Ga naar hoofdinhoud
Audact
Bekijk het aanbod

Wat inkoop, security en juridisch vandaag kunnen beoordelen.

Bijgewerkt op 8 oktober 2026

De verwerkersovereenkomst, de volledige subverwerkerslijst met land en doorgiftegrondslag, waar de data staat, hoe lang die bewaard blijft, waar we geen certificering voor hebben, en wat de Audact-garantie precies dekt. Zonder formulier, zonder geheimhoudingsverklaring en zonder gesprek ertussen.

Wat u moet kunnen aantonen

Een schriftelijke overeenkomst met uw verwerker over onderwerp, duur, instructies, vertrouwelijkheid, beveiliging en subverwerking.
Verordening (EU) 2016/679 (AVG), art. 28(3)
Een register van verwerkingsactiviteiten, per doel, met bewaartermijnen en categorieën van ontvangers.
Verordening (EU) 2016/679, art. 30
Passende technische en organisatorische maatregelen, waaronder versleuteling waar dat passend is.
Verordening (EU) 2016/679, art. 32
Melding van een datalek aan de toezichthouder binnen 72 uur, indien haalbaar.
Verordening (EU) 2016/679, art. 33(1)
Dat een persoon die met een AI-systeem te maken heeft, dat te horen krijgt, tenzij het uit de omstandigheden vanzelf spreekt.
Verordening (EU) 2024/1689 (AI-verordening), art. 50(1), geldt sinds 2 augustus 2026
Bij een white-labelinzet geldt de partij die haar eigen naam op een product zet als de fabrikant ervan.
Richtlijn (EU) 2024/2853 (productaansprakelijkheid), art. 8, van toepassing vanaf 9 december 2026; een richtlijn, dus de omzetting loopt per lidstaat

Wat Audact daarvoor levert

Verwerkersovereenkomst onder artikel 28, met de subverwerkersketen; crypto-shredding bij wissing: volgt binnenkort.
In juridische toetsing
Subverwerkerslijst met land, functie, datacategorie en doorgiftegrondslag; 30 dagen vooraf bij een wijziging.
Hieronder gepubliceerd
Primaire toepassingshosting in Frankfurt (AWS eu-central-1), TLS 1.3 onderweg en AES-256 in rust.
Geïmplementeerd
Een compliancebon per bestuurde interactie, waarvan drie velden door iedereen zonder sleutel na te rekenen zijn.
Werkt vandaag
Een DPIA-sjabloon dat uw eigen functionaris voor gegevensbescherming kan aanpassen.
Niet beschikbaar
ISO 27001, ISO 42001, SOC 2 Type II.
Niet gecertificeerd – zie de tabel hieronder

In één oogopslag

Elke regel met de status die bij haar soort hoort.

Elke regel hieronder is een document op deze pagina, een link, of een uitspraak die we op verzoek schriftelijk herhalen. Het statuswoord volgt de soort zaak, want één woord draagt geen zes soorten feiten: een vennootschap is in een openbaar register geverifieerd, een technische maatregel is geïmplementeerd, een overeenkomst is concept, in juridische toetsing of contractueel, een sjabloon is beschikbaar of niet, een product staat in gecontroleerde tests, en een certificering is er wel of niet.

Dylan, kwaliteitsbewaking, toetst de compliance-checks aan echte gesprekken en legt per check vast wat hij werkelijk doet. De metingen achter de productstatus op deze site zijn van hem.

  • Onderwerp
    IP-houdende entiteit
    Stand
    Audact AI Ltd, Companies House 17059133, Londen
    Status
    Geverifieerd in het register
  • Onderwerp
    Werkmaatschappij
    Stand
    AUDACT AI LIMITED, Ierland, CRO 822514
    Status
    Geverifieerd in het register
  • Onderwerp
    Hostingregio
    Stand
    AWS Frankfurt (eu-central-1) — primaire toepassingshosting
    Status
    Geïmplementeerd
  • Onderwerp
    Rollen
    Stand
    Audact is verwerker of subverwerker; de klant is verwerkingsverantwoordelijke, of richting zijn eigen eindklant zelf verwerker. Per inrichting vastgelegd in de verwerkersovereenkomst (AVG art. 28)
    Status
    Contractueel
  • Onderwerp
    Subverwerkers
    Stand
    Volledige lijst hieronder · 30 dagen vooraf bij een wijziging
    Status
    Hieronder gepubliceerd
  • Onderwerp
    Bewaartermijn
    Stand
    Gespreksaudio standaard niet bewaard; tot 90 dagen als opname aanstaat · bewijsketen volgens de overeenkomst
    Status
    Geïmplementeerd
  • Onderwerp
    Versleuteling
    Stand
    TLS 1.3 onderweg · AES-256 in rust
    Status
    Geïmplementeerd
  • Onderwerp
    Crypto-shredding
    Stand
    Bij wissing
    Status
    volgt binnenkort
  • Onderwerp
    Verwerkersovereenkomst
    Stand
    Volgt artikel 28; definitieve tekst onder juridisch voorbehoud
    Status
    In juridische toetsing
  • Onderwerp
    Voorbeeldcompliancebon
    Stand
    /sample-receipt.json, /sample-receipt.pdf en /sample-receipt-readme.txt (de canonieke vorm, welk blok in welke waarde gaat, en vier testvectoren) · open, zonder account
    Status
    Beschikbaar
  • Onderwerp
    Beveiligingscontact
    Stand
    security@audact.ai · beleid voor gecoördineerde melding gepubliceerd
    Status
    Gepubliceerd
  • Onderwerp
    Reikwijdte bij lancering
    Stand
    Voice in gecontroleerde tests · Artikel 50-beleid: Duitsland actief, Nederland in uitvoering
    Status
    In gecontroleerde tests

Subverwerkers

Elke partij die de data raakt, met het land waarin zij zit.

We informeren klanten 30 dagen voordat er een subverwerker bij komt. Een aantal partijen hieronder is Amerikaans; die doorgiften lopen onder standaardcontractbepalingen.

  • Partij
    AWS (Frankfurt)
    Land / grondslag
    EU (Frankfurt) voor hosting; CloudFront en Route 53 zijn wereldwijde diensten met locaties buiten de EU.
    Functie
    Infrastructuurhosting, CDN (CloudFront), DNS (Route 53), WebRTC-transport (zelf-gehost LiveKit)
    Datacategorie
    Alle platformdata
  • Partij
    Telnyx
    Land / grondslag
    EU-locaties · SCC's
    Functie
    SIP-telefonie
    Datacategorie
    Gespreksaudio onderweg, telefoniemetadata
  • Partij
    Deepgram Nova-3
    Land / grondslag
    VS (EU-endpoint) · SCC's
    Functie
    Spraak naar tekst
    Datacategorie
    Audio onderweg (geen bewaring ingesteld)
  • Partij
    Mistral (Voxtral)
    Land / grondslag
    EU
    Functie
    Tekst naar spraak
    Datacategorie
    Door het model gegenereerde tekst
  • Partij
    Mistral / OpenAI
    Land / grondslag
    EU (Mistral) / VS EU-endpoint (OpenAI) · SCC's
    Functie
    Modelinferentie (mini-modellen), gekozen per agentconfiguratie
    Datacategorie
    Gesprekstekst (geen bewaring ingesteld)
  • Partij
    freeTSA.org
    Land / grondslag
    Externe openbare dienst
    Functie
    RFC 3161-tijdstempels
    Datacategorie
    Alleen digest – geen leesbare inhoud
  • Partij
    Google Workspace
    Land / grondslag
    VS / EU · SCC's
    Functie
    E-mail, documenten
    Datacategorie
    Zakelijke communicatie
  • Partij
    Slack
    Land / grondslag
    VS · SCC's
    Functie
    Interne communicatie, inclusief meldingen van aanvragen via de website
    Datacategorie
    Interne berichten; velden van het enterpriseformulier (naam, organisatie, e-mail, sector, volume, bericht) en IP-adres
  • Partij
    Notion
    Land / grondslag
    VS · SCC's
    Functie
    Wiki en documentatie
    Datacategorie
    Interne operationele gegevens
  • Partij
    Linear
    Land / grondslag
    VS · SCC's
    Functie
    Projectbeheer
    Datacategorie
    Interne projectgegevens
  • Partij
    1Password
    Land / grondslag
    Canada / EU
    Functie
    Beheer van inloggegevens
    Datacategorie
    Versleutelde inloggegevens
  • Partij
    Stripe (facturatie in ontwikkeling; geen datum vastgesteld)
    Land / grondslag
    VS / IE · SCC's
    Functie
    Betaalverwerking
    Datacategorie
    Facturatiegegevens

Lijst van subverwerkers laatst bijgewerkt: 5 oktober 2026

Certificeringsstand

Wat we hebben, en wat niet.

Audact heeft geen enkele beveiligings- of AI-managementcertificering.

  • Norm
    AVG
    Stand
    Wettelijke plicht, geen certificaat
    Toelichting
    Verwerkersovereenkomst onder artikel 28 in juridische toetsing; de samenvatting onder artikel 30 staat verderop op deze pagina.
  • Norm
    AI-verordening, artikel 50
    Stand
    Ondersteund sinds 2 augustus 2026
    Toelichting
    Artikel 50 is een transparantieverplichting. Er is geen certificaat en geen geharmoniseerde norm voor, dus kan geen aanbieder daarvoor gecertificeerd worden.
  • Norm
    ISO/IEC 27001
    Stand
    Niet gecertificeerd
    Toelichting
    Er loopt geen audit en er is er geen geboekt. Maatregelen zijn gebouwd tegen de Annex A-set; we lopen ze op verzoek punt voor punt door.
  • Norm
    ISO/IEC 42001
    Stand
    Niet gecertificeerd
    Toelichting
    Geen traject gestart. De geharmoniseerde Europese normen onder de AI-verordening zijn nog niet definitief; een toetsing vandaag zou aan een bewegend doel worden gemeten.
  • Norm
    SOC 2 Type II
    Stand
    Gepland, geen auditor aangesteld
    Toelichting
    Ingepland na de eerste betalende inzetten, zodat de reikwijdte echte productiemaatregelen weergeeft.
  • Norm
    EU AI Pact
    Stand
    Ondertekenaar
    Toelichting
    Een vrijwillige publieke toezegging, vermeld in het register van de Commissie. Geen certificering en geen goedkeuring.

EU AI Pact

Ondertekenaar van de vrijwillige Pijler II-toezeggingen.

Audact AI Ltd is ondertekenaar van het AI Pact van de Europese Commissie en heeft de vrijwillige Pijler II-toezeggingen op 10 juni 2026 ingediend. Het bedrijf staat in het openbare ondertekenaarsregister van de Commissie, zodat een derde dit kan nagaan zonder het ons te vragen. Daarom staat het hier.

De Commissie stelt vast dat de toezeggingen juridisch niet bindend zijn en de deelnemers geen wettelijke verplichtingen opleggen. Ondertekening is dus geen certificering, geen audit en geen goedkeuring door een toezichthouder; het maakt een systeem niet conform de AI-verordening en levert juridisch geen vermoeden op dat het dat wel is.

Verwerkingsregister

Samenvatting onder artikel 30.

Een openbare samenvatting van het register van verwerkingsactiviteiten. Een register per klant bestaat nog niet; het eerste ontstaat bij de eerste betalende inzet.

  • Verwerkingscategorieën: inkomende en uitgaande AI-spraakgesprekken, verklaring van de bewijsketen, toetsing van merkbeleid, facturatie.
  • Betrokkenen: de eindklanten en bellers van Audacts bureauklanten.
  • Bewaartermijn: gespreksaudio wordt standaard niet bewaard; zet de klant opname aan, dan blijft het maximaal 90 dagen. Bewijsketenrecords blijven gedurende de looptijd van de overeenkomst en daarna alleen zolang de toepasselijke regel van de klant dat vereist.
  • Grondslag: uitvoering van de overeenkomst (art. 6(1)(b)) voor de relatie Audact-bureau. Voor de grondslag richting de eindbeller is het bureau verantwoordelijk.

Beveiligingssamenvatting

De maatregelen, beschreven in plaats van gecertificeerd.

  • Maatregel
    Versleuteling
    Wat er staat
    TLS 1.3 onderweg en AES-256 in rust; crypto-shredding voor persoonsgegevens waarvan de bewaartermijn is verstreken volgt binnenkort.
  • Maatregel
    Toegangsbeheer
    Wat er staat
    Rolgebaseerde toegang, tweefactorauthenticatie verplicht voor elke beheerderstoegang, beheerderslogboek 2 jaar bewaard.
  • Maatregel
    Integriteit van het bewijs
    Wat er staat
    Alleen-toevoegen, hash-geschakelde dossiers: een latere wijziging of herordening is detecteerbaar door hercalculatie tegen een bewaard commitment.
  • Maatregel
    Penetratietests
    Wat er staat
    Nog niet uitgevoerd. Een eerste externe test is voorzien vóór de eerste betalende inzet; de datum verschijnt hier zodra hij geboekt is.
  • Maatregel
    Incidentafhandeling
    Wat er staat
    Audact meldt het de klant zonder onnodige vertraging na kennisname van een datalek. De verwerkingsverantwoordelijke draagt de termijn van artikel 33(1) richting de toezichthouder.
  • Maatregel
    Kwetsbaarheidsmelding
    Wat er staat
    Gepubliceerd beleid voor gecoördineerde melding, met safe-harbour-toezegging en bevestiging binnen 48 uur.

Claimmatrix

Wat een bureau, en Audact zelf, in het openbaar mag zeggen.

  • Bewering
    Architectuur klaar voor de mededeling uit artikel 50
    Mag
    Ja
    Waarom
    De mededeling wordt in het gesprek gedaan en per interactie vastgelegd.
  • Bewering
    Cryptografische bewijsketen
    Mag
    Ja
    Waarom
    SHA-256-hashing, Merkle-samenvoeging en een geschakelde bon per interactie.
  • Bewering
    Octrooi aangevraagd
    Mag
    Ja
    Waarom
    Juist: er liggen aanvragen bij het UK IPO en er is er geen verleend.
  • Bewering
    Octrooibeschermd
    Mag
    Nee
    Waarom
    Misleidend vóór verlening. Zeg: octrooi aangevraagd.
  • Bewering
    EU-soeverein
    Mag
    Nee
    Waarom
    AWS Frankfurt staat fysiek in de EU en is juridisch Amerikaans. Zeg: in de EU gehost.
  • Bewering
    Bewijs dat standhoudt bij de rechter
    Mag
    Nee
    Waarom
    Geen rechter heeft zich erover uitgesproken. Zeg: manipulatie-detecteerbare dossiers, of bonnen die een auditor kan nalopen.
  • Bewering
    Bonnen die een derde volledig op eigen kracht kan controleren
    Mag
    Nee
    Waarom
    Drie waarden zijn vandaag zonder sleutel na te rekenen; een vierde, de insluiting in de Merkle-wortel, wordt met het insluitingsbewijs uit het artikel 50-rapport van het gesprek tegen de gepubliceerde wortel gecontroleerd. De authenticatiecode is zonder de sleutel helemaal niet na te rekenen, want die is gesleuteld en wij houden die sleutel. Noem de drie, en zeg waar het vierde staat.
  • Bewering
    Een concurrent neerzetten als handelend in strijd met de wet
    Mag
    Nee
    Waarom
    Smadelijk, en in Duitsland aanvechtbaar onder de UWG. Noem in plaats daarvan één concreet feit met bron en datum.
  • Bewering
    Gegarandeerde naleving
    Mag
    Nee
    Waarom
    De garantie dekt uitsluitend missers van de bestuurde motor. Zie de reikwijdte hieronder.

Intellectueel eigendom en entiteiten

Wie wat houdt.

  • Patent-pending governance stack, ingediend bij het UK Intellectual Property Office door Audact AI Ltd. Alle indieningen zijn ingediende aanvragen; geen ervan is verleend, geen ervan is onderzocht of getoetst, en niets hiervan is te lezen als een blokkeerbewering tegen enig bedrijf.
  • Audact AI Ltd — UK Companies House nummer 17059133 — is de IP-houdende entiteit.
  • AUDACT AI LIMITED — Ierland, CRO 822514 — is de werkmaatschappij. Welke Audact-vennootschap partij is bij uw overeenkomst, staat in het orderformulier dat u ondertekent; de DPA, paragraaf 1, legt de positie vast.
  • Welke van de twee vennootschappen partij is bij een concreet contract, staat op het ondertekende opdrachtformulier. Een met de Britse vennootschap gesloten overeenkomst gaat door schriftelijke kennisgeving over op de Ierse, met ingang van de datum van die kennisgeving. Deze pagina beweert niet dat elke bestaande overeenkomst al is overgegaan. Vraag de stand van uw eigen contract vóór ondertekening op via legal@audact.ai.
  • Uitgebreide IP-documentatie is op verzoek beschikbaar voor klanten en juristen.

Waar de stack heen gaat

EU-eigen inkoop, laag voor laag.

Een aantal huidige subverwerkers is Amerikaans maar fysiek in de EU gehost. De tabel zegt waar elke laag staat en wat er onderzocht wordt. Wij publiceren geen streefdatum zolang een overstap niet contractueel vastligt.

  • Laag
    Rekenkracht
    Vandaag
    AWS Frankfurt (fysiek EU, juridisch VS)
    In onderzoek
    Een Duitse aanbieder, juridisch en fysiek EU
  • Laag
    Telefonie (SIP)
    Vandaag
    Telnyx EU-locaties
    In onderzoek
    Stabiel, geen wijziging voorzien
  • Laag
    Spraak naar tekst
    Vandaag
    Deepgram (VS, EU-endpoint)
    In onderzoek
    Een in de EU gevestigde aanbieder
  • Laag
    Tekst naar spraak
    Vandaag
    Mistral Voxtral (EU)
    In onderzoek
    In de EU gevestigde aanbieder — vandaag in gebruik
  • Laag
    Modelinferentie
    Vandaag
    Mistral (EU) / OpenAI (VS, EU-endpoint), mini-modellen
    In onderzoek
    Mistral is in de EU gevestigd; OpenAI loopt via zijn EU-endpoint

De Audact-garantie

Een smalle garantie, en waar hij ophoudt.

Had de bestuurde motor een uiting moeten tegenhouden op grond van de actieve regels en deed hij dat niet, dan krijgt u het bewijsdossier om mee te antwoorden, en elke financiële vergoeding die uw getekende orderformulier biedt. Hij is bewust smal, en de tweede lijst is het deel dat u twee keer leest.

  • Gedekt: missers van de Audact-governance-engine – gevallen waar de engine een uiting had moeten tegenhouden op grond van de actieve regels en dat niet deed.
  • Niet gedekt: promptformuleringen van de klant die om de bedoeling van een beleidsregel heen werken.
  • Niet gedekt: misbruik door de eindklant, waaronder het uitzetten van nalevingsregels.
  • Niet gedekt: verplichtingen buiten de ingestelde jurisdicties.
  • Niet gedekt: inzetten waarvoor een grondrechteneffectbeoordeling nodig was terwijl de klant er geen deed.
  • Niet gedekt: wetswijzigingen na de inzet. Wij werken de regelset bij; de plicht om mee te bewegen blijft bij de klant.

Status en contact

Hoe u een mens bereikt, en wat er nog niet draait.

Een openbare statuspagina met beschikbaarheidscijfers en incidentgeschiedenis is in ontwikkeling. Tot die er is, wordt de dienststatus rechtstreeks aan klanten gemeld.

De productie-export van een verzameling bonnen werkte bij de hertest op 26 augustus 2026 na de deploy: vijf gesprekken, dertig gevalideerde beurten, dertig bonnen, over twee agents en twee configuraties, gemeten op browsergesprekken in plaats van over een telefoonlijn.

  • security@audact.ai: beveiligingsmeldingen en het beleid voor gecoördineerde melding.
  • privacy@audact.ai: verzoeken van betrokkenen en AVG-zaken.
  • legal@audact.ai: contractuele vragen, en de verwerkersovereenkomst als pdf.
  • regulators@audact.ai: toezichthouders, functionarissen voor gegevensbescherming en juristen.

Vragen

Heeft u ISO 27001 of SOC 2 Type II?
Nee. Audact is niet gecertificeerd voor ISO 27001, niet voor ISO 42001, en een SOC 2 Type II rapport is er niet; er is op dit moment geen audit aangesteld. De maatregelen zijn gedocumenteerd en we lopen ze punt voor punt door met een securityteam, maar geen externe auditor heeft ze beoordeeld.
Waar staat de data?
De primaire toepassingshosting is Frankfurt, op AWS eu-central-1. Een aantal subverwerkers is Amerikaans en die doorgiften lopen onder standaardcontractbepalingen; de volledige lijst met de grondslag per partij staat op deze pagina.
Kan ik de verwerkersovereenkomst zien voordat ik iets teken?
Ja. De voorwaarden onder artikel 28 staan op /legal/dpa. De definitieve pdf, met de juridisch getoetste tekst, komt bij de inrichting; mail legal@audact.ai als u hem eerder nodig heeft voor een inkooptoets.
Kan een derde een bon controleren buiten Audact om?
Drie elementen vandaag: de invoerhash, de uitvoerhash en de schakel naar de vorige bon. Een vierde, de insluiting in de Merkle-wortel, wordt met het insluitingsbewijs uit het artikel 50-rapport van het gesprek tegen de gepubliceerde wortel gecontroleerd. De wortels zijn gepubliceerd op api.audact.ai/v1/metachain. Het vijfde, de authenticatiecode, is een gesleutelde MAC onder een symmetrische sleutel die Audact beheert – wie hem kan controleren kan hem ook maken.
Is de tijdstempel een gekwalificeerde eIDAS-tijdstempel?
Nee. Het is een RFC 3161-tijdstempel van freeTSA.org, een gratis openbare dienst. Hij legt een volgorde vast tegen onze eigen keten; freeTSA.org is geen gekwalificeerde vertrouwensdienst onder eIDAS, dus dit is geen gekwalificeerde tijdstempel en we presenteren het ook niet zo.
Hoeveel tijd krijgen we bij een wijziging in de subverwerkers?
Dertig dagen voordat er een subverwerker bij komt, schriftelijk, met land en doorgiftegrondslag. Binnen die termijn kunt u onder de verwerkersovereenkomst bezwaar maken.

De technische kant van dezelfde vraag

De beveiligingspagina draagt de subverwerkersmatrix als downloadbaar bestand, de aansprakelijkheidsverdeling tussen Audact en een bureau onder de AI-verordening, de overstapvoorwaarden onder de EU Data Act, en een voorbeeld-exportpakket voor de FG.

Beveiligings- en compliancearchitectuur

Verwante pagina's