Begin bij wat je echt nodig hebt
Elke functie brengt eigen gegevensverwerking mee. Een gewoon audiogesprek is iets anders dan een opgenomen meeting met transcriptie en AI-samenvatting. Schrijf daarom eerst op wat je echt gebruikt:
- Meetings met externe gasten zonder account?
- Vaste spraakkanalen voor een team of community?
- Opnames – en wie mag ze achteraf bekijken?
- Transcripties, ondertitels of AI-samenvattingen?
- Telefonisch inbellen?
- Chat, bestanden en notities op één plek?
Deze lijst bepaalt welke van de volgende vragen voor jou het zwaarst wegen. Neem je nooit op, dan is de bewaartermijn van opnames bijzaak. Transcribeer je elke meeting, dan komen de AI-vragen eerst.
Vragen aan de aanbieder
Een serieuze aanbieder kan ze schriftelijk beantwoorden, meestal met een link naar een openbare pagina. Blijven de antwoorden vaag, dan is dat ook een antwoord.
- Wie is de aanbieder, en welk recht geldt? Naam, land van vestiging en de bevoegde rechter van het contract.
- Waar staan servers, bestandsopslag en back-ups? Vraag naar alle drie. Back-ups worden vaak vergeten.
- Wat verlaat de EU, en waarom? Typische voorbeelden: diensten voor netwerkbeveiliging, betaalproviders en optioneel inloggen met externe accounts.
- Is er een actuele lijst van sub-verwerkers? En hoe horen klanten van wijzigingen?
- Is er een verwerkersovereenkomst? Voor organisaties is die verplicht op grond van artikel 28 AVG.
- Hoe worden gegevens versleuteld? Onderweg, in opslag – en is er iets end-to-end versleuteld? Zo ja, wat werkt daar niet?
- Welke standaard bewaartermijnen gelden voor opnames, transcripties en chat? Kunnen beheerders die inkorten?
- Hoe worden deelnemers geïnformeerd wanneer een opname of transcriptie start?
- Kun je je gegevens exporteren en volledig verwijderen – per persoon en voor het hele team?
Onze AVG-checklist voor tools bevat deze vragen in een vorm die je samen met je team kunt doorlopen.
Zo lees je een lijst van sub-verwerkers
Zo’n lijst noemt de bedrijven die in opdracht van de aanbieder persoonsgegevens verwerken. Meestal heeft ze drie kolommen: naam, doel en locatie. Lees haar zo:
Bekijk de locaties
Markeer elke regel buiten de EU/EER, en regels met vage locaties zoals ‘wereldwijd’.
Leg doelen naast je gebruik
Een betaalprovider ziet alleen factuurgegevens. Een transcriptie- of AI-dienst ziet mogelijk de inhoud van je meetings. Dat tweede weegt veel zwaarder.
Controleer de grondslag voor doorgifte
Voor doorgifte buiten de EU/EER hoort de aanbieder de rechtsgrond te noemen, bijvoorbeeld een adequaatheidsbesluit of standaardcontractbepalingen.
Controleer volledigheid en actualiteit
Plaatshouders of een lijst zonder datum zijn een waarschuwing. Net als een lijst die nooit verandert terwijl het product dat zichtbaar wel doet.
De verwerkersovereenkomst: waar je op let
Gebruikt je organisatie een tool voor haar werk, dan verwerkt de aanbieder persoonsgegevens in jullie opdracht. Artikel 28 AVG vereist dan een overeenkomst. Controleer minstens of die regelt:
- onderwerp, duur, doel en soort verwerkte gegevens
- verwerking alleen op jullie gedocumenteerde instructies
- geheimhouding van de mensen die met de gegevens werken
- technische en organisatorische maatregelen
- regels voor sub-verwerkers en hoe jullie over wijzigingen worden geïnformeerd
- hulp bij verzoeken van betrokkenen en datalekken
- verwijdering of teruggave van gegevens aan het einde van het contract
- jullie recht op audits of informatie
Dit artikel is een praktisch hulpmiddel, geen juridisch advies. Vraag voor je eigen situatie je functionaris gegevensbescherming of een advocaat.
Waar draait de AI?
Bij AI-functies gaat veel inhoud rond: hele gesprekken, omgezet in tekst. Vraag concreet:
- Welke functies gebruiken AI – ondertitels, transcripties, samenvattingen, zoeken?
- Draait de aanbieder de modellen zelf, of roept hij een externe AI-dienst aan? Zo ja: welke, en waar?
- Wordt inhoud gebruikt om modellen te trainen?
- Wie kan AI uitzetten – de organisatie, het team, elke meeting? Kan één persoon bezwaar maken?
- Zijn AI-resultaten als zodanig gemarkeerd, en zijn het voorstellen of automatische besluiten?
- Hoe lang worden transcripties bewaard?
Hoe Coviqo deze vragen beantwoordt
We hebben Coviqo zo gebouwd dat deze antwoorden makkelijk te vinden zijn:
- Aanbieder
- Luxemburg
- Servers, bestandsopslag, back-ups
- Duitsland (EU)
- AI
- Spraakherkenning en taalmodel op servers die we zelf beheren; geen externe AI-aanbieders, geen training met jouw inhoud
- Wat de EU verlaat
- Netwerkbeveiliging door een CDN/proxy-aanbieder vóór website en app, de betaalprovider, optionele inlogdiensten en integraties die jij kiest – zie Waarom een Europees platform
- Sub-verwerkers
- Openbare lijst, dezelfde als in het privacybeleid
- Verwerkersovereenkomst
- Beschikbaar voor organisaties, af te sluiten in de instellingen
- Transcripties
- In nieuwe spaces standaard 90 dagen bewaard; iedereen kan bezwaar maken tegen transcriptie
Details staan op Waarom een Europees platform. Speciaal voor spraak-apps is er de checklist voor spraak-apps.
Veelgestelde vragen
Is een tool met servers in de EU automatisch AVG-conform?
Nee. De serverlocatie is één factor. De aanbieder, sub-verwerkers, het contract, bewaartermijnen en de werking van opnemen en AI tellen net zo zwaar – en ook hoe jij de tool gebruikt.
Hebben kleine verenigingen en community’s een verwerkersovereenkomst nodig?
Verwerkt een organisatie, zoals een vereniging, met een tool persoonsgegevens van haar leden, dan is een verwerkersovereenkomst volgens artikel 28 AVG in de regel nodig. Twijfel je, vraag het je functionaris gegevensbescherming.
Wat is het verschil tussen versleuteling in opslag en end-to-end versleuteling?
Bij versleuteling in opslag staan de gegevens versleuteld op de server, maar kan de aanbieder ze verwerken, bijvoorbeeld voor zoeken of transcriptie. Bij end-to-end versleuteling kunnen alleen de deelnemers de inhoud lezen – serverfuncties zoals AI werken dan niet.
In de gebruikershandleiding
Stapsgewijze instructies (in het Engels)