GDPR-naleving

CalmCall, beheerd door CalmCall SRL (Boekarest, Roemenië), zet zich in voor volledige naleving van Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens ("AVG").

Aangezien CalmCall gevoelige gegevens over mentale gezondheid verwerkt, verbinden wij ons tot de hoogste normen van bescherming en transparantie.

1. Functionaris Gegevensbescherming (FG)

Wij hebben een Functionaris Gegevensbescherming aangesteld die u kunt contacteren voor verzoeken met betrekking tot uw persoonsgegevens:

2. Juridische Gronden voor Gegevensverwerking

Wij verwerken uw persoonsgegevens op basis van de volgende juridische gronden zoals voorzien door de AVG:

• Expliciete toestemming (Art. 6(1)(a) en Art. 9(2)(a)): Voor de verwerking van speciale gegevens over mentale gezondheid (AI-gesprekken, emotionele beoordelingen, dagboekinvoer). Toestemming wordt gevraagd bij het aanmaken van een account en kan te allen tijde worden ingetrokken.
• Contractuele uitvoering (Art. 6(1)(b)): Voor het leveren van CalmCall-diensten, accountbeheer en betalingsverwerking.
• Juridische verplichting (Art. 6(1)(c)): Voor naleving van toepasselijke belasting-, boekhoud- en juridische vereisten.
• Vitale belangen (Art. 6(1)(d)): In uitzonderlijke gevallen van detectie van een onmiddellijk risico voor het leven van de gebruiker.
• Gerechtvaardigd belang (Art. 6(1)(f)): Voor serviceverbetering, beveiliging en fraudepreventie — met inachtneming van de rechten en belangen van gebruikers.

3. Gegevensbewaarperiodes

Gegevens worden strikt bewaard voor de duur die nodig is voor het doel waarvoor ze zijn verzameld:

4. Derde partijen verwerkers

Wij werken samen met de volgende derde partijen verwerkers, die allemaal AVG-conform zijn met ondertekende gegevensverwerkingsovereenkomsten (DPA):

• Hetzner Online GmbH (Duitsland): Hosting en serverinfrastructuur. Servers bevinden zich in de EU (Duitsland).
• Stripe Inc. (VS/Ierland): Betalingsverwerking. PCI DSS Level 1 gecertificeerd. Standaardcontractuele clausules voor EU-VS-overdracht.
• OpenAI (VS): AI-verwerking voor spraakcompanion. Gegevens worden verwerkt volgens DPA met standaardcontractuele clausules. Gebruikersgegevens worden niet gebruikt voor modeltraining.
• ElevenLabs (VS): Stem-synthese voor AI-companion. Standaardcontractuele clausules.
• Google Analytics (VS/Ierland): Geanonimiseerde verkeersanalyse. IP's zijn geanonimiseerd, geen identificatiecookies.

5. Grensoverschrijdende Gegevensoverdracht

Alle gegevens worden opgeslagen op servers binnen de Europese Unie. Wanneer gegevensoverdracht naar landen buiten de Europese Economische Ruimte noodzakelijk is (bijv. voor AI verwerking), zorgen wij ervoor dat:

• Standaardcontractuele clausules (SCC) goedgekeurd door de Europese Commissie worden geïmplementeerd
• Verwerkers beschikken over relevante compliance-certificeringen (SOC 2, ISO 27001, PCI DSS)
• Aanvullende technische maatregelen zijn van toepassing: end-to-end encryptie, pseudonimisering, gegevensminimalisatie
• Impactbeoordelingen (Transfer Impact Assessments) worden uitgevoerd voor elke overdracht

6. Verzoeken om Gegevensverwijdering

U kunt volledige verwijdering van uw persoonsgegevens aanvragen via:

• Via account: Instellingen > Privacy > Verwijder alle gegevens
• E-mail: Stuur een verzoek naar dpo@calmcall.ai
• Formulier: Vul het AVG-verzoekformulier op de website in

Verwijderingsproces:

• Identiteitsbevestiging binnen maximaal 3 werkdagen
• Hoofdgegevensverwijdering binnen maximaal 30 dagen
• Back-upverwijdering binnen maximaal 90 dagen
• Eindbevestiging van verwijdering via e-mail

Opmerking: Bepaalde gegevens kunnen worden bewaard op basis van wettelijke verplichtingen (belastinggegevens — 5 jaar).

7. Cookiebeleid — Details

Volledige classificatie van cookies die op CalmCall worden gebruikt:

Strikt noodzakelijke cookies

• session_id: Sessie-identificator. Duur: browsersessie. Kan niet worden uitgeschakeld.
• csrf_token: Bescherming tegen CSRF-aanvallen. Duur: sessie. Kan niet worden uitgeschakeld.
• auth_token: Authenticatietoken. Duur: 30 dagen of bij uitloggen. Kan niet worden uitgeschakeld.

Functionele cookies

• language: Taalvoorkeur. Duur: 1 jaar. Kan worden uitgeschakeld.
• theme: Visuele thema voorkeur. Duur: 1 jaar. Kan worden uitgeschakeld.
• cookie_consent: Toestemmingsvoorkeuren. Duur: 1 jaar.

Analytics-cookies

• _ga: Google Analytics — anonieme gebruikersidentificatie. Duur: 13 maanden. Kan worden uitgeschakeld.
• _ga_*: Google Analytics — sessietoestand. Duur: 13 maanden. Kan worden uitgeschakeld.

Wij gebruiken geen marketing-, advertentie- of remarketingcookies.

8. Gegevensbeschermingseffectbeoordeling (DPIA)

Aangezien CalmCall gevoelige gegevens over mentale gezondheid op grote schaal verwerkt, hebben wij een Gegevensbeschermingseffectbeoordeling (DPIA) uitgevoerd volgens Art. 35 AVG. De DPIA wordt jaarlijks herzien of bij elke significante wijziging in de verwerkingsactiviteiten. DPIA-resultaten zijn op verzoek beschikbaar voor toezichthoudende autoriteiten.

9. Uw Rechten

Onder de AVG heeft u de volgende rechten:

• Recht op toegang (Art. 15) — verkrijg een kopie van uw gegevens
• Recht op rectificatie (Art. 16) — corrigeer onjuiste gegevens
• Recht op verwijdering (Art. 17) — vraag om gegevensverwijdering
• Recht op beperking (Art. 18) — beperk de verwerking
• Recht op overdraagbaarheid (Art. 20) — ontvang gegevens in gestructureerd formaat
• Recht om bezwaar te maken (Art. 21) — maak bezwaar tegen de verwerking
• Recht om toestemming in te trekken (Art. 7(3)) — te allen tijde, zonder terugwerkende kracht
• Recht om een klacht in te dienen (Art. 77) — bij de toezichthoudende autoriteit

10. Toezichthoudende Autoriteiten

Als u denkt dat uw rechten zijn geschonden, kunt u een klacht indienen bij:

• Roemenië: Nationale Autoriteit voor Toezicht op Persoonsgegevensverwerking (ANSPDCP) — www.dataprotection.ro
• Cyprus: Kantoor van de Commissaris voor Persoonsgegevens Bescherming — www.dataprotection.gov.cy

11. Contact

Voor vragen of verzoeken met betrekking tot de AVG en de bescherming van persoonsgegevens: