Compliance voor niet-juristen

Deze pagina geeft een overzicht in begrijpelijke taal van de regels die gelden wanneer je geautomatiseerde telefoongesprekken voert. Het is geen juridisch advies — raadpleeg daarvoor een advocaat die gespecialiseerd is in telecom of marketing. Maar het geeft je voldoende houvast om te weten waar je naar moet vragen en wat het platform voor je regelt.

Kort samengevat. Het meeste van wat je moet doen, zit ingebouwd in het platform. Drie dingen moet je zelf doen: (1) toestemming vragen voordat je mensen belt die daar niet om hebben gevraagd, (2) afmeldingen respecteren, (3) niet doen alsof de AI een mens is als daar rechtstreeks naar wordt gevraagd.

De belangrijkste regels, per regio

Verenigde Staten — TCPA

De Telephone Consumer Protection Act reguleert geautomatiseerde oproepen en berichten.

Vuistregels:

• Informatieve oproepen (afspraakherinneringen, leveringsbevestigingen, accountmeldingen) — over het algemeen toegestaan zonder schriftelijke toestemming als je een bestaande zakelijke relatie hebt.
• Marketingoproepen (promoties, koude verkoop) — vereisen voorafgaande uitdrukkelijke schriftelijke toestemming om een mobiel nummer met een geautomatiseerd systeem te bellen. "Schriftelijk" omvat ook ingevulde formulieren waarin expliciet staat dat men instemt met geautomatiseerde oproepen.
• Beltijdbeperkingen — geen oproepen vóór 8.00 uur of na 21.00 uur in de lokale tijd van de gebelde.
• National Do Not Call Registry — alleen voor marketing. Controleer je lijst vóór elke campagne tegen het register.
• Afmeldingen respecteren — wie zegt "stop met bellen" moet binnen 30 dagen aan je onderdrukkingslijst worden toegevoegd. De automatische opt-outtaak van het platform regelt dit als je die inschakelt.

Wat het platform regelt: STIR/SHAKEN-attestatie, handhaving van beltijden (als je beluren instelt), controle tegen de onderdrukkingslijst.

Wat jij regelt: Toestemming verkrijgen voordat je mensen aan uitgaande campagnes toevoegt, afmeldingen respecteren (gebruik het opt_out-veld na het gesprek), controleren tegen het DNC-register.

Verenigde Staten — toestemming van beide partijen per staat

In Californië, Florida, Illinois, Massachusetts, Maryland, Montana, New Hampshire, Pennsylvania, Washington en enkele andere staten moeten alle deelnemers aan een gesprek toestemming geven voor opname.

Wat je moet doen: Voeg een opnamemelding toe aan het begin van elke Finn die in deze staten actief is of daarheen belt.

Eenvoudige melding:

"Dit gesprek kan worden opgenomen voor kwaliteitsdoeleinden."

Voeg dit toe aan het welkomstbericht OF schakel de ingebouwde melding-injectie van het platform in via Instellingen → Compliance → Opnamemelding.

Verenigde Staten — STIR/SHAKEN

Beller-ID-attestatie op carrierniveau. Zonder dit verschijnen je oproepen als "SPAM LIKELY" en storten de opnamepercentages in.

Wat je moet doen: Registreer elk uitgaand nummer via Instellingen → Telefoonnummers → [Nummer] → Beller-ID-registratie.

Wat het platform regelt: Het ondertekenen van de attestatie zelf, zodra je nummer is geregistreerd.

Verenigde Staten — Zorg (HIPAA)

Als je Protected Health Information (PHI) verwerkt, heb je een Business Associate Agreement met Finn nodig.

• Alleen beschikbaar in het Enterprise-abonnement.
• De BAA moet worden ondertekend voordat er PHI door het platform wordt gestuurd.
• Afspraakherinneringen die alleen datum, tijd en zorgverlener noemen, vallen doorgaans onder de TPO-uitzondering (Treatment, Payment, Operations) — er is geen aparte machtiging nodig.
• Maar zodra je diagnoses, testuitslagen of behandelspecifieke details bespreekt, is volledige HIPAA-conforme verwerking vereist.

Praktisch advies: Houd bij herinneringen het script van de Finn algemeen ("je afspraak met dr. Patel morgen om 15.00 uur") en verwijs medische vragen door naar een mens. Zo blijf je binnen de TPO-uitzondering zonder BAA.

Europese Unie — AVG

Wetgeving voor de bescherming van persoonsgegevens die geldt voor iedere EU-inwoner, ongeacht waar jij je bevindt.

Vuistregels:

• Rechtsgrondslag — je hebt een grond nodig om iemands gegevens te verwerken. Voor afspraakherinneringen aan bestaande klanten is dat "gerechtvaardigd belang" of "uitvoering van een overeenkomst". Voor koude uitgaande marketing heb je uitdrukkelijke toestemming nodig.
• Recht op verwijdering — iedereen kan vragen om verwijdering van zijn gegevens, en je moet daar binnen 30 dagen aan voldoen.
• Dataminimalisatie — verzamel alleen wat je nodig hebt.
• Datalocatie — gegevens van EU-klanten horen in principe in de EU te blijven. Stel je accountregio bij aanmelding in op EU als je EU-klanten hebt.

Wat het platform regelt: Optie voor EU-datalocatie, recht op verwijdering via dashboard en API, versleuteling in rust en tijdens verzending.

Wat jij regelt: Een rechtsgrondslag vaststellen voordat je contacten toevoegt, reageren op verwijderings- en inzageverzoeken.

EU — ePrivacy-richtlijn

Specifieke regels over ongevraagde marketinggesprekken in EU-lidstaten. Doorgaans strenger dan de AVG alleen.

Uitgangspunt: bel EU-consumenten niet koud voor marketingdoeleinden zonder voorafgaande opt-in. Soft opt-in (bestaande klantrelatie met recht op afmelding) is meestal toegestaan voor vergelijkbare producten.

India — TRAI

Telecom Regulatory Authority of India. Strenge regels rond commerciële gesprekken.

• DLT-registratie is verplicht voor commerciële gesprekken in India. Het platform helpt je je bedrijf en use cases te registreren via Settings → Compliance → India DLT.
• DND-lijst — het Indiase equivalent van een bel-me-niet-register. Controleer je lijsten hiertegen.
• Beltijdbeperkingen — 9.00 tot 21.00 uur.

Canada — CRTC / CASL

Vergelijkbaar met de Amerikaanse TCPA, maar strenger op het gebied van toestemming.

• CASL vereist opt-in-toestemming voor commerciële elektronische berichten, waaronder bepaalde categorieën spraakoproepen.
• Het nationale bel-me-niet-register is van toepassing. Controleer je lijsten hiertegen.
• Beltijden — 9.00 tot 21.30 uur op werkdagen, 10.00 tot 18.00 uur in het weekend.

Australië — Spam Act / TCPA-equivalent

Australië heeft een eigen bel-me-niet-register en eigen toestemmingsregels. Volgt over het algemeen het EU-patroon van "opt-in voor marketing".

Overige landen

De meeste landen hebben lokale regels. Het platform probeert verstandige standaardinstellingen af te dwingen (beltijdvensters, bel-me-niet-lijsten), maar je bent zelf verantwoordelijk voor naleving in elk rechtsgebied waarnaar je belt. Bel je internationaal, raadpleeg dan een jurist die bekend is met het bestemmingsland.

De drie dingen die je hoe dan ook moet doen, ongeacht de regio

1. Verkrijg toestemming vóór uitgaande marketinggesprekken

Als iemand niet om contact heeft gevraagd, moet je kunnen aantonen hoe je toestemming hebt gekregen om te bellen.

Aanvaardbare vormen:

• Een formulier ingevuld met een expliciet vinkje "u mag telefonisch contact met mij opnemen".
• Bestaande klant met eerdere relatie.
• Inkomende aanvraag waarbij het nummer is gedeeld.

Niet aanvaardbaar:

• Van een website gescrapet.
• Gekocht bij een lijstmakelaar zonder verifieerbare toestemmingsregistratie.
• Afgeleid uit een LinkedIn-profiel.

Bij twijfel: niet bellen. Boetes voor alleen al TCPA-overtredingen beginnen bij $500 per gesprek en kunnen oplopen tot $1.500 per gesprek.

2. Verwerk afmeldingen direct

Iedereen die zegt "stop met bellen" moet op je globale onderdrukkingslijst worden gezet en nooit meer worden gebeld.

Het platform helpt:

• Voeg een post-call-veld opt_out toe (ja/nee). Wanneer de Finn een afmeldverzoek detecteert, wordt dit veld op ja gezet.
• Schakel Settings → Compliance → Auto-Suppress on Opt-Out in. Wanneer opt_out = yes, wordt het nummer automatisch toegevoegd aan je globale onderdrukkingslijst.
• Onderdrukking is globaal — geldt direct voor elke audience en elke deployment.

3. Lieg niet over het feit dat je AI bent

In de meeste rechtsgebieden is het gebruik van een AI-spraakagent nog niet verboden. Maar het is WEL verboden om iemand actief te misleiden die rechtstreeks vraagt of hij met een mens spreekt.

Sta je Finn altijd toe dit te melden: neem een guardrail op zoals "Als de beller vraagt of je een echt persoon bent, vertel dan eerlijk dat je een AI-assistent bent."

De meeste bellers vragen er niet naar. Wie het wel doet, waardeert de eerlijkheid.

Opnames en gegevensbewaring

Gesprekken opnemen

• Opname staat standaard aan.
• Je kunt dit per Finn uitschakelen (onder Gespreksinstellingen) of globaal (Instellingen → Compliance).
• In staten/landen met tweezijdige toestemming MOET je aan het begin van het gesprek melden dat er wordt opgenomen.

Hoe lang opnames worden bewaard

• Standaard: 90 dagen.
• Instelbaar tot 7 jaar voor gereguleerde sectoren.
• Na de bewaartermijn worden opnames definitief verwijderd (geen herstel mogelijk).

Wat er in een opname zit

• Audio van het volledige gesprek.
• Transcript (tekstversie).
• Metadata (tijdstempels, nummerweergave, enz.).
• Eventuele analysevelden van na het gesprek.

PII-redactie

Optionele functie onder Instellingen → Compliance → PII-redactie. Redigeert BSN-nummers, volledige creditcardnummers en vergelijkbare gegevens uit transcripten. De audio-opname blijft ongewijzigd — voor audioredactie moet je opnames van gevoelige gesprekken handmatig verwijderen of inkorten.

Sectorspecifieke aandachtspunten

Zorg

• HIPAA + staatswetgeving + (voor telehealth) regels van medische toezichthouders per staat.
• Afspraakherinneringen zijn doorgaans veilig onder TPO.
• Alles wat klinisch is, vereist volledige HIPAA-compliance — BAA + zorgvuldig ontwerp.
• Sommige staten vereisen aanvullende meldingen voor AI in zorgcontexten.

Financiële dienstverlening

• Meerdere overlappende regimes: TCPA, FDCPA (incasso), staatswetten rond UDAP, GLBA.
• Voor incasso gelden extra beperkingen op tijdstip, frequentie en inhoud.
• Dreig nooit met juridische stappen die je niet van plan bent te nemen.
• Suggereer nooit gevolgen die niet echt zijn ("dit heeft invloed op je kredietwaardigheid", enz.).

Verzekeringen

• Regels van staatstoezichthouders voor verzekeringen bovenop TCPA/CASL.
• Sommige staten vereisen erkende agenten voor elke verkoopactiviteit, zelfs offerteaanvragen.
• Meldingsplichten verschillen per verzekeringsbranche.

Vastgoed

• Lokale MLS-regels kunnen beperken wie er gebeld mag worden en hoe.
• De meeste rechtsgebieden beschouwen vastgoedgesprekken als onderworpen aan de TCPA-marketingregels.

Juridische dienstverlening

• De meeste staten beperken telefonische werving voor juridische diensten.
• Regels van de orde van advocaten lopen sterk uiteen.

Wat als ik word aangeklaagd?

Hopelijk gebeurt dat niet. Maar als er een TCPA-klacht of vergelijkbare klacht binnenkomt:

1. Geen paniek. De meeste worden geschikt, niet uitgeprocedeerd.
2. Haal de gespreksgegevens op. Het platform bewaart alles — gespreksaudio, transcript, tijdstip en de toestemmingsregistraties die je hebt geüpload.
3. Schakel direct een advocaat in. Reageer niet zelf richting de klager.
4. Neem contact op met Finn-support. We hebben dit eerder meegemaakt en kunnen je helpen de juiste gegevens op te halen.

Beste verdediging: een schoon toestemmingsdossier, opt-outs direct honoreren, en een Finn die niet doet alsof hij een mens is wanneer daarnaar wordt gevraagd.

Snelle compliance-checklist vóór het starten van een campagne

• Ik heb een duidelijke rechtsgrond (toestemming / overeenkomst / gerechtvaardigd belang) voor elk contact op de lijst.
• De lijst is gecontroleerd tegen het nationale Bel-me-niet-register (waar van toepassing).
• De Finn meldt de opname bij gesprekken naar een rechtsgebied met tweezijdige toestemmingsplicht.
• De Finn heeft een guardrail om zijn AI-aard te vermelden wanneer daar direct naar wordt gevraagd.
• Het opt_out-veld na afloop van het gesprek is ingeschakeld.
• Auto-onderdrukking staat aan in Instellingen → Compliance.
• Belvensters zijn ingesteld op de lokale tijd van de ontvanger.
• Ik heb de beller-ID geregistreerd voor Amerikaanse nummers (STIR/SHAKEN).
• Ik heb me geregistreerd voor India DLT als ik naar India bel.
• Ik heb een BAA getekend als ik Amerikaanse PHI uit de zorg verwerk.

Als je elk vakje kunt aanvinken, voldoe je aan de vereisten aan platformzijde. De vereisten aan bedrijfszijde (rechtsgrond, door een advocaat goedgekeurde scripts voor gereguleerde sectoren) blijven jouw verantwoordelijkheid.

Volgende

• FAQ → — veelgestelde vragen over toestemming, opname en vermelding.
• Telefoonnummers → — stapsgewijze uitleg over STIR/SHAKEN-registratie.
• Doelgroep → — beheer van de globale onderdrukkingslijst.