Verwerkersovereenkomst Sarwise
Deze verwerkersovereenkomst maakt deel uit van de overeenkomst (de Terms of Service) tussen:
- de klant (het bedrijf dat een Sarwise-abonnement afneemt), hierna verwerkingsverantwoordelijke; en
- BOLBUY, handelend onder de naam Sarwise, ingeschreven bij de Kamer van Koophandel onder nummer 68734581, Goudplevier 96, 5348 ZG Oss, hierna verwerker.
De klant aanvaardt deze verwerkersovereenkomst bij het afsluiten van het abonnement. Bij strijd tussen deze verwerkersovereenkomst en de Terms of Service gaat deze verwerkersovereenkomst voor waar het de verwerking van persoonsgegevens betreft.
1. Onderwerp en duur
1.1 Sarwise verwerkt persoonsgegevens uitsluitend om de dienst te leveren: een AI-assistent die via WhatsApp vragen van klanten van de verwerkingsverantwoordelijke beantwoordt, afspraken en reserveringen beheert, herinneringen verstuurt en gesprekken aan de verwerkingsverantwoordelijke overdraagt.
1.2 Deze verwerkersovereenkomst geldt zolang Sarwise persoonsgegevens voor de verwerkingsverantwoordelijke verwerkt, en eindigt zodra alle gegevens volgens artikel 10 zijn verwijderd of teruggegeven.
1.3 De aard, het doel, de soorten persoonsgegevens en de categorieën betrokkenen staan in Bijlage 1.
2. Instructies
2.1 Sarwise verwerkt de persoonsgegevens alleen op basis van schriftelijke instructies van de verwerkingsverantwoordelijke. De Terms of Service, deze verwerkersovereenkomst en de instellingen die de verwerkingsverantwoordelijke in de dienst kiest (zoals diensten, openingstijden en talen) gelden als zulke instructies.
2.2 Sarwise gebruikt de persoonsgegevens niet voor eigen doeleinden, niet voor reclame en niet voor het trainen van AI-modellen.
2.3 Als een instructie naar het oordeel van Sarwise in strijd is met de AVG of andere privacywetgeving, meldt Sarwise dit direct aan de verwerkingsverantwoordelijke.
2.4 Als Sarwise wettelijk verplicht is gegevens te verstrekken, informeert Sarwise de verwerkingsverantwoordelijke vooraf, tenzij de wet dat verbiedt.
3. Geheimhouding
Iedereen die namens Sarwise toegang heeft tot de persoonsgegevens, is tot geheimhouding verplicht en krijgt alleen toegang voor zover dat nodig is voor de dienst.
4. Beveiliging
4.1 Sarwise neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen, rekening houdend met de stand van de techniek, de kosten en de risico's voor betrokkenen (art. 32 AVG).
4.2 De maatregelen staan in Bijlage 3. Sarwise mag de maatregelen aanpassen, zolang het beveiligingsniveau niet lager wordt.
5. Subverwerkers
5.1 De verwerkingsverantwoordelijke geeft Sarwise algemene toestemming om de subverwerkers in Bijlage 2 in te schakelen.
5.2 Sarwise informeert de verwerkingsverantwoordelijke ten minste 30 dagen vooraf per e-mail over een nieuwe of vervangende subverwerker. De verwerkingsverantwoordelijke kan binnen die termijn met redenen bezwaar maken. Komen partijen er niet uit, dan kan de verwerkingsverantwoordelijke het abonnement beëindigen tegen het einde van de lopende abonnementsperiode.
5.3 Sarwise legt subverwerkers ten minste dezelfde verplichtingen op als in deze verwerkersovereenkomst en blijft tegenover de verwerkingsverantwoordelijke verantwoordelijk voor hun naleving.
6. Doorgifte buiten de EER
Sommige subverwerkers verwerken gegevens in de Verenigde Staten. Doorgifte gebeurt alleen op basis van het EU-VS Data Privacy Framework en/of de standaardcontractbepalingen van de Europese Commissie, zoals aangegeven in Bijlage 2.
7. Rechten van betrokkenen
7.1 Sarwise helpt de verwerkingsverantwoordelijke, voor zover redelijk mogelijk, bij het beantwoorden van verzoeken van betrokkenen (inzage, correctie, verwijdering, beperking, bezwaar, overdraagbaarheid).
7.2 Krijgt Sarwise zo'n verzoek rechtstreeks, dan stuurt Sarwise het binnen 5 werkdagen door aan de verwerkingsverantwoordelijke en beantwoordt het niet zelf, tenzij de verwerkingsverantwoordelijke dat vraagt.
7.3 Op verzoek verwijdert Sarwise binnen 10 werkdagen de gesprekken en gegevens van een betrokkene uit de dienst.
8. Datalekken
8.1 Sarwise meldt een inbreuk in verband met persoonsgegevens (datalek) die de gegevens van de verwerkingsverantwoordelijke raakt zonder onredelijke vertraging nadat Sarwise ervan op de hoogte is (Sarwise streeft naar melding binnen 48 uur), zodat de verwerkingsverantwoordelijke tijdig kan melden bij de Autoriteit Persoonsgegevens.
8.2 De melding bevat, voor zover bekend: de aard van het lek, de betrokken gegevens en (geschatte) aantallen betrokkenen, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen en een contactpersoon. Ontbrekende informatie volgt zo snel mogelijk.
8.3 De verwerkingsverantwoordelijke beslist of het lek wordt gemeld bij de Autoriteit Persoonsgegevens en aan betrokkenen. Sarwise meldt niet namens de verwerkingsverantwoordelijke, tenzij die daarom vraagt.
8.4 Sarwise helpt de verwerkingsverantwoordelijke bij het informeren van betrokkenen (art. 34 AVG), onder meer door de benodigde gegevens en een conceptbericht aan te leveren.
9. Bijstand en informatie
9.1 Sarwise helpt de verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking en de beschikbare informatie, bij het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG: beveiliging, melding en communicatie van datalekken, een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging van de Autoriteit Persoonsgegevens.
9.2 Sarwise stelt alle informatie beschikbaar die nodig is om naleving van deze verwerkersovereenkomst aan te tonen, in de eerste plaats door schriftelijke informatie en documentatie te verstrekken. Is die informatie aantoonbaar onvoldoende, dan mag de verwerkingsverantwoordelijke ten hoogste eenmaal per jaar een audit (laten) uitvoeren, zelf of door een auditor met geheimhoudingsplicht, na 30 dagen aankondiging, op een tijdstip dat de dienst niet verstoort en op kosten van de verwerkingsverantwoordelijke.
10. Einde: verwijdering of teruggave
10.1 Bij het einde van het abonnement kiest de verwerkingsverantwoordelijke of Sarwise de persoonsgegevens teruggeeft (een export in een gangbaar bestandsformaat) of verwijdert. Een verzoek tot teruggave kan tot 30 dagen na het einde worden gedaan.
10.2 Uiterlijk 30 dagen na het einde van het abonnement verwijdert Sarwise alle persoonsgegevens van de verwerkingsverantwoordelijke, inclusief bestaande kopieën, behalve als het Unierecht of Nederlands recht bewaring verplicht.
10.3 Gedurende de looptijd gelden de bewaartermijnen uit Bijlage 1; Sarwise verwijdert gegevens daarna automatisch.
11. Aansprakelijkheid
De aansprakelijkheid van Sarwise is geregeld in de Terms of Service. Dit laat de aansprakelijkheid van partijen tegenover betrokkenen en toezichthouders op grond van de AVG onverlet.
12. Slotbepalingen
12.1 Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Oost-Brabant.
12.2 Sarwise kan deze verwerkersovereenkomst wijzigen als de wet of de dienst dat vraagt. Wezenlijke wijzigingen worden 30 dagen vooraf per e-mail aangekondigd.
12.3 Contact voor privacyvragen en datalekken: info@sarwise.com.
Bijlage 1 — Verwerking
| Aard en doel | Beantwoorden van klantvragen via WhatsApp met een AI-assistent; afspraken/reserveringen maken, wijzigen en annuleren; herinneringen sturen; gesprekken overdragen aan de verwerkingsverantwoordelijke; tonen van afspraken in het overzicht (panel) en in een agenda-link. |
| Betrokkenen | Klanten en potentiële klanten van de verwerkingsverantwoordelijke die via WhatsApp contact opnemen; medewerkers van de verwerkingsverantwoordelijke (naam, rooster). |
| Persoonsgegevens | Telefoonnummer en WhatsApp-profielnaam; inhoud van berichten; naam, gekozen dienst, datum, tijd en medewerker van een afspraak; taalvoorkeur; technische gegevens (bericht-ID's, tijdstippen). |
| Bijzondere persoonsgegevens | Worden niet gevraagd. De assistent is zo ingesteld dat hij niet om gezondheids- of andere bijzondere gegevens vraagt. Deelt een betrokkene die toch, dan worden ze alleen verwerkt als onderdeel van het gesprek en met dezelfde bewaartermijn verwijderd. |
| Bewaartermijnen | Gespreksgeschiedenis: max. 30 dagen · gespreksstatus: max. 30 dagen · bericht-ID's (dubbele verwerking voorkomen): 7 dagen · herinneringslog: max. 90 dagen · technische uitvoeringslogs: max. 30 dagen · afspraken: zolang de verwerkingsverantwoordelijke ze nodig heeft, uiterlijk 30 dagen na einde abonnement. |
Bijlage 2 — Subverwerkers
| Subverwerker | Doel | Locatie | Doorgifte |
|---|---|---|---|
| WhatsApp Ireland Ltd. (Meta; WhatsApp Business Platform) | Versturen en ontvangen van WhatsApp-berichten | EU (Ierland); doorgifte aan WhatsApp LLC en Meta Platforms Inc. (VS) | EU-VS Data Privacy Framework; standaardcontractbepalingen als terugvaloptie (WhatsApp Business Data Transfer Addendum) |
| Anthropic PBC (Claude API) | Opstellen van de antwoorden van de assistent; gegevens worden niet gebruikt voor modeltraining | VS | Standaardcontractbepalingen (Anthropic Data Processing Addendum, onderdeel van de Commercial Terms) |
| netcup GmbH | Hosting van de automatiseringsserver en database (n8n) | Oostenrijk (EU; datacenter Wenen) | — |
| Hostinger International Ltd. | Opslag van versleutelde nachtelijke back-ups (Hostinger kan de inhoud niet lezen); max. 14 dagen | Duitsland (EU; datacenter Düsseldorf); eigen back-ups van Hostinger in Frankrijk (EU) | — |
| Google Ireland Ltd. (Google Agenda) — alleen als de verwerkingsverantwoordelijke zijn eigen agenda koppelt | Agenda-synchronisatie | EU / VS | EU-VS Data Privacy Framework |
Gecontroleerd op 22 oktober 2026.
Bijlage 3 — Beveiligingsmaatregelen
- Alle verbindingen versleuteld (HTTPS/TLS); WhatsApp-berichten via het officiële WhatsApp Business Platform.
- Server en database in de EU (Oostenrijk, datacenter Wenen); toegang alleen voor Sarwise; beheeraccounts (automatiseringsserver en hostingpanelen) beveiligd met sterke wachtwoorden en tweestapsverificatie; servertoegang alleen via SSH-sleutel, beheerder-login (root) uitgeschakeld.
- API-sleutels en geheimen in een versleutelde opslag van de automatiseringsserver; nooit in code of logs.
- Het overzicht (panel) is alleen bereikbaar via een geheime link plus 6-cijferige pincode; de pincode wordt alleen als hash opgeslagen; na 8 foutieve pogingen per uur volgt een blokkade.
- In de agenda-link worden geen telefoonnummers opgenomen.
- Automatische verwijdering volgens de bewaartermijnen (dagelijks); een vastgelegde procedure voor verwijderverzoeken.
- Dataminimalisatie: de AI-assistent krijgt alleen de bedrijfsgegevens die nodig zijn (geen sleutels, pincodes of agenda-codes).
- De assistent maakt zich altijd bekend als AI (EU AI-verordening art. 50) en draagt het gesprek op verzoek over aan een mens.
- Inkomende berichten worden op dubbele verwerking gecontroleerd; fouten worden direct aan Sarwise gemeld.
- Vastgelegde datalekprocedure met melding zonder onredelijke vertraging aan de verwerkingsverantwoordelijke.
- Back-ups: snapshot van de server in hetzelfde EU-datacenter, plus elke nacht een databaseback-up die op de server wordt versleuteld (de sleutel blijft bij Sarwise) en daarna buiten de server bij Hostinger in de EU wordt bewaard; back-ups worden na 14 dagen automatisch verwijderd.