Verwerkersovereenkomst

Verwerker verwerkt persoonsgegevens uitsluitend in opdracht van en volgens de schriftelijke (waaronder elektronische) instructies van Verwerkingsverantwoordelijke, met als doel het detecteren van vrije plekken en het contacteren en herboeken van Eindklanten (de Dienst). Deze overeenkomst geldt voor de duur van de hoofdovereenkomst tussen partijen en eindigt automatisch bij beëindiging daarvan, onverminderd sectie 10.

Aard: geautomatiseerde verwerking van contact- en afsprakengegevens om herstelberichten te versturen en te verwerken.

Doel: het opnieuw vullen van vrijgekomen afspraken namens Verwerkingsverantwoordelijke.

• Categorieën gegevens: naam, telefoonnummer, e-mailadres, afsprakengeschiedenis (dienst, tijdstip, waarde), opt-in/opt-out-status, inhoud van berichtenwisseling voor zover nodig om een afspraak af te handelen.
• Uitdrukkelijk UITGESLOTEN: bijzondere categorieën persoonsgegevens in de zin van artikel 9 AVG, waaronder gezondheids- en medische gegevens. Verwerker is niet ingericht om deze te verwerken en Verwerkingsverantwoordelijke levert deze niet aan.
• Betrokkenen: de klanten van Verwerkingsverantwoordelijke die een afspraak hebben of hadden en waarvoor toestemming/rechtsgrond bestaat om gecontacteerd te worden.

Verwerker verwerkt de gegevens enkel op basis van gedocumenteerde instructies van Verwerkingsverantwoordelijke, tenzij een Unierechtelijke of lidstatelijke bepaling Verwerker tot verwerking verplicht; in dat laatste geval stelt Verwerker Verwerkingsverantwoordelijke daarvan in kennis voorafgaand aan de verwerking, tenzij die wetgeving dit om gewichtige redenen van algemeen belang verbiedt. De functionaliteit van de Dienst (welke velden verplicht zijn, welke kanalen gebruikt worden, de limieten uit sectie 6 van de algemene voorwaarden) geldt als vooraf gegeven instructie.

Verwerker waarborgt dat personen die gemachtigd zijn de persoonsgegevens te verwerken, zich ertoe verbonden hebben vertrouwelijkheid in acht te nemen of onder een passende wettelijke verplichting van vertrouwelijkheid vallen, en enkel toegang hebben tot de gegevens die nodig zijn voor hun taak.

Verwerker implementeert passende technische en organisatorische maatregelen, waaronder: versleuteling van gegevens tijdens verzending (TLS) en in rust; toegangscontrole op basis van het need-to-know-principe; cryptografische verificatie van webhook- en API-verkeer om vervalsing te voorkomen; logging van acties op gevoelige gegevens; gescheiden omgevingen voor ontwikkeling en productie; en een procedure voor het detecteren en afhandelen van beveiligingsincidenten.

Verwerkingsverantwoordelijke geeft Verwerker een algemene toestemming om de volgende sub-verwerkers in te zetten:

• Twilio Inc., verzending van SMS en (later) spraakoproepen. Verwerkt buiten de EU; Standaardcontractbepalingen van toepassing.
• Meta Platforms Ireland Ltd., verzending van WhatsApp-berichten via de WhatsApp Business Cloud API.
• Supabase Inc., database-hosting, EU-regio.
• Vercel Inc., hosting van applicatie en website, wereldwijd edge-netwerk; Standaardcontractbepalingen van toepassing voor niet-EU-knooppunten.
• Stripe Payments Europe, Ltd., verwerking van betalingen tussen Revenaro en de Klant (niet van betalingen van Eindklanten aan de Klant).

Wil Verwerker een sub-verwerker toevoegen of vervangen, dan informeert hij Verwerkingsverantwoordelijke daarover minstens 14 dagen op voorhand. Verwerkingsverantwoordelijke kan binnen die termijn gemotiveerd bezwaar maken op grond van concrete gegevensbeschermingsredenen; partijen overleggen dan te goeder trouw over een oplossing. Verwerker blijft aansprakelijk jegens Verwerkingsverantwoordelijke voor het nakomen van de verplichtingen van elke sub-verwerker, zoals vereist door artikel 28 lid 4 AVG.

Verwerker helpt Verwerkingsverantwoordelijke, met passende technische en organisatorische maatregelen, bij het vervullen van diens verplichting om verzoeken tot uitoefening van de rechten van betrokkenen te beantwoorden (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid, bezwaar). Een opt-out via 'STOP' wordt door Verwerker automatisch en onmiddellijk verwerkt, ongeacht via welk kanaal deze binnenkomt.

Verwerker helpt Verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking en de bij Verwerker beschikbare informatie, bij het naleven van de verplichtingen inzake gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van de toezichthoudende autoriteit.

Wordt Verwerker zich bewust van een inbreuk in verband met persoonsgegevens, dan meldt hij dit aan Verwerkingsverantwoordelijke zonder onnodige vertraging en in elk geval binnen 48 uur, met de op dat moment beschikbare informatie over de aard van de inbreuk, de getroffen categorieën en aantallen betrokkenen, de vermoedelijke gevolgen, en de genomen of voorgestelde maatregelen.

Verwerker stelt Verwerkingsverantwoordelijke alle informatie ter beschikking die redelijkerwijs nodig is om aan te tonen dat aan de verplichtingen van artikel 28 AVG is voldaan, en staat audits en inspecties toe die door Verwerkingsverantwoordelijke of een door hem gemachtigde controleur worden uitgevoerd, mits met een redelijke termijn van vooraankondiging en op een wijze die de bedrijfsvoering en de veiligheid van andere klanten van Verwerker niet onevenredig verstoort.

Na afloop van de verwerkingsdiensten verwijdert Verwerker alle persoonsgegevens, of geeft deze terug aan Verwerkingsverantwoordelijke op diens verzoek, en verwijdert bestaande kopieën, tenzij het Unierecht of het lidstatelijke recht opslag van de persoonsgegevens vereist. Dit gebeurt binnen de termijnen beschreven in sectie 5 van het privacybeleid.

Voor zover sub-verwerkers gegevens buiten de EU/EER verwerken (zie sectie 6), gebeurt dit op basis van de Standaardcontractbepalingen van de Europese Commissie of een gelijkwaardig erkend doorgiftemechanisme, aangevuld waar nodig met passende technische maatregelen.

De aansprakelijkheidsregeling van de hoofdovereenkomst (algemene voorwaarden, sectie 8) is van overeenkomstige toepassing op deze verwerkersovereenkomst.

Deze verwerkersovereenkomst wordt beheerst door Belgisch recht, net als de hoofdovereenkomst.