Data Processing Agreement HeyFred B.V.

1. Definities

• 1.1 AVG: Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679).
• 1.2 Persoonsgegevens: Alle informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon, zoals gedefinieerd in de AVG.
• 1.3 Verwerking: Een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens.
• 1.4 Verwerkingsverantwoordelijke: De natuurlijke persoon of rechtspersoon, overheidsinstantie, dienst of ander orgaan die/dat, alleen of samen met anderen, het doel en de middelen voor de verwerking van persoonsgegevens vaststelt. In het kader van deze overeenkomst is dit de Klant.
• 1.5 Verwerker: De natuurlijke persoon of rechtspersoon, overheidsinstantie, dienst of ander orgaan die/dat ten behoeve van de Verwerkingsverantwoordelijke persoonsgegevens verwerkt. In het kader van deze overeenkomst is dit HeyFred B.V.
• 1.6 Klant: De natuurlijke persoon of rechtspersoon die gebruikmaakt van de diensten van HeyFred B.V. en in dat kader persoonsgegevens aan HeyFred B.V. verstrekt voor verwerking.
• 1.7 Dienst: De door HeyFred B.V. aan Klant geleverde diensten, waaronder het Voice AI platform, telefonie-integraties, dashboards en gerelateerde functionaliteiten.
• 1.8 Datalek: Een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens.

2. Onderwerp van de overeenkomst

2.1 Deze verwerkersovereenkomst (hierna "Overeenkomst") is van toepassing op alle verwerkingen van persoonsgegevens die HeyFred B.V. uitvoert ten behoeve van Klant in het kader van de Dienst.

2.2 Klant is de Verwerkingsverantwoordelijke en HeyFred B.V. is de Verwerker.

2.3 De aard en het doel van de verwerking, het type persoonsgegevens, de categorieën van betrokkenen en de duur van de verwerking zijn beschreven in Bijlage 1 bij deze Overeenkomst.

3. Verplichtingen van de Verwerker (HeyFred B.V.)

3.1 Algemeen

• HeyFred B.V. verwerkt persoonsgegevens uitsluitend in opdracht en ten behoeve van Klant, en conform de schriftelijke instructies van Klant, tenzij een wettelijke bepaling HeyFred B.V. tot een andere verwerking verplicht. In dat geval stelt HeyFred B.V. Klant hiervan in kennis vóór de verwerking, tenzij die wetgeving dergelijke kennisgeving om gewichtige redenen van algemeen belang verbiedt.
• HeyFred B.V. zal de persoonsgegevens niet voor eigen doeleinden verwerken.
• HeyFred B.V. zal de persoonsgegevens niet langer bewaren dan noodzakelijk voor de uitvoering van de Dienst en conform de instructies van Klant.

3.2 Beveiliging

• HeyFred B.V. treft passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies, vernietiging, ongeoorloofde toegang, wijziging of enige andere vorm van onrechtmatige verwerking. Deze maatregelen zijn beschreven in Bijlage 2 bij deze Overeenkomst.
• HeyFred B.V. garandeert een beveiligingsniveau dat, gelet op de stand van de techniek, de uitvoeringskosten, de aard, omvang en context van de verwerking, en de verschillende waarschijnlijkheid en ernst van de risico’s voor de rechten en vrijheden van personen, passend is.

3.3 Vertrouwelijkheid

• HeyFred B.V. zorgt ervoor dat personen die onder haar gezag toegang hebben tot persoonsgegevens, deze uitsluitend verwerken in opdracht van Klant en een geheimhoudingsplicht hebben.

3.4 Datalekken

• HeyFred B.V. stelt Klant onverwijld in kennis na de ontdekking van een Datalek dat betrekking heeft op de verwerking van persoonsgegevens ten behoeve van Klant.
• De kennisgeving bevat ten minste de informatie zoals vereist door de AVG.
• HeyFred B.V. zal Klant ondersteunen bij het voldoen aan diens verplichtingen inzake Datalekken, waaronder het informeren van de Autoriteit Persoonsgegevens en/of betrokkenen.

3.5 Rechten van betrokkenen

• HeyFred B.V. zal Klant, voor zover mogelijk, ondersteunen bij het voldoen aan diens verplichting om te reageren op verzoeken van betrokkenen die hun rechten uitoefenen (bijv. recht op inzage, rectificatie, wissing, beperking, dataportabiliteit en bezwaar).
• Indien een betrokkene een verzoek tot uitoefening van zijn rechten rechtstreeks aan HeyFred B.V. richt, zal HeyFred B.V. dit verzoek onverwijld doorsturen naar Klant.

3.6 Audits en inspecties

• HeyFred B.V. stelt Klant alle informatie ter beschikking die nodig is om de nakoming van de verplichtingen uit deze Overeenkomst en de AVG aan te tonen.
• Klant heeft het recht om audits te laten uitvoeren, door een onafhankelijke derde, om de naleving van deze Overeenkomst te controleren. De kosten hiervan zijn voor Klant.

3.7 Verwijdering en teruggave van gegevens

• Na beëindiging van de Dienst en/of deze Overeenkomst, zal HeyFred B.V. alle persoonsgegevens die zij ten behoeve van Klant heeft verwerkt, verwijderen of aan Klant teruggeven, tenzij wettelijke bepalingen anders voorschrijven.

4. Verplichtingen van de Verwerkingsverantwoordelijke (Klant)

• Klant garandeert dat de verwerking van persoonsgegevens rechtmatig is en dat de instructies aan HeyFred B.V. in overeenstemming zijn met de AVG en andere toepasselijke wet- en regelgeving.
• Klant is verantwoordelijk voor het informeren van betrokkenen over de verwerking van hun persoonsgegevens en het verkrijgen van de benodigde toestemmingen of het beschikken over een andere rechtmatige grondslag voor de verwerking.
• Klant vrijwaart HeyFred B.V. voor alle aanspraken van derden, inclusief boetes van toezichthouders, die voortvloeien uit het niet naleven van de AVG of andere wet- en regelgeving door Klant.

5. Subverwerkers

5.1 Klant verleent HeyFred B.V. hierbij algemene toestemming om subverwerkers in te schakelen voor de uitvoering van de Dienst.

5.2 HeyFred B.V. stelt Klant in kennis van voorgenomen wijzigingen betreffende de toevoeging of vervanging van subverwerkers, waarbij Klant de mogelijkheid heeft om bezwaar te maken. Indien Klant bezwaar maakt, zullen partijen in overleg treden om tot een oplossing te komen. Indien geen oplossing wordt gevonden, heeft Klant het recht de overeenkomst te beëindigen.

5.3 HeyFred B.V. legt de verplichtingen uit deze Overeenkomst, middels een contract, op aan haar subverwerkers.

6. Aansprakelijkheid

6.1 De aansprakelijkheid van HeyFred B.V. voor schade die voortvloeit uit of verband houdt met deze Overeenkomst is beperkt tot hetgeen is bepaald in de Algemene Voorwaarden van HeyFred B.V.

6.2 HeyFred B.V. is niet aansprakelijk voor schade die voortvloeit uit het niet naleven van de instructies van Klant, tenzij dit te wijten is aan opzet of grove nalatigheid van HeyFred B.V.

7. Duur en beëindiging

7.1 Deze Overeenkomst treedt in werking op het moment dat Klant gebruikmaakt van de Dienst en blijft van kracht zolang HeyFred B.V. persoonsgegevens verwerkt ten behoeve van Klant.

7.2 Bij beëindiging van de Dienst en/of deze Overeenkomst zijn de bepalingen van artikel 3.7 van toepassing.

8. Toepasselijk recht en geschillenbeslechting

8.1 Op deze Overeenkomst is Nederlands recht van toepassing.

8.2 Alle geschillen die voortvloeien uit of verband houden met deze Overeenkomst zullen worden voorgelegd aan de bevoegde rechter te Amsterdam.

Bijlage 1: Specificatie van de gegevensverwerking

1. Aard en doel van de verwerking

De verwerking van persoonsgegevens door HeyFred B.V. ten behoeve van Klant heeft tot doel het leveren van Voice AI-diensten, waaronder:

• Het opzetten, configureren en beheren van AI-spraakassistenten.
• Het afhandelen van inkomende en uitgaande telefoongesprekken.
• Het verwerken van spraak naar tekst en tekst naar spraak.
• Het uitvoeren van geautomatiseerde taken zoals afspraken plannen, informatie verstrekken, enquêtes afnemen en leads kwalificeren.
• Het opslaan van gesprekslogs, transcripties en gerelateerde metadata.
• Het bieden van een dashboard voor Klant om de prestaties van de AI-assistenten te monitoren en te beheren.
• Het integreren met externe systemen van Klant (CRM, agenda, etc.).

2. Type persoonsgegevens

De volgende categorieën persoonsgegevens kunnen worden verwerkt:

• Contactgegevens: Naam, telefoonnummer, e-mailadres van eindgebruikers en/of contactpersonen van Klant.
• Gespreksgegevens: Audio-opnamen van gesprekken, transcripties van gesprekken, gespreksduur, gespreksstatus, datum en tijd van gesprekken.
• Metadata: IP-adressen, apparaatinformatie, browserinformatie.
• Overige gegevens: Alle andere persoonsgegevens die Klant in de Klantcontent (prompts, scripts, kennisbankteksten, contactlijsten, etc.) opneemt en die noodzakelijk zijn voor de uitvoering van de Dienst.

3. Categorieën van betrokkenen

De persoonsgegevens betreffen de volgende categorieën van betrokkenen:

• Eindgebruikers die contact opnemen met Klant of door Klant worden gebeld via de Dienst.
• Contactpersonen van Klant die de Dienst gebruiken of beheren.

4. Duur van de verwerking

De persoonsgegevens worden verwerkt gedurende de looptijd van de overeenkomst tussen Klant en HeyFred B.V. en zolang als noodzakelijk voor de uitvoering van de Dienst. Na beëindiging van de overeenkomst zullen de persoonsgegevens worden verwijderd of geretourneerd aan Klant, conform artikel 3.7 van deze Overeenkomst, tenzij een wettelijke bewaarplicht van toepassing is.

Bijlage 2: Beveiligingsmaatregelen

HeyFred B.V. heeft de volgende technische en organisatorische beveiligingsmaatregelen getroffen:

• Fysieke beveiliging: Toegangscontroles tot datacenters, bewaking, brandbeveiliging.
• Netwerkbeveiliging: Firewalls, inbraakdetectiesystemen, netwerksegmentatie, DDoS-bescherming.
• Toegangsbeheer: Sterke wachtwoordbeleid, multi-factor authenticatie, least privilege-principe, logging van toegang.
• Dataversleuteling: Versleuteling van data in rust (at rest) en data onderweg (in transit) met industriestandaard protocollen (bijv. TLS, AES-256).
• Logging en monitoring: Continue monitoring van systemen en applicaties, audit trails, alertsystemen bij afwijkingen.
• Back-up en herstel: Regelmatige back-ups, testprocedures voor herstel, redundantie van systemen.
• Incidentrespons: Procedures voor het afhandelen van beveiligingsincidenten en datalekken.
• Softwareontwikkeling: Secure coding practices, regelmatige security reviews van code.
• Leveranciersmanagement: Beoordeling van subverwerkers op beveiligingsstandaarden.
• Personeel: Geheimhoudingsverklaringen, training en bewustwording van medewerkers over informatiebeveiliging en privacy.