Vapi versus Retell: Compliance met HIPAA, SOC 2 en AVG (2026)

Vapi versus Retell compliance: wat je moet controleren voordat je tekent

Je vergelijkt Vapi en Retell en de verkooppagina's zeggen allemaal hetzelfde: veilig, enterprise-ready, compliant. De echte vraag is specifieker. Welk certificaat of contract krijg je bij welk abonnement, tegen welke prijs, en dekt dit het volledige gesprekstraject van de telefoonlijn tot het spraakmodel? Deze gids loopt door HIPAA, SOC 2 en AVG voor voice-AI-platforms en laat zien waar Famulor past als de eerste keuze voor teams die in de EU opereren.

Een voice-agent raakt meer persoonsgegevens aan dan de meeste software. Hij neemt een stem op, transcribeert deze, stuurt tekst naar een taalmodel, spreekt het antwoord uit en schrijft het resultaat vaak weg in een CRM of agenda. Elk van die stappen is een verwerker die je moet kunnen benoemen. Daarom is één regel met "wij zijn compliant" op een prijspagina nooit genoeg.

De drie kaders in begrijpelijke taal

HIPAA: een contract plus controles

HIPAA is in de VS van toepassing wanneer je beschermde gezondheidsinformatie verwerkt namens een gedekte entiteit zoals een kliniek of verzekeraar. Als een voice-agent een patiëntnaam hoort in combinatie met een symptoom of een reden voor een afspraak, is dat beschermde gezondheidsinformatie. De leverancier moet een Business Associate Agreement (BAA) ondertekenen en elke subverwerker die de data aanraakt, heeft dezelfde dekking nodig. Zonder de BAA beschermt een "HIPAA ready"-functielijst je niet.

SOC 2 Type II: een audit van de leverancier

SOC 2 is een onafhankelijke audit op basis van vertrouwenscriteria zoals beveiliging en beschikbaarheid. Type I controleert of controles op één specifiek moment goed zijn ontworpen. Type II controleert of ze daadwerkelijk hebben gefunctioneerd over een periode, meestal zes tot twaalf maanden. Het vertelt je dat de leverancier gedisciplineerde processen hanteert. Het zegt niets over hoe jij je agent configureert, wat je opslaat in prompts of hoe lang je opnames bewaart.

AVG: een rechtsgrondslag, een contract en een locatie

Voor bellers in de EU zijn de belangrijkste documenten een verwerkersovereenkomst, een lijst met subverwerkers, een rechtsgrondslag voor opnames en een duidelijk antwoord op de vraag waar audio en transcripten worden opgeslagen. De EU AI Act voegt daar een transparantieplicht aan toe: mensen moeten worden geïnformeerd dat ze met een AI spreken. Een Amerikaans certificaat vervangt dit alles niet.

Vapi: SOC 2 Type II en een betaalde HIPAA-add-on

Vapi documenteert een jaarlijkse SOC 2 Type II-audit. Volgens de documentatie dekt de audit alle klanten, inclusief pay-as-you-go-accounts. HIPAA werkt anders. Vapi vermeldt op de prijspagina een HIPAA-add-on voor $2.000 per maand en een Zero Data Retention-add-on voor $1.000 per maand. De supportdocumentatie stelt ook dat je voor de kern van de spraakpijplijn (spraak-naar-tekst, taalmodel, tekst-naar-spraak) alleen aanbieders mag selecteren die zelf HIPAA-compliant zijn. Integraties van derden blijven beschikbaar, maar de verantwoordelijkheid voor de compliance daarvan ligt bij jou.

Het praktische gevolg is dat een kliniek met een klein belvolume een vast compliance-bedrag betaalt voordat de eerste minuut in rekening wordt gebracht. Dat kan redelijk zijn voor een ziekenhuisgroep. Voor een tandartspraktijk met twee stoelen is het een groot deel van het budget.

De tabel toont de twee add-ons naast elkaar. Als een team beide nodig heeft, loopt de maandelijkse vergoeding op tot $3.000, wat neerkomt op $36.000 over twaalf maanden, nog voor de gebruikskosten (2.000 + 1.000 = 3.000; 3.000 x 12 = 36.000).

Retell: HIPAA self-service claims en wat je moet verifiëren

Retell stelt op zijn eigen pagina's dat het HIPAA ondersteunt met een Business Associate Agreement en dat gespreksdata draait op SOC 2 Type II-gecertificeerde infrastructuur. Onafhankelijke beoordelingen zijn minder consistent. Sommigen beschrijven de BAA als een enterprise-functie, en uit één beoordeling blijkt dat Retell zijn eigen SOC 2 Type II-rapport niet prominent publiceert. De AVG wordt kort beschreven op de pagina's van Retell, met toestemming en toegangsrechten, maar gedetailleerde documenten zijn niet gemakkelijk openbaar te vinden.

Wij kunnen contractvoorwaarden niet van buitenaf verifiëren, en jij via een blogpost ook niet. Behandel elke publieke claim, inclusief de onze, als een startpunt voor een due diligence-onderzoek. Vraag Retell schriftelijk om drie zaken: het huidige SOC 2-rapport of de bridge letter, het BAA-sjabloon met de bijbehorende abonnementsvoorwaarden en de lijst met subverwerkers inclusief hun locaties.

Famulor: EU-hosting, DSGVO by design, transparant over SOC 2

Famulor is gebouwd voor de EU-markt. Data wordt gehost in Frankfurt, het platform is ontworpen rondom de DSGVO en de transparantiemelding voor AI-gesprekken is onderdeel van het product. SOC 2 Type II is in voorbereiding en daar zijn we open over in plaats van een badge te printen. Voor teams in Duitsland, Oostenrijk en Zwitserland is dat meestal de vraag die het project bepaalt: waar wordt de audio opgeslagen en wie ondertekent de verwerkersovereenkomst?

Hetzelfde principe geldt voor Amerikaanse gezondheidsgegevens. Als je een BAA nodig hebt voor beschermde gezondheidsinformatie, stem dit dan af met het Famulor-team in de projectfase, samen met de spraak- en taalleveranciers die je van plan bent te gebruiken. Onze enterprise-pagina laat zien hoe we omgaan met security-reviews en contracten, en de prijspagina vermeldt de huidige abonnementen.

Naast elkaar: wat elke leverancier publiceert

Lees de tabel als een lijst met vragen, niet als een ranglijst. Cellen gemarkeerd met "verifieer" of "vraag" betekenen dat de publieke informatie beperkt is en dat je documenten moet opvragen. De vergelijking van prijs en functies tussen de twee Amerikaanse platforms komt aan bod in onze Retell versus Vapi-vergelijking.

Wat het compliance-werk echt kost

Compliance-kosten bestaan uit drie delen. Het eerste is de zichtbare vergoeding, zoals de Vapi-add-ons hierboven. Het tweede is de beperking van aanbieders: als alleen HIPAA-ready spraak- en taalmodellen zijn toegestaan, verlies je toegang tot enkele van de nieuwste modellen en stemmen. Het derde is intern werk, zoals juridische toetsing, een verwerkingsregister en training van personeel. Het derde deel is op elk platform hetzelfde.

Voor het gebruik rekent Famulor € 0,15 per minuut bij pay-as-you-go, en de abonnementen beginnen vanaf € 0,05 per minuut. Gebruik de calculator om je eigen volume te vergelijken met een vaste maandelijkse compliance-vergoeding.

Vier fouten die teams maken bij voice-AI-compliance

Ze behandelen een certificaat als een vergunning

Een SOC 2-rapport bewijst dat de leverancier gecontroleerde processen hanteert. Het geeft je geen rechtsgrondslag om een gesprek op te nemen. De juridische basis, de toestemmingstekst en de bewaarregel blijven jouw verantwoordelijkheid, welk platform je ook kiest.

Ze vergeten de subverwerkers

Een voice-agent is een keten. De provider transporteert het gesprek, een spraakmodel transcribeert het, een taalmodel antwoordt en een stemmodel spreekt. Een kliniek in München die een compliant platform gebruikt, maar audio doorstuurt via een provider zonder verwerkersovereenkomst, heeft een gat, en de toezichthouder zal de zwakste schakel als eerste vinden.

Ze testen met echte bellers

Draai de eerste weken met collega's en nep-patiëntgegevens. Controleer of de AI-melding wordt afgespeeld, of de toestemming voor opname wordt vastgelegd en of een verwijderingsverzoek audio en transcripten daadwerkelijk verwijdert. Famulor bevat kwaliteitstools die je helpen gesprekken te controleren voordat je live gaat.

Ze negeren de prompt

Prompts en kennisbanken kunnen ook persoonsgegevens bevatten. Houd namen, polisnummers en interne notities uit prompts en laad deze tijdens het gesprek via een tool-call. Dat houdt de opgeslagen configuratie schoon en maakt audits eenvoudiger.

Een kort voorbeeld: een fysiotherapiepraktijk met zes therapeuten wil een agent die afspraken inboekt. Bellers noemen hun naam en vaak een klacht zoals "rugpijn na operatie". Die zin is gezondheidsdata. De praktijk heeft een verwerkersovereenkomst met het platform nodig, een duidelijke bewaartermijn en een melding aan het begin van het gesprek. Het heeft geen aparte audit-badge nodig om te starten, maar wel dat elke verwerker op de lijst wordt benoemd en gecontracteerd.

Een due diligence-checklist in vijf stappen

1. Classificeer de data. Bepaal of gesprekken gezondheidsgegevens, betalingsgegevens of alleen contactgegevens bevatten. Het antwoord bepaalt het kader.
2. Vraag de documenten op. SOC 2-rapport, BAA of DPA, lijst met subverwerkers, bewaarbeleid.
3. Breng het gesprekstraject in kaart. Vermeld elke verwerker en de locatie. Verwijder elke partij die niet kan tekenen.
4. Stel retentie en redactie in. Bepaal hoe lang audio en transcripten bewaard blijven en wie ze kan inzien.
5. Test met nepdata. Test het toestemmingsbericht, de AI-melding en het verwijderingsverzoek voordat er echte bellers komen.

Gereguleerde sectoren voegen hun eigen lagen toe. Onze gidsen over PCI-compliant telefonische betalingen en het handboek voor compliance bij incasso laten zien hoe dit in de praktijk werkt.

Overstappen van Vapi of Retell zonder je inrichting te verliezen

Als uit een compliance-review blijkt dat je huidige platform niet bij je markt past, is overstappen minder werk dan het lijkt. Famulor importeert assistenten van beide platforms, inclusief prompts en instellingen. Zie de pagina's voor de Vapi-migratie en de Retell-migratie, en de pagina over het AI-callcenter voor hoe een productie-inrichting eruitziet.

Conclusie: kies op basis van documenten, niet op basis van badges

Vapi biedt je een helder, geprijsd HIPAA-traject. Retell publiceert sterke claims die je zelf moet verifiëren. Famulor biedt EU-teams hosting in Frankfurt, een ontwerp op basis van de DSGVO en een eerlijke SOC 2-status. Niets hiervan vervangt je eigen juridische toetsing. De snelste manier om te beslissen is door dezelfde vijf vragen naar elke leverancier te sturen en de schriftelijke antwoorden te vergelijken.

De volgende stap is simpel: boek een demo, neem je belscript mee en vraag ons naar de beveiligingsdocumenten voor jouw specifieke use case.

Veelgestelde vragen

Is Vapi HIPAA-compliant?

Vapi biedt HIPAA-ondersteuning als betaalde add-on, geprijsd op $2.000 per maand, en beperkt de kern van de spraakpijplijn tot HIPAA-compliant aanbieders. Je hebt nog steeds een ondertekende BAA nodig en moet zelf de compliance voor integraties van derden regelen.

Heeft Retell AI een SOC 2 Type II-certificering?

Retell stelt dat hun gespreksdata draait op infrastructuur die SOC 2 Type II-gecertificeerd is. Onafhankelijke beoordelingen zijn verdeeld over de vraag of Retell zelf een rapport publiceert, dus vraag het huidige rapport schriftelijk op.

Wat is het verschil tussen HIPAA en SOC 2?

HIPAA is een Amerikaanse wet voor gezondheidsgegevens die contracten en waarborgen vereist. SOC 2 is een vrijwillige audit van de beheersmaatregelen van een leverancier. Een SOC 2-rapport maakt je niet automatisch HIPAA-compliant.

Heb ik een BAA nodig voor een voice-agent?

Ja, als de agent beschermde gezondheidsinformatie verwerkt voor een Amerikaanse zorginstelling. De BAA moet bovendien worden ondersteund door overeenkomsten met elke subverwerker in het belpad.

Is een Amerikaans voice AI-platform AVG-compliant?

Dat kan, maar alleen met een verwerkersovereenkomst, geldige overdrachtsmechanismen en een duidelijke datalocatie. Controleer de lijst met subverwerkers en waar audio en transcripties worden opgeslagen.

Host Famulor data in de EU?

Ja. Famulor host in Frankfurt en is ontworpen rondom de DSGVO, inclusief de transparantiemelding voor AI-gesprekken.

Is Famulor SOC 2-gecertificeerd?

SOC 2 Type II is in voorbereiding. Wij communiceren dit openlijk zodat je je beoordeling kunt plannen op basis van de werkelijke status.

Moet ik bellers vertellen dat ze met een AI spreken?

In de EU vereist de AI-verordening transparantie. De beste werkwijze is een korte melding aan het begin van het gesprek, wat Famulor ondersteunt als ingebouwde aankondiging.

Hoe lang moet ik gespreksopnames bewaren?

Alleen zolang je ze nodig hebt voor een specifiek doel. Veel teams hanteren korte bewaartermijnen en verwijderen audio na transcriptie. Stel dit per werkruimte in en leg het vast.