Privacybeleid

Versie 1.0 · Laatste update: april 2026 · ZeroFlow · info@zeroflow.nl

Samenvatting: ZeroFlow verwerkt geen persoonsgegevens van uw klanten. Gesprekken worden real-time getranscribeerd en PII wordt gemaskeerd vóór elk AI-verzoek. Audio wordt nooit opgeslagen. Per gesprek wordt een AVG Art. 30 verwerkingsregister aangemaakt.

1. Wie zijn wij?

ZeroFlow is een softwareproduct voor Nederlandse MSP's (Managed Service Providers). Contact: info@zeroflow.nl.

2. Welke gegevens verwerken wij?

ZeroFlow verwerkt uitsluitend operationele metadata van uw MSP-omgeving: ticketclassificaties, SLA-timing, gebruiksstatistieken en gemaskeerde transcripten. Persoonsgegevens (namen, e-mailadressen, telefoonnummers, wachtwoorden, BSN, IBAN) worden gemaskeerd vóór opslag en vóór elk AI-verzoek.

Wij slaan geen audio op. Audio wordt real-time verwerkt en nergens bewaard.

3. Grondslag voor verwerking

De verwerking vindt plaats op grond van een verwerkersovereenkomst (AVG Art. 28) die u als verwerkingsverantwoordelijke met ZeroFlow sluit. ZeroFlow treedt op als verwerker in opdracht van uw MSP.

4. Waar worden gegevens opgeslagen?

Alle persistente data (transcripten, tickets, verwerkingsregisters) wordt opgeslagen in EU-datacenters: Supabase (Frankfurt), Railway (EU-West) en Vercel (Frankfurt/Dublin). Tenant-isolatie via Row Level Security (RLS) — elke MSP ziet uitsluitend eigen data.

5. Sub-verwerkers en data-locatie

Voor realtime spraakverwerking gebruikt ZeroFlow Deepgram via het EU-endpoint (api.eu.deepgram.com) — audio blijft binnen de EU. Voor ITIL-classificatie en samenvatting wordt OpenAI ingezet via de Ierse entiteit OpenAI Ireland Ltd; zij ontvangen uitsluitend gemaskeerde transcripten (persoonsgegevens al vervangen door placeholders) en gebruiken API-data standaard niet voor modeltraining.

Deepgram: EU-hosting (api.eu.deepgram.com), geen audio-opslag, mip_opt_out=true (geen modeltraining). DPA met SCCs aangevraagd als juridische fallback.
OpenAI: getekend DPA met OpenAI Ireland Ltd (EU-entiteit) en EU SCCs voor VS-doorgifte; geen modeltraining op API-data (standaard sinds maart 2023); Transfer Impact Assessment gedocumenteerd.
PII-masker verwerkt e-mail, telefoon, BSN, IBAN, wachtwoorden en namen vóór elk AI-verzoek en vóór elke opslag.

Een volledige sub-verwerkerslijst met doel, locatie en waarborgen staat op zeroflow.nl/sub-processors. U wordt ten minste 30 dagen vooraf geïnformeerd bij wijziging of toevoeging van een sub-verwerker en heeft het recht bezwaar te maken.

6. AVG Art. 30 — verwerkingsregister

Per gesprek genereert ZeroFlow automatisch een verwerkingsregister conform AVG Art. 30. Dit register bevat uitsluitend typen en aantallen gemaskeerde gegevens — nooit de data zelf. Het register is exporteerbaar als JSON.

7. NIS2-compliance

ZeroFlow bewaakt NIS2-melddeadlines automatisch: 24 uur (Early Warning) en 72 uur (Full Report) bij een herkend datalek. De bewaking vervangt niet uw eigen meldplicht bij de Autoriteit Persoonsgegevens.

8. Bewaartermijnen

Gemaskeerde transcripten en ticketdata worden bewaard zolang uw MSP-account actief is, tenzij u eerder verwijdering verzoekt. Na beëindiging van de overeenkomst worden alle data binnen 30 dagen verwijderd.

9. Uw rechten

Als verwerkingsverantwoordelijke heeft u het recht op inzage, correctie, verwijdering en overdraagbaarheid van de door ZeroFlow verwerkte gegevens. Verzoeken: info@zeroflow.nl.

10. Contact

Vragen over dit privacybeleid of een verwerkersovereenkomst aanvragen? Mail naar info@zeroflow.nl.