Verwerkersovereenkomst (DPA)

Artikel 1. Algemene Verplichtingen van SKIPCALL

SKIPCALL verbindt zich ertoe:

• Persoonsgegevens uitsluitend te verwerken op basis van instructies van de Klant en persoonsgegevens niet te gebruiken voor andere doeleinden dan de strikte uitvoering van de Overeenkomst.
• Gegevens te verwerken in overeenstemming met de instructies van de Klant. De Klant begrijpt dat hij verwerkingsparameters zelf kan configureren (type gegevens, verwerkingsactiviteiten, bewaartermijn wanneer die instelling beschikbaar is, etc.). Als SKIPCALL van mening is dat een instructie niet in overeenstemming is met de Toepasselijke Regelgeving, zal het de Klant informeren.
• De vertrouwelijkheid van verwerkte Persoonsgegevens te waarborgen en ervoor te zorgen dat geautoriseerde personen aan vertrouwelijkheidsverplichtingen zijn gebonden.
• De beginselen van gegevensbescherming door ontwerp en door standaardinstellingen toe te passen in zijn tools en diensten.
• De in Bijlage 2 beschreven technische en organisatorische maatregelen te implementeren en bijstand te verlenen om de Klant in staat te stellen aan zijn wettelijke verplichtingen te voldoen.
• Beveiligingsmaatregelen te implementeren die rekening houden met risico's zoals vernietiging, verlies, wijziging, ongeoorloofde openbaarmaking of toegang tot persoonsgegevens.
• De Klant binnen maximaal 72 uur na kennisneming op de hoogte te stellen van een inbreuk in verband met persoonsgegevens, ook via e-mail aan de FG van de Klant, met inbegrip van:
  • Beschrijving van de inbreuk
  • Contactpunt
  • Waarschijnlijke gevolgen
  • Genomen of voorgestelde maatregelen

  Als volledige informatie niet onmiddellijk beschikbaar is, zullen aanvullende details zo snel mogelijk worden verstrekt.

• Alle nodige informatie te verstrekken om naleving aan te tonen en audits toe te staan onder redelijke omstandigheden. De Klant is beperkt tot één audit per contractjaar (behalve in noodsituaties). Als audits werkdruk veroorzaken, kunnen ze worden gefactureerd tenzij vereist door AVG Artikel 28.
• Een schriftelijk register van verwerkingsactiviteiten bij te houden met inbegrip van:
  • Klantgegevens
  • Subverwerkers
  • Verwerkingscategorieën
  • Internationale overdrachten
  • Beveiligingsmaatregelen

Artikel 2. Subverwerkers

2.1 De Klant machtigt SKIPCALL om de subverwerkers in te schakelen die zijn opgenomen in de lijst die wordt gepubliceerd en bijgehouden op skipcall.io/nl/subverwerkers en waarvan de Klant verklaart kennis te hebben genomen. Deze lijst vermeldt voor elke subverwerker zijn identiteit, het doel waarvoor hij wordt ingeschakeld, het verwerkingsland en, in voorkomend geval, de waarborg die doorgiften buiten de Europese Unie omkadert.

2.2 SKIPCALL informeert de Klant over elke toevoeging of vervanging van een subverwerker ten minste 15 dagen vóór de ingebruikname, per e-mail aan het door de Klant opgegeven contactadres en, in voorkomend geval, via de inschrijving op de meldingen van wijzigingen in de lijst.

2.3 De Klant kan tegen die toevoeging of vervanging bezwaar maken op legitieme gronden die verband houden met gegevensbescherming, binnen 15 dagen na de kennisgeving. Bij gebrek aan een voor beide Partijen aanvaardbare oplossing kan de Klant de Overeenkomst zonder boete beëindigen voor het betrokken deel van de Diensten.

2.4 SKIPCALL legt elke subverwerker contractueel gegevensbeschermings- en vertrouwelijkheidsverplichtingen op die gelijkwaardig zijn aan die van deze Overeenkomst, en blijft jegens de Klant volledig aansprakelijk voor de nakoming van de verplichtingen van die subverwerker.

Artikel 3. Rechten van betrokkenen

3.1 De Klant blijft verantwoordelijk voor het informeren van de betrokkenen bij de verzameling van de gegevens, overeenkomstig de artikelen 13 en 14 van de AVG.

3.2 SKIPCALL staat de Klant, met passende technische en organisatorische maatregelen en voor zover mogelijk, bij om gevolg te geven aan verzoeken tot uitoefening van de rechten bedoeld in de artikelen 15 tot en met 22 van de AVG: recht van inzage, recht op rectificatie, recht op gegevenswissing, recht op beperking van de verwerking, recht op overdraagbaarheid van gegevens en recht van bezwaar.

3.3 Daartoe stelt SKIPCALL de Klant via de interface van de Diensten de volgende functies ter beschikking:

• Zoeken en raadplegen: zoeken op naam, telefoonnummer of e-mailadres om alle aan een persoon gekoppelde gegevens te identificeren: contactfiche, gesprekken, opnames, sms, bijbehorende taken en notities.
• Rectificatie: rechtstreekse wijziging van de identificatie- en contactgegevens van een contact vanuit zijn fiche.
• Wissing: verwijdering van een contact, van een selectie van contacten of van de volledige contactendatabase.
• Inzage en overdraagbaarheid: export in CSV-formaat van de contacten en hun opvolgingsgegevens vanuit een sequentie. De beheerder van de Klant staat deze functie toe of beperkt ze voor de leden van zijn werkruimte.
• Raadpleging van de inhoud van de communicatie: beluisteren van de audio-opname en lezen van de samenvatting en de volledige transcriptie van een gesprek vanuit de bijbehorende opnamefiche, met kopie van de samenvatting en de transcriptie.
• Beperking van de verwerking: uitschakeling van de gespreksopname voor de hele werkruimte door de beheerder van de Klant.
• Gebruikersbeheer: toevoegen, wijzigen van de rol, deactiveren, opnieuw activeren en verwijderen van een gebruiker uit de werkruimte door de beheerder van de Klant.
• Beheersing van de gegevensstromen naar tools van derden: op elk moment koppelen en ontkoppelen van het CRM van de Klant (Salesforce, HubSpot, Pipedrive, Attio).

3.4 Wanneer de Klant een verzoek niet vanuit de interface kan afhandelen, geeft SKIPCALL er gevolg aan op gedocumenteerde instructie van de Klant binnen 7 werkdagen na ontvangst van de instructie.

3.5 Als een betrokkene een verzoek tot uitoefening van zijn rechten rechtstreeks aan SKIPCALL richt, onthoudt SKIPCALL zich van een inhoudelijk antwoord en stuurt zij het verzoek binnen maximaal 7 werkdagen door aan de Klant, waarbij de betrokkene van deze doorzending op de hoogte wordt gebracht.

Artikel 4. Bewaring en Verwijdering van Persoonsgegevens

SKIPCALL zal geen gegevens bewaren buiten de door de Klant vastgestelde bewaartermijnen of, bij gebrek daaraan, de termijnen vermeld in punt 1.6 van Bijlage 1, behalve voor naleving of contractueel bewijs.

De gegevens worden op verzoek van de Klant binnen 30 dagen verwijderd. Bij gebrek aan instructie worden ze automatisch verwijderd binnen 90 dagen na het einde van het abonnement. Back-ups verlopen automatisch na 30 dagen, waarbij de wissing zich op dat moment tot de back-ups uitstrekt.

Op instructie van de Klant of bij beëindiging van het contract zal SKIPCALL gegevens retourneren of permanent verwijderen en een vernietigingsbevestiging verstrekken.

Artikel 5. Functionaris voor Gegevensbescherming

Elke Partij moet de contactgegevens van de FG mededelen en wijzigingen melden.

Artikel 6. Gegevensoverdrachten

SKIPCALL zal persoonsgegevens hosten en verwerken binnen de EU of in landen met adequate bescherming erkend door de Europese Commissie en de CNIL.

Overdrachten buiten de EU zullen alleen plaatsvinden met passende waarborgen zoals certificeringen of Standaard Contractuele Clausules.

Artikel 7. Gevoelige Gegevens

Diensten verwerken geen gevoelige gegevens onder AVG Artikelen 9 en 10.

Indien nodig zal de verwerking worden geregeld door een amendement dat aanvullende waarborgen specificeert.

Artikel 8. Verplichtingen van de Klant

De Klant verbindt zich ertoe:

• Noodzakelijke gegevens te verstrekken
• Instructies te documenteren
• Naleving van regelgeving te waarborgen en indien nodig effectbeoordelingen uit te voeren, met de in artikel 10 voorziene bijstand van SKIPCALL
• Verwerking en audits te begeleiden
• Verwerkingsregisters bij te houden
• Rechtmatige gegevensverwerking te waarborgen
• Gelijkwaardige verplichtingen te verkrijgen als zelf als verwerker optredend

Artikel 9. Samenwerking bij Non-Compliance

Als er sprake is van een nalevingsschending, zullen de Partijen samenwerken om de ernst te beoordelen en te bepalen of de verwerking moet worden opgeschort of de Overeenkomst moet worden beëindigd.

Als SKIPCALL niet kan voldoen, zal het de Klant informeren. Na 30 dagen opschorting kunnen beëindigingsrechten van toepassing zijn.

De Klant kan beëindigen als SKIPCALL in ernstige of herhaalde overtreding is of niet voldoet aan regelgevingsbeslissingen.

SKIPCALL kan beëindigen als instructies van de Klant in strijd zijn met toepasselijke wetgeving.

Artikel 10. Bijstand van SKIPCALL krachtens de artikelen 32 tot en met 36 van de AVG

10.1 Beveiliging van de verwerking (artikel 32). SKIPCALL implementeert en handhaaft de in Bijlage 2 beschreven technische en organisatorische maatregelen. Zij informeert de Klant over elke wezenlijke wijziging van deze maatregelen. Deze maatregelen mogen tijdens de looptijd van de Overeenkomst niet worden afgezwakt.

10.2 Melding van inbreuken (artikel 33). SKIPCALL meldt de Klant elke inbreuk in verband met persoonsgegevens binnen maximaal 72 uur nadat zij er kennis van heeft genomen, per e-mail aan het door de Klant opgegeven privacycontactadres. De melding bevat de reeds in Artikel 1 voorziene elementen: beschrijving van de inbreuk, contactpunt, waarschijnlijke gevolgen, genomen of voorgestelde maatregelen. Informatie die op het moment van de eerste melding niet beschikbaar is, wordt meegedeeld zodra zij beschikbaar komt.

10.3 Mededeling aan de betrokkenen (artikel 34). SKIPCALL verstrekt de Klant op verzoek de informatie en de medewerking die nodig zijn om hem in staat te stellen de inbreuk aan de betrokkenen mee te delen wanneer die mededeling vereist is.

10.4 Gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging (artikelen 35 en 36). SKIPCALL staat de Klant bij bij het uitvoeren van zijn gegevensbeschermingseffectbeoordelingen (DPIA) en, in voorkomend geval, bij de voorafgaande raadpleging van de toezichthoudende autoriteit. Deze bijstand bestaat uit het verstrekken, op schriftelijk verzoek, van: de beschrijving van de verwerking in Bijlage 1, de technische en organisatorische maatregelen in Bijlage 2, de actuele lijst van subverwerkers en de informatie over doorgiften buiten de Europese Unie.

10.5 Modaliteiten. Deze bijstand wordt kosteloos verleend.

Bijlage 1. Beschrijving van de verwerking

1.1 Voorwerp van de verwerking

De verwerking heeft als voorwerp de uitvoering van de door de Klant afgenomen Diensten voor zakelijke telefonie en telefonische prospectie, zoals beschreven in de Algemene Gebruiksvoorwaarden.

1.2 Duur van de verwerking

De verwerking vindt plaats gedurende de volledige looptijd van de Overeenkomst, vermeerderd met de bewaartermijnen bepaald in Artikel 4 en in punt 1.6 van deze bijlage.

1.3 Aard en doel van de verwerking

Lijst van de uitgevoerde verrichtingen:

• aanmaak en beheer van de gebruikersaccounts en werkruimtes (workspaces en subteams) van de Klant
• toewijzing, beheer en teruggave van vaste en mobiele telefoonnummers
• voeren en ontvangen van telefoongesprekken vanuit de browser en vanuit de mobiele app voor iOS en Android
• geautomatiseerd bellen (power dialer en parallel dialer tot vier lijnen) en automatische detectie van antwoordapparaten, met een combinatie van eigen SKIPCALL-logica en de native detectie van Twilio
• opname van gesprekken
• automatische transcriptie van gesprekken, uitgevoerd door Gladia (verwerking in Frankrijk / EER)
• generatie van gesprekssamenvattingen door artificiële intelligentie, uitgevoerd door Gladia (verwerking in Frankrijk / EER)
• verzenden en ontvangen van sms, handmatig en geautomatiseerd
• achterlaten van vooraf opgenomen voicemailberichten in de voicemail van contacten
• hosting van een contactendatabase (pre-CRM) en van de geschiedenis van de uitwisselingen, statussen en bijbehorende taken
• verrijking van de contactgegevens (telefoonnummers en e-mailadressen)
• tweerichtingssynchronisatie met de CRM-systemen van de Klant (HubSpot, Pipedrive, Salesforce, Attio) en terbeschikkingstelling van een REST API en webhooks
• opstellen van statistieken en activiteitendashboards (volumes, bereikpercentages, activiteit per team)
• bewaring, archivering en verwijdering van gegevens volgens de door de Klant gekozen instellingen
• levering van support en technische bijstand

1.4 Categorieën van persoonsgegevens

Opmerking: reikwijdte van de toegang tot het CRM van de Klant

De toegang van SKIPCALL tot het CRM van de Klant is strikt beperkt tot de machtigingen die de Klant verleent bij het koppelen van zijn account. Ter illustratie vereist de HubSpot-integratie de volgende machtigingen:

SKIPCALL heeft geen toegang tot de deals, tickets of e-mails van de Klant. De Klant kan deze toegang op elk moment intrekken vanuit zijn CRM. De integraties Pipedrive, Salesforce en Attio vereisen machtigingen van gelijkwaardige reikwijdte: lezen van contact- en bedrijfsfiches en hun eigenschappen, schrijven naar contactfiches om de telefoonactiviteit te registreren. De exacte lijst van gevraagde machtigingen wordt aan de Klant getoond in het koppelingsscherm van elke integratie, voordat hij ze verleent.

1.5 Categorieën van betrokkenen

• De gebruikers van de Klant: medewerkers van de Klant die over een Skipcall-licentie beschikken.
• De gebruikers van het CRM van de Klant: medewerkers van de Klant die in het gekoppelde CRM als eigenaar van fiches zijn geïdentificeerd, ongeacht of zij over een Skipcall-licentie beschikken.
• De gesprekspartners van de Klant: prospects, klanten, kandidaten en meer in het algemeen iedereen die door de Klant wordt gebeld, de Klant belt of een via de Diensten verzonden sms of voicemailbericht ontvangt.
• Derden die tijdens een communicatie worden genoemd: personen van wie de gegevens tijdens een gesprek of in een sms worden genoemd en daardoor in een opname, een transcriptie of een samenvatting worden vastgelegd, zonder partij te zijn bij de communicatie.

1.6 Bewaartermijnen

1.7 Waarborgen inzake de verwerkingen met artificiële intelligentie

De gegevens van de Klant worden niet gebruikt om enig model van artificiële intelligentie te trainen, ook geen model van derden of gedeeld model.

De verwerkingen met artificiële intelligentie steunen uitsluitend op de audio-inhoud van het betrokken gesprek, met uitsluiting van elke kennisbank of externe gegevensbron.

De Diensten voeren geen analyse van sentiment, stemming of emotie uit en bevatten geen autonome conversatieagent.

Alle verwerkingen met artificiële intelligentie kunnen worden uitgeschakeld: het uitschakelen van de gespreksopname op het niveau van de werkruimte schakelt de transcriptie en de samenvatting uit, en er worden dan geen gegevens aan Gladia doorgegeven.

Bijlage 2. Technische en organisatorische maatregelen