Verwerkersovereenkomst Praatpiloot

Versie 29 september 2026. Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van Praatpiloot en maakt deel uit van de overeenkomst tussen jou en ons. Door Praatpiloot te gebruiken ga je ermee akkoord; een ondertekende versie sturen we je op verzoek toe.

1. Partijen en begrippen

Deze overeenkomst is gesloten tussen jou, de klant van Praatpiloot (verwerkingsverantwoordelijke, "jij"), en Converzo Webdevelopment BV, Schijfstraat 8, 5061 KB Oisterwijk, KvK 94254923, handelend onder de naam Praatpiloot (verwerker, "wij"). Begrippen als persoonsgegevens, verwerking, betrokkene, subverwerker en inbreuk in verband met persoonsgegevens (datalek) hebben de betekenis uit de Algemene verordening gegevensbescherming (AVG). De begrippen uit de algemene voorwaarden (zoals Dienst, Bezoeker en Gesprek) gelden ook hier.

2. Onderwerp en instructies

• Wij verwerken persoonsgegevens namens jou om de Dienst te leveren: vragen van Bezoekers beantwoorden, aanvragen van Bezoekers aan je doorgeven en Gesprekken en aanvragen in je dashboard tonen. Welke gegevens dat zijn en van wie, staat in bijlage 1.
• Wij verwerken de persoonsgegevens alleen op jouw instructies. Die instructies zijn deze overeenkomst, de algemene voorwaarden en de keuzes die je in het dashboard maakt (bijvoorbeeld of de chatbot om contactgegevens mag vragen en waar aanvragen naartoe gaan). Andere instructies geef je per e-mail.
• Wij gebruiken de persoonsgegevens niet voor eigen doeleinden, verkopen ze niet en gebruiken ze niet om AI-modellen te trainen. Alleen als een wettelijke plicht ons dwingt de gegevens anders te verwerken, doen we dat, en dan laten we het je vooraf weten, tenzij de wet dat verbiedt.
• Vinden wij dat een instructie in strijd is met de AVG of andere privacyregels, dan laten we je dat meteen weten.

3. Geheimhouding

Alleen medewerkers die de gegevens nodig hebben voor de Dienst of voor ondersteuning op jouw verzoek, hebben er toegang toe. Zij zijn tot geheimhouding verplicht. Dat geldt ook voor de subverwerkers in artikel 5.

4. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies en onrechtmatige verwerking, rekening houdend met de stand van de techniek, de kosten en de risico's. De belangrijkste maatregelen staan in bijlage 2. Wij mogen maatregelen aanpassen, zolang het beveiligingsniveau niet omlaag gaat.

5. Subverwerkers

• Je geeft ons algemene toestemming om de subverwerkers in bijlage 3 in te schakelen.
• Willen we een subverwerker toevoegen of vervangen, dan laten we je dat minimaal 30 dagen van tevoren per e-mail weten. Heb je gegronde bezwaren, dan zoeken we samen een oplossing; lukt dat niet, dan mag je de overeenkomst opzeggen tegen de datum van de wijziging.
• Wij leggen elke subverwerker minstens dezelfde privacyverplichtingen op als in deze overeenkomst staan, en blijven tegenover jou verantwoordelijk voor hun werk.

6. Doorgifte buiten de Europese Economische Ruimte

Om vragen van Bezoekers te beantwoorden, sturen wij de berichten uit het Gesprek en de relevante informatie van je website naar onze AI-leverancier Anthropic in de Verenigde Staten. Die doorgifte vindt plaats op basis van een passende waarborg uit hoofdstuk V van de AVG: het EU-VS Data Privacy Framework voor zover Anthropic daaronder is gecertificeerd, en anders de standaardcontractbepalingen van de Europese Commissie in de gegevensverwerkingsvoorwaarden van Anthropic. Andere doorgiften buiten de EER doen we alleen na jouw toestemming.

7. Rechten van betrokkenen

• Wil een Bezoeker zijn gegevens inzien, laten corrigeren of verwijderen, dan kun je dat zelf in het dashboard: Gesprekken en aanvragen bekijken en verwijderen (en bij Business exporteren).
• Lukt dat niet zelf, dan helpen we je binnen een redelijke termijn. Komt een verzoek bij ons binnen, dan sturen we het naar jou door en beantwoorden we het niet zelf.

8. Datalekken

• Ontdekken wij een datalek dat de persoonsgegevens uit deze overeenkomst raakt, dan melden we dat zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking aan het e-mailadres van je contactpersoon.
• We geven daarbij, voor zover bekend: wat er is gebeurd, welke gegevens en hoeveel betrokkenen het ongeveer betreft, de waarschijnlijke gevolgen en de maatregelen die we hebben genomen of voorstellen. Informatie die later bekend wordt, sturen we na.
• Jij beoordeelt of het lek moet worden gemeld aan de Autoriteit Persoonsgegevens of aan betrokkenen, en doet die melding. Wij helpen je daarbij.

9. Bijstand en controle

• Wij helpen je, voor zover redelijk, bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij vragen van de Autoriteit Persoonsgegevens over de Dienst.
• Op verzoek geven we je de informatie die nodig is om aan te tonen dat we ons aan deze overeenkomst houden. Is dat niet genoeg, dan mag je maximaal één keer per jaar, met een aankondiging van minimaal vier weken, een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht. De kosten zijn voor jou, tenzij de audit laat zien dat wij deze overeenkomst op belangrijke punten niet naleven.
• Bijstand die meer dan een paar uur werk kost en niet het gevolg is van een tekortkoming van ons, mogen we tegen ons normale uurtarief in rekening brengen, na overleg.

10. Bewaren en verwijderen

• Gesprekken worden 12 maanden na de start automatisch verwijderd. Aanvragen blijven staan tot je ze zelf verwijdert.
• Verwijder je een Gesprek, aanvraag of website in het dashboard, dan is die direct uit de Dienst verwijderd.
• Eindigt de overeenkomst, dan verwijderen we alle persoonsgegevens uit deze overeenkomst binnen 30 dagen, tenzij een wettelijke plicht ons dwingt iets te bewaren. Wil je de gegevens eerst hebben, laat het ons dan vóór het einde weten; dan sturen we je een export.
• Subverwerkers bewaren gegevens niet langer dan nodig voor hun dienst en volgens hun eigen voorwaarden (zie bijlage 3).

11. Jouw verantwoordelijkheden

• Jij bepaalt het doel en de middelen van de verwerking en zorgt voor een geldige grondslag.
• Je informeert Bezoekers in je privacyverklaring dat ze met een chatbot praten, dat hun berichten worden verwerkt (ook door een AI-leverancier buiten de EU) en dat ze via de chat gegevens kunnen achterlaten.
• Je gebruikt de chatbot niet om bijzondere persoonsgegevens (zoals gezondheid of godsdienst), strafrechtelijke gegevens of gegevens van kinderen onder de 16 uit te vragen.
• Je beveiligt je eigen account en de apparaten waarmee je het dashboard gebruikt, en je deelt je inloggegevens niet.

12. Aansprakelijkheid, looptijd en recht

• Voor de aansprakelijkheid gelden de afspraken in de algemene voorwaarden (artikel 15), voor zover de wet niet anders bepaalt.
• Deze overeenkomst loopt zolang wij persoonsgegevens voor je verwerken. Artikelen die naar hun aard doorlopen (zoals geheimhouding en verwijderen) blijven daarna gelden.
• Bij tegenstrijdigheid gaat deze verwerkersovereenkomst voor de algemene voorwaarden, voor zover het gaat om de verwerking van persoonsgegevens.
• Wijzigingen kondigen we aan zoals beschreven in de algemene voorwaarden. Nederlands recht is van toepassing; geschillen gaan naar de rechtbank Zeeland-West-Brabant.

Bijlage 1: welke gegevens, van wie en waarvoor

Betrokkenen

• Bezoekers van jouw website die met de chatbot praten.
• Bezoekers die via het formulier in de chat hun contactgegevens achterlaten.
• Personen over wie informatie op jouw website staat of in eigen teksten die je toevoegt (bijvoorbeeld medewerkers op een teampagina).

Persoonsgegevens

• De inhoud van Gesprekken: alles wat een Bezoeker typt en de antwoorden van de chatbot.
• Technische gegevens: tijdstippen, de pagina waarop het Gesprek begon, en een onomkeerbare hashcode van het IP-adres (het IP-adres zelf slaan we niet op).
• Bij een aanvraag: naam, e-mailadres, telefoonnummer (als je dat laat vragen) en het bericht.
• Persoonsgegevens in de teksten van je website en je eigen teksten, voor zover de chatbot die leest.

Doelen

• Vragen van Bezoekers beantwoorden op basis van jouw website en informatie.
• Aanvragen van Bezoekers aan jou doorgeven (dashboard, e-mail en, als je dat instelt, je eigen systeem).
• Gesprekken, open vragen en statistieken in je dashboard tonen, zodat je de chatbot kunt verbeteren.
• Misbruik tegengaan (zoals te veel berichten vanaf één verbinding).

Bijlage 2: beveiligingsmaatregelen

• Alle verbindingen met de Dienst en met onze subverwerkers zijn versleuteld (HTTPS/TLS).
• Inloggen gaat via het centrale Marketingpiloot-account, met gehashte wachtwoorden en de mogelijkheid van tweestapsverificatie.
• Elke klant ziet alleen de eigen websites, Gesprekken en aanvragen; dat wordt bij elk verzoek gecontroleerd.
• De chatbot werkt alleen vanaf de eigen website van de klant; verzoeken worden begrensd om misbruik te voorkomen.
• Dataminimalisatie: geen IP-adressen, geen cookies van de chatbot (het gesprek staat alleen tijdelijk in de browser van de Bezoeker), automatisch verwijderen na 12 maanden.
• Beheertoegang tot de servers is beperkt tot een klein aantal medewerkers; software wordt regelmatig bijgewerkt.
• De servers staan in een datacenter in Nederland.

Bijlage 3: subverwerkers

E-mails over aanvragen versturen wij vanaf onze eigen server. Stel je in het dashboard in dat aanvragen naar je eigen systeem gaan, dan kies je die ontvanger zelf; die valt onder jouw verantwoordelijkheid.

Converzo Webdevelopment BV · Schijfstraat 8, 5061 KB Oisterwijk · KvK 94254923 · btw NL866694353B01 · info@converzo.nl · 085 401 5005