Verwerkersovereenkomst (DPA)

1. Definities en toepasselijkheid

• •Persoonsgegevens, Verwerking, Verwerker en Verwerkingsverantwoordelijke hebben de betekenis die daaraan wordt gegeven in de Algemene Verordening Gegevensbescherming (AVG).
• •Toepassing: deze overeenkomst is van toepassing zodra Verwerkingsverantwoordelijke bij aanmelden akkoord gaat met de Algemene Voorwaarden en deze Verwerkersovereenkomst en gebruikmaakt van Salonly.

2. Onderwerp en doeleinden van de verwerking

• •Opdracht: Verwerker verwerkt persoonsgegevens uitsluitend in opdracht van en namens Verwerkingsverantwoordelijke, conform diens schriftelijke instructies en voor de doeleinden van de hoofdovereenkomst: het leveren van de salon management software, inclusief agenda, online boeken, kassa, facturatie, klantbeheer en het versturen van afspraakberichten.
• •Categorieën betrokkenen: klanten (salongasten), medewerkers en leveranciers van Verwerkingsverantwoordelijke.
• •Soorten persoonsgegevens: contactgegevens (naam, telefoonnummer, e-mailadres), afspraakhistorie, financiële transacties en facturen, inloggegevens van medewerkers, en eventuele specifieke behandelnotities (zoals kleurcodes of huidallergieën).

Behandelnotities kunnen gezondheidsgegevens bevatten (bijzondere persoonsgegevens in de zin van artikel 9 AVG). Verwerkingsverantwoordelijke is ervoor verantwoordelijk dat daarvoor een geldige grondslag bestaat, in de regel de uitdrukkelijke toestemming van de betrokkene, en legt zulke gegevens niet vast zonder die grondslag.

3. Verplichtingen van Verwerker

• •Instructies: Verwerker verwerkt de persoonsgegevens niet voor eigen doeleinden en uitsluitend op basis van de instructies van Verwerkingsverantwoordelijke, waaronder de instructies die volgen uit het gebruik van de functionaliteit van Salonly, tenzij een wettelijke bepaling Verwerker tot verwerking verplicht. In dat geval informeert Verwerker Verwerkingsverantwoordelijke vooraf, tenzij de wet dat verbiedt.
• •Is Verwerker van mening dat een instructie in strijd is met de AVG, dan informeert Verwerker Verwerkingsverantwoordelijke daarover onverwijld.
• •Geheimhouding: Verwerker zorgt ervoor dat alle personen die toegang hebben tot de persoonsgegevens (zoals werknemers) gebonden zijn aan een strikte geheimhoudingsplicht, ook na beëindiging van deze overeenkomst.

4. Subverwerkers

• •Toestemming: Verwerkingsverantwoordelijke verleent Verwerker algemene toestemming om subverwerkers in te schakelen voor het uitvoeren van de dienst (zoals hostingproviders en e-mail- of berichtendiensten).
• •Kwaliteit: Verwerker legt aan deze subverwerkers minstens dezelfde verplichtingen en beveiligingsstandaarden op als in deze Verwerkersovereenkomst, en blijft jegens Verwerkingsverantwoordelijke verantwoordelijk voor hun nakoming.

Op dit moment zijn de volgende subverwerkers ingeschakeld:

• •Cloudflare, Inc. — hosting en uitvoering van het platform;
• •Turso (ChiselStrike, Inc.) — database-opslag;
• •Resend — verzending van transactionele e-mails (bevestigingen, herinneringen, facturen);
• •Google Firebase (Google Ireland Ltd.) — pushmeldingen naar de apps van Verwerkingsverantwoordelijke en diens medewerkers;
• •Mollie B.V. — betalingsverwerking, uitsluitend indien Verwerkingsverantwoordelijke online betalen inschakelt via een eigen Mollie-account.

Verwerker informeert Verwerkingsverantwoordelijke via de website of de app vooraf over een voorgenomen wijziging in deze lijst. Verwerkingsverantwoordelijke kan binnen 14 dagen gemotiveerd bezwaar maken; partijen overleggen dan te goeder trouw over een oplossing.

5. Doorgifte buiten de EER

Verwerker streeft ernaar persoonsgegevens binnen de Europese Economische Ruimte (EER) te laten verwerken. Voor zover een subverwerker gegevens buiten de EER verwerkt of daar toegang toe heeft, gebeurt dit uitsluitend op basis van een passend beschermingsniveau, zoals een adequaatheidsbesluit (waaronder het EU-VS Data Privacy Framework) of de modelcontractbepalingen van de Europese Commissie (Standard Contractual Clauses).

6. Beveiliging en datalekken

• •Beveiligingsmaatregelen: Verwerker neemt passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies of enige vorm van onrechtmatige verwerking, waaronder:

• •versleuteling van gevoelige persoonsgegevens in de database, met een eigen sleutel per salon;
• •versleuteld dataverkeer (TLS/SSL) tussen gebruiker en platform;
• •rolgebaseerde toegangscontrole en logische scheiding van gegevens per salon;
• •regelmatige back-ups en periodieke evaluatie van de maatregelen.

• •Meldplicht datalekken: ontdekt Verwerker een beveiligingsincident waarbij persoonsgegevens van Verwerkingsverantwoordelijke zijn betrokken, dan informeert Verwerker Verwerkingsverantwoordelijke zonder onnodige vertraging en uiterlijk binnen 48 uur na ontdekking. Verwerker verstrekt alle informatie die Verwerkingsverantwoordelijke nodig heeft om aan de eigen meldplicht bij de Autoriteit Persoonsgegevens te voldoen.

7. Rechten van betrokkenen en bijstand

• •Medewerking: doet een klant van de salon een beroep op zijn rechten onder de AVG (zoals inzage, correctie of verwijdering), dan assisteert Verwerker Verwerkingsverantwoordelijke hierbij via de ingebouwde functionaliteit van Salonly, dan wel door op eerste verzoek de benodigde gegevens aan te leveren.
• •Verwerker verleent daarnaast redelijke bijstand bij een gegevensbeschermingseffectbeoordeling (DPIA) en een eventuele voorafgaande raadpleging van de Autoriteit Persoonsgegevens.

8. Audit

• •Verwerker stelt op schriftelijk verzoek alle informatie ter beschikking die nodig is om aan te tonen dat de verplichtingen uit deze overeenkomst worden nagekomen.
• •Verwerkingsverantwoordelijke kan, na schriftelijke aankondiging met een redelijke termijn en niet vaker dan eenmaal per jaar (behoudens een concreet vermoeden van een datalek), een audit laten uitvoeren door een onafhankelijke, tot geheimhouding verplichte deskundige. De kosten zijn voor Verwerkingsverantwoordelijke, tenzij de audit een tekortkoming van Verwerker aantoont.

9. Duur en beëindiging

• •Looptijd: deze Verwerkersovereenkomst geldt voor de duur van de hoofdovereenkomst en eindigt automatisch zodra het abonnement definitief is beëindigd en alle persoonsgegevens zijn verwijderd.
• •Teruggave en verwijdering: tot de einddatum kan Verwerkingsverantwoordelijke de eigen gegevens exporteren of een export opvragen (zie artikel 9.3 van de Algemene Voorwaarden). Daarna verwijdert of anonimiseert Verwerker alle persoonsgegevens van Verwerkingsverantwoordelijke definitief, inclusief kopieën, tenzij een wettelijke (fiscale) bewaarplicht langere opslag vereist.

10. Aansprakelijkheid en slotbepalingen

• •De aansprakelijkheid van Verwerker onder deze overeenkomst is onderworpen aan de beperkingen in de Algemene Voorwaarden.
• •Bij strijdigheid tussen deze Verwerkersovereenkomst en de Algemene Voorwaarden gaat deze Verwerkersovereenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.
• •Op deze overeenkomst is Nederlands recht van toepassing. Vragen over dit document kunnen worden gestuurd naar info@salonly-app.com.