Verwerkersovereenkomst
Uw kantoor is verwerkingsverantwoordelijke voor zijn leads; LeadFollow is verwerker. Dit zijn de afspraken daarover, zoals de AVG die vraagt.
1. Partijen en onderwerp
Deze verwerkersovereenkomst is gesloten tussen het bedrijf dat een omgeving bij LeadFollow heeft (de Klant, verwerkingsverantwoordelijke) en Onora Capital B.V., handelend onder de naam LeadFollow, gevestigd te Den Haag en ingeschreven bij de Kamer van Koophandel onder nummer 42135142 (btw-nummer NL869879030B01), bereikbaar via info@lead-follow.nl (LeadFollow, verwerker). Zij maakt deel uit van de algemene voorwaarden en gaat in op het moment dat de Klant onze offerte accepteert, zodat zij ook geldt tijdens de inrichting van zijn omgeving. Zij geldt zolang de omgeving bestaat, en daarna zolang LeadFollow nog persoonsgegevens van de Klant onder zich heeft.
Begrippen als persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, betrokkene en inbreuk in verband met persoonsgegevens hebben de betekenis uit de Algemene verordening gegevensbescherming (AVG).
2. Wat er verwerkt wordt
Doel: het laten werken van LeadFollow voor de Klant: leads uit alle bronnen op één plek ontvangen, ontdubbelen, toewijzen en opvolgen; de AI-assistent namens de Klant afspraken laten plannen met leads in een gesprek op het scherm, uitnodigingen en herinneringen laten sturen per e-mail en WhatsApp, en wie het nummer van LeadFollow terugbelt doorverbinden met de Klant, alles binnen de instellingen die de Klant kiest; gesprekken samenvatten; het team informeren; statistieken tonen; en het abonnement afhandelen.
Categorieën betrokkenen: leads (mensen die een aanvraag doen bij de Klant, en hun eventuele huisgenoten of contactpersonen die in een gesprek genoemd worden) en medewerkers van de Klant die het dashboard gebruiken.
Soorten persoonsgegevens: naam, telefoonnummer, e-mailadres, adres of woning waar de aanvraag over gaat, het bericht van de lead, de bron van de aanvraag, de antwoorden van de lead in het gesprek op het scherm met de AI-assistent en de afspraak die daaruit volgt, opnames en uitgeschreven telefoongesprekken van de assistent van vóór 24 september 2026 (90 dagen bewaard, zie artikel 11), samenvattingen, WhatsApp- en e-mailberichten, het logboek van de opvolging, de status en het type van de lead, notities van medewerkers en, voor medewerkers, naam, e-mailadres en mobiel nummer. Bijzondere persoonsgegevens (zoals gezondheid of financiële situatie) horen niet in LeadFollow; komen ze toch in een gesprek of bericht voor, dan worden ze alleen opgeslagen als onderdeel van dat gesprek en niet apart gebruikt.
Aard: opslaan, ordenen, doorsturen naar de gekozen medewerkers en kanalen, een gesprek op het scherm voeren en berichten sturen namens de Klant, terugbellers doorverbinden, automatisch samenvatten en vrije tekst vergelijken met een taalmodel, tonen in het dashboard, exporteren en verwijderen.
3. Instructies van de Klant
LeadFollow verwerkt persoonsgegevens uitsluitend in opdracht van de Klant en volgens diens instructies. De instellingen die de Klant in het dashboard kiest (welke bronnen, welke medewerkers, voor welke bronnen de AI-assistent aanstaat, welke diensten, welk werkgebied en welke grenzen zij toetst, wanneer er berichten gaan) gelden als die instructies, net als deze overeenkomst en de algemene voorwaarden. LeadFollow gebruikt de gegevens nooit voor eigen doeleinden, verkoopt ze niet en gebruikt ze niet om modellen te trainen.
Verplicht een wet LeadFollow om gegevens te verwerken of te verstrekken, dan laat LeadFollow dat vooraf aan de Klant weten, tenzij die wet dat verbiedt. Vindt LeadFollow dat een instructie in strijd is met de AVG, dan meldt zij dat direct.
De Klant staat ervoor in dat hij de gegevens rechtmatig in LeadFollow zet, dat hij een grondslag heeft om leads te benaderen en dat hij de betrokkenen informeert, bijvoorbeeld in zijn eigen privacyverklaring.
4. Geheimhouding
Iedereen die bij LeadFollow toegang heeft tot persoonsgegevens van de Klant, is verplicht tot geheimhouding en heeft die toegang alleen voor zover nodig om de dienst te leveren, storingen op te lossen of de Klant te helpen. Die verplichting blijft bestaan na het einde van deze overeenkomst.
5. Beveiliging
LeadFollow neemt passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies en onrechtmatige verwerking, waaronder:
- versleutelde verbindingen (TLS) voor alle verkeer, ook naar leveranciers;
- versleutelde opslag bij de hostingpartijen (database in Frankfurt, EU);
- toegang tot het dashboard alleen met wachtwoord (als hash bewaard) of eenmalige inloglink; sessies verlopen na 30 dagen zonder gebruik;
- strikte scheiding tussen kantoren: elke omgeving ziet alleen de eigen gegevens;
- beperking van inlog- en aanmeldpogingen per adres, en logboeken om misbruik te herkennen;
- koppelingen met een geheime koppel-URL per kantoor, die de Klant zelf kan vernieuwen;
- toegang tot productiegegevens alleen voor bevoegde personen bij LeadFollow, op basis van noodzaak.
LeadFollow houdt deze maatregelen actueel naar de stand van de techniek en de risico's van de verwerking.
6. Subverwerkers
De Klant geeft LeadFollow toestemming om de volgende subverwerkers in te schakelen:
| Partij | Waarvoor | Waar de gegevens staan |
|---|---|---|
| Vercel | Hosting van de website en het dashboard | EU (Frankfurt) voor de applicatie; wereldwijd netwerk voor statische bestanden |
| Supabase | Database van het dashboard (leads, logboek, instellingen, accounts) | EU (Frankfurt) |
| Resend | Versturen en ontvangen van e-mail (meldingen, inloglinks, leads per e-mail) | EU en VS; EU-modelcontracten |
| Stripe | Betalingen, facturen en betaalgegevens; wij zien nooit uw volledige kaart- of rekeningnummer | EU en VS; EU-modelcontracten |
| Vapi | Telefonie van het nummer van LeadFollow: een kort bericht of doorverbinding voor wie dat nummer terugbelt, en de opnames van eerdere gesprekken, die LeadFollow daar na 90 dagen wist | VS; EU-modelcontracten |
| WinCOM (basicVoice) | De telefoonlijn van het nummer van LeadFollow: het telefoonnummer van de beller en de gegevens van het gesprek (tijdstip, duur) | Nederland |
| Deepgram | Spraakherkenning tijdens een telefoongesprek | VS; EU-modelcontracten |
| ElevenLabs | De stem van de AI-assistent tijdens een telefoongesprek | VS; EU-modelcontracten |
| OpenAI | Taalmodel dat een telefoongesprek voert en de samenvatting schrijft | VS; EU-modelcontracten; gegevens worden niet gebruikt om modellen te trainen |
| Anthropic | Taalmodel dat vrije tekst van de lead in het gesprek op het scherm vergelijkt met de diensten van de Klant, en de assistenten in het dashboard | VS; EU-modelcontracten; gegevens worden niet gebruikt om modellen te trainen |
| Meta (WhatsApp Business) | WhatsApp-berichten naar leads en meldingen aan uw team | EU en VS; EU-modelcontracten |
| Google Workspace | Onze eigen zakelijke e-mail en agenda | EU en VS; EU-modelcontracten |
| Cloudflare (Turnstile) | Spamcontrole op de aanmeld- en inlogpagina van het dashboard: het IP-adres en een kort browserkenmerk van de medewerker die inlogt. Geen leadgegevens | EU en VS; EU-modelcontracten |
| Kadaster (PDOK Locatieserver) | Controle van het adres tijdens een AI-gesprek: alleen de postcode en het huisnummer gaan erheen, zonder naam of telefoonnummer, en er komt een adres terug | Nederland (open overheidsdienst) |
LeadFollow sluit met elke subverwerker een overeenkomst met verplichtingen die minimaal gelijk zijn aan die in deze overeenkomst, en blijft tegenover de Klant verantwoordelijk voor hun werk. Wil LeadFollow een subverwerker toevoegen of vervangen, dan laat zij dat minimaal 30 dagen van tevoren per e-mail weten. Heeft de Klant daar gegronde bezwaren tegen en komen partijen er niet uit, dan kan de Klant het abonnement opzeggen per de datum waarop de wijziging ingaat; vooruitbetaalde bedragen voor de periode daarna worden terugbetaald. De actuele lijst staat altijd op lead-follow.nl/verwerkersovereenkomst.
7. Doorgifte buiten de EER
De applicatie en de database van LeadFollow staan in de Europese Unie (Frankfurt). Een aantal subverwerkers verwerkt gegevens (ook) in de Verenigde Staten: de telefonie, spraakherkenning, stem en het taalmodel van de AI-assistent, en delen van e-mail, betaling en WhatsApp. Die doorgiften zijn gebaseerd op de standaardcontractbepalingen van de Europese Commissie en, waar de leverancier daaraan deelneemt, op het EU-VS Data Privacy Framework. LeadFollow beoordeelt bij elke subverwerker of aanvullende maatregelen nodig zijn.
7a. De AI-verordening
De AI-belassistent is een AI-systeem in de zin van Verordening (EU) 2024/1689 (de AI-verordening). LeadFollow ontwikkelt dat systeem en brengt het onder eigen naam op de markt en is daarmee aanbieder in de zin van artikel 3 van die verordening. De Klant zet het onder zijn eigen verantwoordelijkheid in en is daarmee gebruiksverantwoordelijke.
LeadFollow zorgt ervoor dat de assistent in haar eerste zin zegt dat zij een digitale assistent is, zodat de lead weet dat hij met een AI-systeem communiceert, zoals artikel 50 lid 1 van die verordening voorschrijft; de telefoongesprekken die zij tot 24 september 2026 voerde, begonnen met de mededeling dat het gesprek werd opgenomen. Die mededeling staat in de vaste instructie van de assistent en is niet uit te zetten, ook niet door de Klant. De Klant zorgt ervoor dat hij de assistent gebruikt binnen het doel waarvoor LeadFollow hem levert, en meldt het bij LeadFollow als hij merkt dat de assistent iets zegt of doet dat daarbuiten valt.
8. Inbreuken in verband met persoonsgegevens
Ontdekt LeadFollow een inbreuk in verband met persoonsgegevens van de Klant (een datalek), dan meldt zij dat zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking aan de beheerder van de Klant per e-mail, met wat er bekend is over de aard van de inbreuk, de betrokken gegevens en personen, de waarschijnlijke gevolgen en de genomen maatregelen. Informatie die later bekend wordt, volgt zo snel mogelijk. De Klant beslist zelf of hij de Autoriteit Persoonsgegevens en de betrokkenen informeert; LeadFollow helpt daarbij.
Ontdekt de Klant zelf een inbreuk of een vermoeden daarvan die LeadFollow raakt (bijvoorbeeld een gestolen inlog of een verkeerd gekoppelde bron), dan meldt hij dat aan info@lead-follow.nl met "Datalek" in het onderwerp. Dat adres wordt elke werkdag gelezen; LeadFollow bevestigt de ontvangst en handelt volgens dit artikel.
9. Rechten van betrokkenen en bijstand
Ontvangt LeadFollow een verzoek van een betrokkene (bijvoorbeeld om inzage of verwijdering, of om niet meer benaderd te worden), dan stuurt zij dat direct door naar de Klant en handelt zij het niet zelf af, behalve waar de Klant dat vraagt. De Klant kan de meeste verzoeken zelf uitvoeren in het dashboard: gegevens inzien, aanpassen, exporteren (CSV) en verwijderen, en een lead op "niet meer benaderen" zetten, waarna de assistent en de automatische berichten stoppen. Een lead kan dat ook zelf doen via de afmeldlink onderaan een e-mail of door "stop" te antwoorden op een WhatsApp-bericht; LeadFollow legt dat dan direct vast in de omgeving van de Klant, met tijdstip en herkomst in het logboek van de lead.
LeadFollow helpt de Klant, voor zover redelijk en met inachtneming van de aard van de verwerking, bij het nakomen van zijn verplichtingen rond beveiliging, datalekken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van de toezichthouder.
10. Controle
LeadFollow stelt op verzoek de informatie beschikbaar die nodig is om aan te tonen dat zij deze overeenkomst nakomt, en beantwoordt redelijke vragen van de Klant of zijn toezichthouder. Is dat niet voldoende, dan mag de Klant maximaal één keer per jaar, na een aankondiging van 30 dagen en op eigen kosten, een audit laten uitvoeren door een onafhankelijke deskundige die geheimhouding heeft toegezegd, tijdens kantooruren en zonder de dienstverlening aan andere klanten te verstoren.
11. Einde van de verwerking
Het gesprek op het scherm met de AI-assistent wordt als tekst bij de lead bewaard en verdwijnt mee als de Klant de lead verwijdert. Los van het einde van het abonnement wist LeadFollow de opname en het uitgeschreven gesprek van elk telefoongesprek dat de AI-assistent tot 24 september 2026 voerde 90 dagen na het gesprek, ook bij de belprovider (Vapi); de samenvatting en het logboek blijven bij de lead. Heeft een lead bezwaar tegen de opname, dan wordt het gesprek afgerond en wordt er geen opname of uitgeschreven gesprek bewaard. Verwijdert de Klant een lead of de hele omgeving, dan wist LeadFollow ook de bijbehorende opnames bij de belprovider.
Komt een aanvraag via een koppeling binnen maar kan LeadFollow hem door een storing niet in een lead omzetten, dan bewaart LeadFollow de aanvraag zoals hij binnenkwam, zodat hij daarna alsnog verwerkt kan worden en de Klant hem niet misloopt. Dat is hoogstens zeven dagen; daarna wordt hij verwijderd, ook als hij nog niet verwerkt is. Zolang hij er staat is hij alleen zichtbaar voor beheerders van LeadFollow.
De Klant stelt in zijn dashboard in na hoeveel maanden zonder enige activiteit een lead automatisch wordt gewist. De standaard is 24 maanden; de Klant kan die aanpassen tussen 6 en 48 maanden, of op nul zetten als hij zelf een bewaarplicht heeft. Leads waar een opdracht uit is gekomen worden nooit automatisch gewist, en de termijn telt vanaf de laatste activiteit en niet vanaf de binnenkomst. Deze instelling geeft uitvoering aan artikel 5 lid 1 sub e AVG (opslagbeperking); de Klant is als verwerkingsverantwoordelijke degene die de termijn bepaalt en kan motiveren.
Na het einde van het abonnement kan de Klant zijn leads nog 30 dagen exporteren als CSV-bestand. Daarna verwijdert LeadFollow de omgeving met alle persoonsgegevens, uiterlijk binnen twaalf maanden na het einde van het abonnement en eerder als de Klant daarom vraagt. Kopieën in back-ups verdwijnen binnen 90 dagen daarna. LeadFollow bewaart alleen wat zij wettelijk moet bewaren (zoals facturen) en bevestigt de verwijdering op verzoek.
12. Overig
De aansprakelijkheid van partijen onder deze overeenkomst volgt de regeling in de algemene voorwaarden. Wijzigingen van deze overeenkomst worden aangekondigd zoals daar beschreven. Op deze overeenkomst is Nederlands recht van toepassing. Bij strijd tussen deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor waar het de verwerking van persoonsgegevens betreft.
Vragen over deze overeenkomst? Mail info@lead-follow.nl.
