Verwerkersovereenkomst
Laatst bijgewerkt: 19 augustus 2026 · Bijlage bij de algemene voorwaarden
Deze verwerkersovereenkomst is onderdeel van de algemene voorwaarden van AutoPiloot en geldt automatisch voor elke klant met een abonnement. Er hoeft niets apart ondertekend te worden. Ze regelt hoe AutoPiloot omgaat met de persoonsgegevens die het namens jou als klant verwerkt, zoals artikel 28 van de AVG vereist.
Artikel 1. Partijen en rollen
AutoPiloot, gevestigd in Purmerend, KVK 42091320 (hierna: Verwerker), verwerkt persoonsgegevens in opdracht van de klant met een AutoPiloot-abonnement (hierna: Klant). De Klant is verwerkingsverantwoordelijke voor de gegevens van zijn (potentiële) klanten; AutoPiloot is verwerker.
Artikel 2. Onderwerp en duur
Deze overeenkomst geldt zolang het abonnement loopt en zolang AutoPiloot daarna nog gegevens voor de Klant onder zich heeft (zie artikel 12). Ze heeft betrekking op alle verwerkingen die nodig zijn om de dienst te leveren zoals beschreven in de algemene voorwaarden.
Artikel 3. Aard en doel van de verwerking
Verwerkt worden: telefoonnummers, namen en e-mailadressen van (potentiële) klanten van de Klant, de inhoud van WhatsApp- en e-mailberichten, antwoorden op uitvraag-gesprekken, afspraakgegevens en gespreksstatussen. Categorieën betrokkenen: bellers, klanten en prospects van de Klant. Doel: het opvolgen van gemiste oproepen, het voeren van klantgesprekken, reviewverzoeken, offerte-opvolging, afspraakplanning en rapportage aan de Klant. Foto's die betrokkenen via WhatsApp sturen worden door AutoPiloot niet opgeslagen.
Artikel 4. Instructies
AutoPiloot verwerkt de gegevens uitsluitend voor de hierboven genoemde doelen en volgens de instellingen die de Klant in het dashboard kiest. AutoPiloot gebruikt de gegevens nooit voor eigen doeleinden, verkoopt ze niet en gebruikt ze niet om AI-modellen te trainen. Als AutoPiloot meent dat een instructie in strijd is met de AVG, meldt het dat aan de Klant.
Artikel 5. Geheimhouding
Iedereen die onder verantwoordelijkheid van AutoPiloot toegang heeft tot de gegevens is verplicht tot geheimhouding, behalve waar een wettelijke plicht tot verstrekking geldt.
Artikel 6. Beveiliging
AutoPiloot treft passende technische en organisatorische maatregelen, waaronder: versleutelde verbindingen (TLS), versleutelde opslag binnen de EU, strikte scheiding van gegevens per klant op databaseniveau (row level security), toegangsbeheer met minimale rechten, en het buiten de broncode houden van sleutels en wachtwoorden. De maatregelen worden periodiek herzien en waar nodig aangescherpt.
Artikel 7. Sub-verwerkers
De Klant geeft algemene toestemming voor het inschakelen van de onderstaande sub-verwerkers. AutoPiloot legt aan sub-verwerkers dezelfde verplichtingen op als in deze overeenkomst. Bij het toevoegen of vervangen van een sub-verwerker informeert AutoPiloot de Klant minimaal 30 dagen vooraf; bij bezwaar kan de Klant het abonnement kosteloos beëindigen.
| Sub-verwerker | Doel | Locatie en waarborg |
|---|---|---|
| Supabase | Database en opslag | EU |
| Twilio (incl. Meta/WhatsApp als kanaal) | WhatsApp, SMS en telefonie | VS, met DPF en SCC’s |
| Anthropic | AI-ondersteuning bij samenvatten en beantwoorden van berichten | VS, met DPF en SCC’s |
| Resend | E-mailverzending | VS, met SCC’s |
| Stripe | Betalingen (alleen gegevens van de Klant zelf) | VS, met DPF en SCC’s |
| Vercel | Hosting van de applicatie | VS, met DPF en SCC’s; serverregio EU |
| Agenda-koppeling, alleen als de Klant die activeert | VS, met DPF en SCC’s |
Artikel 8. Doorgifte buiten de EER
Gegevens worden opgeslagen binnen de EU. Voor zover sub-verwerkers gegevens buiten de Europese Economische Ruimte verwerken, gebeurt dat op basis van een geldig doorgiftemechanisme: het EU-US Data Privacy Framework en/of de Europese standaardcontractbepalingen (SCC's).
Artikel 9. Verzoeken van betrokkenen
Krijgt AutoPiloot rechtstreeks een verzoek van een betrokkene (bijvoorbeeld om inzage of verwijdering), dan stuurt het dat direct door naar de Klant. AutoPiloot helpt de Klant, waar redelijk, bij het beantwoorden van zulke verzoeken, bijvoorbeeld door gegevens op te zoeken, aan te passen of te verwijderen.
Artikel 10. Datalekken
Bij een inbreuk in verband met persoonsgegevens informeert AutoPiloot de Klant zonder onredelijke vertraging, uiterlijk binnen 48 uur na ontdekking, met alle informatie die de Klant nodig heeft om te beoordelen of een melding aan de Autoriteit Persoonsgegevens of aan betrokkenen nodig is. De Klant doet die melding zelf; AutoPiloot levert de benodigde informatie aan en houdt een intern register van incidenten bij.
Artikel 11. Controle
AutoPiloot stelt op verzoek informatie beschikbaar waarmee de Klant kan nagaan dat deze overeenkomst wordt nageleefd. Maximaal eenmaal per jaar kan de Klant, op eigen kosten en na redelijke aankondiging, een audit laten uitvoeren die zich beperkt tot de verwerkingen voor de Klant.
Artikel 12. Einde van het abonnement
Na het einde van het abonnement kan de Klant binnen 30 dagen een export van zijn gegevens opvragen. Daarna verwijdert AutoPiloot alle persoonsgegevens die het voor de Klant verwerkt, tenzij een wettelijke plicht langer bewaren vereist. Los daarvan verwijdert AutoPiloot gespreks- en contactgegevens van betrokkenen uiterlijk 24 maanden na het laatste contact.
Artikel 13. Aansprakelijkheid en toepasselijk recht
Voor aansprakelijkheid geldt de regeling uit de algemene voorwaarden. Op deze overeenkomst is Nederlands recht van toepassing.