Wat onze assistenten doen — en niet doen — met uw gegevens

1. AI-transparantie: u weet dat het een AI is (AI Act, artikel 50)

Sinds 2 augustus 2026 moet iedereen die met een AI-systeem praat daar vanaf het begin duidelijk over worden ingelicht. Dat is een regel uit de Europese verordening over AI (de AI Act, art. 50 §1). Er is geen uitzondering voor kmo's, en een zin in algemene voorwaarden volstaat niet.

Bij Secondia: de telefoonassistent kondigt zich in zijn eerste zin aan als « AI-assistent van [uw onderneming] », zonder menselijke voornaam. De chat op deze site stelt zich voor als AI. E-mails die door een assistent zijn voorbereid (herinneringen, antwoorden) vermelden dat ook. Deze vermeldingen worden nooit weggelaten om « menselijker » te klinken.

2. Geen audio-opname, by design

In België is het verboden een telefoongesprek op te nemen zonder toestemming van alle gesprekspartners (art. 314bis Strafwetboek en art. 124 Wet elektronische communicatie), behalve in enkele strikte wettelijke uitzonderingen. De Gegevensbeschermingsautoriteit (de Belgische instantie die over de privacy waakt) heeft eraan herinnerd dat een loutere welkomstboodschap geen toestemming is.

Secondia neemt dus geen audiobestand van oproepen op. Dat is geen uitgeschakelde optie: zo is de dienst gebouwd. De assistent maakt alleen een transcriptie (de tekst van het gesprek) en een samenvatting. Die dienen om u het bericht te bezorgen en u te laten nakijken wat er gezegd is.

3. Bewaring: 30 dagen

Transcripties en samenvattingen van oproepen worden 30 dagen na de oproep bewaard en daarna verwijderd. Die termijn geeft u de tijd om een bericht te behandelen, een instructie na te kijken of ons een fout te melden. Hij is dezelfde voor alle klanten.

Andere gegevens (klantenaccount, opgevolgde facturen, historiek van de herinneringen, activiteitenlogboek) volgen de termijnen van de verwerkersovereenkomst (DPA). Na het einde van het contract worden ze binnen 30 dagen verwijderd of aan u teruggegeven, tenzij de wet een bewaarplicht oplegt.

4. Rechtsgrond (waarom de wet het toelaat) en rollen

Voor de gegevens van bellers en van ontvangers van een factuurherinnering is uw onderneming de « verwerkingsverantwoordelijke » (zij bepaalt waarom en hoe die gegevens worden gebruikt). Secondia is de « verwerker » (art. 28 AVG): wij verwerken die gegevens in uw naam, uitsluitend volgens uw schriftelijke instructies.

De « rechtsgrond » is de reden waarom die verwerking wettelijk mag. U bepaalt ze zelf; de gebruikelijke zijn de uitvoering van de overeenkomst met uw klant (bericht noteren, afspraak, herinnering voor een vervallen factuur) en uw gerechtvaardigd belang (het telefonisch onthaal van uw activiteit verzekeren).

Er worden geen gezondheidsgegevens verwerkt: geen reden van consultatie, geen symptoom, geen diagnose. Die grens staat in het contract (DPA §3, AV §9) en stuurt het ontwerp van de assistenten, in het bijzonder voor artsenpraktijken.

5. Rechten van personen

Iedereen van wie de stem werd getranscribeerd, of die een factuurherinnering ontving, kan vragen om de eigen gegevens in te zien, te corrigeren, te wissen, het gebruik ervan te beperken of er bezwaar tegen te maken (art. 15 tot 21 AVG). Die persoon richt zich eerst tot de klant-onderneming. Secondia helpt en is ook rechtstreeks bereikbaar via contact@secondia.app: antwoord binnen 24 werkuren, behandeling binnen de wettelijke termijn van één maand.

Bij onenigheid kan een klacht worden ingediend bij de Gegevensbeschermingsautoriteit (gegevensbeschermingsautoriteit.be).

6. Verwerkers

Een « subverwerker » is een bedrijf waaraan Secondia een deel van het werk toevertrouwt (hosting, betaling…). Alleen de verwerkers vermeld in artikel 6 van de DPA zijn toegelaten. Is een telefonie- of spraakleverancier nodig, dan wordt die in uw contract genoemd. Elke wijziging wordt u gemeld en Secondia blijft aansprakelijk voor zijn verwerkers.

Verwerkt een verwerker gegevens buiten de EU, dan wordt de doorgifte geregeld door standaardcontractbepalingen (door de EU goedgekeurde modelregels) of door een adequaatheidsbesluit (de EU erkent het land als veilig). De gegevens worden waar mogelijk in de EU gehost.

• Vercel — applicatiehosting
• Supabase — databank (EU)
• Stripe — betalingen
• Anthropic — AI-modellen
• Resend — transactionele e-mails
• + de telefonie-/spraakleverancier genoemd in uw contract, in voorkomend geval

7. Beveiliging en incidenten

De uitwisselingen zijn versleuteld tijdens de overdracht (onleesbaar voor derden), de toegang is gecontroleerd, acties worden in een logboek bijgehouden en de gegevens van elke klant zijn gescheiden. Inkomende berichten worden gefilterd tegen pogingen om de assistent te misleiden en tegen het vastleggen van bankgegevens (IBAN). Bij een datalek verwittigt Secondia de klant binnen de termijn van de DPA, zodat die zijn eigen verplichtingen kan nakomen.