Verwerkersovereenkomst

Deze overeenkomst geldt tussen de zaak die Aphra gebruikt (hierna: de zaak) en Online Marketing Bonaire, gevestigd op Bonaire, [adres nog in te vullen], ingeschreven bij de Kamer van Koophandel Bonaire onder nummer [KvK-nummer nog in te vullen] (hierna: Aphra). De zaak gaat ermee akkoord bij het aanmaken van haar werkruimte, of daarna in het beheer. Aphra legt vast wie namens de zaak akkoord gaf, wanneer, en met welke versie.

De overeenkomst volgt de eisen van artikel 28 van de Algemene verordening gegevensbescherming (AVG). Voor zaken in Caribisch Nederland geldt daarnaast de Wet bescherming persoonsgegevens BES; waar die minder eist, houdt Aphra zich toch aan de AVG.

1. Rollen

De zaak is verwerkingsverantwoordelijke voor de gegevens van haar klanten en medewerkers die zij in Aphra vastlegt of via haar boekingspagina laat invullen. Aphra is verwerker: Aphra verwerkt die gegevens alleen om de dienst te leveren en volgens de instructies van de zaak. Voor de eigen accountgegevens van gebruikers is Aphra zelf verantwoordelijk; dat staat in de privacyverklaring.

2. Welke gegevens, van wie, waarvoor

• Van klanten van de zaak: naam, e-mailadres, telefoonnummer, taal, afspraken en reserveringen, betalingen, facturen, notities, beoordelingen en de antwoorden op formulieren.
• Bijzondere gegevens, alleen als de zaak die onderdelen gebruikt: gegevens over gezondheid in intake- en nazorgformulieren, en bij verhuur rijbewijs- en identiteitsgegevens met foto’s daarvan.
• Van medewerkers van de zaak: naam, e-mailadres, rooster, afspraken, verlof en eventuele commissie.
• Doel: afspraken en reserveringen beheren, klanten en medewerkers berichten sturen, betalingen en facturen verwerken, en het klantdossier bijhouden. Alleen voor deze doelen en voor niets anders.

3. Instructies

De zaak geeft haar instructies door Aphra te gebruiken en in te stellen. Aphra verwerkt de gegevens niet voor eigen doelen, verkoopt ze niet en gebruikt ze niet om andere zaken iets aan te bieden. Vindt Aphra een instructie in strijd met de wet, dan laat Aphra dat de zaak direct weten. Moet Aphra gegevens verstrekken omdat de wet of een rechter dat eist, dan meldt Aphra dat vooraf aan de zaak, tenzij dat verboden is.

4. Geheimhouding

Iedereen die bij Aphra toegang heeft tot de gegevens is tot geheimhouding verplicht. Die toegang is beperkt tot wat nodig is om de dienst te leveren, storingen op te lossen of een vraag van de zaak te beantwoorden.

5. Beveiliging

Aphra neemt passende maatregelen tegen verlies en onrechtmatig gebruik. Op dit moment zijn dat onder meer:

• Gegevens van zaken zijn per werkruimte gescheiden en worden in de database zelf afgeschermd.
• Rollen: medewerkers zonder beheerrol zien alleen hun eigen agenda, niet de omzet of het klantbestand.
• Alle verbindingen zijn versleuteld; de database en de opgeslagen bestanden zijn versleuteld opgeslagen.
• Toegangssleutels voor koppelingen (betalen, WhatsApp) worden apart versleuteld bewaard.
• Publieke formulieren zijn beschermd tegen massaal proberen.
• Foto’s van rijbewijzen en identiteitsbewijzen worden automatisch verwijderd na de bewaartermijn die de zaak instelt.

De zaak zorgt zelf voor veilige wachtwoorden en geeft alleen toegang aan mensen die dat nodig hebben.

6. Subverwerkers

De zaak geeft Aphra toestemming om de volgende partijen in te schakelen:

Aphra legt deze partijen minstens dezelfde verplichtingen op als in deze overeenkomst. Wil Aphra een partij toevoegen of vervangen, dan meldt Aphra dat minstens 30 dagen vooraf. De zaak kan binnen die termijn bezwaar maken; komen we er niet uit, dan kan de zaak de overeenkomst opzeggen.

Koppelingen die de zaak zelf aanzet met een eigen account, zoals een betaalprovider, WhatsApp, Google Agenda of eigen meetcodes, zijn geen subverwerkers van Aphra. Daarvoor sluit de zaak zelf een overeenkomst met die partij.

7. Gegevens buiten de Europese Unie

Een deel van de verwerking vindt plaats in de Verenigde Staten. Voor gegevens van personen in de Europese Unie gebeurt dat op basis van de standaardcontractbepalingen van de Europese Commissie, die zijn opgenomen in de overeenkomsten met de subverwerkers.

8. Rechten van klanten en medewerkers

Wil iemand zijn gegevens inzien, verbeteren of laten verwijderen, dan kan de zaak dat grotendeels zelf in het beheer doen. Lukt dat niet, dan helpt Aphra binnen redelijke termijn. Komt zo’n verzoek bij Aphra binnen, dan stuurt Aphra het door naar de zaak en handelt het niet zelf af.

9. Datalekken

Ontdekt Aphra een beveiligingsincident waarbij gegevens van de zaak betrokken zijn, dan meldt Aphra dat zonder onredelijke vertraging en uiterlijk binnen 48 uur aan de eigenaar van de zaak. Aphra geeft daarbij wat bekend is: wat er gebeurde, welke gegevens en hoeveel mensen het betreft, en welke maatregelen genomen zijn. De zaak beslist of zij het lek meldt bij de toezichthouder en aan betrokkenen; Aphra helpt daarbij.

10. Controle

Aphra geeft de zaak op verzoek de informatie die nodig is om te laten zien dat deze overeenkomst wordt nageleefd. Een controle door een onafhankelijke deskundige is mogelijk na overleg, op kosten van de zaak, tenzij daaruit blijkt dat Aphra tekortschiet.

11. Einde

Deze overeenkomst loopt zolang de zaak Aphra gebruikt. Voordat de zaak haar werkruimte verwijdert, kan zij haar facturen afdrukken of als PDF opslaan. Verwijdert de eigenaar de werkruimte, dan verwijdert Aphra direct alle gegevens die eronder vallen. Back-ups worden binnen 30 dagen overschreven.

12. Aansprakelijkheid

De aansprakelijkheid van Aphra onder deze overeenkomst is beperkt tot het bedrag dat de zaak in de twaalf maanden voor de schade aan Aphra heeft betaald. Die beperking geldt niet bij opzet of grove nalatigheid.

13. Wijzigingen, recht en geschillen

Wijzigt Aphra deze overeenkomst, dan krijgt de nieuwe versie een nieuwe datum en vraagt Aphra de zaak opnieuw om akkoord. Op deze overeenkomst is het recht van Bonaire van toepassing. Geschillen worden voorgelegd aan het Gerecht in eerste aanleg van Bonaire, Sint Eustatius en Saba.

Vragen over deze overeenkomst stuur je naar privacy@aphrabooking.com. Aanspreekpunt is Online Marketing Bonaire.