Privacybeleid

Ingangsdatum: 1 november 2026

De korte versie

Niemand leest privacybeleid. Daarom staat hier alles in tien regels, met de volledige versie eronder.

• Jij bent eigenaar van je gegevens. Voor boekingen die via je Cal.com-account worden gemaakt, ben jij de verwerkingsverantwoordelijke en zijn wij de verwerker, onder de verwerkersovereenkomst op cal.com/dpa, die onderdeel is van onze Servicevoorwaarden voor elk account, gratis of betaald. We verwerken ze namens jou en we verkopen ze niet, aan niemand, nooit.
• We verzamelen het minimum. Namen, e-mails, telefoonnummers en alles waar je boekingsvragen om vragen. Plus de saaie technische dingen die elke website krijgt: IP-adres, browser, bekeken pagina’s.
• De database is waar persoonsgegevens staan. Niet in onze logs, niet in onze analytics, niet in een spreadsheet. Onze eigen engineeringregels verbieden persoonsgegevens in logs, foutrapporten en analytics-events. We sturen ID’s, geen mensen.
• We gebruiken subverwerkers, en we noemen ze allemaal. Hosting, e-mail, SMS, video, betalingen, AI, analytics, monitoring, support en onze eigen backoffice-tools die je gegevens kunnen zien. De volledige tabel en hun doel staan in ons Trust Center; voordat een nieuwe start, geven we accounteigenaren vooraf schriftelijk bericht per e-mail, via een melding in het product of via een andere vastgelegde elektronische methode, vroeg genoeg zodat je de wijziging kunt beoordelen en bezwaar kunt maken.
• AI-functies zijn opt-in en beperkt. AI-vergadernotities sturen de transcriptietekst (geen titels, geen deelnemerslijst, geen links). AI-telefoonagenten sturen het telefoonnummer en de gastgegevens die nodig zijn om het gesprek te voeren. Niets wordt gebruikt om iemands modellen te trainen.
• Jij kiest je apps. Wanneer je Google Calendar, Zoom, Salesforce of een webhook koppelt, stromen gegevens daarheen omdat jij dat hebt aangegeven. Dat zijn jouw integraties, volgens jouw instructies.
• Geen cookies van derden in het product. Onze marketingwebsite gebruikt wel analytics en advertentiemeting. Zie het gedeelte over cookies.
• Je kunt je gegevens exporteren of verwijderen. Op elk moment, zelf of per e-mail. Verwijderd betekent verwijderd, ook bij onze subverwerkers.
• Vragen: [email protected]. Echte mensen, geen formulier.

Wie is wie: verwerkingsverantwoordelijke vs. verwerker

Dit haalt mensen vaak door de war, dus dit komt eerst.

Cal.com’s eigen dienstverleners. Om ons eigen bedrijf te voeren gebruiken we dienstverleners die de contactgegevens van onze klanten zien, bijvoorbeeld Documenso en Fusial voor het elektronisch ondertekenen van contracten en DPA’s (Verenigde Staten). Zij handelen volgens onze instructies en zijn geen subverwerkers van jouw gegevens.

Wat dit betekent: als je een deelnemer bent die een meeting heeft geboekt en je wilt dat je gegevens worden verwijderd, is de snelste route via de persoon bij wie je hebt geboekt. We helpen hoe dan ook, en we geven het verzoek door.

Wat we verzamelen

Gegevens die jij en je boekers ons geven

• Accountgegevens: naam, e-mail, gebruikersnaam, wachtwoordhash of SSO-identiteit, tijdzone, profielfoto en je beschikbaarheid. Bij aanmelding kunnen we via AvatarAPI een profielfoto voor je e-mailadres opzoeken; je kunt die vervangen of verwijderen.
• Boekingsgegevens: namen en e-mails van deelnemers, telefoonnummers wanneer SMS-herinneringen of telefoongesprekken worden gebruikt, meetingtitels en locaties, antwoorden op je boekingsvragen, notities, gastenlijsten, redenen voor annuleren en boeking wijzigen.
• Factuurgegevens: bedrijfsnaam, factuuradres en betaalkaartgegevens. De kaart gaat rechtstreeks naar Stripe, en wij zien of bewaren die nooit.
• Supportgegevens: alles wat je ons schrijft, plus de accountcontext die aan het gesprek is gekoppeld.

Gegevens die we automatisch verzamelen

• IP-adres, browser en apparaat, verwijzende URL, bekeken pagina’s en tijdstempels.
• Productgebruik-events (welke functies je hebt gebruikt, hoe vaak) gekoppeld aan een nietszeggende ID, niet aan je e-mail.
• Fout- en prestatiediagnostiek wanneer er iets stukgaat.

Wat we bewust niet doen

• We verzamelen niet bewust bijzondere persoonsgegevens. Je boekingsvragen misschien wel. Als je naar gezondheid vraagt, zijn dat gezondheidsgegevens in je Cal.com-account, en het is aan jou om daar rechtmatig om te vragen. Zie “Gezondheidsinformatie”.
• We verzamelen niet bewust gegevens van iemand onder de 18.
• We bouwen geen advertentieprofielen op basis van boekingsgegevens, en we verkopen of verhuren geen persoonsgegevens.

Wat dit betekent: we bewaren wat nodig is om een meeting in twee agenda’s te zetten, je te factureren en je te ondersteunen. De interessante persoonsgegevens, de antwoorden van je boekers, bewaren we voor jou, niet voor ons.

Waarom we dat mogen (rechtsgrondslagen, GDPR art. 6)

Subverwerkers: wie er nog meer persoonsgegevens aanraakt

We gebruiken andere bedrijven om Cal.com. Elke subverwerker heeft een gegevensverwerkingsovereenkomst met ons, krijgt alleen wat nodig is en verwerkt gegevens alleen volgens onze instructies. Wat ze doen en waar ze gegevens verwerken, staat in ons Trustcentrum.

Hoe je over wijzigingen hoort. Voordat een nieuwe of vervangende subverwerker begint met het verwerken van persoonsgegevens van klanten, geven we je vooraf schriftelijk bericht via e-mail aan je accountbeheerder of privacy-/juridische contactpersoon, via een melding in het product, of via een andere gedocumenteerde elektronische methode. We doen commercieel redelijke inspanningen om dit vroeg genoeg te doen zodat je de wijziging kunt beoordelen en bezwaar kunt maken (DPA §6.3-6.4). Alleen de subverwerkerslijst bijwerken is niet onze enige manier om bericht te geven.

Als je bezwaar maakt op redelijke en onderbouwde gronden voor gegevensbescherming, kun je dat doen zoals beschreven in de DPA. Heb je vragen over een subverwerker, schrijf dan naar [email protected].

Advertenties en leadidentificatie (marketingsite en marketingtools, niet het product)

Deze worden beheerd door ons marketingteam en zijn niet ingebouwd in de productcode. Ze zien alleen gegevens van de marketingsite en marketinglijsten, nooit boekingsgegevens, antwoorden van deelnemers of iets uit je Cal.com account.

Leveranciers in deze categorie (Google Analytics en Tag Manager, X Ads, website-attributie van Dub, advertentietags van LinkedIn en Meta) draaien alleen op de marketingwebsite met je toestemming en staan in de cookiebanner; ze zijn geen subverwerkers van boekingsgegevens.

Wat het betekent: als je in de EER of het VK bent, draaien de leveranciers voor doelgroepmatching en bezoekersidentificatie niet voor jou. Ergens anders kun je ze uitschakelen door marketingcookies te weigeren, of door Global Privacy Control te gebruiken.

Apps en integraties die je koppelt

Wanneer je een app koppelt, geef je ons opdracht er gegevens naartoe te sturen. Dat doen we precies zo en niets meer.

• Agenda's: Google Calendar, Microsoft Outlook, Apple/CalDAV, Zoho: titels van agenda-items, beschrijvingen, tijden, locaties, namen en e-mails van organisator en deelnemers, en vrij/bezet-gegevens.
• Video: Zoom, Google Meet, Microsoft Teams en andere: vergadergegevens die nodig zijn om de link te maken.
• CRM en automatisering: Salesforce, HubSpot, Pipedrive en vergelijkbare tools: naam en e-mail van de deelnemer, vergadergegevens en je antwoorden op boekingsvragen.
• Automatisering en links: Zapier, Dub, Close en vergelijkbare app-store-integraties die je koppelt, draaien onder je eigen account bij die provider.
• Webhooks en je eigen SMTP-server: jij levert het endpoint of de mailserver; die ontvangt alles wat de gebeurtenissen waarop je bent geabonneerd bevatten.

Wat het betekent: dit zijn jouw verwerkers, niet de onze. Hun privacybeleid is van toepassing en door de app los te koppelen stopt de gegevensstroom. We kunnen niet verwijderen wat al in je CRM staat.

Gezondheidsinformatie (PHI)

Cal.com is geen zorgproduct, maar afspraken kunnen gezondheidsinformatie bevatten: een intakevraag, een vergadertitel, notities. Als je Cal.com gebruikt voor iets dat onder HIPAA valt, zijn die gegevens alleen zo goed beschermd als de overeenkomst erachter: vraag ons om een Business Associate Agreement (beschikbaar op Teams-abonnementen en hoger; mail [email protected] of vraag support of sales) en laat die ondertekenen voordat je ze verzamelt, tenzij je bestelformulier of een andere ondertekende overeenkomst met ons dit uitdrukkelijk toestaat, en houd ze buiten boekingsvelden die naar apps van derden worden gekopieerd.

Hoelang we het bewaren

Waar je gegevens naartoe gaan

We zijn een Amerikaans bedrijf en gegevens worden verwerkt in de Verenigde Staten; sommige subverwerkers verwerken ze ergens anders (zie de tabel). Voor doorgiften vanuit de EER en het VK, Cal.com, Inc. neemt deel aan en heeft verklaard te voldoen aan het EU-U.S. Data Privacy Framework en de UK Extension daarvan. Waar het Data Privacy Framework een doorgifte niet dekt, en voor Zwitserland, vertrouwen we op de EU Standard Contractual Clauses uit 2021, het UK Addendum en de Zwitserse aanvullingen, allemaal ingevuld in onze SCC Schedule op cal.com/dpa-scc, dat deel uitmaakt van de DPA, zoals beschreven in de Data Privacy Framework-sectie hieronder. Je kunt onze certificering verifiëren op de DPF List via https://www.dataprivacyframework.gov/list. Het Swiss-U.S. Data Privacy Framework is momenteel niet van toepassing. Als je gegevensresidentie in de EU nodig hebt, neem contact met ons op via [email protected].

EU-U.S. Data Privacy Framework en UK Extension

Cal.com, Inc. voldoet aan het EU-U.S. Data Privacy Framework (EU-U.S. DPF) en de UK Extension to the EU-U.S. DPF zoals vastgesteld door het U.S. Department of Commerce. Cal.com, Inc. heeft aan het ministerie gecertificeerd dat het zich houdt aan de EU-U.S. DPF Principles voor niet-HR-persoonsgegevens die vanuit de Europese Unie en de Europese Economische Ruimte worden ontvangen op basis van het EU-U.S. DPF, en vanuit het Verenigd Koninkrijk en Gibraltar op basis van de UK Extension. Deze toezegging geldt niet voor HR-gegevens van medewerkers die worden doorgegeven voor gebruik in een arbeidsrelatie. Als dit beleid in strijd is met de DPF Principles, gelden de Principles. Lees meer over het programma en bekijk Cal.com’s vermelding op de Data Privacy Framework List op https://www.dataprivacyframework.gov/list.

De gedekte gegevens kunnen namen, e-mailadressen, telefoonnummers, account- en profielgegevens, Beschikbaarheid, boekings- en vergadergegevens, antwoorden op boekingsvragen, facturatie- en supportinformatie, en website-, apparaat-, gebruiks- en beveiligingsinformatie omvatten. Klanten kunnen boekingsvragen instellen waarmee gevoelige gegevens worden verzameld. We gebruiken gedekte gegevens om planning en gerelateerde diensten te leveren, accounts, Boekingen en Betalingen te beheren, met gebruikers en deelnemers te communiceren, support te bieden, de dienst te beveiligen en te verbeteren, en marketing uit te voeren waar dat is toegestaan. Andere delen van dit beleid beschrijven deze gegevens en doelen in meer detail.

We verstrekken relevante gedekte gegevens aan dienstverleners en subverwerkers voor hosting, opslag, e-mail en SMS, video, Betalingen, support, analytics, beveiliging en optionele functies, en aan integraties die klanten selecteren. Ons Trust Center vermeldt subverwerkers en hun doelen. We kunnen ook persoonsgegevens verstrekken wanneer de wet dat vereist. Volgens het DPF-principe Accountability for Onward Transfer Cal.com blijft aansprakelijk als een agent gedekte gegevens verwerkt op een manier die niet in lijn is met de Principes, tenzij Cal.com bewijst dat het niet verantwoordelijk was voor de gebeurtenis die tot de schade heeft geleid.

Personen kunnen toegang tot gedekte gegevens vragen en ons vragen gegevens te corrigeren, aan te passen of te verwijderen die onjuist zijn of in strijd met de Principes worden verwerkt. Waar het DPF Choice Principle dat vereist, kunnen personen bezwaar maken voordat gedekte gegevens aan een derde partij worden verstrekt of voor een wezenlijk ander doel worden gebruikt. Waar dat Principe uitdrukkelijke toestemming vereist voor gevoelige informatie, vragen we die voordat het relevante gebruik of de relevante verstrekking plaatsvindt. Stuur verzoeken naar [email protected]. Voor boekingsgegevens die we volgens instructies van een klant verwerken, stemmen we met die klant af om het verzoek af te handelen.

Personen in de EU en het VK moeten DPF-vragen of -klachten eerst sturen naar Cal.com, Inc., Privacy & Compliance, 2261 Market Street #4382, San Francisco, CA 94114, United States; [email protected]; +1 415 212 6667. Felix Kolodziej, Compliance Lead, is ook bereikbaar via [email protected]. We reageren binnen 45 dagen op DPF-klachten. Voor niet-opgeloste klachten over gedekte gegevens verbinden we ons ertoe samen te werken met en het advies op te volgen van het panel dat is ingesteld door de EU-gegevensbeschermingsautoriteiten voor EU-gegevens, en de UK Information Commissioner’s Office en Gibraltar Regulatory Authority voor gegevens uit het VK en Gibraltar. Deze onafhankelijke verhaalsmechanismen zijn gratis beschikbaar voor personen.

Cal.com, Inc. valt onder de onderzoeks- en handhavingsbevoegdheden van de U.S. Federal Trade Commission voor de naleving van de EU-U.S. DPF en UK Extension. Onder bepaalde voorwaarden kunnen personen bindende arbitrage inroepen voor resterende claims over DPF-naleving. We kunnen verplicht zijn gedekte gegevens te verstrekken naar aanleiding van rechtmatige verzoeken van overheidsinstanties, onder meer om te voldoen aan vereisten voor nationale veiligheid of rechtshandhaving.

Cookies

• In de app: cookies om je in te loggen, voorkeuren te onthouden en de beveiliging te regelen. Geen advertentiecookies van derden.
• Op de marketingsite: de hierboven vermelde cookies voor analytics en advertentiemeting. Je kunt ze weigeren.
• We respecteren Global Privacy Control- en Do Not Track-signalen.

Je rechten

Waar je ook woont, je kunt ons vragen om: toegang tot je gegevens, corrigeren ervan, verwijderen ervan, exporteren ervan, beperken of bezwaar maken tegen verwerking, of toestemming intrekken. Als je in Californië bent, komt daarbij: weten wat we verzamelen, het verwijderen, corrigeren en je afmelden voor verkoop of delen. We verkopen of delen het niet, dus er is niets om je voor af te melden. Als je in de EER of het VK bent, kun je ook een klacht indienen bij je gegevensbeschermingsautoriteit.

Het meeste hiervan kun je zelf regelen in je instellingen. Mail anders naar [email protected] en we reageren binnen de termijnen die de toepasselijke wet vereist. We vragen je eerst te verifiëren wie je bent, en we behandelen je niet slechter omdat je het vraagt.

Beveiliging

Versleuteling tijdens overdracht en in rust, toegang met minimale rechten, SSO en 2FA, gecontroleerde infrastructuur en een bug bounty. Details en onze huidige rapporten: cal.com/security. Geen enkel systeem is volledig veilig; als er iets misgaat, informeren we getroffen klanten zonder onnodige vertraging nadat we ons bewust zijn geworden van een inbreuk op persoonsgegevens, zoals onze DPA vereist.

Wijzigingen in dit beleid

We plaatsen de nieuwe versie hier en werken de ingangsdatum bij. Voor materiële wijzigingen, zoals een nieuwe categorie subverwerkers of een nieuw gebruik van gegevens, informeren we je voordat die ingaan via e-mail, een melding in het product of een andere gedocumenteerde elektronische methode.

Contact

Privacycontact: [email protected]

EU-vertegenwoordiger (GDPR Art. 27): Felix Kolodziej, CAYA Postbox 1040588, 96035 Bamberg, Germany, [email protected]

Formele kennisgevingen: Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, United States, kopie naar [email protected]

Al het andere: [email protected]

Archief van privacybeleid