Verwerkersovereenkomst

01

Over dit concept

CONCEPT, LAAT JURIDISCH CONTROLEREN. Dit is een werkversie van 28 oktober 2026. Deze tekst is nog niet definitief en wordt nog door een jurist gecontroleerd. Punten met "te controleren" zijn nog niet geverifieerd.

Deze verwerkersovereenkomst hoort bij de overeenkomst voor de dienst Obbot tussen:

• Verwerker: grid eight B.V., handelend onder de naam Obbot, statutair adres Jeanne Herschstraat 4, 1349 BL Almere, KvK 88500667 (hierna: Obbot).
• Verwerkingsverantwoordelijke: de ondernemer die zich voor Obbot heeft aangemeld (hierna: de klant).

02

Onderwerp en duur

Obbot verwerkt persoonsgegevens in opdracht van de klant om de dienst Obbot te leveren: het opvangen van gemiste oproepen op het nummer van de klant, het afspelen van de voicemail van de klant, het sturen van een bericht per sms of WhatsApp aan de beller namens de klant, en het doorsturen van het antwoord van de beller naar de klant.

Deze verwerkersovereenkomst geldt zolang Obbot persoonsgegevens voor de klant verwerkt. Bepalingen die naar hun aard ook na het einde gelden, zoals geheimhouding en verwijdering, blijven daarna van kracht.

03

Rollen

De klant is verwerkingsverantwoordelijke. De klant bepaalt het doel van de verwerking: zijn bellers na een gemiste oproep bereiken en hun vraag ontvangen. Obbot is verwerker en verwerkt de gegevens alleen op schriftelijke instructie van de klant. De overeenkomst, de instellingen die de klant bij aanmelding en daarna kiest (zoals de tekst van het bericht, de stem van de voicemail en het mobiele nummer voor meldingen) en deze verwerkersovereenkomst gelden samen als die instructie. De klant kan tekst en stem later laten aanpassen door een wijziging per e-mail door te geven via info@obbot.nl.

Als Obbot een instructie in strijd vindt met de AVG of andere privacywetgeving, meldt Obbot dat direct aan de klant.

Voor de eigen klantadministratie van Obbot (de gegevens van de klant zelf, zoals naam, bedrijf, e-mailadres en betaalgegevens) is Obbot zelf verwerkingsverantwoordelijke. Dat valt buiten deze verwerkersovereenkomst en staat in de privacyverklaring.

04

Welke gegevens en van wie

Obbot verwerkt de volgende persoonsgegevens:

• Van bellers van de klant: het telefoonnummer van de beller, het tijdstip en de duur van de oproep, de inhoud van de berichten die Obbot namens de klant stuurt, en de inhoud van de antwoorden van de beller (tekst, en bij WhatsApp eventueel een afbeelding of spraakbericht die de beller zelf stuurt).
• Van de klant en zijn medewerkers, voor zover nodig om de dienst te leveren: naam, mobiel nummer voor meldingen, bedrijfsnaam, en een eventueel door de klant ingesproken voicemail.

Obbot verwerkt geen bijzondere persoonsgegevens met opzet. Bellers kunnen zelf zulke gegevens in een antwoord zetten. De klant gebruikt Obbot niet om bijzondere persoonsgegevens, burgerservicenummers of betaalgegevens van bellers te vragen.

05

Verplichtingen van Obbot

Obbot:

• verwerkt de gegevens alleen voor het leveren van de dienst en niet voor eigen doelen, en verkoopt geen gegevens;
• zorgt dat iedereen die bij Obbot toegang heeft tot de gegevens tot geheimhouding verplicht is;
• helpt de klant, voor zover redelijk, bij het beantwoorden van verzoeken van betrokkenen (inzage, correctie, verwijdering, bezwaar) en bij een eventuele DPIA of voorafgaande raadpleging;
• verwerkt een afmelding van een beller (bijvoorbeeld "STOP") automatisch, zodat die beller geen berichten meer krijgt via Obbot;
• stuurt een verzoek van een betrokkene dat rechtstreeks bij Obbot binnenkomt door aan de klant.

06

Verplichtingen van de klant

De klant:

• zorgt voor een geldige grondslag voor de verwerking en informeert zijn bellers, bijvoorbeeld in zijn eigen privacyverklaring en in de voicemail;
• zorgt dat de tekst van de berichten past bij de wet, zoals de regels voor ongevraagde communicatie in artikel 11.7 Telecommunicatiewet en het beleid van WhatsApp (te controleren welke tekst per kanaal is toegestaan);
• gebruikt de gegevens die hij via Obbot ontvangt alleen om de beller te helpen.

07

Subverwerkers

De klant geeft Obbot toestemming om de volgende subverwerkers in te zetten. Locaties en doorgiftegrondslag zijn nog niet geverifieerd: te controleren.

• Bird (MessageBird B.V.): telefonie (het Obbot-nummer, doorschakelen, voicemail), sms en WhatsApp. Gegevens: telefoonnummer beller, oproepgegevens, berichtinhoud. Vestiging: Nederland (te controleren). Locatie van opslag en eventuele doorgifte buiten de EER: te controleren. Doorgiftegrondslag: te controleren.
• Cloudflare: hosting van de website en de Obbot-software (Workers), opslag van aanmeldgegevens en het versturen van e-mail. Gegevens: aanmeldgegevens van de klant, technische gegevens, en bij de dienst ook telefoonnummers en berichtinhoud die door de software gaan. Vestiging en contractspartij: te controleren. Locatie van verwerking (wereldwijd netwerk) en doorgifte naar de Verenigde Staten: te controleren. Doorgiftegrondslag (bijvoorbeeld EU-US Data Privacy Framework of standaardcontractbepalingen): te controleren.
• Stripe: betaling van het abonnement. Gegevens: gegevens van de klant (niet van bellers): naam, e-mailadres, bedrijf, betaalgegevens. Contractspartij in de EU en doorgifte naar de Verenigde Staten: te controleren. Doorgiftegrondslag: te controleren. Let op: voor deze gegevens is Obbot mogelijk zelf verwerkingsverantwoordelijke en geen verwerker (te controleren).

Mogelijk ook relevant, te controleren of dit subverwerkers zijn:

• Meta (WhatsApp): bij berichten via WhatsApp gaat de berichtinhoud via het WhatsApp Business Platform van Meta, via Bird. Rol, locatie en doorgiftegrondslag: te controleren.
• Google (Gmail van grid eight B.V.): aanvragen via het contactformulier komen per e-mail binnen. Dit zijn gegevens van de klant zelf. Te controleren of dit onder deze overeenkomst valt.

Obbot legt aan elke subverwerker ten minste dezelfde verplichtingen op als in deze verwerkersovereenkomst. Obbot meldt een nieuwe of andere subverwerker vooraf aan de klant, ten minste 30 dagen voordat die wordt ingezet (termijn te controleren). De klant kan binnen die termijn met redenen bezwaar maken. Komen partijen er niet uit, dan kan de klant de overeenkomst opzeggen zonder kosten.

08

Doorgifte buiten de EER

Obbot geeft persoonsgegevens alleen door naar een land buiten de Europese Economische Ruimte als daarvoor een geldige grondslag uit hoofdstuk V van de AVG is, zoals een adequaatheidsbesluit of standaardcontractbepalingen. Welke doorgiftes er nu zijn en op welke grondslag: te controleren (zie subverwerkers).

09

Beveiliging

Obbot neemt passende technische en organisatorische maatregelen. Op dit moment zijn dat onder meer:

• versleutelde verbindingen (HTTPS) voor de website en alle koppelingen;
• geheime sleutels staan niet in de broncode maar in beveiligde instellingen van de hosting;
• controle van de echtheid van berichten van de betaaldienst (handtekeningcontrole van webhooks);
• beperking van het aantal verzoeken per bezoeker om misbruik te voorkomen;
• toegang tot beheeromgevingen alleen voor medewerkers van Obbot die dat nodig hebben, met tweestapsverificatie waar de dienst dat biedt (te controleren per dienst);
• bewaren van zo min mogelijk gegevens (zie verwijdering).

Obbot mag de maatregelen aanpassen, zolang het beveiligingsniveau niet lager wordt.

10

Datalekken

Obbot meldt een inbreuk in verband met persoonsgegevens (datalek) die de gegevens van de klant raakt zonder onnodige vertraging aan de klant, en waar mogelijk binnen 24 uur nadat Obbot het lek heeft ontdekt (termijn te controleren). Obbot geeft daarbij, voor zover bekend: wat er is gebeurd, welke gegevens en hoeveel betrokkenen het raakt, de waarschijnlijke gevolgen, en de maatregelen die Obbot heeft genomen of voorstelt. Obbot vult die informatie aan zodra er meer bekend is.

De klant beslist of het lek wordt gemeld bij de Autoriteit Persoonsgegevens en aan betrokkenen. De klant moet dat binnen 72 uur doen. Obbot helpt daarbij. Obbot meldt een lek van de gegevens van de klant niet zelf bij de toezichthouder of betrokkenen, tenzij de wet dat verplicht.

11

Bewaren en verwijderen

Obbot bewaart gegevens van bellers niet langer dan nodig voor de dienst. Voorstel (te controleren en af te stemmen op wat technisch kan bij Bird):

• berichten en oproepgegevens van bellers: maximaal 90 dagen, daarna verwijderd;
• een afmelding (STOP) van een beller: zolang de klant Obbot gebruikt, zodat die beller geen berichten meer krijgt;
• gegevens die Obbot wettelijk moet bewaren, zoals facturen: zo lang als de wet vraagt.

Bij het einde van de overeenkomst verwijdert Obbot de gegevens van bellers binnen 30 dagen, of geeft die eerst terug als de klant daarom vraagt. Obbot vraagt subverwerkers hetzelfde te doen. Obbot bevestigt de verwijdering op verzoek schriftelijk.

12

Audit

Obbot geeft de klant op verzoek de informatie die nodig is om aan te tonen dat Obbot zich aan deze verwerkersovereenkomst houdt. De klant kan eenmaal per jaar, of na een datalek, een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht. De klant kondigt een audit ten minste 14 dagen vooraf aan. De kosten van een audit zijn voor de klant, tenzij blijkt dat Obbot deze verwerkersovereenkomst op belangrijke punten niet nakomt. Voor subverwerkers kan Obbot verwijzen naar hun eigen certificeringen en rapporten (te controleren welke beschikbaar zijn).

13

Aansprakelijkheid

Voor aansprakelijkheid geldt wat in de algemene voorwaarden van Obbot staat (te controleren of de beperking daar ook voor deze verwerkersovereenkomst kan gelden).

14

Slot

Bij strijd tussen deze verwerkersovereenkomst en de algemene voorwaarden gaat deze verwerkersovereenkomst voor, voor zover het gaat om de verwerking van persoonsgegevens. Op deze verwerkersovereenkomst is Nederlands recht van toepassing.