Privacybeleid

Versie 1.1 · Laatste update: mei 2026 · ZeroFlow · info@zeroflow.nl

Samenvatting: ZeroFlow beperkt de verwerking van persoonsgegevens zoveel mogelijk. Gesprekken worden realtime getranscribeerd en PII wordt server-side gemaskeerd vóór opslag en vóór AI-verwerking. Audio wordt nooit opgeslagen. Per gesprek wordt een AVG art. 30-verwerkingsregister aangemaakt.

1. Wie zijn wij?

ZeroFlow is een softwareproduct voor Nederlandse MSP's (Managed Service Providers). Contact: info@zeroflow.nl.

2. Welke gegevens verwerken wij?

ZeroFlow verwerkt uitsluitend operationele metadata van uw MSP-omgeving: ticketclassificaties, SLA-timing, gebruiksstatistieken en gemaskeerde transcripten. Persoonsgegevens (namen, e-mailadressen, telefoonnummers, wachtwoorden, BSN, IBAN) worden gemaskeerd vóór opslag en vóór elk AI-verzoek.

Wij slaan geen audio op. Audio wordt realtime verwerkt en nergens bewaard.

3. Grondslag voor verwerking

De verwerking vindt plaats op grond van een verwerkersovereenkomst (AVG art. 28) die u als verwerkingsverantwoordelijke met ZeroFlow sluit. ZeroFlow treedt op als verwerker in opdracht van uw MSP.

4. Waar worden gegevens opgeslagen?

Alle persistente productdata (transcripten, tickets, verwerkingsregisters) wordt opgeslagen in EU-datacenters: Supabase (Frankfurt), Railway (EU-West) en Vercel (Frankfurt/Dublin). Tenant-isolatie via Row Level Security (RLS) — elke MSP ziet uitsluitend eigen data.

5. Sub-verwerkers en data-locatie

Voor realtime spraakverwerking gebruikt ZeroFlow Deepgram via het EU-endpoint (api.eu.deepgram.com) — audio blijft binnen de EU. Voor ITIL-classificatie gebruikt ZeroFlow Google Gemini; OpenAI wordt gebruikt voor fallback, samenvattingen, suggesties en OCR. AI-providers ontvangen uitsluitend gemaskeerde tekst (persoonsgegevens al vervangen door placeholders) en API-data wordt niet gebruikt voor modeltraining waar ZeroFlow dit contractueel of technisch kan uitsluiten.

Deepgram: EU-hosting (api.eu.deepgram.com), geen audio-opslag, mip_opt_out=true (geen modeltraining). DPA met SCCs aangevraagd als juridische fallback.
Google Gemini: ITIL-classificatie op gemaskeerde tekst; DPA/subprocessor-afspraken worden afgerond vóór verwerking voor betalende klanten.
OpenAI: getekend DPA met OpenAI Ireland Ltd (EU-entiteit) en EU SCCs voor VS-doorgifte; geen modeltraining op API-data (standaard sinds maart 2023); Transfer Impact Assessment gedocumenteerd.
PII-masker verwerkt e-mail, telefoon, BSN, IBAN, wachtwoorden en namen vóór elk AI-verzoek en vóór elke opslag.

Een volledige sub-verwerkerslijst met doel, locatie en waarborgen staat op zeroflow.nl/sub-processors. U wordt ten minste 30 dagen vooraf geïnformeerd bij wijziging of toevoeging van een sub-verwerker en heeft het recht bezwaar te maken.

6. AVG art. 30 — verwerkingsregister

Per gesprek genereert ZeroFlow automatisch een verwerkingsregister volgens AVG art. 30. Dit register bevat uitsluitend typen en aantallen gemaskeerde gegevens — nooit de data zelf. Het register is exporteerbaar als JSON.

7. NIS2-voorbereiding

ZeroFlow kan NIS2-relevante signalen en melddeadlines zichtbaar maken nadat uw team een melding als relevant bevestigt. De bewaking vervangt niet uw eigen juridische beoordeling of meldplicht bij de bevoegde instanties.

8. Bewaartermijnen

Gemaskeerde transcripten en ticketdata worden bewaard zolang uw MSP-account actief is, tenzij u eerder verwijdering verzoekt. Na beëindiging van de overeenkomst worden alle data binnen 30 dagen verwijderd.

9. Uw rechten

Als verwerkingsverantwoordelijke heeft u het recht op inzage, correctie, verwijdering en overdraagbaarheid van de door ZeroFlow verwerkte gegevens. Verzoeken: info@zeroflow.nl.

10. Contact

Vragen over dit privacybeleid of een verwerkersovereenkomst aanvragen? Mail naar info@zeroflow.nl.