Privacybeleid

Ingangsdatum: 1 november 2026

De korte versie

Niemand leest privacybeleid. Dus hier is alles in tien regels, met de volledige versie eronder.

• Jij bent eigenaar van je gegevens. Voor boekingen die via je Cal.com-account worden gemaakt, ben jij de verwerkingsverantwoordelijke en zijn wij de verwerker, onder de Verwerkersovereenkomst op cal.com/dpa, die deel uitmaakt van onze Servicevoorwaarden voor elk account, gratis of betaald. We verwerken ze namens jou en verkopen ze niet, aan niemand, ooit.
• We verzamelen het minimum. Namen, e-mails, telefoonnummers en alles waar je boekingsvragen om vragen. Plus de saaie technische dingen die elke website krijgt: IP-adres, browser, bekeken pagina’s.
• De database is waar persoonsgegevens staan. Niet in onze logs, niet in onze analytics, niet in een spreadsheet. Onze eigen engineeringregels verbieden persoonsgegevens in logs, foutrapporten en analytics-events. We sturen ID’s, geen mensen.
• We gebruiken subverwerkers, en we noemen ze allemaal. Hosting, e-mail, SMS, video, betalingen, AI, analytics, monitoring, support en onze eigen backofficetools die je gegevens kunnen zien. De volledige tabel en hun doel staan in ons Trust Center; voordat een nieuwe wordt ingezet, geven we accounteigenaren vooraf schriftelijk bericht via e-mail, een melding in het product of een andere gedocumenteerde elektronische methode, vroeg genoeg zodat je de wijziging kunt beoordelen en bezwaar kunt maken.
• AI-functies zijn opt-in en beperkt. AI-vergadernotities sturen de transcripttekst (geen titels, geen deelnemerslijst, geen links). AI-telefoonagents sturen het telefoonnummer en de gastgegevens die nodig zijn om het gesprek te plaatsen. Niets wordt gebruikt om iemands modellen te trainen.
• Je apps zijn jouw keuze. Wanneer je Google Calendar, Zoom, Salesforce of een webhook koppelt, stromen gegevens daarnaartoe omdat jij dat hebt ingesteld. Dat zijn jouw integraties, volgens jouw instructies.
• Geen cookies van derden in het product. Onze marketingsite gebruikt wel analytics en advertentiemeting. Zie het cookiegedeelte.
• Je kunt je gegevens exporteren of verwijderen. Op elk moment, zelf of via e-mail. Verwijderen betekent verwijderd, ook bij onze subverwerkers.
• Vragen: [email protected]. Echte mensen, geen formulier.

Wie is wie: verwerkingsverantwoordelijke vs. verwerker

Dit brengt mensen in de war, dus dit komt eerst.

Cal.com’s eigen dienstverleners. Om ons eigen bedrijf te runnen gebruiken we dienstverleners die de contactgegevens van onze klanten zien, bijvoorbeeld Documenso en Fusial voor het elektronisch ondertekenen van contracten en DPA’s (Verenigde Staten). Ze handelen volgens onze instructies en zijn geen subverwerkers van jouw gegevens.

Wat het betekent: als je een deelnemer bent die een meeting heeft geboekt en je wilt dat je gegevens worden verwijderd, is de snelste route de persoon bij wie je hebt geboekt. We helpen hoe dan ook, en we sturen het verzoek door.

Wat we verzamelen

Gegevens die jij en je boekers ons geven

• Accountgegevens: naam, e-mail, gebruikersnaam, wachtwoordhash of SSO-identiteit, tijdzone, profielfoto en je Beschikbaarheid. Bij aanmelding kunnen we via AvatarAPI een profielfoto voor je e-mailadres opzoeken; je kunt die vervangen of verwijderen.
• Boekingsgegevens: namen en e-mails van deelnemers, telefoonnummers wanneer SMS-herinneringen of telefoongesprekken worden gebruikt, meetingtitels en locaties, antwoorden op je boekingsvragen, notities, gastenlijsten, redenen voor annulering en verplaatsen.
• Factuurgegevens: bedrijfsnaam, factuuradres en betaalkaartgegevens. De kaart gaat rechtstreeks naar Stripe, en wij zien of bewaren die nooit.
• Supportgegevens: alles wat je ons schrijft, plus de accountcontext die aan het gesprek is gekoppeld.

Gegevens die we automatisch verzamelen

• IP-adres, browser en apparaat, verwijzende URL, bekeken pagina’s en tijdstempels.
• Productgebruiksevents (welke functies je gebruikte, hoe vaak) gekoppeld aan een willekeurige ID, niet aan je e-mail.
• Fout- en prestatiediagnostiek wanneer er iets kapotgaat.

Wat we bewust niet doen

• We verzamelen niet expres bijzondere categorieën persoonsgegevens. Je boekingsvragen kunnen dat wel doen. Als je naar gezondheid vraagt, zijn dat gezondheidsgegevens in je Cal.com-account, en het is jouw verantwoordelijkheid om er rechtmatig naar te vragen. Zie “Gezondheidsinformatie”.
• We verzamelen niet bewust gegevens van iemand onder de 18.
• We bouwen geen advertentieprofielen op basis van boekingsgegevens, en we verkopen of verhuren geen persoonsgegevens.

Wat het betekent: we bewaren wat nodig is om een meeting in twee agenda’s te zetten, je te factureren en je support te geven. De inhoudelijke persoonsgegevens, de antwoorden van je boekers, bewaren we voor jou, niet voor ons.

Waarom we dit mogen (rechtsgronden, GDPR Art. 6)

Subverwerkers: wie nog meer persoonsgegevens verwerkt

We schakelen andere bedrijven in voor Cal.com. Elke subverwerker heeft een verwerkersovereenkomst met ons, krijgt alleen wat die nodig heeft, en verwerkt gegevens alleen volgens onze instructies. Wat ze doen en waar ze gegevens verwerken, staat in ons Trust Center.

Hoe je van wijzigingen hoort. Voordat een nieuwe of vervangende subverwerker Klantpersoonsgegevens gaat verwerken, stellen we je vooraf schriftelijk op de hoogte per e-mail aan je accountbeheerder of privacy-/juridische contactpersoon, via een melding in het product, of via een andere gedocumenteerde elektronische methode. We doen commercieel redelijke inspanningen om dit vroeg genoeg te doen zodat je de wijziging kunt beoordelen en bezwaar kunt maken (DPA §6.3-6.4). Alleen de lijst met subverwerkers bijwerken is niet onze enige manier om kennis te geven.

Als je bezwaar maakt op redelijke en onderbouwde gronden op het gebied van gegevensbescherming, kun je dat doen zoals beschreven in de DPA. Als je vragen hebt over een subverwerker, schrijf dan naar [email protected].

Advertenties en leadidentificatie (marketingsite en marketingtools, niet het product)

Deze worden beheerd door ons marketingteam in plaats van in de productcode te zitten, en ze zien alleen gegevens van de marketingsite en marketinglijsten, nooit boekingsgegevens, antwoorden van deelnemers of iets uit je Cal.com-account.

Leveranciers in deze categorie (Google Analytics en Tag Manager, X Ads, website-attributie van Dub, advertentietags van LinkedIn en Meta) draaien alleen op de marketingwebsite met jouw toestemming en staan in de cookiebanner; ze zijn geen subverwerkers van boekingsgegevens.

Wat dit betekent: als je in de EER of het VK bent, zijn de leveranciers voor doelgroepmatching en bezoekersidentificatie niet actief voor jou. Elders kun je ze uitschakelen door marketingcookies te weigeren, of door Global Privacy Control te gebruiken.

Apps en integraties die je koppelt

Wanneer je een app koppelt, geef je ons opdracht om er gegevens naartoe te sturen. Dat doen we precies, en niets meer.

• Agenda's: Google Calendar, Microsoft Outlook, Apple/CalDAV, Zoho: titels van afspraken, beschrijvingen, tijden, locaties, namen en e-mailadressen van organisatoren en deelnemers, en vrij/bezet-gegevens.
• Video: Zoom, Google Meet, Microsoft Teams en andere: vergadergegevens die nodig zijn om de link te maken.
• CRM en automatisering: Salesforce, HubSpot, Pipedrive en vergelijkbare diensten: naam en e-mailadres van de deelnemer, vergadergegevens en je antwoorden op boekingsvragen.
• Automatisering en links: Zapier, Dub, Close en vergelijkbare app-store-integraties die je koppelt, draaien onder je eigen account bij die provider.
• Webhooks en je eigen SMTP-server: je levert het endpoint of de mailserver; die ontvangt alles wat de events waarop je je hebt geabonneerd bevatten.

Wat dit betekent: dit zijn jouw verwerkers, niet die van ons. Hun privacybeleid is van toepassing, en als je de app loskoppelt stopt de gegevensstroom. We kunnen niet verwijderen wat al in je CRM staat.

Gezondheidsinformatie (PHI)

Cal.com is geen gezondheidsproduct, maar afspraken kunnen gezondheidsinformatie bevatten: een intakevraag, een vergadertitel, notities. Als je Cal.com gebruikt voor iets dat onder HIPAA valt, zijn die gegevens slechts zo beschermd als de overeenkomst erachter: vraag ons om een Business Associate Agreement (beschikbaar op Teams-abonnementen en hoger; mail [email protected] of vraag support of sales) en laat deze ondertekenen voordat je die gegevens verzamelt, tenzij je bestelformulier of een andere ondertekende overeenkomst met ons dit uitdrukkelijk toestaat, en houd ze weg uit boekingsvelden die naar apps van derden worden gekopieerd.

Hoe lang we het bewaren

Waar je gegevens naartoe gaan

We zijn een Amerikaans bedrijf en gegevens worden verwerkt in de Verenigde Staten; sommige subverwerkers verwerken ze elders (zie de tabel). Voor doorgiften vanuit de EER en het VK, Cal.com, Inc. neemt deel aan en heeft verklaard te voldoen aan het EU-U.S. Data Privacy Framework en de UK Extension. Waar het Data Privacy Framework een doorgifte niet dekt, en voor Zwitserland, vertrouwen we op de EU Standard Contractual Clauses van 2021, het UK Addendum en de Zwitserse aanvullingen, allemaal ingevuld in ons SCC Schedule op cal.com/dpa-scc, dat deel uitmaakt van de DPA, zoals beschreven in het gedeelte over het Data Privacy Framework hieronder. Je kunt onze certificering controleren op de DPF List op https://www.dataprivacyframework.gov/list. Het Swiss-U.S. Data Privacy Framework is momenteel niet van toepassing. Als je gegevensresidentie in de EU nodig hebt, neem dan contact met ons op via [email protected].

EU-U.S. Data Privacy Framework en UK Extension

Cal.com, Inc. voldoet aan het EU-U.S. Data Privacy Framework (EU-U.S. DPF) en de UK Extension to the EU-U.S. DPF zoals vastgesteld door het U.S. Department of Commerce. Cal.com, Inc. heeft aan het U.S. Department of Commerce gecertificeerd dat het zich houdt aan de EU-U.S. DPF Principles voor niet-HR-persoonsgegevens die zijn ontvangen uit de Europese Unie en de Europese Economische Ruimte op basis van het EU-U.S. DPF, en uit het Verenigd Koninkrijk en Gibraltar op basis van de UK Extension. Deze toezegging geldt niet voor HR-gegevens van werknemers die worden doorgegeven voor gebruik in een arbeidsrelatie. Als dit beleid in strijd is met de DPF Principles, gelden de Principles. Lees meer over het programma en bekijk Cal.com’s vermelding op de Data Privacy Framework List op https://www.dataprivacyframework.gov/list.

De gedekte gegevens kunnen namen, e-mailadressen, telefoonnummers, account- en profielgegevens, Beschikbaarheid, Boeking- en vergadergegevens, antwoorden op boekingsvragen, facturerings- en supportinformatie, en website-, apparaat-, gebruiks- en beveiligingsinformatie omvatten. Klanten kunnen boekingsvragen instellen die gevoelige gegevens verzamelen. We gebruiken gedekte gegevens om planning en gerelateerde diensten te leveren, accounts, Boekingen en Betalingen te beheren, met gebruikers en deelnemers te communiceren, support te bieden, de dienst te beveiligen en te verbeteren, en marketing uit te voeren waar dat is toegestaan. Andere onderdelen van dit beleid beschrijven deze gegevens en doelen in meer detail.

We maken relevante gedekte gegevens bekend aan dienstverleners en subverwerkers voor hosting, opslag, e-mail en SMS, video, Betalingen, support, analytics, beveiliging en optionele functies, en aan integraties die klanten selecteren. Ons Trust Center vermeldt subverwerkers en hun doelen. We kunnen ook persoonsgegevens bekendmaken wanneer de wet dat vereist. Onder het DPF Accountability for Onward Transfer Principle blijft Cal.com aansprakelijk als een agent gedekte gegevens verwerkt op een manier die niet overeenkomt met de Principles, tenzij Cal.com aantoont dat het niet verantwoordelijk was voor de gebeurtenis die tot de schade heeft geleid.

Personen kunnen toegang tot gedekte gegevens aanvragen en ons vragen gegevens te corrigeren, te wijzigen of te verwijderen die onjuist zijn of in strijd met de Principles worden verwerkt. Waar het DPF Choice Principle dit vereist, kunnen personen bezwaar maken voordat gedekte gegevens aan een derde partij worden bekendgemaakt of voor een wezenlijk ander doel worden gebruikt. Waar dat Principle uitdrukkelijke toestemming vereist voor gevoelige informatie, zullen we die verkrijgen vóór het betreffende gebruik of de betreffende bekendmaking. Stuur verzoeken naar [email protected]. Voor boekingsgegevens die we op instructie van een klant verwerken, stemmen we met die klant af om het verzoek af te handelen.

Personen in de EU en het VK moeten DPF-vragen of -klachten eerst sturen naar Cal.com, Inc., Privacy & Compliance, 2261 Market Street #4382, San Francisco, CA 94114, Verenigde Staten; [email protected]; +1 415 212 6667. Felix Kolodziej, Compliance Lead, is ook bereikbaar via [email protected]. We reageren binnen 45 dagen op DPF-klachten. Voor onopgeloste klachten over gedekte gegevens verbinden we ons ertoe samen te werken met en het advies op te volgen van het panel dat is ingesteld door de EU-gegevensbeschermingsautoriteiten voor EU-gegevens, en de UK Information Commissioner’s Office en Gibraltar Regulatory Authority voor gegevens uit het VK en Gibraltar. Deze onafhankelijke verhaalmechanismen zijn gratis beschikbaar voor personen.

Cal.com, Inc. valt onder de onderzoeks- en handhavingsbevoegdheden van de U.S. Federal Trade Commission voor de naleving van de EU-U.S. DPF en UK Extension. Onder bepaalde voorwaarden kunnen personen bindende arbitrage inroepen voor resterende claims over DPF-naleving. We kunnen verplicht zijn gedekte gegevens bekend te maken in reactie op rechtmatige verzoeken van overheidsinstanties, ook om te voldoen aan vereisten voor nationale veiligheid of rechtshandhaving.

Cookies

• In de app: cookies om je in te loggen, voorkeuren te onthouden en voor beveiliging. Geen advertentiecookies van derden.
• Op de marketingsite: de hierboven genoemde cookies voor analytics en advertentiemeting. Je kunt ze weigeren.
• We respecteren Global Privacy Control- en Do Not Track-signalen.

Je rechten

Waar je ook woont, je kunt ons vragen om: toegang te geven tot je gegevens, ze te corrigeren , ze te verwijderen , ze te exporteren , de verwerking te beperken of bezwaar te maken tegen de verwerking, of toestemming in te trekken. Als je in Californië bent, komt daarbij: weten wat we verzamelen, het verwijderen, corrigeren en je afmelden voor verkoop of delen. We verkopen of delen het niet, dus er is niets om je voor af te melden. Als je in de EER of het VK bent, kun je ook een klacht indienen bij je gegevensbeschermingsautoriteit.

Het meeste hiervan regel je zelf in je instellingen. Mail anders naar [email protected] en we reageren binnen de termijnen die de toepasselijke wet vereist. We vragen je eerst te verifiëren wie je bent, en we behandelen je niet slechter omdat je het vraagt.

Beveiliging

Versleuteling tijdens overdracht en in rust, toegang met minimale rechten, SSO en 2FA, gecontroleerde infrastructuur en een bug bounty. Details en onze huidige rapporten: cal.com/security. Geen enkel systeem is perfect veilig; als er iets misgaat, informeren we getroffen klanten zonder onredelijke vertraging nadat we kennis hebben genomen van een inbreuk op persoonsgegevens, zoals onze DPA vereist.

Wijzigingen in dit beleid

We plaatsen de nieuwe versie hier en werken de ingangsdatum bij. Voor iets wezenlijks, zoals een nieuwe categorie subverwerkers of een nieuw gebruik van gegevens, informeren we je voordat het ingaat via e-mail, een melding in het product of een andere gedocumenteerde elektronische methode.

Contact

Privacycontact: [email protected]

EU-vertegenwoordiger (GDPR Art. 27): Felix Kolodziej, CAYA Postbox 1040588, 96035 Bamberg, Duitsland, [email protected]

Formele kennisgevingen: Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, Verenigde Staten, kopie naar [email protected]

Al het andere: [email protected]

Privacybeleid-archief