Vertrouwen

Waar je gegevens staan,wie ze ziet,en wat Sanne niet mag.

Op deze plek zetten de meeste aanbieders logo's en keurmerken neer. Wij zetten er de feiten neer: waar het draait, welke partijen eraan zitten, hoe lang dingen blijven staan, en wat er in code is vastgezet in plaats van in een belofte.

Bijgewerkt op 7 augustus 2026

0
opnames in ons systeem
Sanne werkt met tekst. De audio van je gesprekken komt er standaard niet in.
8
partijen bij naam genoemd
Iedereen die iets van een gesprek te zien krijgt, staat verderop in de tabel.
24 uur
tot jij bericht krijgt
Zo lang mag het bij ons duren na het ontdekken van een datalek. Daarna is de klok van jou.
1 maand
voor het verzoek van een beller
Inzage, correctie of wissen. De termijn uit artikel 12 lid 3 van de AVG.

Op deze pagina

01Rollen en aansprakelijkheid
02Artikel 50 en de AI-melding
03Waar je gegevens staan
04Subverwerkers
05Wat we opslaan
06Klinieken en gezondheid
07Bewaartermijnen
08Rechten van je klanten
09Beveiliging
10Wat Sanne niet mag
11Als er iets misgaat

Jij bent de baas over de gegevens. Wij voeren uit.

Dit is geen formaliteit. Het bepaalt wie waarvoor aansprakelijk is als er iets misgaat. Onder de AVG ben jij verwerkingsverantwoordelijke voor de gegevens van jouw klanten. Wij zijn verwerker: wij mogen er alleen mee doen wat jij ons opdraagt, en dat staat op papier voordat je live gaat.

Jij bepaalt

Welke gegevens Sanne mag vastleggen, en hoe lang ze blijven staan.
Wat er gebeurt als een klant zijn gegevens opvraagt of laat wissen. Wij leveren de knoppen, jij neemt het besluit.
Of je stopt. Dan is alles binnen dertig dagen weg, of je krijgt het eerst als export mee.

Wij zitten vast aan

Alleen doen wat in de verwerkersovereenkomst staat. Ook niet iets extra's omdat het handig uitkomt.
Geen modeltraining op jouw gesprekken. Niet bij ons, en per contract ook niet bij de leveranciers achter ons.
Melden binnen 24 uur, zodat jij de 72 uur richting de Autoriteit Persoonsgegevens nog kunt halen.

De gegevens die wíj van jou verzamelen, als bezoeker van deze site of als salon die we zelf hebben gebeld, vallen hier niet onder. Daarvoor zijn we geen verwerker maar verantwoordelijke, en dat staat in de privacyverklaring.

Ze zegt zelf dat ze een AI is, in haar eerste zin.

Sinds 2 augustus 2026 verplicht artikel 50 van de Europese AI-verordening dat een AI-systeem zich bekendmaakt. Niet in de algemene voorwaarden en niet één keer per klant, maar bij het begin van elk gesprek. De Europese Commissie werkte dat op 20 juli 2026 uit in richtsnoer C(2026) 5054: het woord 'virtuele assistent' volstaat niet als daaruit niet blijkt dat je met een machine praat.

Wat een beller hoort als ze opneemt

Goedemiddag, met [je salon]. Je spreekt met Sanne, de AI-receptionist. Waar kan ik je mee helpen?

Elke keer dat ze die zin uitspreekt, leggen we vast welke versie het was en op welk moment. Dat log is niet te wijzigen en niet te verwijderen, de database weigert het domweg. Als iemand over twee jaar vraagt of je het wel hebt gemeld, is dat de enige vorm van bewijs die dan nog iets waard is.

Vraagt een beller om een mens, dan verbindt ze door. Altijd, zonder tegenwerpen en zonder eerst nog iets te proberen. De Autoriteit Persoonsgegevens en de ACM legden op 2 oktober 2025 samen vast dat er bij een chatbot een uitweg naar een mens moet zijn. Dit is die uitweg.

Hoe je dit zelf controleert

1.Bel het nummer op deze site en luister naar de eerste zin. Daar staat het, of het staat er niet.
2.Zeg halverwege 'mag ik iemand spreken' en kijk hoe lang ze erover doet.
3.Vraag ons het meldingslog van je eigen nummer op zodra je klant bent. Je krijgt de tijdstempels.

Waar het draait. Niet alles staat in de EU.

Dit is de verdeling: wat waar draait, en op welke grondslag het de grens over mag.

Europese Unie

De applicatie en alle API-verkeer, vastgezet op Frankfurt.
De database met je gesprekken, samenvattingen en afspraken, in Frankfurt.
Je agenda, via Google Ierland.
Facturatie, via Stripe Payments Europe in Ierland.

Hier staat alles wat van jou is en blijft liggen: je gesprekken, je agenda, je afspraken, je facturen.

Verenigde Staten

Spraak naar tekst, en de stem waarmee Sanne antwoordt.
Het taalmodel dat begrijpt wat er gevraagd wordt.
De telefonie eromheen, met Europese nummers waar dat kan.

Op basis van de standaardcontractbepalingen van de Europese Commissie, met een verwerkersovereenkomst per leverancier.

In de logboeken van onze hostingpartij komen geen transcripties, geen volledige telefoonnummers en geen berichtinhoud. Die logs zijn namelijk niet Europees, ook niet als de code zelf in Frankfurt draait. De enige manier om dat op te lossen is er niets in zetten wat er niet in hoort.

Wil je een keten die volledig binnen de EU blijft, dan bestaat die. De spraakleverancier verkoopt een Europese omgeving, alleen niet binnen ons standaardpakket. Vraag ernaar, dan rekenen we hem apart door.

Wie er nog meer aan zit.

Elke partij die een stukje van een gesprek te zien krijgt, met wat ze doen en waar ze staan. Komt er één bij, dan hoor je dat dertig dagen van tevoren en mag je er bezwaar tegen maken. Dat is artikel 28 lid 2, en het staat ook in de overeenkomst.

Partij	Wat ze doen	Waar
ElevenLabs	Spraak naar tekst, de stem van Sanne, het verloop van het gesprek	Verenigde Staten
Anthropic	Het taalmodel dat begrijpt wat er gevraagd wordt	Verenigde Staten
Twilio	Telefonie en telefoonnummers	EU-routering waar mogelijk, moederbedrijf VS
Vercel	Hosting van de applicatie en de API	Frankfurt, moederbedrijf VS
Supabase	De database	Frankfurt
Google Ierland	Schrijven in je agenda	Europese Unie
Stripe	Facturatie en incasso	Ierland, met onderdelen in de VS
WhatsApp Ierland	Het WhatsApp-kanaal, zodra dat live is	Ierland, opslag in Duitsland

ElevenLabs
Wat ze doenSpraak naar tekst, de stem van Sanne, het verloop van het gesprek
WaarVerenigde Staten
Anthropic
Wat ze doenHet taalmodel dat begrijpt wat er gevraagd wordt
WaarVerenigde Staten
Twilio
Wat ze doenTelefonie en telefoonnummers
WaarEU-routering waar mogelijk, moederbedrijf VS
Vercel
Wat ze doenHosting van de applicatie en de API
WaarFrankfurt, moederbedrijf VS
Supabase
Wat ze doenDe database
WaarFrankfurt
Google Ierland
Wat ze doenSchrijven in je agenda
WaarEuropese Unie
Stripe
Wat ze doenFacturatie en incasso
WaarIerland, met onderdelen in de VS
WhatsApp Ierland
Wat ze doenHet WhatsApp-kanaal, zodra dat live is
WaarIerland, opslag in Duitsland

Deze lijst is de volledige lijst. Er is geen 'en overige dienstverleners' aan het eind, want dat is precies de zin waarmee je een lijst waardeloos maakt.

Wat we bewaren, en wat we bewust niet aanraken.

Een gesprek levert minder gegevens op dan je zou denken, en dat is een ontwerpkeuze. Wat er niet is, kan niet uitlekken, niet worden opgevraagd en niet verkeerd worden gebruikt.

Dit slaan we op

Wanneer er gebeld is, hoe lang, en via welk kanaal.
Waar het gesprek over ging, als code uit een vaste lijst: knippen, kleuren, een consult.
Of er geboekt is, en welke afspraak eruit kwam.
De samenvatting en de transcriptie, tenzij je een kliniek bent.
Het telefoonnummer, op twee manieren tegelijk. Zie de opmerking hieronder.

Dit komt er niet in

De opname zelf. Het platform weigert de audio aan te nemen, dus er is geen knop om per ongeluk aan te zetten.
Een stemafdruk of enig ander biometrisch kenmerk. Nergens voor nodig, dus nergens aanwezig.
Vrije tekst bij klinieken. Die wordt bij binnenkomst weggegooid.
Betaalgegevens. Die ziet Stripe, wij niet.
Wat dan ook in een logboek waar het niet hoort.

Het telefoonnummer staat er twee keer in. Eén keer versleuteld met AES-256-GCM, zodat jij kunt terugbellen. En één keer als HMAC-hash met een sleutel die alleen op de server leeft, en op díe hash zoeken we. Wie de database zou hebben zonder die sleutel, kan er geen nummer uit terugrekenen. Dat is het verschil tussen pseudonimiseren en er een hash overheen gooien.

Klinieken: een vraag over botox is een gezondheidsgegeven.

Een manicure is niets bijzonders. 'Botox voor mijn voorhoofdrimpels' of 'laser voor die acnelittekens' is een bijzonder persoonsgegeven onder artikel 9 van de AVG, ook al noemt niemand een diagnose. Dat volgt uit overweging 35, uit richtsnoer 03/2020 van de EDPB en sinds 4 oktober 2024 uit het arrest Lindenapotheke van het Hof van Justitie.

Daarom staat een kliniek bij ons standaard in de strengste stand. Transcriptie, samenvatting en de toelichtingen van het model worden bij binnenkomst weggegooid, en wat overblijft is een code uit een vaste lijst plus het feit dat er geboekt is.

Dat is geen vinkje dat iemand kan vergeten. Het is een regel in de database die de rij weigert als hij anders is, en er staat een test in onze pijplijn die faalt zodra iemand die regel weghaalt.

Minder bewaren is meteen de goedkoopste uitweg uit de NEN 7510-discussie. Een leverancier zonder structurele rol in de zorg hoeft die norm niet te halen, maar dat argument houdt alleen stand als je ook echt geen gezondheidsgegevens opslaat.

Hoe lang het blijft staan.

Deze termijnen zijn niet een beleidsstuk, ze zitten in een taak die elke nacht draait en het opruimen zelf doet. Je kunt ze naar beneden bijstellen, niet naar boven.

Wat	Hoe lang
Opnames	Niet bewaardDe audio komt onze systemen niet in.
Transcripties en samenvattingen	90 dagenIn te stellen op 30 dagen of op nul. Bij klinieken staat het standaard op nul.
Wie belde, wat er geboekt is	2 jaarZonder inhoud. Dit is waar je overzicht op gebouwd is.
Het log van de AI-melding	24 maandenNiet te wijzigen, niet eerder te verwijderen.
Het auditlog	12 maandenWie wat wanneer heeft ingezien.
Alles, na opzegging	30 dagenOf eerder als export, als je erom vraagt voordat je stopt.

Opnames
Hoe langNiet bewaard
De audio komt onze systemen niet in.
Transcripties en samenvattingen
Hoe lang90 dagen
In te stellen op 30 dagen of op nul. Bij klinieken staat het standaard op nul.
Wie belde, wat er geboekt is
Hoe lang2 jaar
Zonder inhoud. Dit is waar je overzicht op gebouwd is.
Het log van de AI-melding
Hoe lang24 maanden
Niet te wijzigen, niet eerder te verwijderen.
Het auditlog
Hoe lang12 maanden
Wie wat wanneer heeft ingezien.
Alles, na opzegging
Hoe lang30 dagen
Of eerder als export, als je erom vraagt voordat je stopt.

Wat een klant kan opvragen, en wat er dan gebeurt.

Een beller kan inzage vragen, correctie, of wissen. Het verzoek komt bij jou binnen, want jij bent de verantwoordelijke. Wij zorgen dat je het binnen de maand kunt afhandelen zonder ergens handmatig in te moeten graven.

1
Het verzoek komt bij jou
Jij beslist of het klopt en of je het toewijst. Wij nemen dat besluit niet over, want dat is niet aan een verwerker.
2
Wij zoeken op de hash, niet op het nummer
Je voert het telefoonnummer in, wij hashen het met dezelfde serversleutel en vinden zo alles wat erbij hoort. Het nummer zelf hoeft nergens rond te gaan.
3
Wissen gebeurt op drie plekken tegelijk
In onze database, bij de spraakleverancier, en in je agenda. Die laatste zetten we klaar in plaats van hem stiekem te wijzigen, want dat is jouw agenda.
4
De afspraak zelf blijft bestaan
Leeggemaakt, maar aanwezig. Artikel 17 lid 3 laat dat toe en je administratie heeft het nodig. Weigeren we een verzoek, dan leggen we de reden vast.

De papieren die je krijgt

1.Een verwerkersovereenkomst, voordat je live gaat en niet erna.
2.Deze lijst met subverwerkers, en bericht als er iets aan verandert.
3.Op verzoek een export van alles wat we van je hebben, in een leesbaar formaat.

Moet je een DPIA doen?

Waarschijnlijk wel. De Autoriteit Persoonsgegevens heeft 'communicatiegegevens' op de lijst staan waarvoor een gegevensbeschermingseffectbeoordeling verplicht is, en bij een kliniek komt artikel 35 lid 3 sub b er nog overheen. Die beoordeling is van jou, niet van ons, en wij zetten er dan ook geen handtekening onder. Wat we wél doen: de helft vooraf invullen, met de bewaartermijnen die voor jouw account gelden, de subverwerkers en wat er per gesprek wordt vastgelegd. Dan hou jij het oordeel over.

Hoe het technisch dichtzit.

Vier dingen die je van een leverancier mag verwachten en die je zelden uitgelegd krijgt. Ze zijn allemaal te controleren door iemand met verstand van zaken, en dat mag ook.

Eén salon kan de gegevens van een andere salon niet zien

Niet omdat de code netjes filtert, maar omdat de database het weigert. Elke tabel staat onder row level security in de geforceerde stand, en zonder geldige context komen er nul rijen uit. De rol waarmee de applicatie inlogt mag die beveiliging niet omzeilen, en de migratie faalt als iemand dat probeert te veranderen.

Sleutels en telefoonnummers liggen versleuteld

AES-256-GCM met een aparte sleutel per rij, en die sleutels liggen zelf weer versleuteld. Aan de versleuteling hangt vast om welke salon en welke koppeling het gaat, dus een rij uit de ene omgeving in de andere plakken levert een foutmelding op in plaats van gegevens.

Elk binnenkomend bericht wordt op handtekening gecontroleerd

Op de ruwe inhoud, met een tijdvenster tegen hergebruik, en met een vergelijking die geen informatie lekt via de duur ervan. Een bericht dat zegt van onze telefonieleverancier te komen maar dat niet is, wordt niet verwerkt.

Het auditlog kan alleen groeien

Wijzigen en verwijderen zijn op databaseniveau geblokkeerd, ook voor ons. Een logboek dat je achteraf kunt bijwerken is geen logboek.

Wat Sanne niet mag.

Zes regels die niet in een instructie aan het model staan maar in de server erachter. Het verschil is dat een instructie een suggestie is en code een weigering. Wat je hieronder leest kan een gesprek dus niet omzeilen, hoe het ook loopt.

01
Ze verzint nooit een tijdslot. Beschikbaarheid komt uit je agenda, niet uit haar hoofd.
02
Ze bevestigt niets voordat de afspraak er echt in staat.
03
Ze boekt niet zonder een naam en een nummer dat klopt.
04
Ze noemt geen prijs die ze zelf heeft uitgerekend.
05
Ze verbindt door zodra iemand een mens wil. Altijd, zonder erover te onderhandelen.
06
Elk gesprek levert een samenvatting op die je in tien seconden leest.

Sanne stelt voor. De server beslist.

Als er iets misgaat.

Er is geen leverancier die dit nooit meemaakt, alleen leveranciers die er wel of geen plan voor hebben. Dit is het onze.

1
Binnen 24 uur
Krijg jij bericht, gerekend vanaf het moment dat wij het ontdekken. Met wat er is gebeurd, welke gegevens het raakt en welke van jouw klanten.
2
Daarna is de klok van jou
Jij bent verantwoordelijke, dus jij beslist over de melding aan de Autoriteit Persoonsgegevens binnen 72 uur en over het informeren van je klanten. Wij leveren de feiten en een concepttekst.
3
Je hoort het van een mens
Geen statuspagina die zichzelf bijwerkt en geen ticketnummer. We hebben een privacycontact van je nodig voordat je account bestaat, precies hiervoor: de database maakt de rij niet aan zonder.

Iets wat hier niet beantwoord wordt?

Dan is het een goede vraag, en waarschijnlijk niet alleen die van jou. Stuur hem, dan krijg je antwoord van iemand die het weet en komt hij daarna op deze pagina te staan.

Stuur je vraag