Verwerkersovereenkomst

Blackpepper · Versie 2.0, 1 november 2026

Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van Blackpepper. Je accepteert haar tegelijk met de voorwaarden, met het vinkje op het aanvraagformulier voor je nummer, en ze geldt zolang je Blackpepper gebruikt. Ze voldoet aan artikel 28 van de Algemene verordening gegevensbescherming (AVG).

Partijen zijn de klant (hierna: jij), als verwerkingsverantwoordelijke, en Heifen, aanbieder van Blackpepper (hierna: wij), als verwerker. Begrippen als persoonsgegevens, verwerken, betrokkene en inbreuk in verband met persoonsgegevens (datalek) hebben de betekenis die de AVG eraan geeft.

1. Onderwerp, aard en doel

Wij verwerken persoonsgegevens voor jou om de dienst Blackpepper te leveren: gesprekken, flashbacks, vergaderingen en voicemails opslaan die jij bewaart, ze uitschrijven en samenvatten, ze tonen in de app, en ze beschikbaar maken voor een AI-agent die jij via de MCP-koppeling verbindt. Als je achteraf bewaren aanzet, houden we daarnaast het geluid van elk gesprek tijdelijk vast tot het ophangen, zodat je met *9 het hele gesprek kunt bewaren.

We verwerken deze gegevens alleen voor dat doel. Voor gegevens die we voor onze eigen doelen verwerken, zoals je account, facturen en de verkeersgegevens van het telefoonnetwerk, zijn wij zelf verwerkingsverantwoordelijke; daarvoor geldt de privacyverklaring, niet deze overeenkomst.

2. Welke gegevens en van wie

Een stem gebruiken we niet om iemand te herkennen of te identificeren.

3. Jouw instructies

We verwerken de gegevens alleen op jouw schriftelijke instructies. Deze overeenkomst en de voorwaarden zijn die instructies, net als wat je in de app doet: *9 toetsen, achteraf bewaren of de aankondiging aan- of uitzetten, een flashback of vergadering bewaren, de receptionist aanzetten, een AI-agent koppelen, iets verwijderen of exporteren. Vindt een instructie ons in strijd met de wet, dan zeggen we dat. Moeten we op grond van de wet iets anders doen, dan laten we het je vooraf weten, tenzij de wet dat verbiedt.

Jij staat ervoor in dat je instructies en de verwerking rechtmatig zijn, zoals de voorwaarden beschrijven.

4. Geheimhouding

Iedereen die bij ons toegang kan hebben tot de gegevens, is tot geheimhouding verplicht. We kijken niet naar de inhoud van je opnames, behalve als jij ons daarom vraagt voor support, als het nodig is om een melding over misbruik te beoordelen zoals de voorwaarden beschrijven, of als de wet ons daartoe verplicht. Zo'n inzage leggen we vast.

5. Beveiliging

We nemen passende technische en organisatorische maatregelen. In het kort:

• Onze servers en opslag staan bij Hetzner in Duitsland, binnen de EU. Opnames staan in afgeschermde opslag die niet openbaar bereikbaar is.
• Verkeer tussen de app, je computer en onze servers is versleuteld.
• Toegang tot productiesystemen is beperkt tot de mensen die die nodig hebben, met eigen accounts.
• We loggen gebeurtenissen in onze systemen, en wie wanneer toegang heeft gehad tot inhoud.
• Het geluid van flashback blijft op je telefoon tot je iets bewaart. Het tijdelijke geluid van achteraf bewaren wordt bij het ophangen verwijderd als je niet *9 toetst.

We houden deze maatregelen bij en verbeteren ze waar nodig. Op verzoek beschrijven we ze uitgebreider.

6. Subverwerkers

Je geeft ons algemene toestemming om de volgende subverwerkers in te schakelen. Met elk van hen hebben we afspraken die minstens dezelfde bescherming bieden als deze overeenkomst, en we blijven tegenover jou verantwoordelijk voor hun werk.

Onze telecompartners voor nummers en eSIM's, KeenSystems en MaxiTEL, vervoeren je gesprekken als zelfstandige telecomaanbieders. Ze krijgen geen opnames, transcripties of samenvattingen en zijn daarom geen subverwerker; ze staan in de privacyverklaring, net als de partijen voor betalen, e-mail en inloggen, die geen gespreksinhoud krijgen.

Koppel je je eigen Claude-account, dan maakt Anthropic de samenvattingen onder jouw eigen account. Anthropic is dan jouw verwerker, niet onze subverwerker. Hetzelfde geldt voor de AI-agent die je via MCP koppelt: wat die met de gegevens doet, valt onder jouw verantwoordelijkheid.

Nieuwe subverwerkers. Willen we een subverwerker toevoegen of vervangen, dan laten we je dat minstens 30 dagen van tevoren per e-mail weten. Binnen die 30 dagen kun je met redenen bezwaar maken. Komen we er samen niet uit, dan kun je de dienst opzeggen voordat de wijziging ingaat; we betalen dan wat je al vooruit had betaald naar rato terug.

7. Doorgifte buiten de EU

Geven we gegevens door aan een land buiten de Europese Economische Ruimte, zoals aan Anthropic en Deepgram in de Verenigde Staten, dan gebeurt dat alleen met een geldige grondslag onder de AVG: een adequaatheidsbesluit, zoals het EU-VS Data Privacy Framework voor gecertificeerde partijen, of de standaardcontractbepalingen (SCC's) van de Europese Commissie, met aanvullende maatregelen waar nodig.

8. Geen eigen gebruik

We gebruiken de gegevens niet voor eigen doelen. We trainen er geen AI-modellen mee, verkopen ze niet en gebruiken ze niet voor advertenties.

9. Hulp bij rechten van betrokkenen en DPIA

Vraagt iemand die is opgenomen om inzage, verwijdering of een ander recht onder de AVG, dan handel jij dat af. In de app kun je opnames zoeken, exporteren en verwijderen; verwijderen haalt ook de transcriptie en samenvatting weg. Komt zo'n verzoek bij ons binnen, dan sturen we het zonder vertraging naar jou door. Lukt iets niet met de app, dan helpen we je.

We helpen je ook, met de informatie die we hebben, bij een gegevensbeschermingseffectbeoordeling (DPIA), een voorafgaande raadpleging van de Autoriteit Persoonsgegevens en bij je beveiligingsplichten.

10. Datalekken

Ontdekken we een datalek dat jouw gegevens raakt, dan melden we dat zonder onredelijke vertraging en uiterlijk binnen 36 uur nadat we het ontdekten. We vertellen wat er is gebeurd, welke gegevens en betrokkenen het raakt, wat de waarschijnlijke gevolgen zijn en welke maatregelen we nemen, en vullen dat aan zodra we meer weten. Zo kun jij zelf beoordelen of je het lek binnen 72 uur moet melden bij de Autoriteit Persoonsgegevens en aan betrokkenen. Melden doe jij, tenzij we iets anders afspreken.

11. Einde: teruggeven en verwijderen

Eindigt de overeenkomst, dan kun je nog 30 dagen al je opnames, transcripties en samenvattingen exporteren. Daarna verwijderen we ze, ook bij onze subverwerkers, tenzij de wet ons verplicht iets langer te bewaren. Verwijder je je account zelf in de app, dan zijn je opnames, transcripties en samenvattingen direct weg. Wat je tussendoor verwijdert, is ook direct weg. Back-ups worden binnen hun normale cyclus overschreven.

12. Audits

We geven je alle informatie die nodig is om aan te tonen dat we ons aan deze overeenkomst houden. Is dat niet genoeg, dan mag je, eens per jaar en met een redelijke aankondiging, een audit laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding is verplicht. De kosten zijn voor jou, tenzij de audit laat zien dat we deze overeenkomst op een wezenlijk punt niet nakomen.

13. Aansprakelijkheid

Voor aansprakelijkheid onder deze overeenkomst gelden de regels uit de algemene voorwaarden, waaronder de beperking in artikel 13 daarvan. Ieder blijft verantwoordelijk voor boetes die hem zelf worden opgelegd.

14. Duur, rangorde en recht

Deze overeenkomst duurt zolang wij gegevens voor jou verwerken. Gaat ze over hetzelfde als de voorwaarden en verschillen ze, dan gaat deze overeenkomst voor. Op wijzigingen, toepasselijk recht en geschillen zijn de voorwaarden van toepassing: Nederlands recht.

15. Contact

Vragen over deze overeenkomst, verzoeken van betrokkenen en meldingen: [email protected].