Verwerkersovereenkomst

1. Rollen en toepasselijkheid

Voor de gegevens van je eindgebruikers, de mensen die via jouw boekingswidget een afspraak maken, ben jij de verwerkingsverantwoordelijke. Jij bepaalt waarvoor die gegevens worden gebruikt en hoe lang je ze bewaart. Om een afspraak vast te leggen en te bevestigen zijn naam en e-mailadres technisch nodig; welke extra gegevens worden gevraagd (zoals een telefoonnummer) stel jij zelf in. Appointo (Fourwrd V.O.F., KvK 42087615) is verwerker: wij slaan die gegevens namens jou op en verwerken ze alleen zoals jij opdraagt.

Deze verwerkersovereenkomst is integraal onderdeel van de overeenkomst tussen ons. Een aparte ondertekening is niet nodig; door akkoord te gaan met de algemene voorwaarden aanvaard je ook deze overeenkomst. Bij tegenstrijdigheid gaat deze overeenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.

2. Onderwerp, aard, doel en duur

Wij verwerken persoonsgegevens uitsluitend om de afsprakendienst te leveren: boekingen vastleggen en zo nodig eerst als aanvraag aan je voorleggen, bevestigingen, herinneringen, wachtlijstberichten en verzoeken om een review versturen, kortingscodes verrekenen, je klantenbestand en agenda bijhouden, reviews tonen op je boekpagina als je dat aan hebt staan, en aanbetalingen koppelen aan een afspraak.

Zet je de kom-terug-mail aan, dan sturen wij namens jou een uitnodiging aan klanten die een tijd niet zijn geweest. Onderaan die mail staat een afmeldlink; wie zich afmeldt, krijgt er geen meer. Jij blijft verantwoordelijk voor de vraag of je die klanten mag benaderen (artikel 11.7 Telecommunicatiewet) en voor het respecteren van een afmelding die rechtstreeks bij jou binnenkomt.

Wat wij daarvoor met de gegevens doen: opslaan, tonen in je dashboard en op je boekpagina, namens jou e-mails sturen aan eindgebruikers, back-ups maken en gegevens verwijderen wanneer jij dat doet of wanneer de overeenkomst eindigt. Wij gebruiken de gegevens niet voor eigen doeleinden, niet voor marketing en verkopen ze niet.

De overeenkomst loopt zolang je abonnement loopt. De verplichtingen blijven gelden zolang wij daarna nog gegevens voor je bewaren, tot de verwijdering uit artikel 12 is afgerond.

3. Soorten gegevens en betrokkenen

• Betrokkenen: eindgebruikers van jouw salon, en de teamleden en andere gebruikers die je toegang geeft tot je account.
• Gegevens van eindgebruikers: naam, e-mailadres, telefoonnummer (verplicht of optioneel, naar jouw instelling), de gekozen behandeling, datum en tijd, de medewerker, de status van de afspraak, de opmerking die de eindgebruiker zelf invult, en de persoonlijke link waarmee de eindgebruiker de afspraak bekijkt of wijzigt.
• Bij een agenda-abonnement: de afspraakgegevens gaan via een geheime link naar de agenda-app (Google, Apple, Outlook) die jij koppelt. In dat bestand staan naam, behandeling en tijd, en ook het telefoonnummer, het e-mailadres en de opmerking van de eindgebruiker. Wat die agenda-aanbieder daarmee doet, valt onder jouw afspraken met die partij. Jij beheert de link en kunt hem in het dashboard intrekken.
• Bij een kortingscode: welke code is gebruikt en welk bedrag eraf ging.
• Bij goedkeuren van boekingen: de status van de aanvraag en de reden die jij bij een afwijzing invult; die reden gaat mee in de mail aan de eindgebruiker.
• Bij de kom-terug-mail: of een eindgebruiker zich heeft afgemeld voor die uitnodigingen, en wanneer er voor het laatst een uitnodiging is gestuurd.
• Koppel je de Google-agenda van een medewerker, dan lezen wij daaruit alleen de begin- en eindtijden van bezette momenten (zestig dagen vooruit) en bewaren wij die als blokkade; titels, omschrijvingen en deelnemers slaan wij niet op en wij schrijven niets in die agenda. Ontkoppelen verwijdert de toegang en de blokkades.
• Bij een aanbetaling: het bedrag, de betaalstatus en het betalingskenmerk. De betaling zelf loopt via het Mollie-account van jouw salon.
• Bij een review: de naam, het e-mailadres, de beoordeling, de toelichting en of de review op je boekpagina wordt getoond. Op de boekpagina verschijnt alleen de voornaam met de eerste letter van de achternaam.
• Bij de wachtlijst: naam, e-mailadres, telefoonnummer (naar jouw instelling), de gewenste dag en het dagdeel, de gekozen behandeling en medewerker, en wanneer de eindgebruiker is gemaild dat er plek is. Deze gegevens worden na de gewenste dag automatisch verwijderd.
• Bij e-mailverificatie van nieuwe klanten (als je dat aanzet): het e-mailadres, de bevestigingscode (alleen als hash), het aantal pogingen en het IP-adres, hooguit enkele uren bewaard.
• Gegevens van teamleden en gebruikers: naam, e-mailadres, rol, werktijden en afwezigheid, en inloggegevens (het wachtwoord alleen als versleutelde hash).
• Notities en tags die jij zelf bij een klant vastlegt, en behandelnotities en foto's die jij of je team bij een afspraak vastlegt.
• Hoe vaak een eindgebruiker niet is verschenen (afgeleid van de status van de afspraken), zoals jij die in de agenda bijhoudt.
• Technische gegevens, zoals het IP-adres, voor zover nodig om de dienst te beveiligen en misbruik tegen te gaan.
• Bijzondere categorieën persoonsgegevens horen hier niet thuis. Leg geen medische of andere gevoelige gegevens vast in de vrije velden; de dienst is daar niet op ingericht en wij hebben er geen passende maatregelen voor getroffen.

4. Instructies

Jouw instructies zijn deze overeenkomst, de algemene voorwaarden en wat je in het dashboard instelt en doet, zoals een boeking aanmaken, herinneringen aanzetten of een klant verwijderen. Andere instructies geef je per e-mail.

Wij verwerken de gegevens alleen op basis van die instructies, ook als het gaat om doorgifte buiten de Europese Unie, tenzij een wettelijke verplichting ons tot iets anders dwingt. In dat geval melden wij dat vooraf, tenzij de wet dat verbiedt.

Zijn wij van mening dat een instructie in strijd is met de AVG of andere privacyregels, dan laten wij je dat meteen weten.

5. Geheimhouding

Iedereen bij ons die toegang heeft tot de gegevens is tot geheimhouding verplicht. Toegang wordt alleen verleend voor zover nodig voor het werk, en wordt ingetrokken zodra die noodzaak vervalt.

6. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om de gegevens te beschermen tegen verlies en onrechtmatige verwerking, afgestemd op de risico's. Daaronder vallen in elk geval:

• Versleutelde verbindingen (TLS) voor de website, het dashboard en de API.
• Wachtwoorden worden alleen als argon2id-hash opgeslagen, sessies alleen als hash.
• Tweestapsverificatie is beschikbaar voor alle accounts. De geheimen daarvoor en de sleutels van betaalkoppelingen worden versleuteld opgeslagen (AES-256-GCM).
• Toegang op basis van rollen, met de gegevens per organisatie gescheiden.
• Een limiet op het aantal pogingen bij inloggen, registreren, boeken en andere formulieren.
• Hosting op servers binnen de Europese Unie, achter een firewall: van buitenaf is alleen de website bereikbaar, niet de database of andere interne diensten.
• Botbescherming op het registratie-, contact-, boekings- en wachtlijstformulier.
• Persoonlijke afspraaklinks en agenda-abonnementen werken met lange willekeurige codes; agenda-links kun jij in het dashboard intrekken.
• Foto's bij een behandelnotitie worden alleen geserveerd aan iemand die is ingelogd en lid is van jouw organisatie; logo's en profielfoto's blijven openbaar, want die staan op je boekpagina.
• Back-ups van de database en de server, met een beperkte bewaartermijn.
• Het bijhouden van server en software met beveiligingsupdates.

7. Subverwerkers

Je geeft ons algemene toestemming om subverwerkers in te schakelen. Met elke subverwerker hebben wij een overeenkomst die hem ten minste dezelfde verplichtingen oplegt als deze overeenkomst ons oplegt. Komt een subverwerker die verplichtingen niet na, dan blijven wij tegenover jou verantwoordelijk voor de nakoming, binnen de grenzen van het artikel over aansprakelijkheid. Dit is de actuele lijst:

8. Wijziging van subverwerkers

Voegen wij een subverwerker toe of vervangen wij er een, dan informeren wij je vooraf. Heb je daartegen een gemotiveerd bezwaar, laat het dan binnen veertien dagen weten. Komen wij er samen niet uit, dan mag je je abonnement opzeggen tegen de datum waarop de wijziging ingaat.

9. Doorgifte buiten de EU

Wij verwerken en bewaren de gegevens binnen de Europese Unie. Van structurele doorgifte naar landen daarbuiten is geen sprake.

Twee subverwerkers hebben een moederbedrijf in de Verenigde Staten. Cloudflare krijgt alleen het IP-adres en technische browserkenmerken te zien, om bots van formulieren te weren, en gebruikt daarvoor EU-datacenters. Google komt alleen in beeld als jij zelf de Google-agenda van een medewerker koppelt; wij lezen daar bezette tijden uit en sturen er geen gegevens van eindgebruikers naartoe. Beide bedrijven zijn gecertificeerd onder het EU-VS Data Privacy Framework; voor zover er gegevens naar de Verenigde Staten gaan, gebeurt dat onder dat kader.

Zou andere doorgifte in de toekomst nodig zijn, dan doen wij dat alleen met zo'n mechanisme en informeren wij je vooraf.

10. Datalekken

Ontdekken wij een inbreuk in verband met persoonsgegevens, dan informeren wij je zonder onredelijke vertraging en in elk geval binnen 48 uur nadat wij de inbreuk hebben vastgesteld. Wij geven je daarbij de informatie die je nodig hebt om je eigen meldplicht na te komen: wat er is gebeurd, welke categorieën gegevens en betrokkenen het betreft, de waarschijnlijke gevolgen en de maatregelen die wij hebben genomen of voorstellen. Wat nog niet bekend is, vullen wij aan zodra wij het weten.

Melden bij de toezichthouder (in Nederland de Autoriteit Persoonsgegevens, in België de Gegevensbeschermingsautoriteit) en het informeren van betrokkenen doe jij, als verwerkingsverantwoordelijke. Wij ondersteunen je daarbij.

11. Rechten van betrokkenen

Krijg je een verzoek van een eindgebruiker om inzage, correctie, verwijdering of overdracht, dan handel je dat zelf af in het dashboard: bij Klanten zie je alle gegevens en verwijder je een klant (de afspraken blijven anoniem staan), onder Account exporteer je klanten en afspraken als csv. Lukt iets niet, dan helpen wij je binnen een redelijke termijn, zodat je binnen de wettelijke termijn kunt antwoorden.

Komt zo'n verzoek rechtstreeks bij ons binnen, dan handelen wij het niet zelf af maar verwijzen wij de betrokkene naar jou, en laten wij jou weten dat het verzoek is binnengekomen.

12. Teruggave en verwijdering van gegevens

Na het einde van de overeenkomst kun je dertig dagen lang een volledige export van je gegevens opvragen of downloaden. Die termijn geeft je de tijd om over te stappen of je administratie veilig te stellen.

Een week voordat die termijn afloopt krijg je daarover een e-mail. Daarna verwijdert onze opruimtaak de organisatie met alle klanten, afspraken, notities en foto's uit de actieve systemen; dat gebeurt automatisch en is niet terug te draaien. Staan die gegevens ook in een back-up, dan verdwijnen ze daar zodra die back-up vervalt; tot dat moment worden ze niet meer gebruikt.

Gegevens die wij wettelijk moeten bewaren, zoals facturen voor de fiscale bewaarplicht, bewaren wij wel. Die vallen buiten deze verwijdering.

13. Hulp bij je eigen verplichtingen

Rekening houdend met de aard van de verwerking en de informatie waarover wij beschikken, helpen wij je bij het nakomen van je verplichtingen rond beveiliging, datalekken, een gegevensbeschermingseffectbeoordeling (DPIA) en een eventuele voorafgaande raadpleging van de Autoriteit Persoonsgegevens.

Gaat die hulp verder dan wat redelijkerwijs bij de dienst hoort, dan spreken wij vooraf met je af of en welke kosten wij daarvoor rekenen.

14. Audits en informatieplicht

Op verzoek geven wij je de informatie die je nodig hebt om aan te tonen dat wij onze verplichtingen nakomen. Wil je een audit laten uitvoeren, dan werken wij daaraan mee, mits deze vooraf wordt aangekondigd, ten hoogste eenmaal per jaar plaatsvindt, wordt uitgevoerd door een onafhankelijke en tot geheimhouding gehouden auditor, en de bedrijfsvoering niet onnodig verstoort. De kosten zijn voor jouw rekening, tenzij uit de audit een wezenlijke tekortkoming van ons blijkt.

15. Jouw verantwoordelijkheden

• Je hebt een geldige grondslag voor het verwerken van de gegevens van je eindgebruikers en teamleden.
• Je informeert je eindgebruikers over de verwerking, bijvoorbeeld in je eigen privacyverklaring.
• Je instructies aan ons zijn in overeenstemming met de AVG.
• Je legt geen bijzondere categorieën persoonsgegevens vast in de vrije velden, ook niet in behandelnotities of op een foto.
• Zet je de kom-terug-mail aan, dan zorg jij dat je die klanten mag benaderen en respecteer je een afmelding, ook als iemand die per e-mail of aan de balie doorgeeft.
• Boeken minderjarigen bij jou (in Nederland jonger dan 16 jaar, in België jonger dan 13 jaar), dan zorg jij voor de toestemming van een ouder of voogd. De dienst controleert de leeftijd van eindgebruikers niet.
• Je deelt agenda-links en persoonlijke afspraaklinks niet met anderen dan je eigen team.

16. Aansprakelijkheid

De aansprakelijkheidsbepalingen uit de algemene voorwaarden zijn ook op deze verwerkersovereenkomst van toepassing, voor zover dwingend recht zich daar niet tegen verzet.

Leg je gegevens vast waarvoor je geen geldige grondslag hebt, of gebruik je de vrije velden voor bijzondere categorieën persoonsgegevens, dan vrijwaar je ons voor de gevolgen daarvan.

17. Wijzigingen en akkoord

Wij kunnen deze overeenkomst aanpassen wanneer wet- of regelgeving daarom vraagt of wanneer de dienst verandert. Wezenlijke wijzigingen kondigen wij ten minste dertig dagen vooraf aan.

Op deze overeenkomst is Nederlands recht van toepassing, net als op de algemene voorwaarden.

Vragen over deze overeenkomst? Mail contact@appointo.nl.