Privacybeleid - Gearchiveerd V1

Je bekijkt een gearchiveerde versie van ons privacybeleid. Bezoek de nieuwste versie voor actuele informatie.

Bekijk nieuwste privacybeleid

Ingangsdatum: 1 oktober 2026 - 31 oktober 2026

De korte versie

Niemand leest privacybeleid. Dus hier is alles in tien regels, met de volledige versie eronder.

• Jij bent eigenaar van je gegevens. Voor boekingen die via je Cal.com account worden gemaakt, ben jij de verwerkingsverantwoordelijke en zijn wij de verwerker. We verwerken ze namens jou en verkopen ze niet, aan niemand, ooit.
• We verzamelen het minimum. Namen, e-mailadressen, telefoonnummers en alles wat je boekingsvragen vragen. Plus de saaie technische dingen die elke website krijgt: IP-adres, browser, bekeken pagina's.
• De database is de plek waar persoonsgegevens staan. Niet in onze logs, niet in onze analytics, niet in een spreadsheet. Onze eigen engineeringregels verbieden persoonsgegevens in logs, foutmeldingen en analytics-events. We sturen ID's, geen mensen.
• We gebruiken subverwerkers en noemen ze allemaal. E-mail, SMS, video, betalingen, AI, opslag, support. De volledige tabel en hun doel staan in ons Trust Center.
• AI-functies zijn opt-in en beperkt. AI-vergadernotities sturen de transcriptietekst (geen titels, geen deelnemerslijst, geen links). AI-telefoonagents sturen het telefoonnummer en de gastgegevens die nodig zijn om het gesprek te voeren. Niets wordt gebruikt om iemands modellen te trainen.
• Je apps zijn jouw keuze. Wanneer je Google Calendar, Zoom, Salesforce of een webhook koppelt, stromen gegevens daarheen omdat jij dat hebt aangegeven. Dat zijn jouw integraties, volgens jouw instructies.
• Geen cookies van derden in het product. Onze marketingsite gebruikt wel analytics en advertentiemeting. Zie het gedeelte over cookies.
• Je kunt je gegevens exporteren of verwijderen. Op elk moment, zelf of per e-mail. Verwijderen betekent verwijderd, ook bij onze subverwerkers.
• Vragen: [email protected]. Echte mensen, geen formulier.

Wie is wie: verwerkingsverantwoordelijke vs. verwerker

Dit brengt mensen in de war, dus dit komt eerst.

Wat dit betekent: als je een deelnemer bent die een meeting heeft geboekt en je je gegevens wilt laten verwijderen, is de snelste route de persoon bij wie je hebt geboekt. We helpen hoe dan ook en geven het verzoek door.

Wat we verzamelen

Gegevens die jij en je boekers ons geven

• Accountgegevens: naam, e-mailadres, gebruikersnaam, wachtwoordhash of SSO-identiteit, tijdzone, profielfoto en je beschikbaarheid.
• Boekingsgegevens: namen en e-mailadressen van deelnemers, telefoonnummers wanneer SMS-herinneringen of telefoongesprekken worden gebruikt, meetingtitels en locaties, antwoorden op je boekingsvragen, notities, gastenlijsten, annulerings- en wijzigingsredenen.
• Facturatiegegevens: bedrijfsnaam, factuuradres en betaalkaartgegevens. De kaart gaat rechtstreeks naar Stripe, en wij zien of bewaren die nooit.
• Supportgegevens: alles wat je ons schrijft, plus de accountcontext die aan het gesprek is gekoppeld.

Gegevens die we automatisch verzamelen

• IP-adres, browser en apparaat, verwijzende URL, bekeken pagina's en tijdstempels.
• Productgebruiksevents (welke functies je hebt gebruikt, hoe vaak) gekoppeld aan een ondoorzichtige ID, niet aan je e-mailadres.
• Fout- en prestatiediagnostiek wanneer er iets misgaat.

Wat we bewust niet doen

• We verzamelen niet bewust gegevens van bijzondere categorieën. Je boekingsvragen kunnen dat wel doen. Als je naar gezondheid vraagt, zijn dat gezondheidsgegevens in je Cal.com account, en het is aan jou om daar rechtmatig om te vragen. Zie "Gezondheidsinformatie".
• We verzamelen niet bewust gegevens van iemand onder de 18.
• We bouwen geen advertentieprofielen op uit boekingsgegevens en we verkopen of verhuren geen persoonsgegevens.

Wat dit betekent: we bewaren wat nodig is om een meeting in twee agenda's te zetten, je te factureren en je te ondersteunen. De interessante persoonsgegevens, de antwoorden van je boekers, bewaren we voor jou, niet voor ons.

Waarom we dit mogen (rechtsgronden, GDPR art. 6)

Subverwerkers: wie er nog meer persoonsgegevens verwerkt

We gebruiken andere bedrijven om Cal.com te laten draaien. Elke subverwerker heeft een verwerkersovereenkomst met ons, krijgt alleen wat nodig is en verwerkt gegevens alleen volgens onze instructies. Wat ze doen en waar ze gegevens verwerken, staat in ons Trustcentrum.

Hoe we je over wijzigingen informeren. In overeenstemming met onze verwerkersovereenkomst (DPA) kunnen we subverwerkers toevoegen of vervangen om Cal.com te leveren, te beheren, te beveiligen en te ondersteunen. Waar de DPA dat vereist, laten we je weten voordat een nieuwe of vervangende subverwerker klantpersoonsgegevens gaat verwerken.

Als je bezwaar maakt op redelijke en onderbouwde gronden voor gegevensbescherming, kun je dat doen zoals beschreven in de DPA. Heb je vragen over een subverwerker, mail dan naar [email protected].

Reclame en leadidentificatie (marketingsite en marketingtools, niet het product)

Deze worden beheerd door ons marketingteam en niet in de productcode ingebouwd. Ze zien alleen gegevens van de marketingsite en marketinglijsten, nooit boekingsgegevens, antwoorden van deelnemers of iets uit je Cal.com-account.

Wat dit betekent: als je in de EER of het VK bent, zijn de leveranciers voor doelgroepmatching en bezoekersidentificatie niet voor jou actief. Buiten die gebieden kun je ze uitschakelen door marketingcookies te weigeren of Global Privacy Control te gebruiken.

Apps en integraties die je koppelt

Wanneer je een app koppelt, vraag je ons daarmee gegevens ernaartoe te sturen. We doen precies dat en niets meer.

• Agenda's: Google Calendar, Microsoft Outlook, Apple/CalDAV, Zoho: titels van agenda-items, beschrijvingen, tijden, locaties, namen en e-mailadressen van organisator en deelnemers, en vrij/bezet-gegevens.
• Video: Zoom, Google Meet, Microsoft Teams en andere: vergadergegevens die nodig zijn om de link te maken.
• CRM en automatisering: Salesforce, HubSpot, Pipedrive en vergelijkbare diensten: naam en e-mailadres van de deelnemer, vergadergegevens en je antwoorden op boekingsvragen.
• Webhooks en je eigen SMTP-server: jij levert het endpoint of de mailserver; die ontvangt wat er in de gebeurtenissen zit waarop je je hebt geabonneerd.

Wat dit betekent: dit zijn jouw verwerkers, niet de onze. Hun privacybeleid is van toepassing en als je de app loskoppelt, stopt de gegevensstroom. We kunnen niet verwijderen wat al in je CRM staat.

Gezondheidsinformatie (PHI)

Cal.com is geen gezondheidsproduct, maar afspraken kunnen gezondheidsinformatie bevatten: een intakevraag, een vergadertitel, notities. Als je Cal.com gebruikt voor iets dat onder HIPAA valt, zijn die gegevens slechts zo goed beschermd als de overeenkomst erachter: regel een BAA via go.Cal.com/BAA voordat je ze verzamelt, en houd ze uit boekingsvelden die naar apps van derden worden gekopieerd.

Hoe lang we het bewaren

Waar je gegevens naartoe gaan

We zijn een Amerikaans bedrijf en gegevens worden in de Verenigde Staten verwerkt. Sommige subverwerkers verwerken ze ergens anders. Voor overdrachten vanuit de EER of het VK naar de Verenigde Staten vertrouwen we, waar van toepassing, op het EU-U.S. Data Privacy Framework en de UK Extension daarvan, zoals hieronder beschreven. We gebruiken waar passend ook standaardcontractbepalingen, ook voor overdrachten vanuit Zwitserland. Als je gegevensresidentie in de EU nodig hebt, neem dan contact met ons op via [email protected].

EU-U.S. Data Privacy Framework en UK Extension

Cal.com, Inc. voldoet aan het EU-U.S. Data Privacy Framework (EU-U.S. DPF) en de UK Extension bij het EU-U.S. DPF zoals vastgesteld door het U.S. Department of Commerce. Cal.com, Inc. heeft aan het Department gecertificeerd dat het zich houdt aan de EU-U.S. DPF Principles voor niet-HR-persoonsgegevens die uit de Europese Unie en de Europese Economische Ruimte worden ontvangen op basis van het EU-U.S. DPF, en uit het Verenigd Koninkrijk en Gibraltar op basis van de UK Extension. Deze toezegging geldt niet voor HR-gegevens van werknemers die worden doorgegeven voor gebruik in een arbeidsrelatie. Als dit beleid in strijd is met de DPF Principles, gelden de Principles. Lees meer over het programma en bekijk, zodra Cal.com op de Data Privacy Framework List staat, de vermelding via dataprivacyframework.gov.

De gedekte gegevens kunnen namen, e-mailadressen, telefoonnummers, account- en profielgegevens, beschikbaarheid, boekings- en vergadergegevens, antwoorden op boekingsvragen, facturerings- en ondersteuningsinformatie, en website-, apparaat-, gebruiks- en beveiligingsinformatie omvatten. Klanten kunnen boekingsvragen instellen die gevoelige gegevens verzamelen. We gebruiken gedekte gegevens om planning en gerelateerde diensten te leveren, accounts, boekingen en betalingen te beheren, met gebruikers en deelnemers te communiceren, ondersteuning te bieden, de dienst te beveiligen en te verbeteren, en marketing uit te voeren waar dat is toegestaan. Andere delen van dit beleid beschrijven deze gegevens en doelen uitgebreider.

We geven relevante gedekte gegevens door aan dienstverleners en subverwerkers voor hosting, opslag, e-mail en SMS, video, betalingen, ondersteuning, analyses, beveiliging en optionele functies, en aan integraties die klanten hebben gekozen. Ons Trustcentrum vermeldt subverwerkers en hun doeleinden. We kunnen ook persoonsgegevens bekendmaken wanneer de wet dat vereist. Volgens het DPF Accountability for Onward Transfer Principle blijft Cal.com aansprakelijk als een agent gedekte gegevens verwerkt op een manier die niet in overeenstemming is met de Principles, tenzij Cal.com bewijst dat het niet verantwoordelijk was voor de gebeurtenis die tot de schade heeft geleid.

Personen kunnen toegang tot gedekte gegevens vragen en ons vragen gegevens die onjuist zijn of in strijd met de Principles worden verwerkt, te corrigeren, aan te vullen of te verwijderen. Wanneer het DPF Choice Principle dat vereist, kunnen personen zich afmelden voordat gedekte gegevens aan een derde worden bekendgemaakt of voor een wezenlijk ander doel worden gebruikt. Wanneer dat Principle uitdrukkelijke toestemming voor gevoelige informatie vereist, vragen we die voordat het relevante gebruik of de relevante bekendmaking plaatsvindt. Stuur verzoeken naar [email protected]. Voor boekingsgegevens die we op instructie van een klant verwerken, stemmen we met die klant af om het verzoek te behandelen.

Personen in de EU en het VK moeten DPF-vragen of -klachten eerst sturen naar Cal.com, Inc., Privacy & Compliance, 2261 Market Street #4382, San Francisco, CA 94114, United States; [email protected]; +1 415 212 6667. Felix Kolodziej, Compliance Lead, is ook bereikbaar via [email protected]. We reageren binnen 45 dagen op DPF-klachten. Voor niet-opgeloste klachten over gedekte gegevens verbinden we ons ertoe samen te werken met en het advies op te volgen van het panel dat is ingesteld door de EU-gegevensbeschermingsautoriteiten voor EU-gegevens, en de UK Information Commissioner’s Office en Gibraltar Regulatory Authority voor gegevens uit het VK en Gibraltar. Deze onafhankelijke verhaalsmechanismen zijn kosteloos beschikbaar voor personen.

Cal.com, Inc. valt voor naleving van de EU-U.S. DPF en UK Extension onder de onderzoeks- en handhavingsbevoegdheden van de U.S. Federal Trade Commission. Onder bepaalde voorwaarden kunnen personen bindende arbitrage inroepen voor resterende claims over naleving van de DPF. We kunnen verplicht zijn om betrokken gegevens te verstrekken naar aanleiding van rechtmatige verzoeken van overheidsinstanties, onder meer om te voldoen aan vereisten voor nationale veiligheid of rechtshandhaving.

Cookies

• In de app: cookies om je in te loggen, voorkeuren te onthouden en voor beveiliging. Geen advertentiecookies van derden.
• Op de marketingsite: de hierboven genoemde analytics- en advertentiemetingscookies. Je kunt ze weigeren.
• We respecteren Global Privacy Control- en Do Not Track-signalen.

Je rechten

Waar je ook woont, je kunt ons vragen om: toegang tot je gegevens, corrigeren ervan, verwijderen ervan, exporteren ervan, beperken of bezwaar maken tegen verwerking, of toestemming intrekken. Als je in Californië woont, komt daar nog bij: weten wat we verzamelen, het verwijderen, corrigeren en je afmelden voor verkoop of delen. We verkopen of delen het niet, dus er is niets om je voor af te melden. Als je in de EER of het VK woont, kun je ook een klacht indienen bij je gegevensbeschermingsautoriteit.

Het meeste hiervan kun je zelf regelen in je instellingen. Stuur anders een e-mail naar [email protected] en we reageren binnen 30 dagen. We vragen je eerst om te verifiëren wie je bent, en we behandelen je niet slechter omdat je het vraagt.

Beveiliging

Versleuteling tijdens overdracht en opslag, toegang met minimale rechten, SSO en 2FA, geauditeerde infrastructuur en een bug bounty. Details en onze actuele rapporten: cal.com/security. Geen enkel systeem is volledig veilig; als er iets misgaat, informeren we getroffen klanten zonder onnodige vertraging en volgens onze DPA.

Wijzigingen in dit beleid

We plaatsen de nieuwe versie hier en werken de ingangsdatum bij. Voor wezenlijke wijzigingen, zoals een nieuwe categorie subverwerkers of een nieuw gebruik van gegevens, e-mailen we je voordat het ingaat.

Contact

Functionaris voor gegevensbescherming: [email protected]
Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, United States

EU-vertegenwoordiger (GDPR Art. 27): Felix Kolodziej, [email protected], adres op aanvraag

Al het andere: [email protected]