Deze bijlage geldt als verwerkersovereenkomst in de zin van artikel 28 AVG en maakt onlosmakelijk deel uit van de overeenkomst. Afzonderlijke ondertekening is niet vereist.
Versie 1.0 — 11 juni 2026
Deze bijlage geldt tussen Clarifix B.V., statutair gevestigd te Zuidlaren, bezoekadres De Gording 28, 9472 ZB Zuidlaren, ingeschreven bij de Kamer van Koophandel onder nummer 97841919 (Clarifix) en de klant zoals vermeld in de offerte of overeenkomst (klant), voor zover Clarifix persoonsgegevens van eindklanten namens klant verwerkt.
1.1. Klant is verwerkingsverantwoordelijke voor de persoonsgegevens van zijn eindklanten die via de diensten worden verwerkt. Clarifix is voor die gegevens verwerker.
1.2. Clarifix is zelfstandig verwerkingsverantwoordelijke voor eigen bedrijfsprocessen, waaronder facturatie, support, accountbeheer, beveiliging en relatiebeheer. Daarop ziet deze bijlage niet.
1.3. Klant zorgt voor een rechtmatige grondslag, een passende privacyverklaring en het informeren van eindklanten, waaronder de AI-melding. Clarifix levert daarvoor standaardteksten aan.
2.1. Onderwerp en aard: het verwerken van persoonsgegevens van eindklanten in het kader van de AI-klantenservice (de digitale assistent Mindy) via telefonie, WhatsApp, website chat, e-mail en andere overeengekomen kanalen.
2.2. Categorieën betrokkenen: eindklanten van klant die via de diensten contact opnemen.
2.3. Categorieën persoonsgegevens: contactgegevens (zoals naam, telefoonnummer en e-mailadres), de inhoud van gesprekken en berichten (waaronder transcripties), gegevens over reserveringen, afspraken en aanvragen, en technische gegevens (zoals tijdstippen en sessiegegevens). Klant zal geen bijzondere categorieën persoonsgegevens als bedoeld in artikel 9 AVG via de diensten (laten) verwerken.
2.4. Doel: het namens klant afhandelen van klantcontact en het uitvoeren van de overeenkomst.
2.5. Duur: gelijk aan de looptijd van de overeenkomst, met inachtneming van de bewaartermijnen in artikel 7.
3.1. Clarifix verwerkt persoonsgegevens uitsluitend op instructie van klant zoals vastgelegd in de overeenkomst, deze bijlage en de configuratie van de diensten, behoudens afwijkende wettelijke verplichtingen.
3.2. Clarifix gebruikt persoonsgegevens van eindklanten niet voor eigen doeleinden. Voor algemene productverbetering gebruikt Clarifix uitsluitend geanonimiseerde of geaggregeerde gegevens die niet tot eindklanten herleidbaar zijn.
3.3. Personen die onder gezag van Clarifix persoonsgegevens verwerken zijn gebonden aan geheimhouding.
4.1. Clarifix treft passende technische en organisatorische maatregelen (artikel 32 AVG), waaronder:
4.2. Clarifix mag de maatregelen aanpassen, mits het beveiligingsniveau niet wezenlijk vermindert.
5.1. Klant geeft Clarifix algemene toestemming om subverwerkers in te schakelen. De actuele subverwerkerslijst maakt deel uit van deze Privacy- en Verwerkersbijlage en is op aanvraag beschikbaar; welke subverwerkers daadwerkelijk worden ingezet hangt af van de afgenomen dienst, configuratie, koppelingen en kanalen.
5.2. Clarifix legt subverwerkers verplichtingen op die ten minste gelijkwaardig zijn aan deze bijlage en blijft jegens klant verantwoordelijk voor hun nakoming.
5.3. Wezenlijke wijzigingen maakt Clarifix op redelijke wijze kenbaar, bijvoorbeeld via e-mail, dashboard of de bijgewerkte lijst. Klant kan binnen 14 dagen schriftelijk en gemotiveerd bezwaar maken op redelijke en aantoonbare privacy- of compliancegronden. Bij gegrond bezwaar zoeken partijen een redelijke oplossing; is die er niet, dan mag Clarifix de betreffende functionaliteit beperken, aanpassen of beëindigen. De enkele inzet van een nieuwe of vervangende subverwerker geeft geen recht op schadevergoeding, korting of ontbinding, tenzij dwingend recht anders bepaalt.
5.4. De subverwerkerslijst is ingedeeld naar functionele categorieën (zoals AI-taalmodellen, spraaktechnologie, telefonie en berichtenverkeer, database en opslag, workflow-automatisering en hosting). Het vervangen of toevoegen van een leverancier binnen een bestaande categorie, met een ten minste gelijkwaardig beschermings- en doorgifteniveau, geldt niet als wezenlijke wijziging; Clarifix werkt in dat geval de lijst bij. Als wezenlijke wijziging geldt in elk geval: een nieuwe functionele categorie, doorgifte naar een land zonder passend doorgiftemechanisme, of een aantoonbaar lager beschermingsniveau. Daarvoor geldt de procedure van artikel 5.3.
5.5. Doorgifte buiten de EER vindt alleen plaats met een geldig doorgiftemechanisme, zoals het EU-US Data Privacy Framework of standaardcontractbepalingen, zoals vermeld in de subverwerkerslijst.
6.1. Clarifix verleent klant redelijke bijstand bij verzoeken van betrokkenen (inzage, correctie, verwijdering), datalekmeldingen en gegevensbeschermingseffectbeoordelingen. Verzoeken van betrokkenen die Clarifix rechtstreeks ontvangt, stuurt zij onverwijld door aan klant. Bijstand die niet het gevolg is van een tekortkoming van Clarifix mag tegen redelijke vergoeding worden verleend.
6.2. Bij een inbreuk in verband met persoonsgegevens informeert Clarifix klant zonder onredelijke vertraging, met als streven uiterlijk 48 uur na ontdekking, met alle op dat moment beschikbare informatie over aard, betrokkenen, vermoedelijke gevolgen en maatregelen. Aanvullingen volgen zodra beschikbaar.
6.3. Klant beslist over melding aan de Autoriteit Persoonsgegevens en aan betrokkenen. Clarifix meldt niet zelfstandig namens klant, tenzij schriftelijk overeengekomen. Partijen leggen bij onboarding een contactpersoon voor incidenten vast.
7.1. Transcripties en ruwe gesprekslogs: maximaal 90 dagen, tenzij schriftelijk anders overeengekomen. Technische en beveiligingslogs: maximaal 12 maanden, langer uitsluitend voor zover noodzakelijk voor beveiliging, facturatie, een lopend geschil of een wettelijke verplichting.
7.2. Na einde van de overeenkomst verwijdert Clarifix alle persoonsgegevens van eindklanten binnen 30 dagen, behoudens wettelijke bewaarplichten. Op verzoek van klant, gedaan voor de einddatum, levert Clarifix eerst binnen 14 dagen een export in een gangbaar formaat.
8.1. Clarifix toont naleving primair aan met informatie, rapportages of certificeringen. Volstaat dat aantoonbaar niet, dan mag klant maximaal eenmaal per jaar een audit laten uitvoeren door een onafhankelijke, tot geheimhouding verplichte deskundige, na 30 dagen aankondiging, tijdens kantooruren en op eigen kosten. Bedrijfsgeheimen van Clarifix en gegevens van andere klanten vallen buiten de audit.
8.2. De beperking van aansprakelijkheid uit de algemene voorwaarden is onverkort van toepassing op deze bijlage, voor zover dwingend recht zich daartegen niet verzet.
8.3. Deze bijlage geldt zolang Clarifix persoonsgegevens namens klant verwerkt en eindigt na afronding van de verwijdering uit artikel 7.2. Nederlands recht is van toepassing.
Heb je vragen over hoe wij omgaan met gegevens, of wil je gebruikmaken van je rechten als betrokkene? Neem gerust contact met ons op.