Privacybeleid

Laatst bijgewerkt: 27 oktober 2026 • Versie 4.2

Dit beleid is beschikbaar in het Nederlands en het Engels. Bij verschillen tussen beide versies is de Nederlandse versie leidend.

Ajora is een dienst voor gespreksintelligentie ("call intelligence"), beheerd door Ajora B.V., een besloten vennootschap ingeschreven in het Handelsregister onder KvK-nummer 42138300, gevestigd te Poortstraat 28, 3572 HJ Utrecht, Nederland. In dit beleid verwijzen "Ajora", "wij" en "ons" naar Ajora B.V. We zijn bereikbaar via privacy@ajora.io.

Over dit beleid & Onze rol

Dit beleid legt uit hoe Ajora B.V. persoonsgegevens verwerkt in verband met de dienst Ajora. Het betreft drie categorieën betrokkenen:

1. Accounthouders: klanten die zich hebben geregistreerd voor een Ajora-account.
2. Gespreksdeelnemers: andere partijen aan een telefoongesprek dat door een accounthouder wordt opgenomen.
3. Voicemailbellers: personen die een accounthouder bellen en een bericht inspreken op de Ajora-voicemail, als de accounthouder die heeft aangezet.
4. Ontvangers van een gedeelde debrief: personen met wie een accounthouder een debrief deelt. Van hen verwerken we het e-mailadres als ze per e-mail zijn uitgenodigd.
5. Websitebezoekers: bezoekers van ajora.io, ook zonder account. Van hen verwerken wij het IP-adres en browsergegevens om de site te tonen en te beveiligen, en de gegevens die je zelf invult in het contactformulier. Juridische grondslag: gerechtvaardigd belang (Artikel 6(1)(f) AVG) voor een werkende en veilige website; voor het contactformulier de uitvoering van je verzoek. Berichten uit het contactformulier bewaren wij niet langer dan nodig om je vraag af te handelen.

Onze rol verschilt afhankelijk van de gegevens:

Als verwerkingsverantwoordelijke bepalen wij de doeleinden en middelen van de verwerking voor accountgegevens, facturatiegegevens en gebruikslogboeken. Dit beleid is van toepassing op die verwerking.

Als verwerker handelen wij namens de accounthouder (onze klant) voor de inhoud van opgenomen gesprekken, waaronder audio, transcripties en AI-gegenereerde samenvattingen. De accounthouder is de verwerkingsverantwoordelijke voor de gespreksinhoud en is verantwoordelijk voor het vaststellen van een geldige juridische grondslag voor het opnemen van gesprekken en voor het informeren van andere partijen in het gesprek. Onze Verwerkersovereenkomst (Data Processing Agreement), beschikbaar op ajora.io/dpa, beheerst deze relatie.

Functionaris voor Gegevensbescherming: Ajora B.V. heeft geen Functionaris voor Gegevensbescherming aangesteld, aangezien onze verwerkingsactiviteiten de drempelwaarden van Artikel 37 AVG niet bereiken. Voor alle privacygerelateerde zaken kun je contact opnemen via privacy@ajora.io.

1. Gegevens die we verzamelen & Juridische grondslag

Accountgegevens

Wanneer je je registreert, verzamelen we je e-mailadres, naam en een gehasht wachtwoord. We slaan ook je geverifieerde telefoonnummer op nadat je de telefoonverificatie hebt voltooid. Juridische grondslag: uitvoering van de overeenkomst (Artikel 6(1)(b) AVG).

Gespreksmetadata

Voor elk opgenomen gesprek slaan we de datum, de tijd, de duur en het telefoonnummer op dat het gesprek heeft geïnitieerd. Juridische grondslag: verwerkt namens de accounthouder onder een Verwerkersovereenkomst.

Gesprekstranscripties & samenvattingen

We genereren en slaan een versleutelde geschreven transcriptie op van je opgenomen gesprekken, samen met een door AI gegenereerde samenvatting, actiepunten en belangrijke beslissingen. We maken je gesprekken doorzoekbaar, zodat je ze terugvindt op woorden en op onderwerp. Daarvoor houden we per gesprek een zoekindex bij, die samen met het gesprek wordt verwijderd. Deze worden bewaard voor de levensduur van je account en versleuteld met een sleutel die is gekoppeld aan je account. Juridische grondslag: verwerkt namens de accounthouder onder een Verwerkersovereenkomst.

Gespreksaudio

Gespreksaudio wordt tijdens het gesprek vastgelegd en verzonden naar een van onze transcriptiediensten (zie §2 Externe verwerkers). Daarnaast bewaart Ajora de audio versleuteld op haar servers in Duitsland (Hetzner), zodat je het gesprek kunt terugluisteren en een mislukte transcriptie opnieuw kan worden uitgevoerd. Standaard bewaren we de audio 90 dagen na het gesprek. Je kunt die termijn zelf instellen, van 1 dag tot 7 jaar; bij een zakelijk account stelt de teambeheerder de termijn in voor de hele organisatie. Kort je de termijn in, dan verwijderen we oudere audio direct. Na afloop van de termijn wordt de audio automatisch verwijderd; audio wordt niet opgenomen in back-ups. Alleen de accounthouder die het gesprek voerde kan de audio afspelen. Juridische grondslag: verwerkt namens de accounthouder onder een Verwerkersovereenkomst.

Voicemail

Zet je de voicemail aan, dan neemt Ajora oproepen die je niet beantwoordt aan met een begroeting, en neemt het bericht van de beller op. Als begroeting kies je een opname die je zelf maakt, een standaardbegroeting of een AI-assistent die de beller vertelt dat hij een bericht inspreekt voor jou. Een zelf opgenomen begroeting bewaren we als audiobestand zolang je die gebruikt. Het ingesproken bericht wordt op dezelfde manier verwerkt als een gesprek: uitgeschreven door een van onze transcriptiediensten, samengevat met AI en versleuteld opgeslagen. Voor de opname van het bericht geldt dezelfde bewaartermijn als voor gespreksaudio. De voicemail staat standaard uit. Juridische grondslag: verwerkt namens de accounthouder onder een Verwerkersovereenkomst.

Delen

Je kunt een debrief delen met iemand per e-mail, met je team of via een link. Gedeeld worden de samenvatting, de actiepunten en de besluiten, en het transcript alleen als je dat aanzet. De opname wordt nooit gedeeld. Wie je per e-mail uitnodigt, opent de debrief met een code die we naar dat adres sturen; daarvoor verwerken we dat e-mailadres. Een link werkt voor iedereen die hem heeft, tot je hem intrekt. Jij bepaalt met wie je deelt; daarmee verstrek je gespreksinhoud aan die persoon. Juridische grondslag: verwerkt namens de accounthouder onder een Verwerkersovereenkomst.

Gebruiksgegevens

We verzamelen technische logboeken, waaronder IP-adressen, tijdstempels en API-responscodes voor beveiligings- en operationele doeleinden. Juridische grondslag: gerechtvaardigd belang (Artikel 6(1)(f) AVG): handhaving van de beveiliging en betrouwbaarheid van de dienst.

Geautomatiseerde besluitvorming

De AI-gegenereerde samenvattingen, actiepunten en beslissingen zijn beslissingsondersteunende output bedoeld als referentie voor de accounthouder. Ze vormen geen geautomatiseerde besluitvorming in de zin van Artikel 22 AVG, en er worden geen geautomatiseerde besluiten met juridische of vergelijkbaar significante gevolgen genomen op basis van deze output.

2. Externe Verwerkers

We gebruiken de volgende externe verwerkers om onze dienst te leveren. Met elk van hen is een Verwerkersovereenkomst gesloten en zij zijn contractueel gebonden om jouw gegevens uitsluitend op onze instructie te verwerken.

Let op inzake AI-training: Wij hebben ons uitdrukkelijk afgemeld voor alle data-trainingsfuncties bij onze AI- en transcriptieproviders. Jouw gegevens (audio, transcripties, metadata) worden nooit gebruikt om Large Language Models te trainen.

Twilio Inc. (Verenigde Staten)

Doel: Routering en opname van telefoongesprekken en voicemailberichten. Telefoonnummers, gespreksaudio en ingesproken berichten worden verwerkt door Twilio. Audio wordt direct uit de systemen van Twilio verwijderd nadat we deze hebben opgehaald. Waarborg voor doorgifte: EU-US Data Privacy Framework (DPF-gecertificeerd). DPA: twilio.com/legal/data-protection-addendum

ElevenLabs (Verenigde Staten)

Doel: Het omzetten van gespreksaudio naar tekst (transcriptie) met gebruik van hun Scribe v2-model. Gespreksaudio wordt naar ElevenLabs gestuurd voor transcriptie en direct uit hun actieve systemen verwijderd nadat de transcriptie is geretourneerd. ElevenLabs kan audio tot 30 dagen in back-upsystemen bewaren volgens hun dataretentiebeleid. ElevenLabs gebruikt jouw gegevens niet om hun modellen te trainen. Waarborg voor doorgifte: EU-US Data Privacy Framework (DPF), aangevuld met standaardcontractbepalingen. DPA: elevenlabs.io/dpa

Resonate Labs B.V., Reson8 (Amsterdam, Nederland)

Doel: Het omzetten van gespreksaudio naar tekst (transcriptie), naast ElevenLabs. Gespreksaudio wordt naar Reson8 gestreamd en verwerkt op hun eigen servers in Nederland. Reson8 slaat audio en transcripties niet op en gebruikt jouw gegevens niet om hun modellen te trainen. Waarborg voor doorgifte: N.v.t.: Gegevens verwerkt in EU. DPA: reson8.dev/dpa

Cantab Research Ltd., Speechmatics (Verenigd Koninkrijk; verwerking in de EU)

Doel: Het omzetten van gespreksaudio naar tekst (transcriptie), naast ElevenLabs en Reson8. Gespreksaudio wordt in de EU-omgeving van Speechmatics verwerkt. Speechmatics bewaart audio en transcript hooguit 7 dagen en gebruikt jouw gegevens niet om hun modellen te trainen. Waarborg voor doorgifte: Verwerking in de EU; voor toegang vanuit het Verenigd Koninkrijk geldt het adequaatheidsbesluit van de Europese Commissie. DPA: speechmatics.com/legal (sectie 7)

Amazon Web Services, Bedrock (Frankfurt, Duitsland)

Doel: Genereren van gesprekssamenvattingen, actiepunten en belangrijke beslissingen uit transcripties met AI-modellen, en het doorzoekbaar maken van gesprekken. Transcriptie-inhoud wordt naar AWS Bedrock gestuurd voor AI-verwerking. AWS gebruikt deze gegevens niet om AI-modellen te trainen. Gegevens worden verwerkt in de EU (regio Frankfurt, eu-central-1). DPA: aws.amazon.com/agreement/data-processing-addendum

Amazon Web Services, KMS (Frankfurt, Duitsland)

Doel: Beheer van encryptiesleutels per account via AWS Key Management Service. Gegevens worden verwerkt in de EU (regio Frankfurt, eu-central-1). DPA: aws.amazon.com/agreement/data-processing-addendum

Hetzner Online GmbH (Neurenberg, Duitsland)

Doel: Hosting van de Ajora applicatie en database. Gegevens worden verwerkt in de EU (Neurenberg, Duitsland). DPA: hetzner.com/legal/dpa

Mollie B.V. (Nederland)

Doel: Verwerking van abonnementsbetalingen. Factureringsinformatie, waaronder betaalgegevens, wordt verwerkt door Mollie. Wij zien of bewaren je betaalgegevens nooit. Waarborg voor doorgifte: N.v.t.: Gegevens verwerkt in EU. DPA: mollie.com/nl/privacy

Google Ireland Limited (Google Analytics 4)

Doel: Het analyseren van websiteverkeer en gebruikersgedrag om onze online aanwezigheid te verbeteren. Google Analytics verzamelt je IP-adres voor geografische analyse; het IP-adres wordt na verwerking verwijderd en wordt niet opgeslagen in de rapportagesystemen van GA4. Analytische cookies worden uitsluitend op je apparaat geplaatst als je hiervoor expliciet toestemming geeft via onze cookiebanner. Wij delen geen gespreksinhoud, transcripties of accountgegevens met Google Analytics. Waarborg voor doorgifte: EU-US Data Privacy Framework. Gegevens worden waar mogelijk opgeslagen in de EU. Instellingen: privacy.google.com/businesses/processorterms

Cloudflare, Inc. (Verenigde Staten)

Doel: Uitleveren en beveiligen van onze website. Cloudflare verwerkt daarbij het IP-adres en de browsergegevens van bezoekers om de site te kunnen tonen en misbruik te weren. Er wordt geen gespreksinhoud, transcriptie of accountgegevens via Cloudflare verwerkt. Waarborg voor doorgifte: EU-US Data Privacy Framework, aangevuld met standaardcontractbepalingen. DPA: cloudflare.com/cloudflare-customer-dpa

Resend (Verenigde Staten)

Doel: Bezorgen van de berichten die je via het contactformulier op onze website verstuurt. Je naam, e-mailadres, onderwerp en bericht worden door Resend verwerkt om de e-mail bij ons af te leveren. Waarborg voor doorgifte: EU-US Data Privacy Framework, aangevuld met standaardcontractbepalingen. DPA: resend.com/legal/dpa

PostHog Inc. (EU-cloud, Duitsland)

Doel: Inzicht in hoe de app en het dashboard gebruikt worden, om het product te verbeteren. We verwerken daarbij gebruiksgebeurtenissen gekoppeld aan je account, geen gespreksinhoud. Juridische grondslag: gerechtvaardigd belang. Waarborg voor doorgifte: N.v.t.: Gegevens verwerkt in EU. DPA: posthog.com/dpa

Customer.io (EU-datacenter)

Doel: Versturen van productmails, zoals uitleg bij je start en herinneringen, op basis van je e-mailadres en je gebruik van Ajora. Geen gespreksinhoud. Juridische grondslag: gerechtvaardigd belang. Waarborg voor doorgifte: N.v.t.: Gegevens verwerkt in EU. DPA: customer.io/legal/dpa

Soverin B.V. (Nederland)

Doel: Versturen van e-mail vanaf ajora.io, waaronder de melding dat je debrief klaarstaat en de mails waarmee je een debrief deelt. De melding bevat alleen een link naar je debrief, geen gespreksinhoud. Waarborg voor doorgifte: N.v.t.: Gegevens verwerkt in EU. DPA: soverin.com/about/privacy

3. Data Locatie & Internationale Overdrachten

De kerninfrastructuur van Ajora (applicatieservers en database gehost bij Hetzner in Neurenberg, Duitsland, en beheer van encryptiesleutels in AWS Frankfurt regio, Duitsland) bevindt zich in de Europese Unie. Gesprekstranscripties, samenvattingen, metadata en accountgegevens, en gespreksaudio gedurende de ingestelde bewaartermijn, worden uitsluitend op deze EU-infrastructuur opgeslagen.

Bepaalde functies van de dienst vereisen de overdracht van gegevens naar subverwerkers buiten de EU. Al deze overdrachten vallen onder een passende waarborg conform hoofdstuk V van de AVG:

Er worden geen persoonsgegevens overgedragen naar een land zonder een passende waarborg die wordt erkend onder de AVG.

4. Dataretentie

Wanneer je je account verwijdert, wordt je encryptiesleutel als eerste vernietigd, waardoor je transcripties cryptografisch ontoegankelijk worden. Alle resterende gegevens worden permanent gewist uit onze productiesystemen binnen 30 dagen en uit back-upsystemen binnen 90 dagen.

5. Jouw Rechten (AVG)

Als betrokkene onder de AVG heb je de volgende rechten:

• Recht op inzage: Je kunt een kopie opvragen van alle persoonsgegevens die we over jou bewaren.
• Recht op rectificatie: Je kunt ons vragen om onjuiste gegevens te corrigeren.
• Recht op vergetelheid: Je kunt je account te allen tijde verwijderen via je dashboard. Alle gegevens worden permanent verwijderd zoals beschreven in §4.
• Recht op dataportabiliteit: Je kunt je gegevens opvragen in een machineleesbaar formaat.
• Recht van bezwaar: Je kunt bezwaar maken tegen verwerking op basis van gerechtvaardigd belang (zoals gebruikslogboeken).
• Recht op beperking van de verwerking: Je kunt ons vragen de verwerking te beperken terwijl een geschil wordt opgelost.
• Recht op intrekking van toestemming: Wanneer verwerking is gebaseerd op toestemming (zoals analytische cookies), kun je je toestemming te allen tijde intrekken zonder dat dit afbreuk doet aan de rechtmatigheid van eerdere verwerking.

Om een van deze rechten uit te oefenen, stuur je een e-mail naar privacy@ajora.io. We zullen binnen een maand reageren (verlengbaar met twee maanden voor complexe verzoeken). Je hebt ook het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl.

Opmerking voor gespreksdeelnemers (niet-accounthouders): Als je stem is opgenomen tijdens een gesprek dat is gevoerd met Ajora, is de accounthouder (de persoon die de opname in gang heeft gezet) de verwerkingsverantwoordelijke voor jouw persoonsgegevens. Verzoeken van gespreksdeelnemers met betrekking tot inzage, rectificatie of vergetelheid moeten in de eerste plaats aan de accounthouder worden gericht. Wij zullen accounthouders ondersteunen bij het inwilligen van dergelijke verzoeken.

6. Toestemming voor Opname

Ajora neemt telefoongesprekken op die door de accounthouder zijn geïnitieerd met als doel het genereren van gesprekssamenvattingen en transcripties.

Ajora geeft geen automatisch hoorbaar signaal aan de andere partij dat het gesprek wordt opgenomen. De verplichting om alle andere partijen vooraf mondeling te informeren en, waar de wet dat vereist, hun toestemming te verkrijgen, ligt volledig bij de accounthouder.

De accounthouder is contractueel verplicht, op grond van onze Algemene Voorwaarden, om:

• Alle andere partijen mondeling te informeren voordat de opname begint dat het gesprek zal worden opgenomen en getranscribeerd door Ajora.
• De toestemming van alle andere partijen te verkrijgen waar dat wettelijk vereist is.
• Te voldoen aan alle toepasselijke wetgeving inzake opnames en afluisteren in de jurisdicties van alle partijen in het gesprek. De wetgeving omtrent opnames varieert sterk per land (bijvoorbeeld toestemmingsvereisten van alle partijen in sommige Amerikaanse staten; Artikel 139a Wetboek van Strafrecht in Nederland; gelijksoortige regels binnen de EU).
• Een geldige juridische grondslag onder Artikel 6 van de AVG vast te stellen en te documenteren voor het verwerken van de persoonsgegevens van andere partijen in het gesprek.
• Verzoeken van andere partijen om toegang tot, of correctie of verwijdering van hun persoonsgegevens in te willigen.

Ajora biedt de technische middelen om gesprekken op te nemen, te transcriberen en samen te vatten. Het gebruik van de dienst zonder het verkrijgen van de juiste toestemming of een geldige juridische grondslag kan de accounthouder blootstellen aan civiel- en strafrechtelijke aansprakelijkheid. Door Ajora te gebruiken, bevestig je dat je zult voldoen aan alle toepasselijke opnamewetgeving en de benodigde toestemming zult verkrijgen.

7. Beveiliging

We passen de volgende technische en organisatorische maatregelen toe om jouw gegevens te beschermen:

• Alle data is versleuteld. Zakelijke accounts krijgen een eigen encryptiesleutel per organisatie.
• De mastersleutels die deze datasleutels beschermen, worden opgeslagen in AWS Key Management Service onder strikte toegangscontroles en worden nooit in leesbare tekst (plaintext) in onze applicatie opgeslagen.
• Toegang tot sleutelmateriaal is beperkt tot een klein aantal geautoriseerde medewerkers en wordt volledig gelogd via AWS CloudTrail.
• Alle data in transit is versleuteld met behulp van TLS 1.2 of hoger.
• Toegang tot productiesystemen is beperkt tot geautoriseerde medewerkers, beveiligd door middel van multi-factor authenticatie en wordt periodiek herzien.
• Database-back-ups worden at rest versleuteld en opgeslagen in dezelfde EU-regio.
• Alle medewerkers met toegang tot persoonsgegevens zijn gebonden aan geheimhoudingsverplichtingen.
• Subverwerkers worden voorafgaand aan onboarding beoordeeld op passende beveiligings- en privacymaatregelen, en Verwerkersovereenkomsten worden regelmatig herzien.
• We handhaven een gedocumenteerde incidentresponsprocedure die detectie, inperking, forensisch onderzoek, notificatie en nabeschouwing omvat.

8. Melding van Datalekken

Als we op de hoogte raken van een inbreuk in verband met persoonsgegevens die waarschijnlijk een risico inhoudt voor de rechten en vrijheden van betrokkenen, zullen wij dit binnen 72 uur melden bij de Autoriteit Persoonsgegevens in overeenstemming met Artikel 33 van de AVG. Als het lek waarschijnlijk een hoog risico met zich meebrengt, zullen we getroffen gebruikers ook zonder onredelijke vertraging informeren conform Artikel 34, via een e-mail naar het adres dat aan het account is gekoppeld.

Als je een beveiligingsincident vermoedt waarbij jouw gegevens betrokken zijn, neem dan direct contact op via privacy@ajora.io.

9. Wijzigingen aan dit Beleid

We kunnen dit beleid bijwerken om wijzigingen in onze dienst, subverwerkers of wettelijke vereisten te weerspiegelen. Materiële wijzigingen melden we vooraf, via een melding in het dashboard of de app, of per e-mail aan het adres dat aan je account is gekoppeld. De huidige versie, de ingangsdatum en een samenvatting van wijzigingen zijn altijd beschikbaar via ajora.io/privacy.

Wijzigingen in subverwerkers: Wanneer wij een subverwerker toevoegen of vervangen die betrokken is bij de verwerking van gespreksinhoud, zullen we accounthouders ten minste 14 dagen van tevoren informeren, via een melding in het dashboard of de app, of per e-mail. Als je op redelijke gronden bezwaar maakt tegen een nieuwe subverwerker, kun je je account beëindigen voordat de wijziging ingaat.

10. Minimumleeftijd

Ajora is een zakelijke tool bedoeld voor gebruikers van 18 jaar of ouder. Wij richten ons niet op minderjarigen en verzamelen niet bewust persoonsgegevens van gebruikers jonger dan 18 jaar. Als je van mening bent dat een minderjarige ons persoonsgegevens heeft verstrekt, neem dan contact op via privacy@ajora.io en we verwijderen deze zonder onnodige vertraging.

11. Contact

• Voor privacygerelateerde vragen of om je rechten uit te oefenen: privacy@ajora.io
• Voor algemene ondersteuning: info@ajora.io

Postadres: Ajora B.V., Poortstraat 28, 3572 HJ Utrecht, Nederland.

Reactietijd: binnen een maand voor privacyverzoeken; binnen 2 werkdagen voor ondersteuning.