Partijen

1. [Naam klant], met maatschappelijke zetel te [adres], ingeschreven onder ondernemingsnummer [nummer], rechtsgeldig vertegenwoordigd door [naam, functie], hierna "Verwerkingsverantwoordelijke" of "Klant";
2. SalesNote BV, handelend onder de naam Claritalk, met maatschappelijke zetel te Staatsbaan 305, 9870 Zulte, ingeschreven onder ondernemingsnummer BE 0765.323.961, hierna "Verwerker" of "Claritalk".

Overwegingen

• Claritalk levert een platform voor conversational intelligence (het "Platform") dat zakelijke gesprekken (meetings, telefoongesprekken, interviews) opneemt of ontvangt, transcribeert en met behulp van AI omzet in samenvattingen, taken, dossierkennis en inzichten.
• Partijen hebben een hoofdovereenkomst of abonnement gesloten (de "Hoofdovereenkomst"), waarbij Claritalk persoonsgegevens verwerkt in opdracht van de Klant.
• Deze verwerkersovereenkomst (de "Overeenkomst") maakt integraal deel uit van de Hoofdovereenkomst. Bij strijdigheid over de verwerking van persoonsgegevens heeft deze Overeenkomst voorrang.

Artikel 1. Definities

Begrippen in deze Overeenkomst hebben de betekenis uit Verordening (EU) 2016/679 (de "AVG"). Daarnaast geldt:

• Persoonsgegevens: alle persoonsgegevens die Claritalk namens de Klant verwerkt, zoals beschreven in Bijlage 1.
• Klantinhoud: audio-opnames, transcripties, samenvattingen, taken, notities, bijlagen, chatberichten met de AI-assistent ("Clara") en andere inhoud die door of voor de Klant op het Platform wordt geplaatst of gegenereerd.
• Subverwerker: een derde die Claritalk inschakelt en die toegang krijgt tot Persoonsgegevens (Bijlage 3).
• Klantintegratie: een koppeling met een systeem van de Klant (bv. CRM, boekhoud- of agendasoftware) die de Klant zelf activeert (Bijlage 4).
• Inbreuk: een inbreuk in verband met persoonsgegevens zoals bedoeld in artikel 4, 12) AVG.
• EER: de Europese Economische Ruimte.

Artikel 2. Onderwerp, aard en doel van de verwerking

1. Claritalk verwerkt Persoonsgegevens uitsluitend om het Platform te leveren zoals overeengekomen in de Hoofdovereenkomst. Aard, doel, duur en categorieën van gegevens en betrokkenen staan in Bijlage 1.

2. De verwerking omvat in het bijzonder:

   1. het opnemen of ontvangen van audio via de web- en mobiele app, een meetingbot (Microsoft Teams, Google Meet, Zoom) of telefonie-integraties;
   2. het (real-time of achteraf) transcriberen van die audio, inclusief sprekerherkenning en vertaling;
   3. het genereren van samenvattingen, taken, gespreksanalyses en antwoorden door AI-taalmodellen;
   4. het indexeren en doorzoekbaar maken van Klantinhoud;
   5. het synchroniseren van gegevens met Klantintegraties op verzoek van de Klant;
   6. het versturen van e-mails en pushmeldingen die verband houden met het gebruik van het Platform.
3. Claritalk verwerkt de Persoonsgegevens alleen op basis van schriftelijke instructies van de Klant. De Hoofdovereenkomst, deze Overeenkomst en de configuratie die de Klant in het Platform kiest, gelden als zulke instructies.
4. Claritalk gebruikt Klantinhoud niet om eigen AI-modellen of die van Subverwerkers te trainen, tenzij de Klant daar vooraf uitdrukkelijk schriftelijk mee instemt.
5. Claritalk mag geanonimiseerde of geaggregeerde gebruiksgegevens (bv. aantal meetings, verbruik van AI-tokens) gebruiken voor facturatie, capaciteitsplanning en productverbetering, zolang die niet tot personen herleidbaar zijn.

Artikel 3. Verplichtingen van de verwerker

1. Claritalk verwerkt Persoonsgegevens alleen volgens de gedocumenteerde instructies van de Klant, ook bij doorgifte naar een derde land, tenzij een Unie- of lidstaatrechtelijke bepaling hem tot verwerking verplicht. In dat geval meldt Claritalk die verplichting vooraf aan de Klant, tenzij de wet dat verbiedt.
2. Claritalk meldt de Klant onmiddellijk als een instructie naar zijn oordeel inbreuk maakt op de AVG of andere privacywetgeving.
3. Claritalk zorgt dat personen die gemachtigd zijn om Persoonsgegevens te verwerken, gebonden zijn aan een geheimhoudingsplicht en alleen toegang krijgen voor zover hun taak dat vereist.
4. Toegang door Claritalk-medewerkers tot een klantaccount (bv. voor support via de functie "impersonate") gebeurt alleen op verzoek van of met toestemming van de Klant, en wordt gelogd.
5. Claritalk houdt een register van verwerkingsactiviteiten bij zoals bedoeld in artikel 30, lid 2 AVG.
6. Claritalk verleent de Klant redelijke bijstand bij gegevensbeschermingseffectbeoordelingen (DPIA) en voorafgaande raadplegingen van de toezichthoudende autoriteit.
7. De Klant blijft verantwoordelijk voor de rechtmatigheid van de verwerking, in het bijzonder voor het informeren van gespreksdeelnemers over de opname en, waar vereist, het verkrijgen van hun toestemming.

Artikel 4. Subverwerkers

1. De Klant geeft Claritalk een algemene schriftelijke toestemming om de Subverwerkers uit Bijlage 3 in te schakelen.
2. Claritalk informeert de Klant minstens 30 dagen vooraf over de toevoeging of vervanging van een Subverwerker, per e-mail of via het Platform. De Klant kan binnen die termijn gemotiveerd bezwaar maken. Lukt het niet om binnen redelijke tijd een oplossing te vinden, dan mag de Klant het betrokken deel van de dienst opzeggen, zonder recht op schadevergoeding voor beide partijen.
3. Claritalk legt elke Subverwerker schriftelijk dezelfde gegevensbeschermingsverplichtingen op als in deze Overeenkomst, in het bijzonder passende technische en organisatorische maatregelen.
4. Claritalk blijft tegenover de Klant volledig aansprakelijk voor de nakoming van de verplichtingen van zijn Subverwerkers.
5. Leveranciers van Klantintegraties (Bijlage 4) zijn geen Subverwerkers van Claritalk. Ze worden door de Klant zelf gekozen en geactiveerd; de Klant heeft met die partijen een eigen contractuele relatie.

Artikel 5. Doorgifte buiten de EER

1. Claritalk verwerkt en bewaart Persoonsgegevens uitsluitend binnen de EER. Hosting en opslag gebeuren bij TransIP in Nederland; alle Subverwerkers verwerken de gegevens in een EU-regio (Bijlage 3).

2. Enkele Subverwerkers maken deel uit van een groep met hoofdzetel buiten de EER, bv. in de Verenigde Staten. Komt het daarbij toch tot een doorgifte of toegang vanuit een derde land (bv. voor support of onderhoud), dan gebeurt dat alleen met een passende waarborg volgens hoofdstuk V AVG:

   1. certificering onder het EU-US Data Privacy Framework; of
   2. de standaardcontractbepalingen van de Europese Commissie (Besluit (EU) 2021/914), aangevuld met een transfer impact assessment en waar nodig aanvullende maatregelen.
3. Claritalk verplaatst geen verwerking naar buiten de EER zonder de Klant vooraf te informeren volgens artikel 4.2.
4. Op verzoek bezorgt Claritalk de Klant een kopie van de relevante waarborgen.

Artikel 6. Beveiliging

1. Claritalk neemt passende technische en organisatorische maatregelen volgens artikel 32 AVG, rekening houdend met de stand van de techniek, de kosten en de risico's voor betrokkenen. Gespreksopnames kunnen vertrouwelijke en gevoelige informatie bevatten; het beveiligingsniveau houdt daar rekening mee.
2. De maatregelen die op de datum van deze Overeenkomst gelden, staan in Bijlage 2. Claritalk mag ze aanpassen, op voorwaarde dat het algemene beschermingsniveau niet daalt.
3. Claritalk test, beoordeelt en evalueert de doeltreffendheid van die maatregelen regelmatig.

Artikel 7. Inbreuken in verband met persoonsgegevens

1. Claritalk meldt een Inbreuk zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat hij er kennis van heeft genomen aan de Klant, via [e-mailadres/contactpersoon van de Klant].
2. De melding bevat, voor zover bekend: de aard van de Inbreuk, de categorieën en het geschatte aantal betrokkenen en gegevensrecords, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen en een contactpunt bij Claritalk. Informatie die nog niet beschikbaar is, wordt zo snel mogelijk aangevuld.
3. Claritalk neemt onmiddellijk de redelijke maatregelen om de Inbreuk in te dammen en de gevolgen te beperken, en documenteert elke Inbreuk.
4. De Klant beslist of de Inbreuk wordt gemeld aan de toezichthoudende autoriteit en/of aan de betrokkenen. Claritalk doet dat niet zelf, tenzij de wet hem daartoe verplicht.

Artikel 8. Rechten van betrokkenen en bijstand

1. Claritalk helpt de Klant met passende technische en organisatorische maatregelen om verzoeken van betrokkenen te beantwoorden (inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar).
2. Het Platform biedt de Klant hiervoor zelf functionaliteit, waaronder het inzien, bewerken en verwijderen van meetings, transcripties en dossiers, het exporteren van verslagen (PDF, Word, Excel) en het verwijderen van gebruikers.
3. Ontvangt Claritalk rechtstreeks een verzoek van een betrokkene, dan stuurt hij dat zonder onnodige vertraging door naar de Klant en beantwoordt hij het niet zelf, tenzij de Klant hem dat opdraagt.
4. Bijstand die verder gaat dan de standaardfunctionaliteit van het Platform mag Claritalk aanrekenen tegen de gangbare tarieven, na voorafgaand akkoord van de Klant.

Artikel 9. Audit

1. Claritalk stelt de Klant alle informatie ter beschikking die nodig is om de naleving van artikel 28 AVG aan te tonen.
2. De Klant mag maximaal één keer per kalenderjaar een audit laten uitvoeren, zelf of door een onafhankelijke auditor met geheimhoudingsplicht. Bij een vermoedelijke ernstige Inbreuk of op bevel van een toezichthouder geldt die beperking niet.
3. De Klant kondigt een audit minstens 30 dagen vooraf schriftelijk aan. De audit verstoort de bedrijfsvoering van Claritalk niet onredelijk en geeft geen toegang tot gegevens van andere klanten.
4. De kosten van de audit zijn voor de Klant, tenzij de audit een wezenlijke tekortkoming van Claritalk aan het licht brengt.
5. Claritalk beantwoordt een auditverzoek eerst schriftelijk, met een ingevulde standaard security-vragenlijst en, indien beschikbaar, recente certificeringen of auditrapporten van Claritalk of zijn Subverwerkers. Een audit ter plaatse is alleen mogelijk als die informatie redelijkerwijs onvoldoende is om de naleving aan te tonen.

Artikel 10. Duur, bewaring en verwijdering

1. Deze Overeenkomst loopt zolang de Hoofdovereenkomst loopt en zolang Claritalk daarna nog Persoonsgegevens van de Klant verwerkt.
2. Tijdens de looptijd bepaalt de Klant de bewaartermijnen. Het Platform laat per organisatie een bewaartermijn voor meetings en een aparte bewaartermijn voor audio-opnames instellen; na afloop verwijdert een dagelijkse taak de betrokken gegevens automatisch.
3. Standaard gelden daarnaast deze termijnen:

4. Na afloop van de Hoofdovereenkomst verwijdert Claritalk alle Persoonsgegevens binnen 30 dagen, of geeft hij ze op verzoek van de Klant eerst terug in een gangbaar formaat. Kopieën in back-ups worden overschreven volgens de normale back-upcyclus van maximaal 2 maanden en worden tot dan niet actief gebruikt.
5. Claritalk bevestigt de verwijdering op verzoek schriftelijk. Bewaring blijft mogelijk voor zover een wettelijke verplichting dat vereist.

Artikel 11. Aansprakelijkheid en slotbepalingen

1. De aansprakelijkheid van partijen onder deze Overeenkomst valt onder de aansprakelijkheidsregeling van de Hoofdovereenkomst, onverminderd artikel 82 AVG.
2. Wijzigingen aan deze Overeenkomst zijn alleen geldig als beide partijen ze schriftelijk aanvaarden. Een update van Bijlage 3 volgens artikel 4 vereist geen nieuwe ondertekening.
3. Is een bepaling nietig of niet afdwingbaar, dan blijven de overige bepalingen van kracht. Partijen vervangen de ongeldige bepaling door een geldige die het doel zo dicht mogelijk benadert.
4. Deze Overeenkomst valt onder het Belgisch recht. Geschillen worden voorgelegd aan de bevoegde rechtbanken van Kortrijk.

Ondertekening

Opgemaakt te [plaats] op [datum], in twee exemplaren.

Bijlage 1. Beschrijving van de verwerking

Categorieën betrokkenen

• Gebruikers van het Platform (medewerkers en beheerders van de Klant)
• Gespreksdeelnemers: klanten, prospecten, leveranciers, kandidaten, collega's en andere personen die deelnemen aan of genoemd worden in opgenomen gesprekken
• Contactpersonen en relaties uit gekoppelde systemen van de Klant (CRM, boekhouding, agenda)

Categorieën persoonsgegevens

• Account- en identiteitsgegevens: naam, e-mailadres, profielfoto, functie, taal, organisatie en team, rol en rechten, inloggegevens (gehashte wachtwoorden, 2FA-instellingen, SSO-koppeling met Microsoft of Google)
• Gespreksinhoud: audio-opnames, transcripties met sprekerlabels, samenvattingen, taken, notities, gespreksonderwerpen, analyses en beoordelingen van gesprekken
• Agenda- en meetinggegevens: titel, tijdstip, deelnemers (naam, e-mailadres), meetinglink
• Dossier- en relatiegegevens: namen, contactgegevens en bedrijfsgegevens van relaties, gesynchroniseerd uit Klantintegraties
• Bijlagen: documenten die gebruikers aan meetings of dossiers toevoegen
• Chatgegevens: vragen aan en antwoorden van de AI-assistent
• Telefoniegegevens (indien geactiveerd): telefoonnummer, tijdstip en duur van gesprekken
• Technische gegevens: IP-adres, apparaat- en browsergegevens, push-notificatietokens, logbestanden, foutmeldingen, gebruiksstatistieken

Bijzondere categorieën

Het Platform is niet ontworpen voor bijzondere categorieën van persoonsgegevens (artikel 9 AVG) of strafrechtelijke gegevens (artikel 10 AVG). Omdat gesprekken vrij verlopen, kunnen ze die toch bevatten (bv. gezondheid tijdens een HR-gesprek). Daarnaast is een stemopname technisch een biometrisch gegeven, maar het Platform gebruikt stemmen niet om personen uniek te identificeren. De Klant beoordeelt of zijn gebruik een DPIA vereist.

Bijlage 2. Technische en organisatorische maatregelen

Bijlage 3. Lijst van subverwerkers

Claritalk schakelt op de datum van deze Overeenkomst de Subverwerkers hieronder in. De lijst is afgeleid uit de configuratie en afhankelijkheden van het Platform. Alle Subverwerkers verwerken Persoonsgegevens in een EU-regio.

Infrastructuur en opslag

Transcriptie en spraak

AI-taalmodellen

Communicatie

Monitoring, analytics en support

Bijlage 4. Optionele integraties op initiatief van de klant

De Klant kan het Platform koppelen aan onderstaande systemen. Gegevens worden alleen uitgewisseld nadat de Klant de koppeling zelf activeert en autoriseert (meestal via OAuth). Deze leveranciers zijn geen Subverwerkers van Claritalk (artikel 4.5).