AVG en privacy bij een AI aan de telefoon

Wie is waarvoor verantwoordelijk?

Onder de AVG ben jij als ondernemer de 'verwerkingsverantwoordelijke' voor de gegevens van je klanten. Een leverancier die in jouw opdracht gegevens verwerkt — zoals een telefoonservice — is de 'verwerker'. Die rolverdeling is geen papieren formaliteit: ze bepaalt wie welke plichten heeft. Belt een klant je kapsalon en noteert de AI naam, nummer en afspraak, dan gebeurt dat juridisch in jouw opdracht. Jij bepaalt het doel (afspraken inplannen voor je zaak); de verwerker voert uit, binnen de grenzen die jullie samen hebben vastgelegd.

Het korte antwoord op 'mag dit?': ja, mits er een grondslag is (een afspraak inplannen voor iemand die daar zelf voor belt, is een legitiem doel), de gegevens niet langer worden bewaard dan nodig, en de afspraken tussen jou en je verwerker op papier staan. Dat laatste is geen vrijblijvend advies maar een wettelijke plicht — daarover hieronder meer.

De verwerkersovereenkomst (art. 28): standaard, niet op aanvraag

Die afspraken op papier heten een verwerkersovereenkomst, en artikel 28 van de AVG verplicht 'm zodra iemand anders persoonsgegevens voor je verwerkt. Voxori levert 'm standaard mee bij elke klantovereenkomst — je hoeft er niet om te vragen en niet voor bij te betalen. Moet je er bij een leverancier zelf achteraan, dan is dat een waarschuwing: wie deze basisplicht niet op orde heeft, heeft de rest waarschijnlijk ook niet op orde.

Wat er minimaal in hoort te staan — en waar je élke aanbieder op kunt controleren:

• Welke categorieën gegevens worden verwerkt. Bij Voxori: naam, telefoonnummer, afspraakdetails en de transcriptie van het gesprek.
• Waarvoor ze verwerkt worden — en dat de verwerker ze nergens anders voor mag gebruiken, dus ook niet voor eigen doeleinden of het trainen van modellen.
• Hoe lang gegevens bewaard worden, per datacategorie.
• Welke sub-verwerkers er zijn ingeschakeld, en waar die verwerken.
• Wat er gebeurt bij een datalek: de verwerker meldt het direct aan jou, zodat jij binnen de wettelijke 72 uur kunt beoordelen of een melding aan de Autoriteit Persoonsgegevens nodig is.
• Wat er met de gegevens gebeurt als de overeenkomst eindigt: verwijdering, geen 'archivering voor onbepaalde tijd'.

Waar staan je gegevens? Eerlijk antwoord: niet alles in de EU

Een veelgemaakte fout is gegevens laten verwerken op servers buiten de EU zonder de juiste waarborgen. Bij Voxori staat je gespreksdata — transcripties, afspraken, het dashboard — opgeslagen op servers in Amsterdam. Maar wie je vertelt dat álles netjes binnen de EU blijft, vertelt bij een AI-telefoonservice zelden het hele verhaal. De verwerking tijdens het gesprek zelf loopt deels buiten de EER: spraakherkenning, het taalmodel en de spraaksynthese zijn gespecialiseerde diensten die op dit niveau van Nederlandse spraakkwaliteit (nog) niet binnen de EER te krijgen zijn.

Dat mag van de AVG, mits met passende waarborgen. Concreet: standaardcontractbepalingen (SCC's) — het wettelijke instrument voor doorgifte buiten de EER — plus in ons geval een contractueel verbod op het gebruik van jouw gespreksdata voor modeltraining. Wij vinden dat je dit hoort te weten in plaats van het weg te moffelen achter een 'EU-only'-badge: we publiceren daarom per sub-verwerker om welke categorie het gaat en waar verwerkt wordt. Vraag je een leverancier waar de data precies staat en blijft het antwoord vaag, dan weet je genoeg.

De beller hoort dat het een AI is

De EU AI Act verplicht wat eigenlijk vanzelf zou moeten spreken: je mag mensen niet laten geloven dat ze met een mens praten als dat niet zo is. Voxori meldt daarom aan het begin van elk gesprek dat ze de digitale assistent is. Geen mensennaam met verborgen software erachter, geen 'medewerker' die stiekem een robot blijkt.

De melding is kort en duidelijk: de beller weet meteen waar hij aan toe is en kan altijd om de eigenaar vragen als hij liever een mens spreekt. Dezelfde eerlijkheid zit dieper in het systeem: een afspraak heet pas 'geboekt' als de boeking in de agenda daadwerkelijk gelukt is — lukt het niet, dan wordt er niets verzonnen. Transparantie over wát er opneemt en eerlijkheid over wat er gebeurd is, horen bij elkaar.

Rechten van bellers en bewaartermijnen

De mensen die jouw zaak bellen, houden onder de AVG al hun rechten — ook als een AI opneemt. Ze kunnen inzage vragen (welke gegevens zijn er van mij vastgelegd?), een verkeerd genoteerde naam of een fout nummer laten corrigeren, hun gegevens laten wissen als er geen reden meer is ze te bewaren, en bezwaar maken tegen een verwerking. Zegt iemand bij een uitgaande service-oproep niet meer gebeld te willen worden, dan legt Voxori dat direct vast en wordt het gerespecteerd. Als verwerkingsverantwoordelijke ben jij het aanspreekpunt voor die verzoeken; je verwerker moet ze technisch mogelijk maken.

Het verschil tussen papier en praktijk zit in de uitvoering. 'Verwijderd' hoort echt verwijderd te betekenen — niet op onzichtbaar gezet in een database waar het nog jaren staat. Voxori hanteert bewaartermijnen per datacategorie (vastgelegd in de verwerkersovereenkomst), wist gegevens op verzoek daadwerkelijk en legt van elke verwijdering een logregel vast. Zo kun je als ondernemer aantonen dát er gewist is — precies wat de AVG van je vraagt als een klant erom vraagt of een toezichthouder meekijkt.

Kies je bewaartermijn bewust: lang genoeg om gesprekken terug te kunnen lezen als een klant later ergens op terugkomt, niet langer dan je werkelijk nodig hebt. 'Voor altijd bewaren, je weet maar nooit' is onder de AVG geen bewaartermijn maar een risico.

Wat je als ondernemer zelf regelt

Een goede verwerker neemt je veel werk uit handen, maar niet je verantwoordelijkheid. Dit is wat er aan jouw kant van de streep ligt — het meeste is eenmalig, en niets ervan vereist een jurist:

• Teken de verwerkersovereenkomst en bewaar 'm. Bij een vraag van een klant of een controle is dit het document waarmee je laat zien dat het geregeld is.
• Werk je privacyverklaring bij: vermeld dat je een telefoonservice als verwerker gebruikt, welke gegevens die verwerkt en waarvoor.
• Neem de verwerking op in je verwerkingsregister, als je dat bijhoudt — voor de meeste mkb'ers een kort lijstje, geen boekwerk.
• Spreek af wie verzoeken van klanten afhandelt (inzage, correctie, wissing) en hoe je die doorzet naar je verwerker.
• Controleer wat je aan bellers communiceert: de AI-melding doet Voxori zelf, maar jouw eigen website en privacyverklaring blijven jouw verhaal.

Veelgestelde vragen