Verwerkersovereenkomst

1. Onderwerp, aard en doel

1. Verwerker verwerkt persoonsgegevens uitsluitend in opdracht van Verwerkingsverantwoordelijke en uitsluitend om de Dienst te leveren: afspraken plannen en online boeken, klantbeheer, intake- en consultatieformulieren, kassa en facturatie, cadeaubonnen en pakketten, beoordelingen, wachtlijst, team-, rooster- en urenregistratie, salarisoverzichten, en de daarbij behorende opslag, beveiliging, back-ups en ondersteuning.
2. Verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking. Verwerker heeft geen zeggenschap over het doel van de verwerking en neemt geen zelfstandige beslissingen over de persoonsgegevens.
3. Deze overeenkomst loopt zolang de Dienst wordt geleverd en daarna zolang Verwerker nog persoonsgegevens van Verwerkingsverantwoordelijke verwerkt.

2. Betrokkenen en soorten persoonsgegevens

• Eindklanten: naam, e-mailadres, telefoonnummer, geboortedatum (indien ingevuld), afspraak-, aankoop- en betaalhistorie, notities, antwoorden op intakeformulieren, beoordelingen, spaarpunten, cadeaubonnen en marketingvoorkeuren.
• Bijzondere persoonsgegevens: gegevens over gezondheid, zoals allergieën, huidaandoeningen en allergietesten, uitsluitend voor zover Verwerkingsverantwoordelijke die laat vastleggen. Verwerkingsverantwoordelijke draagt er zorg voor dat daarvoor een geldige grondslag bestaat, zoals uitdrukkelijke toestemming.
• Medewerkers: naam, e-mailadres, rol, rooster, gewerkte uren, verlof en afwezigheid, loon- en commissie-instellingen en omzet per medewerker.
• Technische gegevens: IP-adressen, logbestanden en apparaatgegevens voor beveiliging en foutopsporing.

3. Instructies

1. Verwerker verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van Verwerkingsverantwoordelijke. De instellingen en het gebruik van de Dienst door Verwerkingsverantwoordelijke gelden als instructie.
2. Verwerker mag persoonsgegevens verwerken als een wettelijke verplichting dat vereist; Verwerker informeert Verwerkingsverantwoordelijke daarover vooraf, tenzij dat wettelijk verboden is.
3. Is een instructie naar het oordeel van Verwerker in strijd met de AVG, dan meldt Verwerker dat. Verwerker mag de uitvoering van die instructie opschorten.

4. Geheimhouding

Verwerker legt iedereen die onder zijn gezag toegang heeft tot de persoonsgegevens een geheimhoudingsplicht op en beperkt de toegang tot personen die die toegang nodig hebben.

5. Beveiliging

Verwerker treft passende technische en organisatorische maatregelen, rekening houdend met de stand van de techniek, de kosten en de risico’s, waaronder:

• versleuteling van verbindingen (TLS) en van gegevens in rust;
• strikte logische scheiding van gegevens per salon door rijbeveiliging in de database;
• rolgebaseerde toegang binnen het account en beperking van toegang tot gezondheidsgegevens;
• gehashte wachtwoorden en beveiligde sessies;
• afscherming van de servers, die uitsluitend via het beveiligingsnetwerk bereikbaar zijn;
• regelmatige back-ups en updates;
• logging van toegang en onderhoud.

Verwerkingsverantwoordelijke heeft deze maatregelen beoordeeld en acht ze passend. Verwerker mag de maatregelen wijzigen, mits het beschermingsniveau niet wezenlijk afneemt. Verwerker garandeert niet dat de beveiliging onder alle omstandigheden doeltreffend is.

6. Subverwerkers

1. Verwerkingsverantwoordelijke geeft Verwerker algemene toestemming om subverwerkers in te schakelen. Op dit moment zijn dat:

2. Verwerker informeert Verwerkingsverantwoordelijke ten minste 14 dagen vooraf over nieuwe subverwerkers, bijvoorbeeld voor e-mail, sms, WhatsApp of betalingen. Verwerkingsverantwoordelijke kan binnen die termijn gemotiveerd bezwaar maken. Kunnen partijen geen oplossing vinden, dan is het enige recht van Verwerkingsverantwoordelijke het opzeggen van de Dienst tegen de ingangsdatum.
3. Verwerker legt subverwerkers ten minste gelijkwaardige verplichtingen op ten aanzien van gegevensbescherming.

7. Doorgifte buiten de EER

Persoonsgegevens worden opgeslagen binnen de Europese Economische Ruimte. Doorgifte naar of toegang vanuit landen daarbuiten vindt alleen plaats met passende waarborgen als bedoeld in hoofdstuk V AVG, zoals een adequaatheidsbesluit of EU-modelcontractbepalingen.

8. Rechten van betrokkenen

Verwerkingsverantwoordelijke handelt verzoeken van betrokkenen zelf af; de Dienst bevat daarvoor functies zoals inzien, wijzigen en exporteren. Verwerker verleent waar nodig redelijke medewerking. Ontvangt Verwerker een verzoek rechtstreeks, dan stuurt hij dat door. Werkzaamheden die verder gaan dan de standaardfuncties mag Verwerker tegen zijn gebruikelijke tarief in rekening brengen.

9. Datalekken

1. Verwerker meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging, en uiterlijk binnen 48 uur nadat Verwerker daarvan kennis heeft genomen, aan Verwerkingsverantwoordelijke, met de informatie die op dat moment redelijkerwijs beschikbaar is.
2. Verwerkingsverantwoordelijke beoordeelt of de inbreuk gemeld moet worden aan de Autoriteit Persoonsgegevens en/of betrokkenen, en doet die melding zelf. Verwerker meldt niet namens Verwerkingsverantwoordelijke.

10. Medewerking, audit en DPIA

1. Verwerker verstrekt Verwerkingsverantwoordelijke op verzoek de informatie die redelijkerwijs nodig is om naleving van deze overeenkomst aan te tonen, en werkt redelijk mee aan een gegevensbeschermingseffectbeoordeling.
2. Een audit vindt hoogstens eenmaal per jaar plaats, na een schriftelijke aankondiging van ten minste 30 dagen, door een onafhankelijke deskundige met geheimhoudingsplicht, zonder de bedrijfsvoering te verstoren en zonder toegang tot gegevens van andere klanten. De kosten zijn voor Verwerkingsverantwoordelijke, tenzij de audit een wezenlijke tekortkoming van Verwerker aantoont.

11. Aansprakelijkheid

Voor de aansprakelijkheid van Verwerker geldt artikel 11 van de algemene voorwaarden, inclusief het daarin opgenomen maximum, dat geldt voor alle aanspraken op grond van de overeenkomst en deze verwerkersovereenkomst samen. Verwerkingsverantwoordelijke vrijwaart Verwerker tegen aanspraken van betrokkenen en toezichthouders die voortvloeien uit verwerkingen waarvoor Verwerkingsverantwoordelijke verantwoordelijk is, uit onrechtmatige instructies, of uit het ontbreken van een grondslag. Niets in dit artikel beperkt de aansprakelijkheid van partijen jegens betrokkenen voor zover de AVG dat dwingend voorschrijft.

12. Einde

Na beëindiging van de Dienst kan Verwerkingsverantwoordelijke de persoonsgegevens 30 dagen exporteren. Daarna verwijdert Verwerker de persoonsgegevens, inclusief kopieën, binnen 90 dagen, behalve voor zover een wettelijke bewaarplicht geldt. Back-ups worden verwijderd volgens de gebruikelijke rotatie.

13. Rangorde

Bij strijd tussen deze verwerkersovereenkomst en de algemene voorwaarden gaat deze verwerkersovereenkomst voor, uitsluitend voor zover het de verwerking van persoonsgegevens betreft.