Verwerkersovereenkomst

1. Onderwerp en duur

De Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van het leveren van de Software (de Kevora-reserveringsapp en, indien afgesproken, de Kevora PA Manager) aan de Verwerkingsverantwoordelijke, zoals omschreven in de Overeenkomst.

Deze verwerkersovereenkomst geldt voor de duur van de Overeenkomst, en blijft daarna van kracht zolang de Verwerker of een subverwerker nog persoonsgegevens van de Verwerkingsverantwoordelijke onder zich heeft — in elk geval gedurende de exportperiode van artikel 9, en totdat de definitieve verwijdering daadwerkelijk heeft plaatsgevonden.

2. Aard, doel en gegevens

De verwerking bestaat uit het opslaan, tonen, bewerken en bewaren van reserveringsgegevens, ten behoeve van de tafelindeling en het gastenoverzicht van de Verwerkingsverantwoordelijke. Actieve reserveringsgegevens worden zestig dagen na de datum van de betreffende reservering automatisch verwijderd, zowel uit de hoofddatabase als uit de back-up; dit staat los van de aparte regeling bij het einde van de Overeenkomst (artikel 9).

Allergiegegevens zijn een bijzondere categorie persoonsgegevens in de zin van artikel 9 AVG (gezondheidsgegevens). Niet elke "bijzonderheid" die bij een reservering wordt genoteerd is per se een gezondheidsgegeven — een voorkeur zoals "geen ui" is dat niet, een allergie of intolerantie wel. Naast een grondslag uit artikel 6 AVG heeft de Verwerkingsverantwoordelijke voor het laatste een uitzondering uit artikel 9 AVG nodig. Dat een Gast een allergie uit zichzelf noemt, levert niet automatisch een geldige grondslag voor de vastlegging ervan op; de Verwerkingsverantwoordelijke zorgt zelf voor een deugdelijke grondslag (in de praktijk meestal uitdrukkelijke toestemming, actief gevraagd en gegeven), zorgt dat alleen bediening die de Gast die dag bedient dit ziet, en verwijdert de gegevens zodra ze niet meer nodig zijn (uiterlijk bij de automatische verwijdering na zestig dagen, zie artikel 2 hierboven). Zie ook artikel 11 van de algemene voorwaarden.

3. Instructies en geheimhouding

De Verwerker verwerkt de persoonsgegevens uitsluitend op gedocumenteerde instructies van de Verwerkingsverantwoordelijke (art. 28 lid 3 sub a AVG), waaronder mede wordt verstaan het gebruik van de Software zoals bedoeld is en de bepalingen van deze verwerkersovereenkomst zelf. Dit geldt ook voor de doorgifte van gegevens aan de subverwerkers uit artikel 5: ook die doorgifte gebeurt uitsluitend ter uitvoering van de instructie van de Verwerkingsverantwoordelijke, voor de in artikel 2 omschreven doeleinden. Is de Verwerker van mening dat een instructie in strijd is met de AVG of andere privacyregelgeving, dan meldt hij dit onverwijld aan de Verwerkingsverantwoordelijke.

Iedereen die namens de Verwerker toegang heeft tot de persoonsgegevens is tot geheimhouding verplicht, tenzij een wettelijke plicht tot bekendmaking dwingt.

De Verwerker behoudt voor eigen technisch beheer een beheerderstoegang die niet gebonden is aan de locatie-toegangsregels uit artikel 4. Deze toegang wordt uitsluitend gebruikt voor ondersteuning, onderhoud, het verhelpen van storingen, en het uitvoeren van een verzoek van een betrokkene (bijvoorbeeld een verzoek tot verwijdering) wanneer de Verwerkingsverantwoordelijke daar zelf niet toe in staat is. Deze toegang wordt niet gebruikt om gegevens in te zien zonder zo'n concrete aanleiding, en valt onder dezelfde geheimhoudingsplicht als hierboven.

4. Beveiliging

De Verwerker treft passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG. Op dit moment zijn dat in elk geval:

• versleutelde opslag en versleuteld dataverkeer (HTTPS) tussen de Software en de servers;
• toegang tot de gegevens van een locatie alleen met een eigen inlogcode of managercode van die locatie;
• strikte toegangsregels op databaseniveau, zodat een apparaat alleen bij de gegevens van de eigen locatie kan;
• automatische back-ups, zodat gegevens ook bij een storing niet verloren gaan, met dezelfde bewaartermijn van zestig dagen als in artikel 2 van deze verwerkersovereenkomst;
• de mogelijkheid voor de Verwerkingsverantwoordelijke om een inlogcode of managercode op elk moment zelf in te trekken of te wijzigen, zodat toegang van een oud-medewerker direct stopt;
• periodieke controle en actualisatie van deze maatregelen naarmate de Software zich ontwikkelt.

5. Subverwerkers

De Verwerkingsverantwoordelijke geeft bij het aangaan van de Overeenkomst algemene toestemming aan de Verwerker om de volgende subverwerkers in te zetten:

Alle hierboven genoemde subverwerkers verwerken de gegevens uitsluitend binnen de Europese Unie. Er vindt op dit moment geen doorgifte plaats naar landen buiten de EU of de EER. Verandert dit, dan informeert de Verwerker de Verwerkingsverantwoordelijke vooraf over de gekozen waarborg (bijvoorbeeld EU-standaardcontractbepalingen).

Wil de Verwerker een nieuwe subverwerker inzetten, aan de bestaande lijst toevoegen, of van subverwerker wisselen, dan meldt hij dit minimaal dertig dagen van tevoren aan de Verwerkingsverantwoordelijke. Heeft de Verwerkingsverantwoordelijke daar redelijke bezwaren tegen, dan overleggen Partijen hierover voordat de wijziging ingaat. Komen Partijen er binnen de meldingstermijn niet uit en houdt de Verwerkingsverantwoordelijke een redelijk bezwaar overeind, dan kiest Kevora tussen: (a) de wijziging voor deze Verwerkingsverantwoordelijke uitstellen totdat een passende oplossing is gevonden, of (b) de Verwerkingsverantwoordelijke de Overeenkomst laten beëindigen met ingang van uiterlijk de dag vóórdat de wijziging ingaat, in afwijking van de gewone opzegtermijn van artikel 7 van de algemene voorwaarden — zodat het bezwaarrecht daadwerkelijk betekenis heeft en de wijziging nooit ingaat terwijl de Verwerkingsverantwoordelijke nog geen kant op kon.

De Verwerker zorgt dat iedere subverwerker schriftelijk minimaal dezelfde verplichtingen op zich neemt als in deze verwerkersovereenkomst staan, en blijft zelf volledig aansprakelijk richting de Verwerkingsverantwoordelijke voor het handelen van de subverwerker.

6. Bijstand aan de Verwerkingsverantwoordelijke

Krijgt de Verwerker een verzoek van een Gast over inzage, correctie, verwijdering of overdraagbaarheid van diens gegevens, dan stuurt hij dit onverwijld door naar de Verwerkingsverantwoordelijke — die blijft immers verantwoordelijk voor de afhandeling. De Verwerker verleent hierbij redelijke medewerking, bijvoorbeeld door de gevraagde gegevens uit de Software te halen.

Ook bij een gegevensbeschermingseffectbeoordeling (DPIA) of een raadpleging vooraf van de Autoriteit Persoonsgegevens verleent de Verwerker redelijke medewerking, voor zover dit de Software betreft.

7. Audit en naleving

De Verwerker stelt op verzoek van de Verwerkingsverantwoordelijke alle informatie beschikbaar die redelijkerwijs nodig is om naleving van deze verwerkersovereenkomst aan te tonen, en staat audits en inspecties toe die door de Verwerkingsverantwoordelijke of een door hem aangewezen onafhankelijke auditor worden uitgevoerd, en draagt daaraan bij.

Een audit wordt minimaal 14 dagen vooraf schriftelijk aangekondigd en redelijkerwijs niet vaker dan eenmaal per jaar uitgevoerd, tenzij er concrete aanleiding is voor vaker. Redelijke kosten van een audit komen voor rekening van de Verwerkingsverantwoordelijke, tenzij de audit een overtreding door de Verwerker aan het licht brengt; in dat geval komen de kosten voor rekening van de Verwerker.

8. Datalekken

Ontdekt de Verwerker een inbreuk in verband met persoonsgegevens van de Verwerkingsverantwoordelijke (een datalek), dan meldt hij dit zonder onnodige vertraging, en in elk geval uiterlijk binnen 24 uur na ontdekking, aan de Verwerkingsverantwoordelijke. Zo kan de Verwerkingsverantwoordelijke zelf op tijd voldoen aan de eigen meldplicht van 72 uur aan de Autoriteit Persoonsgegevens.

De melding bevat in elk geval, voor zover op dat moment bekend:

• de aard van de inbreuk en, indien mogelijk, om welke gegevens en hoeveel Gasten het gaat;
• de te verwachten gevolgen van de inbreuk;
• de vermoedelijke oorzaak en de reeds getroffen of voorgestelde maatregelen;
• een contactpunt bij de Verwerker voor nadere vragen.

Is niet alle informatie op het moment van melden al bekend, dan vult de Verwerker deze zo spoedig mogelijk met vervolgupdates aan, en verleent hij redelijke medewerking bij het verder afhandelen van het datalek, zoals het informeren van betrokkenen als dat nodig blijkt.

9. Einde van de verwerking

Bij het einde van de Overeenkomst kan de Verwerkingsverantwoordelijke binnen de eerste dertig dagen ("op tijd") kiezen tussen teruggave (zelf exporteren, of de volledige geschiedenis in één keer laten aanleveren, uiterlijk binnen vijf werkdagen na het verzoek) en verwijdering zonder teruggave, zoals beschreven in artikel 7 van de algemene voorwaarden. Kiest de Verwerkingsverantwoordelijke op tijd voor teruggave met volledige geschiedenis, dan blijft het geleverde bestand daarna nog veertien dagen op te halen; de Verwerker verwijdert pas zodra de Verwerkingsverantwoordelijke ontvangst bevestigt, of anders bij het verstrijken van die veertien dagen — nooit eerder dan dertig dagen na het einde van de Overeenkomst, tenzij eerder om verwijdering is gevraagd.

Kiest de Verwerkingsverantwoordelijke op tijd voor teruggave maar exporteert hij zelfstandig via de zelfbedieningsexport, dan verwijdert de Verwerker alle namens de Verwerkingsverantwoordelijke verwerkte persoonsgegevens en resterende kopieën uiterlijk zestig dagen na het einde van de Overeenkomst. Verwijdering vindt niet eerder plaats dan na de exportperiode van dertig dagen, tenzij de Verwerkingsverantwoordelijke eerder om verwijdering vraagt. Een wettelijke bewaarplicht vormt uitsluitend voor de betreffende gegevens een uitzondering.

Reageert de Verwerkingsverantwoordelijke niet, dan stuurt de Verwerker na twintig dagen een herinnering, en verwijdert daarna uiterlijk zestig dagen na het einde van de Overeenkomst alle persoonsgegevens definitief, ook zonder bevestiging — tenzij een wettelijke bewaarplicht zich daartegen verzet. Vanaf het einde van de Overeenkomst wordt de doorlopende opschoning van artikel 2 (verwijdering zestig dagen na de reserveringsdatum) gepauzeerd; vanaf dat moment geldt uitsluitend deze regeling.

10. Aansprakelijkheid en overig

Voor de aansprakelijkheid van Partijen jegens elkaar in verband met deze verwerkersovereenkomst geldt hetzelfde regime als artikel 11 van de algemene voorwaarden.

Deze verwerkersovereenkomst kan niet los van de Overeenkomst worden opgezegd, en heeft daarom geen eigen opzegtermijn. De duur ervan volgt artikel 1: zij blijft van kracht na het einde van de Overeenkomst, zolang er nog gegevens van de Verwerkingsverantwoordelijke worden verwerkt of bewaard.

Op deze verwerkersovereenkomst is Nederlands recht van toepassing.