Om Tobachat te leveren schakelen we een paar andere bedrijven in. Die heten subverwerkers. Hieronder staat per partij waarvoor we hem gebruiken, welke gegevens hij ziet, waar hij verwerkt, en op welke grondslag gegevens de EU mogen verlaten.
1. Wat deze lijst is
Voor de berichten en contacten van jouw klanten ben jij verwerkingsverantwoordelijke en zijn wij verwerker. Wij verwerken die gegevens alleen in jouw opdracht. De partijen hieronder werken op hun beurt in onze opdracht en mogen er niets anders mee doen dan wat hier staat.
Ga je akkoord met onze voorwaarden, dan geef je ons daarmee vooraf toestemming om deze partijen in te schakelen. Hoe dat werkt staat in de verwerkersovereenkomst. Verandert de lijst, dan hoor je dat vooraf. Zie punt 5.
2. De lijst
Bijgewerkt op de datum bovenaan deze pagina.
Supabase Pte. Ltd. (Singapore)
- Waarvoor: de database, het inloggen, de opslag van media en het draaien van onze serverfuncties.
- Welke gegevens: alles wat in Tobachat staat: contacten, telefoonnummers, de inhoud van berichten, media, accounts en instellingen.
- Waar: de EU. Sommige ondersteunende verwerking kan daarbuiten plaatsvinden.
- Grondslag voor doorgifte: de standaardcontractbepalingen van de Europese Commissie uit 2021.
WhatsApp Ireland Limited (Ierland)
- Waarvoor: het versturen en ontvangen van WhatsApp-berichten en het beheren van je WhatsApp Business-account.
- Welke gegevens: telefoonnummers, de inhoud van berichten, media, en de gegevens van je WhatsApp Business-account.
- Waar: Ierland, met verwerking in het wereldwijde netwerk van Meta, waaronder de Verenigde Staten.
- Grondslag voor doorgifte: het EU-US Data Privacy Framework, waaronder WhatsApp LLC is aangemeld, met de standaardcontractbepalingen als terugval.
Google Cloud EMEA Limited (Ierland), voor de Gemini API
- Waarvoor: de AI-functies: een antwoord voorstellen of versturen, een bericht indelen, een gegeven uit een bericht halen, en het schrijven van flows en templates.
- Welke gegevens: de berichten uit het gesprek, ook spraakberichten en foto's, de naam van het contact met de labels en velden die je bijhoudt, en de bedrijfscontext die je zelf invult. Het telefoonnummer en het e-mailadres van het contact voegen we niet toe. Google gebruikt deze gegevens niet om zijn producten te verbeteren of modellen te trainen, maar bewaart ze tijdelijk om misbruik op te sporen.
- Waar: Ierland als contractpartij, met verwerking in datacentra van Google die ook buiten de EU liggen.
- Grondslag voor doorgifte: het EU-US Data Privacy Framework, waaronder Google LLC is aangemeld, met de standaardcontractbepalingen als terugval.
Functional Software, Inc., handelend als Sentry (Verenigde Staten)
- Waarvoor: het opsporen van technische fouten in de software.
- Welke gegevens: foutmeldingen met technische details, soms met een schermopname, en het account van de ingelogde medewerker. Persoonsgegevens van jouw klanten filteren we eruit.
- Waar: foutmeldingen in de EU, accountgegevens in de Verenigde Staten.
- Grondslag voor doorgifte: het EU-US Data Privacy Framework, waaronder Sentry is aangemeld, met de standaardcontractbepalingen als terugval.
Cloudflare, Inc. (Verenigde Staten)
- Waarvoor: het hosten van de website en het dashboard, netwerkverkeer en versleutelde opslag.
- Welke gegevens: IP-adressen en opgevraagde pagina's, binnenkomende webhooks, klikgegevens van links in campagnes en versleutelde back-ups.
- Waar: het wereldwijde netwerk van Cloudflare.
- Grondslag voor doorgifte: het EU-US Data Privacy Framework, waaronder Cloudflare is aangemeld, met de standaardcontractbepalingen voor wat daar niet onder valt.
Stripe Payments Europe, Limited (Ierland)
- Waarvoor: het afhandelen van betalingen, abonnementen en facturen.
- Welke gegevens: je bedrijfsnaam, e-mailadres, factuurgegevens en betaalgegevens. Geen gegevens van jouw klanten.
- Waar: Ierland, met doorgifte aan Stripe, LLC in de Verenigde Staten.
- Grondslag voor doorgifte: het EU-US Data Privacy Framework, waaronder Stripe, LLC is aangemeld, met de standaardcontractbepalingen als terugval.
Plus Five Five, Inc., handelend als Resend (Verenigde Staten)
- Waarvoor: het versturen van e-mail over je account: bevestigingen, uitnodigingen, meldingen en wachtwoordherstel.
- Welke gegevens: het e-mailadres en de naam van de ontvanger, en de inhoud van die e-mail.
- Waar: de Verenigde Staten.
- Grondslag voor doorgifte: de standaardcontractbepalingen van de Europese Commissie uit 2021, aangevuld met het EU-US Data Privacy Framework.
GitHub, Inc. (Verenigde Staten)
- Waarvoor: het draaien van onze bouw- en onderhoudstaken, waaronder versleutelde back-ups.
- Welke gegevens: tijdens het maken van een back-up kort een kopie van de database, voordat die versleuteld wordt weggeschreven.
- Waar: buiten de EU, standaard in de Verenigde Staten.
- Grondslag voor doorgifte: het EU-US Data Privacy Framework, waaronder GitHub is aangemeld, met de standaardcontractbepalingen uit 2021 als alternatief.
Verder gaat er niets naar buiten. We verkopen geen gegevens, en we gebruiken de gesprekken van de ene organisatie nooit om iets voor een andere te verbeteren.
3. Verwerking buiten de EU
Gegevens mogen de Europese Economische Ruimte op twee gronden verlaten. De eerste is een adequaatheidsbesluit: de Europese Commissie heeft vastgesteld dat een regeling genoeg bescherming biedt. Het EU-US Data Privacy Framework is zo'n besluit; een Amerikaans bedrijf meldt zich daarvoor aan en bevestigt dat elk jaar. De tweede zijn de standaardcontractbepalingen die de Commissie in 2021 heeft vastgesteld: een vast contract dat de ontvanger aan Europese regels bindt.
Bij elke partij hierboven staat welke van de twee geldt. Waar een partij op het Data Privacy Framework leunt, staan de standaardcontractbepalingen als terugval in het contract, zodat een wijziging in dat besluit de dienst niet stillegt.
4. Partijen die jij zelf inschakelt
Zet je een koppeling aan, dan gaan er gegevens naar een partij die jij kiest. Die staat niet in de lijst hierboven, want wij kiezen hem niet en wij hebben er geen overeenkomst mee. Het gaat om:
- Zapier, als je de Zapier-koppeling aanzet. Contacten en binnenkomende berichten gaan dan naar de Zaps die jij maakt.
- een webadres dat je zelf invult in de HTTP-stap van een flow. Daar gaat naartoe wat jij in die stap zet.
- je boekingssysteem, zoals FareHarbor of LetsBook, dat boekingen en contactgegevens naar Tobachat stuurt.
Voor die partijen ben jij zelf verantwoordelijk en regel je zelf wat nodig is. Zet je de koppeling uit, dan stopt de stroom.
5. Wijzigingen in de lijst
Voegen we een partij toe of vervangen we er een, dan laten we dat minstens 30 dagen van tevoren weten. Dat gaat zo:
- Je krijgt bericht op het mailadres van de beheerders van je organisatie.
- De datum bovenaan deze pagina verandert mee.
- Heb je bezwaar, laat dat dan binnen 30 dagen weten. We zoeken dan samen naar een oplossing.
- Komen we er niet uit, dan kun je opzeggen tegen de datum waarop de wijziging ingaat, zonder kosten voor de resterende periode.
Bezwaar maken of een vraag stellen doe je via info@tobachat.nl.
6. De tekst voor je eigen privacyverklaring
Jij informeert je eigen klanten over wat er met hun gegevens gebeurt. Dat is jouw plicht, niet de onze, maar de tekst hoef je niet zelf te bedenken. Neem deze over in je privacyverklaring.
Het is een voorbeeldtekst. Wij weten niet wat je verder nog verwerkt, dus loop hem na op jouw situatie en pas aan wat niet klopt.
AI-hulp bij het beantwoorden van je bericht
Wij gebruiken Tobachat om berichten via WhatsApp te ontvangen en te beantwoorden. Daarbij kan een AI-model je bericht lezen, samen met je naam en wat wij bij je contact hebben vastgelegd, zodat er sneller een goed antwoord ligt. Soms stelt dat model een antwoord voor dat een medewerker van ons nakijkt en verstuurt, soms verstuurt het model het antwoord zelf. In dat laatste geval staat dat in het bericht.
Het model leest alleen onze eigen gesprekken en gebruikt je bericht niet om zichzelf te trainen. De aanbieder van het model bewaart je bericht wel tijdelijk om misbruik op te sporen. Wil je liever geen AI? Vraag om een medewerker, dan neemt een van ons het over.
Tobachat verwerkt deze gegevens als verwerker, in onze opdracht. Welke andere partijen daarbij worden ingeschakeld, lees je op tobachat.nl/subprocessors.
7. Bezoekers van onze eigen website
Deze lijst gaat over de gegevens die jij ons toevertrouwt. Wie er gegevens ontvangt van bezoekers van tobachat.nl, en welke cookies we daarvoor plaatsen, staat in onze privacyverklaring.