Klantdata verdient duidelijke afspraken
Waar je gegevens staan, wie erbij kan, welke partijen betrokken zijn en wat we vastleggen. Concreet, zodat je het kunt voorleggen aan je functionaris gegevensbescherming.
Klantcommunicatie bevat persoonsgegevens, en soms gevoelige. Wat Entell daarmee doet staat hieronder, en waar je zelf aan zet bent ook. Compliance hangt namelijk net zo goed af van hoe jouw organisatie het inricht.
Waar je data wordt opgeslagen
Je kiest tussen twee opties:
Je eigen Microsoft 365-omgeving
Gesprekken, berichten en contacten komen in de tenant die je al hebt. Toegang, back-ups en bewaartermijnen beheer je zelf. Host je de database zelf, dan slaat Entell daar geen persoonsgegevens op en ben je enige verantwoordelijke voor die opslag.
Onze omgeving in Nederland
Wij regelen de opslag, op servers in Amsterdam bij DigitalOcean. Versleuteld met AES-256, toegang met multi-factor authenticatie. Dagelijkse back-ups, zeven dagen bewaard, ook in Amsterdam. Het taalmodel voor de samenvattingen draait daar ook. Handig als je geen eigen tenant hebt.
Wat er onderweg langs een andere partij gaat
Ook bij opslag in je eigen tenant loopt het verkeer via de partijen die WhatsApp en telefonie mogelijk maken. Twee daarvan bewaren zelf iets:
Meta stuurt WhatsApp-berichten door naar je tenant. Voor die aflevering staan berichten tijdelijk bij Meta, hooguit dertig dagen. Media en bijlagen blijven tot dertig dagen op de servers van Meta beschikbaar. Die opslag kan buiten de EER plaatsvinden.
Telnyx bewaart je gespreksgegevens: nummers, tijdstip, duur en status. De gesprekken zelf worden niet opgenomen: opname staat standaard uit en gaat alleen aan als jij daarom vraagt. De opslagregio van ons account staat op de EU.
Wie toegang heeft
Toegang loopt via de Microsoft 365-accounts en rollen die je al gebruikt. Vier partijen kunnen erbij, elk met een eigen grens:
- Je eigen medewerkers, via de rollen en groepen die je al beheert. Je bepaalt wie welke gesprekken ziet, dwingt multi-factor authenticatie af vanuit je eigen beleid, en wie uit dienst gaat verliest toegang zoals bij elk ander account.
- Entell, alleen voor support. We kijken niet mee in je gesprekken, tenzij je ons daar expliciet om vraagt, en dan zolang dat nodig is.
- De platformpartijen, elk binnen hun eigen rol: alleen wat nodig is om een bericht af te leveren of een gesprek op te zetten. Wat dat per partij is, staat hieronder.
Welke partijen betrokken zijn
Voor het afleveren van berichten en gesprekken zijn andere partijen nodig; dat is inherent aan telefonie en WhatsApp. Voor de AI-samenvattingen komt er geen partij bij: het taalmodel draaien we zelf, op dezelfde servers. Van die verwerking wordt niets bewaard.
| Partij | Waarvoor | Wat er wordt verwerkt |
|---|---|---|
| DigitalOcean | Hosting van de applicatie en de database | Accountgegevens, berichten, contacten en gespreksgegevens. Servers in Amsterdam, versleuteld met AES-256, dagelijkse back-ups die zeven dagen bewaard blijven |
|
Teams-omgeving en inloggen via Entra ID | Accountgegevens, gesprekken en berichten. Bij een eigen tenant blijven die binnen je eigen Microsoft-omgeving |
|
Afleveren van WhatsApp-berichten | Telefoonnummer en berichtinhoud, doorgestuurd naar je tenant. Berichten staan er tijdelijk voor de aflevering, hooguit dertig dagen; media en bijlagen blijven tot dertig dagen op de servers van Meta, mogelijk buiten de EER |
|
Opzetten en afleveren van telefoongesprekken. Alleen als je de telefoniedienst (Bellen) afneemt | Nummers, tijdstip, duur en status, niet de gesprekken zelf: opname staat standaard uit. Telnyx bewaart deze gespreksgegevens; de opslagregio van ons account staat op de EU |
Dit zijn ze alle vier. Artikel 5 van de verwerkersovereenkomst noemt per partij het type gegevens, de overdracht en de opslag.
Wat we vastleggen in de verwerkersovereenkomst
Zodat je het kunt voorleggen aan je functionaris gegevensbescherming of meenemen in een audit.
Gegevens en doel
Welke persoonsgegevens worden verwerkt en waarvoor.
Subverwerkers
Welke partijen betrokken zijn en waar zij gevestigd zijn.
Beveiliging
Welke maatregelen gelden en hoe die worden onderhouden.
Bewaartermijnen
Hoe lang gegevens bewaard blijven en wat er daarna gebeurt.
Rechten van betrokkenen
Hoe we omgaan met verzoeken om inzage of verwijdering.
Datalekken
Hoe en binnen welke termijn we melden bij een incident.
Wie waarvoor verantwoordelijk is
Een leverancier kan je organisatie niet AVG-compliant maken. De verantwoordelijkheid voor de verwerking ligt bij jou als verwerkingsverantwoordelijke; wij leveren de dienst en de documentatie om je keuzes te onderbouwen.
Jij, als verwerkingsverantwoordelijke
Je bepaalt welke gegevens je vastlegt, met welk doel en hoe lang je ze bewaart. Je informeert je klanten en onderbouwt je keuzes, bijvoorbeeld in een DPIA.
Entell, als verwerker
Wij verwerken die gegevens alleen in jouw opdracht en binnen wat in de verwerkersovereenkomst staat. Wat de dienst doet en welke partijen erbij betrokken zijn, krijg je op papier.
Nog een privacy- of beveiligingsvraag? Ook als die uit een DPIA of een audit komt: we beantwoorden hem liever vooraf dan achteraf.
Klantcontact waar je het al beheert
Gesprekken komen binnen in Microsoft Teams, in de omgeving die je organisatie al gebruikt. Je medewerkers blijven werken met hun bestaande Microsoft-identiteit en de rechten die daaraan hangen; er komt geen apart accountlandschap naast.
- Je bestaande Microsoft 365-identiteit, geen tweede inlog erbij
- Rechten en gebruikersbeheer op de plek waar je dat al doet
- Uit dienst is uit dienst, zoals bij elk ander account
Liever eerst zien hoe het werkt?
In een half uur laten we zien waar de gegevens staan en wie erbij kan, met je eigen inrichting als uitgangspunt. Online, vrijblijvend, en je krijgt een eerlijk antwoord over wat wel en niet kan.
Of stuur een appjeBronnen
Onze eigen documenten
- Verwerkersovereenkomst, met de subverwerkers en de beveiligingsmaatregelen erin
- Privacyverklaring
- Algemene voorwaarden
Externe documentatie