Verwerkersovereenkomst

1. Partijen en rollen

Het bedrijf dat Fieldkeep gebruikt is verwerkingsverantwoordelijke: het bepaalt welke medewerkers en klanten in het systeem komen, wat er wordt vastgelegd en hoe lang spraakopnames bewaard blijven. M2H B.V. is verwerker: wij verwerken die gegevens uitsluitend om de dienst te leveren.

Waar hieronder “jij” staat, wordt de verwerkingsverantwoordelijke bedoeld; met “wij” bedoelen we M2H B.V..

2. Onderwerp, aard en doel

Wij verwerken persoonsgegevens om werkbonnen te kunnen maken en beheren: een medewerker spreekt na een klus in wat er is gedaan, spraakherkenning en AI zetten dat om in een gestructureerde bon, en de planner werkt die af. Daar horen de bijbehorende functies bij: planning, urenoverzichten, exports, PDF's voor de klant en het beheren van accounts.

Wij verwerken je gegevens voor geen enkel ander doel. In het bijzonder: gegevens uit jouw omgeving worden niet gebruikt om AI-modellen te trainen, niet gedeeld met andere klanten en niet verkocht of doorgegeven voor marketing.

3. Gegevens en betrokkenen

Betrokkenen: jouw medewerkers (inclusief planners en beheerders) en de contactpersonen van jouw klanten.

Van medewerkers: naam, e-mailadres, rol, versleuteld wachtwoord, de spraakopname en het transcript van wat er is ingesproken, gewerkte uren per klus, gemaakte foto's en het tijdstip van inloggen.

Van klanten van jouw bedrijf: bedrijfs- of persoonsnaam, adressen van locaties, eventueel een e-mailadres voor de bon, en de handtekening die op de klus wordt gezet.

Er worden geen bijzondere categorieën persoonsgegevens gevraagd. Wat een medewerker inspreekt is vrije tekst; het systeem vraagt niet om gezondheids- of andere gevoelige gegevens en heeft ze niet nodig.

4. Instructies

Wij verwerken de gegevens alleen op jouw instructie. Het gebruik van de dienst zelf is die instructie: wat je in de applicatie doet of instelt, voeren wij uit. Aanvullende instructies kun je schriftelijk geven; kunnen wij die niet uitvoeren, dan zeggen we dat en heb je het recht de overeenkomst te beëindigen.

Verplicht een wet ons tot een verwerking buiten jouw instructie, dan melden we dat vooraf, tenzij die wet dat verbiedt.

5. Geheimhouding

Iedereen die bij ons toegang heeft tot jouw gegevens is tot geheimhouding verplicht. Toegang bestaat alleen waar die nodig is voor onderhoud en ondersteuning, en wordt niet gebruikt om mee te kijken zonder aanleiding.

6. Beveiliging

Wij nemen passende technische en organisatorische maatregelen (artikel 32 AVG):

• Al het verkeer loopt over versleutelde verbindingen (HTTPS/TLS); opslag bij de hostingpartij is versleuteld.
• Wachtwoorden worden niet opgeslagen maar alleen als scrypt-hash bewaard, en zijn dus ook voor ons niet leesbaar.
• Strikte scheiding tussen bedrijven: elke opvraag in de applicatie is gebonden aan het eigen bedrijf, zodat gegevens van een ander bedrijf technisch niet bereikbaar zijn.
• Rollen met verschillende rechten (medewerker, planner, beheerder), zodat niet iedereen alles kan zien of wijzigen.
• Spraakopnames worden automatisch vernietigd na de bewaartermijn die jij instelt (standaard 90 dagen).
• Foto's, opnames en handtekeningen staan in afgeschermde opslag die nooit publiek toegankelijk is; ze worden alleen uitgeleverd aan een ingelogde gebruiker van het eigen bedrijf.
• Dagelijkse back-ups van de database bij de hostingpartij.

7. Subverwerkers

Wij schakelen de volgende subverwerkers in. Ze verwerken uitsluitend wat nodig is voor hun onderdeel, allemaal binnen de EU:

• Google Cloud (Nederland, europe-west4) — hosting, database en bestandsopslag.
• Google Cloud Speech-to-Text (EU-endpoint) — omzetten van de spraakopname naar tekst.
• Anthropic (Claude) via Google Vertex AI (EU) — het uitwerken van die tekst tot een gestructureerde bon. De gegevens worden niet gebruikt om modellen te trainen.
• Amazon Web Services (Frankfurt, eu-central-1) — verzending van e-mail, zoals uitnodigingen en de bon naar jouw klant.

Willen we een subverwerker toevoegen of vervangen, dan melden we dat vooraf via deze pagina en per e-mail aan de beheerder van jouw omgeving. Heb je bezwaar, dan kun je de overeenkomst beëindigen zonder kosten voor de resterende periode.

8. Doorgifte buiten de EER

Die vindt niet plaats. Verwerking, opslag, spraakherkenning, AI en e-mail gebeuren binnen de Europese Unie. Ook de website laadt geen scripts of lettertypen van servers buiten de EU, zodat de browser van een bezoeker geen verbinding maakt met een partij daarbuiten.

9. Rechten van betrokkenen

Krijg jij een verzoek van een medewerker of klant om inzage, correctie, verwijdering of overdracht van gegevens, dan help je hem zelf: in de applicatie kun je gegevens inzien, wijzigen en verwijderen, en gegevens exporteren.

Lukt dat niet met de functies die er zijn, dan helpen wij binnen redelijke termijn en zonder kosten. Komt zo'n verzoek rechtstreeks bij ons binnen, dan handelen we het niet zelf af maar sturen we het naar jou door.

10. Datalekken

Ontdekken wij een inbreuk in verband met persoonsgegevens, dan melden we dat zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking aan de beheerder van jouw omgeving, met wat we op dat moment weten: wat er gebeurd is, welke gegevens het betreft, wat de vermoedelijke gevolgen zijn en wat we eraan doen. Melden bij de Autoriteit Persoonsgegevens en aan betrokkenen is jouw verantwoordelijkheid; wij leveren de informatie die je daarvoor nodig hebt.

11. Controle en audit

Je mag één keer per jaar controleren of wij ons aan deze overeenkomst houden. In eerste instantie beantwoorden we je vragen schriftelijk en delen we de informatie die we hebben. Is dat niet genoeg, dan is een audit door een onafhankelijke deskundige mogelijk, aangekondigd met een redelijke termijn en op jouw kosten — tenzij daaruit blijkt dat wij tekortschieten, dan zijn de kosten voor ons.

12. Bewaren, teruggave en verwijdering

Spraakopnames verdwijnen automatisch na de bewaartermijn die jij instelt. De werkbonnen zelf, en de uren en posten erop, blijven staan zolang je de dienst gebruikt — dat is administratie waar jij verantwoordelijk voor bent.

Beëindig je het gebruik, dan kun je je gegevens exporteren zolang je account bestaat. In de applicatie kan een beheerder het bedrijf definitief verwijderen; dan worden alle bonnen, opnames, foto's, klanten en accounts gewist. Doe je dat niet zelf, dan verwijderen wij de gegevens uiterlijk 60 dagen na het einde van de overeenkomst, tenzij een wettelijke bewaarplicht iets anders eist. Back-ups verlopen daarna volgens hun eigen cyclus.

13. Duur, wijziging en recht

Deze overeenkomst geldt zolang je Fieldkeep gebruikt en eindigt zodra alle gegevens zijn verwijderd. Wijzigen we hem, dan melden we dat vooraf aan de beheerder van jouw omgeving; een wijziging die jouw positie verslechtert geeft je het recht te beëindigen.

Op deze overeenkomst is Nederlands recht van toepassing. Wat hier niet in staat maar wel in de AVG, geldt onverkort — deze tekst is bedoeld als leesbare uitwerking daarvan, niet als beperking.