Verwerkersovereenkomst

1. Partijen en rollen

Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van SalonRegie en geldt tussen:

• de Klant (de salon), als verwerkingsverantwoordelijke; en
• Lilopel BV, handelend onder de naam SalonRegie, gevestigd op Cypresbaan 10, 2908 LT Capelle aan den IJssel, KvK 66544122, als verwerker.

Je gaat akkoord met deze overeenkomst door een account aan te maken. Begrippen als persoonsgegevens, verwerking en datalek hebben de betekenis uit de Algemene verordening gegevensbescherming (AVG).

2. Onderwerp, aard en doel

SalonRegie verwerkt persoonsgegevens uitsluitend om de Dienst aan de Klant te leveren: afspraken plannen en tonen, online boekingen ontvangen, bevestigingen en herinneringen sturen, afrekenen en factureren, klantenkaarten bijhouden en rapportages maken. De verwerking bestaat uit opslaan, ordenen, raadplegen, versturen en verwijderen.

3. Betrokkenen en soorten gegevens

Betrokkenen

• klanten van de salon (ook mensen die online boeken);
• medewerkers en andere gebruikers van de salon.

Soorten gegevens

• naam, telefoonnummer, e-mailadres en geboortedatum;
• afspraken, behandelingen, aankopen, betalingen en facturen;
• notities en bijzonderheden op de klantenkaart, zoals kleurrecepten en voorkeuren;
• toestemmingen voor sms, e-mail en marketing;
• roosters, werktijden en rollen van medewerkers.

De Klant bepaalt welke gegevens worden vastgelegd. Notities kunnen gezondheidsgegevens bevatten, zoals allergieën of huidaandoeningen. Dat zijn bijzondere persoonsgegevens. De Klant legt die alleen vast als dat nodig is voor een veilige behandeling en als hij daar een geldige grondslag voor heeft, en beperkt ze tot het noodzakelijke.

4. Verwerken volgens instructies

1. SalonRegie verwerkt de persoonsgegevens alleen in opdracht en volgens de schriftelijke instructies van de Klant. Het gebruik van de Dienst en de instellingen die de Klant kiest, gelden als instructie.
2. SalonRegie gebruikt de gegevens niet voor eigen doeleinden.
3. Is SalonRegie wettelijk verplicht om gegevens te verstrekken, dan informeert zij de Klant vooraf, tenzij de wet dat verbiedt.
4. Vindt SalonRegie dat een instructie in strijd is met de AVG, dan meldt zij dat direct aan de Klant.

5. Geheimhouding

Alleen personen die de gegevens nodig hebben voor hun werk hebben er toegang toe. Zij zijn gebonden aan geheimhouding. SalonRegie kijkt alleen in de gegevens van een salon als dat nodig is voor ondersteuning waar de Klant om vraagt, voor het oplossen van een storing of als de wet dat vereist.

6. Beveiliging

SalonRegie neemt passende technische en organisatorische maatregelen om de gegevens te beschermen, waaronder:

• versleutelde verbindingen (https/TLS) voor de app, de website en e-mail;
• gehashte wachtwoorden en beperking van inlogpogingen;
• strikte scheiding tussen salons: elke salon ziet alleen zijn eigen gegevens;
• rechten per rol binnen de salon (eigenaar, manager, medewerker);
• een audit-log voor gevoelige handelingen;
• hosting en bestandsopslag in de Europese Unie;
• meerdere keren per dag een back-up van de server (app en database), opgeslagen bij Hetzner in de EU, gescheiden van de productieserver; een back-up wordt na een dag overschreven door een nieuwe;
• beveiligingsupdates van servers en software.

SalonRegie mag de maatregelen aanpassen, zolang het beveiligingsniveau niet omlaag gaat.

7. Subverwerkers

De Klant geeft toestemming voor het inschakelen van de volgende subverwerkers:

1. SalonRegie legt subverwerkers minstens dezelfde verplichtingen op als in deze overeenkomst en blijft verantwoordelijk voor hen.
2. Een nieuwe subverwerker, zoals een betaaldienstverlener voor iDEAL of een sms-dienst zodra die functies live gaan, meldt SalonRegieminstens 30 dagen vooraf. De Klant kan daar met redenen bezwaar tegen maken. Komen partijen er niet uit, dan kan de Klant de Overeenkomst opzeggen.
3. Gegevens gaan alleen naar landen buiten de Europese Economische Ruimte als daar een passende waarborg voor is, zoals een adequaatheidsbesluit of standaardcontractbepalingen.
4. Koppelt de Klant zelf een dienst van derden, zoals een AI-assistent, dan is die dienst geen subverwerker van SalonRegie. De Klant maakt daarover zelf afspraken met de aanbieder.

8. Datalekken

1. SalonRegie meldt een datalek dat de gegevens van de Klant raakt zonder onredelijke vertraging, en uiterlijk binnen 48 uur nadat zij het heeft ontdekt.
2. De melding bevat wat er bekend is over de aard van het lek, de betrokken gegevens, de waarschijnlijke gevolgen en de genomen maatregelen. Ontbrekende informatie volgt zodra die bekend is.
3. De Klant beslist of het lek wordt gemeld bij de Autoriteit Persoonsgegevens en de betrokkenen. SalonRegie helpt daarbij.

9. Rechten van betrokkenen en hulp

1. De Klant kan in de Dienst zelf gegevens van een klant inzien, aanpassen, exporteren en verwijderen. Verwijderen gebeurt door de klant te anonimiseren.
2. Krijgt SalonRegie een verzoek van een betrokkene, dan stuurt zij dat door naar de Klant.
3. SalonRegie helpt de Klant waar redelijk bij verzoeken van betrokkenen, bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij vragen van de toezichthouder.

10. Controle

SalonRegie geeft de Klant op verzoek de informatie die nodig is om aan te tonen dat zij deze overeenkomst naleeft. Een audit door een onafhankelijke deskundige is mogelijk na overleg, maximaal één keer per jaar en met een redelijke aankondigingstermijn. De kosten zijn voor de Klant, tenzij blijkt dat SalonRegie deze overeenkomst wezenlijk heeft geschonden.

11. Duur en einde

1. Deze overeenkomst loopt zolang SalonRegie gegevens voor de Klant verwerkt.
2. Na het einde van de Overeenkomst kan de Klant zijn gegevens nog 30 dagen exporteren. Daarna verwijdert SalonRegie de gegevens, inclusief kopieën in back-ups binnen de bewaartermijn daarvan, tenzij de wet bewaren verplicht.

12. Aansprakelijkheid

Voor de aansprakelijkheid onder deze overeenkomst geldt de regeling uit de algemene voorwaarden, voor zover de AVG dat toelaat.