- Melding van een datalek aan de toezichthouder binnen 72 uur, indien haalbaar.
- Verordening (EU) 2016/679, art. 33(1)
- Dat een persoon die met een AI-systeem te maken heeft, dat te horen krijgt, tenzij het uit de omstandigheden vanzelf spreekt.
- Verordening (EU) 2024/1689 (AI-verordening), art. 50(1), geldt sinds 2 augustus 2026
- Bij een white-labelinzet geldt de partij die haar eigen naam op een product zet als de fabrikant ervan.
- Richtlijn (EU) 2024/2853 (productaansprakelijkheid), art. 8, van toepassing vanaf 9 december 2026; een richtlijn, dus de omzetting loopt per lidstaat
Wat Audact daarvoor levert
- Verwerkersovereenkomst onder artikel 28, met de subverwerkersketen; crypto-shredding bij wissing: volgt binnenkort.
- In juridische toetsing
- Subverwerkerslijst met land, functie, datacategorie en doorgiftegrondslag; 30 dagen vooraf bij een wijziging.
- Primaire toepassingshosting in Frankfurt (AWS eu-central-1), TLS 1.3 onderweg en AES-256 in rust.
- Een compliancebon per bestuurde interactie, waarvan drie velden door iedereen zonder sleutel na te rekenen zijn.
- Een DPIA-sjabloon dat uw eigen functionaris voor gegevensbescherming kan aanpassen.
- Niet beschikbaar
- ISO 27001, ISO 42001, SOC 2 Type II.
- Niet gecertificeerd – zie de tabel hieronder
In één oogopslag
Elke regel met de status die bij haar soort hoort.
Elke regel hieronder is een document op deze pagina, een link, of een uitspraak die we op verzoek schriftelijk herhalen. Het statuswoord volgt de soort zaak, want één woord draagt geen zes soorten feiten: een vennootschap is in een openbaar register geverifieerd, een technische maatregel is geïmplementeerd, een overeenkomst is concept, in juridische toetsing of contractueel, een sjabloon is beschikbaar of niet, een product staat in gecontroleerde tests, en een certificering is er wel of niet.
Dylan, kwaliteitsbewaking, toetst de compliance-checks aan echte gesprekken en legt per check vast wat hij werkelijk doet. De metingen achter de productstatus op deze site zijn van hem.
- Onderwerp
- IP-houdende entiteit
- Stand
- Audact AI Ltd, Companies House 17059133, Londen
- Status
- Geverifieerd in het register
- Onderwerp
- Werkmaatschappij
- Stand
- AUDACT AI LIMITED, Ierland, CRO 822514
- Status
- Geverifieerd in het register
- Onderwerp
- Hostingregio
- Stand
- AWS Frankfurt (eu-central-1) — primaire toepassingshosting
- Status
- Geïmplementeerd
- Onderwerp
- Rollen
- Stand
- Audact is verwerker of subverwerker; de klant is verwerkingsverantwoordelijke, of richting zijn eigen eindklant zelf verwerker. Per inrichting vastgelegd in de verwerkersovereenkomst (AVG art. 28)
- Status
- Contractueel
- Onderwerp
- Subverwerkers
- Stand
- Volledige lijst hieronder · 30 dagen vooraf bij een wijziging
- Status
- Hieronder gepubliceerd
- Onderwerp
- Bewaartermijn
- Stand
- Gespreksaudio standaard niet bewaard; tot 90 dagen als opname aanstaat · bewijsketen volgens de overeenkomst
- Status
- Geïmplementeerd
- Onderwerp
- Versleuteling
- Stand
- TLS 1.3 onderweg · AES-256 in rust
- Status
- Geïmplementeerd
- Onderwerp
- Crypto-shredding
- Stand
- Bij wissing
- Status
- volgt binnenkort
- Onderwerp
- Verwerkersovereenkomst
- Stand
- Volgt artikel 28; definitieve tekst onder juridisch voorbehoud
- Status
- In juridische toetsing
- Onderwerp
- Voorbeeldcompliancebon
- Stand
- /sample-receipt.json, /sample-receipt.pdf en /sample-receipt-readme.txt (de canonieke vorm, welk blok in welke waarde gaat, en vier testvectoren) · open, zonder account
- Status
- Beschikbaar
- Onderwerp
- Beveiligingscontact
- Stand
- security@audact.ai · beleid voor gecoördineerde melding gepubliceerd
- Status
- Gepubliceerd
- Onderwerp
- Reikwijdte bij lancering
- Stand
- Voice in gecontroleerde tests · Artikel 50-beleid: Duitsland actief, Nederland in uitvoering
- Status
- In gecontroleerde tests
Subverwerkers
Elke partij die de data raakt, met het land waarin zij zit.
We informeren klanten 30 dagen voordat er een subverwerker bij komt. Een aantal partijen hieronder is Amerikaans; die doorgiften lopen onder standaardcontractbepalingen.
- Partij
- AWS (Frankfurt)
- Land / grondslag
- EU (Frankfurt) voor hosting; CloudFront en Route 53 zijn wereldwijde diensten met locaties buiten de EU.
- Functie
- Infrastructuurhosting, CDN (CloudFront), DNS (Route 53), WebRTC-transport (zelf-gehost LiveKit)
- Datacategorie
- Alle platformdata
- Partij
- Telnyx
- Land / grondslag
- EU-locaties · SCC's
- Functie
- SIP-telefonie
- Datacategorie
- Gespreksaudio onderweg, telefoniemetadata
- Partij
- Deepgram Nova-3
- Land / grondslag
- VS (EU-endpoint) · SCC's
- Functie
- Spraak naar tekst
- Datacategorie
- Audio onderweg (geen bewaring ingesteld)
- Partij
- Mistral (Voxtral)
- Land / grondslag
- EU
- Functie
- Tekst naar spraak
- Datacategorie
- Door het model gegenereerde tekst
- Partij
- Mistral / OpenAI
- Land / grondslag
- EU (Mistral) / VS EU-endpoint (OpenAI) · SCC's
- Functie
- Modelinferentie (mini-modellen), gekozen per agentconfiguratie
- Datacategorie
- Gesprekstekst (geen bewaring ingesteld)
- Partij
- freeTSA.org
- Land / grondslag
- Externe openbare dienst
- Functie
- RFC 3161-tijdstempels
- Datacategorie
- Alleen digest – geen leesbare inhoud
- Partij
- Google Workspace
- Land / grondslag
- VS / EU · SCC's
- Functie
- E-mail, documenten
- Datacategorie
- Zakelijke communicatie
- Partij
- Slack
- Land / grondslag
- VS · SCC's
- Functie
- Interne communicatie, inclusief meldingen van aanvragen via de website
- Datacategorie
- Interne berichten; velden van het enterpriseformulier (naam, organisatie, e-mail, sector, volume, bericht) en IP-adres
- Partij
- Notion
- Land / grondslag
- VS · SCC's
- Functie
- Wiki en documentatie
- Datacategorie
- Interne operationele gegevens
- Partij
- Linear
- Land / grondslag
- VS · SCC's
- Functie
- Projectbeheer
- Datacategorie
- Interne projectgegevens
- Partij
- 1Password
- Land / grondslag
- Canada / EU
- Functie
- Beheer van inloggegevens
- Datacategorie
- Versleutelde inloggegevens
- Partij
- Stripe (facturatie in ontwikkeling; geen datum vastgesteld)
- Land / grondslag
- VS / IE · SCC's
- Functie
- Betaalverwerking
- Datacategorie
- Facturatiegegevens
Lijst van subverwerkers laatst bijgewerkt: 5 oktober 2026
Certificeringsstand
Wat we hebben, en wat niet.
Audact heeft geen enkele beveiligings- of AI-managementcertificering.
- Norm
- AVG
- Stand
- Wettelijke plicht, geen certificaat
- Toelichting
- Verwerkersovereenkomst onder artikel 28 in juridische toetsing; de samenvatting onder artikel 30 staat verderop op deze pagina.
- Norm
- AI-verordening, artikel 50
- Stand
- Ondersteund sinds 2 augustus 2026
- Toelichting
- Artikel 50 is een transparantieverplichting. Er is geen certificaat en geen geharmoniseerde norm voor, dus kan geen aanbieder daarvoor gecertificeerd worden.
- Norm
- ISO/IEC 27001
- Stand
- Niet gecertificeerd
- Toelichting
- Er loopt geen audit en er is er geen geboekt. Maatregelen zijn gebouwd tegen de Annex A-set; we lopen ze op verzoek punt voor punt door.
- Norm
- ISO/IEC 42001
- Stand
- Niet gecertificeerd
- Toelichting
- Geen traject gestart. De geharmoniseerde Europese normen onder de AI-verordening zijn nog niet definitief; een toetsing vandaag zou aan een bewegend doel worden gemeten.
- Norm
- SOC 2 Type II
- Stand
- Gepland, geen auditor aangesteld
- Toelichting
- Ingepland na de eerste betalende inzetten, zodat de reikwijdte echte productiemaatregelen weergeeft.
- Norm
- EU AI Pact
- Stand
- Ondertekenaar
- Toelichting
- Een vrijwillige publieke toezegging, vermeld in het register van de Commissie. Geen certificering en geen goedkeuring.
EU AI Pact
Ondertekenaar van de vrijwillige Pijler II-toezeggingen.
Audact AI Ltd is ondertekenaar van het AI Pact van de Europese Commissie en heeft de vrijwillige Pijler II-toezeggingen op 10 juni 2026 ingediend. Het bedrijf staat in het openbare ondertekenaarsregister van de Commissie, zodat een derde dit kan nagaan zonder het ons te vragen. Daarom staat het hier.
De Commissie stelt vast dat de toezeggingen juridisch niet bindend zijn en de deelnemers geen wettelijke verplichtingen opleggen. Ondertekening is dus geen certificering, geen audit en geen goedkeuring door een toezichthouder; het maakt een systeem niet conform de AI-verordening en levert juridisch geen vermoeden op dat het dat wel is.
Verwerkingsregister
Samenvatting onder artikel 30.
Een openbare samenvatting van het register van verwerkingsactiviteiten. Een register per klant bestaat nog niet; het eerste ontstaat bij de eerste betalende inzet.
- Verwerkingscategorieën: inkomende en uitgaande AI-spraakgesprekken, verklaring van de bewijsketen, toetsing van merkbeleid, facturatie.
- Betrokkenen: de eindklanten en bellers van Audacts bureauklanten.
- Bewaartermijn: gespreksaudio wordt standaard niet bewaard; zet de klant opname aan, dan blijft het maximaal 90 dagen. Bewijsketenrecords blijven gedurende de looptijd van de overeenkomst en daarna alleen zolang de toepasselijke regel van de klant dat vereist.
- Grondslag: uitvoering van de overeenkomst (art. 6(1)(b)) voor de relatie Audact-bureau. Voor de grondslag richting de eindbeller is het bureau verantwoordelijk.
Beveiligingssamenvatting
De maatregelen, beschreven in plaats van gecertificeerd.
- Maatregel
- Versleuteling
- Wat er staat
- TLS 1.3 onderweg en AES-256 in rust; crypto-shredding voor persoonsgegevens waarvan de bewaartermijn is verstreken volgt binnenkort.
- Maatregel
- Toegangsbeheer
- Wat er staat
- Rolgebaseerde toegang, tweefactorauthenticatie verplicht voor elke beheerderstoegang, beheerderslogboek 2 jaar bewaard.
- Maatregel
- Integriteit van het bewijs
- Wat er staat
- Alleen-toevoegen, hash-geschakelde dossiers: een latere wijziging of herordening is detecteerbaar door hercalculatie tegen een bewaard commitment.
- Maatregel
- Penetratietests
- Wat er staat
- Nog niet uitgevoerd. Een eerste externe test is voorzien vóór de eerste betalende inzet; de datum verschijnt hier zodra hij geboekt is.
- Maatregel
- Incidentafhandeling
- Wat er staat
- Audact meldt het de klant zonder onnodige vertraging na kennisname van een datalek. De verwerkingsverantwoordelijke draagt de termijn van artikel 33(1) richting de toezichthouder.
- Maatregel
- Kwetsbaarheidsmelding
- Wat er staat
- Gepubliceerd beleid voor gecoördineerde melding, met safe-harbour-toezegging en bevestiging binnen 48 uur.
Claimmatrix
Wat een bureau, en Audact zelf, in het openbaar mag zeggen.
- Bewering
- Architectuur klaar voor de mededeling uit artikel 50
- Mag
- Ja
- Waarom
- De mededeling wordt in het gesprek gedaan en per interactie vastgelegd.
- Bewering
- Cryptografische bewijsketen
- Mag
- Ja
- Waarom
- SHA-256-hashing, Merkle-samenvoeging en een geschakelde bon per interactie.
- Bewering
- Octrooi aangevraagd
- Mag
- Ja
- Waarom
- Juist: er liggen aanvragen bij het UK IPO en er is er geen verleend.
- Bewering
- Octrooibeschermd
- Mag
- Nee
- Waarom
- Misleidend vóór verlening. Zeg: octrooi aangevraagd.
- Bewering
- EU-soeverein
- Mag
- Nee
- Waarom
- AWS Frankfurt staat fysiek in de EU en is juridisch Amerikaans. Zeg: in de EU gehost.
- Bewering
- Bewijs dat standhoudt bij de rechter
- Mag
- Nee
- Waarom
- Geen rechter heeft zich erover uitgesproken. Zeg: manipulatie-detecteerbare dossiers, of bonnen die een auditor kan nalopen.
- Bewering
- Bonnen die een derde volledig op eigen kracht kan controleren
- Mag
- Nee
- Waarom
- Drie waarden zijn vandaag zonder sleutel na te rekenen; een vierde, de insluiting in de Merkle-wortel, wordt met het insluitingsbewijs uit het artikel 50-rapport van het gesprek tegen de gepubliceerde wortel gecontroleerd. De authenticatiecode is zonder de sleutel helemaal niet na te rekenen, want die is gesleuteld en wij houden die sleutel. Noem de drie, en zeg waar het vierde staat.
- Bewering
- Een concurrent neerzetten als handelend in strijd met de wet
- Mag
- Nee
- Waarom
- Smadelijk, en in Duitsland aanvechtbaar onder de UWG. Noem in plaats daarvan één concreet feit met bron en datum.
- Bewering
- Gegarandeerde naleving
- Mag
- Nee
- Waarom
- De garantie dekt uitsluitend missers van de bestuurde motor. Zie de reikwijdte hieronder.
Intellectueel eigendom en entiteiten
Wie wat houdt.
- Patent-pending governance stack, ingediend bij het UK Intellectual Property Office door Audact AI Ltd. Alle indieningen zijn ingediende aanvragen; geen ervan is verleend, geen ervan is onderzocht of getoetst, en niets hiervan is te lezen als een blokkeerbewering tegen enig bedrijf.
- Audact AI Ltd — UK Companies House nummer 17059133 — is de IP-houdende entiteit.
- AUDACT AI LIMITED — Ierland, CRO 822514 — is de werkmaatschappij. Welke Audact-vennootschap partij is bij uw overeenkomst, staat in het orderformulier dat u ondertekent; de DPA, paragraaf 1, legt de positie vast.
- Welke van de twee vennootschappen partij is bij een concreet contract, staat op het ondertekende opdrachtformulier. Een met de Britse vennootschap gesloten overeenkomst gaat door schriftelijke kennisgeving over op de Ierse, met ingang van de datum van die kennisgeving. Deze pagina beweert niet dat elke bestaande overeenkomst al is overgegaan. Vraag de stand van uw eigen contract vóór ondertekening op via legal@audact.ai.
- Uitgebreide IP-documentatie is op verzoek beschikbaar voor klanten en juristen.
Waar de stack heen gaat
EU-eigen inkoop, laag voor laag.
Een aantal huidige subverwerkers is Amerikaans maar fysiek in de EU gehost. De tabel zegt waar elke laag staat en wat er onderzocht wordt. Wij publiceren geen streefdatum zolang een overstap niet contractueel vastligt.
- Laag
- Rekenkracht
- Vandaag
- AWS Frankfurt (fysiek EU, juridisch VS)
- In onderzoek
- Een Duitse aanbieder, juridisch en fysiek EU
- Laag
- Telefonie (SIP)
- Vandaag
- Telnyx EU-locaties
- In onderzoek
- Stabiel, geen wijziging voorzien
- Laag
- Spraak naar tekst
- Vandaag
- Deepgram (VS, EU-endpoint)
- In onderzoek
- Een in de EU gevestigde aanbieder
- Laag
- Tekst naar spraak
- Vandaag
- Mistral Voxtral (EU)
- In onderzoek
- In de EU gevestigde aanbieder — vandaag in gebruik
- Laag
- Modelinferentie
- Vandaag
- Mistral (EU) / OpenAI (VS, EU-endpoint), mini-modellen
- In onderzoek
- Mistral is in de EU gevestigd; OpenAI loopt via zijn EU-endpoint
De Audact-garantie
Een smalle garantie, en waar hij ophoudt.
Had de bestuurde motor een uiting moeten tegenhouden op grond van de actieve regels en deed hij dat niet, dan krijgt u het bewijsdossier om mee te antwoorden, en elke financiële vergoeding die uw getekende orderformulier biedt. Hij is bewust smal, en de tweede lijst is het deel dat u twee keer leest.
- Gedekt: missers van de Audact-governance-engine – gevallen waar de engine een uiting had moeten tegenhouden op grond van de actieve regels en dat niet deed.
- Niet gedekt: promptformuleringen van de klant die om de bedoeling van een beleidsregel heen werken.
- Niet gedekt: misbruik door de eindklant, waaronder het uitzetten van nalevingsregels.
- Niet gedekt: verplichtingen buiten de ingestelde jurisdicties.
- Niet gedekt: inzetten waarvoor een grondrechteneffectbeoordeling nodig was terwijl de klant er geen deed.
- Niet gedekt: wetswijzigingen na de inzet. Wij werken de regelset bij; de plicht om mee te bewegen blijft bij de klant.
Status en contact
Hoe u een mens bereikt, en wat er nog niet draait.
Een openbare statuspagina met beschikbaarheidscijfers en incidentgeschiedenis is in ontwikkeling. Tot die er is, wordt de dienststatus rechtstreeks aan klanten gemeld.
De productie-export van een verzameling bonnen werkte bij de hertest op 26 augustus 2026 na de deploy: vijf gesprekken, dertig gevalideerde beurten, dertig bonnen, over twee agents en twee configuraties, gemeten op browsergesprekken in plaats van over een telefoonlijn.
- security@audact.ai: beveiligingsmeldingen en het beleid voor gecoördineerde melding.
- privacy@audact.ai: verzoeken van betrokkenen en AVG-zaken.
- legal@audact.ai: contractuele vragen, en de verwerkersovereenkomst als pdf.
- regulators@audact.ai: toezichthouders, functionarissen voor gegevensbescherming en juristen.
Vragen
- Heeft u ISO 27001 of SOC 2 Type II?
- Nee. Audact is niet gecertificeerd voor ISO 27001, niet voor ISO 42001, en een SOC 2 Type II rapport is er niet; er is op dit moment geen audit aangesteld. De maatregelen zijn gedocumenteerd en we lopen ze punt voor punt door met een securityteam, maar geen externe auditor heeft ze beoordeeld.
- Waar staat de data?
- De primaire toepassingshosting is Frankfurt, op AWS eu-central-1. Een aantal subverwerkers is Amerikaans en die doorgiften lopen onder standaardcontractbepalingen; de volledige lijst met de grondslag per partij staat op deze pagina.
- Kan ik de verwerkersovereenkomst zien voordat ik iets teken?
- Ja. De voorwaarden onder artikel 28 staan op /legal/dpa. De definitieve pdf, met de juridisch getoetste tekst, komt bij de inrichting; mail legal@audact.ai als u hem eerder nodig heeft voor een inkooptoets.
- Kan een derde een bon controleren buiten Audact om?
- Drie elementen vandaag: de invoerhash, de uitvoerhash en de schakel naar de vorige bon. Een vierde, de insluiting in de Merkle-wortel, wordt met het insluitingsbewijs uit het artikel 50-rapport van het gesprek tegen de gepubliceerde wortel gecontroleerd. De wortels zijn gepubliceerd op api.audact.ai/v1/metachain. Het vijfde, de authenticatiecode, is een gesleutelde MAC onder een symmetrische sleutel die Audact beheert – wie hem kan controleren kan hem ook maken.
- Is de tijdstempel een gekwalificeerde eIDAS-tijdstempel?
- Nee. Het is een RFC 3161-tijdstempel van freeTSA.org, een gratis openbare dienst. Hij legt een volgorde vast tegen onze eigen keten; freeTSA.org is geen gekwalificeerde vertrouwensdienst onder eIDAS, dus dit is geen gekwalificeerde tijdstempel en we presenteren het ook niet zo.
- Hoeveel tijd krijgen we bij een wijziging in de subverwerkers?
- Dertig dagen voordat er een subverwerker bij komt, schriftelijk, met land en doorgiftegrondslag. Binnen die termijn kunt u onder de verwerkersovereenkomst bezwaar maken.
De technische kant van dezelfde vraag
De beveiligingspagina draagt de subverwerkersmatrix als downloadbaar bestand, de aansprakelijkheidsverdeling tussen Audact en een bureau onder de AI-verordening, de overstapvoorwaarden onder de EU Data Act, en een voorbeeld-exportpakket voor de FG.
Verwante pagina's
Beveiligingsarchitectuur Een kwetsbaarheid melden Gecoördineerde melding, safe harbour, reactietermijnen.
Toezichthouderskamer Voor toezichthouders en FG's: hoe een bon wordt nagerekend.
Verwerkersovereenkomst De voorwaarden onder artikel 28, gepubliceerd als concept dat bij de advocaat ligt.
Bekijk een bon Veld voor veld, en waar een bon precies over gaat.
AI-verordening, artikel 50 Wat de wet vereist, met de artikelnummers.
