Verwerkersovereenkomst

1. Partijen en rollen

Verwerkingsverantwoordelijke: jij, de klant met een Calio-account. Jij bepaalt welke gegevens je van je gasten verzamelt en waarvoor.

Verwerker: Calio (calio.nl), gevestigd in Nederland. Calio verwerkt die gegevens uitsluitend in jouw opdracht.

Voor de gegevens van jou als accounthouder (je naam, e-mailadres, facturatiegegevens) is Calio zelf verwerkingsverantwoordelijke; daarop is de privacyverklaring van toepassing en niet deze overeenkomst.

2. Onderwerp, aard en duur van de verwerking

• Onderwerp en doel: het leveren van de afsprakenplanner — het tonen van beschikbaarheid, het vastleggen van boekingen en het versturen van bevestigingen, herinneringen en wijzigingen.
• Aard van de verwerking: opslaan, raadplegen, wijzigen, verzenden en verwijderen van de hieronder genoemde gegevens.
• Duur: zolang je Calio-account bestaat. De overeenkomst eindigt met je account.

3. Categorieën betrokkenen en gegevens

Betrokkenen: de gasten die via jouw boekingspagina een afspraak maken, en eventuele collega's die je aan je organisatie toevoegt.

Persoonsgegevens:

• Naam en e-mailadres van de gast, en een telefoonnummer als je daarom vraagt.
• Datum, tijd, tijdzone, taal en type van de afspraak, plus de status ervan.
• Antwoorden op vragen die jij zelf aan je boekingsformulier toevoegt.
• Als een gast de AI-zoekhulp gebruikt: de zin waarin die zijn voorkeur voor een moment beschrijft.
• Bij een agenda-koppeling: begin- en eindtijden van je bezette blokken — geen titels, omschrijvingen of deelnemers.
• Technische logs (IP-adres, tijdstip) voor beveiliging en foutopsporing.

Calio is niet bedoeld voor bijzondere categorieën persoonsgegevens (zoals gezondheidsgegevens). Vraag daar niets over in je boekingsformulier; een afspraaktitel als "intake" volstaat.

4. Instructies

Calio verwerkt de gegevens alleen volgens jouw instructies en voor de doelen in artikel 2, tenzij een wettelijke verplichting anders bepaalt — in dat geval informeren we je vooraf, tenzij die wet dat verbiedt. We gebruiken jouw gastgegevens nooit voor eigen doeleinden, verkopen ze niet en trainen er geen AI-modellen mee.

5. Vertrouwelijkheid

Iedereen die bij Calio toegang heeft tot persoonsgegevens is tot geheimhouding verplicht. Toegang tot productiedata is beperkt tot wie die nodig heeft voor beheer en ondersteuning.

6. Beveiliging

Calio neemt passende technische en organisatorische maatregelen (artikel 32 AVG):

• Al het verkeer verloopt versleuteld via TLS.
• Wachtwoorden worden opgeslagen als Argon2-hash, nooit leesbaar.
• Tokens voor agenda-koppelingen worden versleuteld opgeslagen (AES-256-GCM).
• Klantdata is op databaseniveau van elkaar gescheiden (row level security): gegevens van een andere organisatie lezen of schrijven is technisch onmogelijk, niet alleen afgeschermd in de applicatie.
• Dagelijkse back-ups, versleuteld en op een tweede locatie bewaard.
• Beveiligingsupdates worden periodiek uitgevoerd; toegang tot servers via sleutels.

7. Subverwerkers

Je geeft Calio algemene toestemming om de volgende subverwerkers in te schakelen. Ze verwerken uitsluitend wat nodig is voor hun onderdeel en zijn contractueel aan dezelfde verplichtingen gebonden.

Wisselt Calio van subverwerker of komt er één bij, dan kondigen we dat minimaal 30 dagen vooraf per e-mail aan bij accounthouders. Maak je bezwaar en komen we er samen niet uit, dan mag je je account per direct opzeggen.

Koppel je zelf je Google Calendar of Microsoft 365-agenda, dan is dat jouw keuze en handelt Calio in jouw opdracht richting die partij; Google en Microsoft zijn in dat geval geen subverwerkers van Calio.

8. Doorgifte buiten de EER

De gegevens worden opgeslagen en verwerkt binnen de EU. Calio geeft geen persoonsgegevens door naar landen buiten de Europese Economische Ruimte. Zou dat in de toekomst nodig zijn, dan gebeurt dat alleen met een geldig overdrachtsmechanisme (zoals standaardcontractbepalingen) en melden we het vooraf volgens artikel 7.

9. Rechten van betrokkenen

Vraagt een gast om inzage, correctie of verwijdering, dan handel jij dat verzoek af — het zijn jouw gegevens. Calio helpt daarbij: in de app kun je boekingen inzien en verwijderen, en op verzoek exporteren we alle gegevens die bij jouw organisatie horen. Krijgt Calio een verzoek dat over jouw gasten gaat, dan sturen we de betrokkene naar jou door en beantwoorden we het niet zelf.

10. Datalekken

Ontdekt Calio een inbreuk in verband met persoonsgegevens, dan melden we dat zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking bij je, met wat we op dat moment weten: wat er gebeurd is, welke gegevens en betrokkenen het raakt, de vermoedelijke gevolgen en de maatregelen die we nemen. De melding bij de Autoriteit Persoonsgegevens doe jij als verwerkingsverantwoordelijke; Calio levert alle informatie die je daarvoor nodig hebt.

11. Bijstand en audits

Calio helpt je desgevraagd bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij vragen van een toezichthouder, en stelt de informatie beschikbaar die nodig is om naleving van dit artikel aan te tonen. Je mag maximaal eens per jaar een audit laten uitvoeren door een onafhankelijke, aan geheimhouding gebonden deskundige, mits minimaal vier weken van tevoren aangekondigd en tegen vergoeding van de redelijke kosten. Een audit mag de dienstverlening aan andere klanten niet verstoren.

12. Teruggave en verwijdering

Bij beëindiging van je account verwijdert Calio de persoonsgegevens die we namens jou verwerken binnen 30 dagen, inclusief de kopieën in back-ups zodra die volgens het back-upschema verlopen. Op verzoek leveren we vóór verwijdering een export aan. Gegevens die we wettelijk moeten bewaren (zoals facturatiegegevens) bewaren we alleen daarvoor en niet langer dan nodig.

13. Aansprakelijkheid en toepasselijk recht

De aansprakelijkheidsregeling uit de algemene voorwaarden geldt ook voor deze overeenkomst, voor zover de AVG dat toelaat. Op deze overeenkomst is Nederlands recht van toepassing.

14. Wijzigingen

Wijzigt Calio deze overeenkomst, dan informeren we accounthouders minimaal 30 dagen vooraf per e-mail. De actuele versie staat altijd op deze pagina, met versienummer en datum bovenaan.