Verwerkersovereenkomst

1. Partijen en rolverdeling

Deze verwerkersovereenkomst geldt tussen de onderneming die zich aanmeldt bij Boeking App (hierna: de Zaak) en Boeking App, een dienst van Pardo Design B.V. (hierna: het Platform).

De Zaak is verwerkingsverantwoordelijke voor de persoonsgegevens van haar eigen klanten (naam, contactgegevens, afspraken). Het Platform verwerkt deze gegevens uitsluitend in opdracht van de Zaak en is daarvoor verwerker. Voor accounts die consumenten rechtstreeks bij het Platform aanmaken is het Platform zelf verwerkingsverantwoordelijke; die verwerking valt buiten deze overeenkomst.

Het Platform verwerkt de gegevens uitsluitend op basis van de gedocumenteerde instructies van de Zaak. Deze overeenkomst, samen met het gebruik van de functies die de Zaak zelf aanzet, vormt die instructie. Dat geldt ook voor doorgifte van gegevens naar een land buiten de Europese Economische Ruimte: die vindt alleen plaats binnen de subverwerkers uit sectie 3.

Meent het Platform dat een instructie van de Zaak in strijd is met de Algemene verordening gegevensbescherming of met een andere gegevensbeschermingsregel, dan meldt het Platform dat onmiddellijk aan de Zaak en mag het de uitvoering van die instructie opschorten.

De Zaak staat ervoor in dat zij een geldige grondslag heeft voor de gegevens die zij via het Platform verwerkt, dat zij haar eigen klanten daarover informeert, en dat haar instructies rechtmatig zijn.

2. Verwerkingen

Het Platform verwerkt voor de Zaak: klantgegevens (naam, e-mailadres, telefoonnummer en, als de Zaak die invoert, adres- en contactgegevens), afspraak- en boekingsgegevens, door de Zaak ingevoerde notities, klantfoto's en voor/na-foto's die de Zaak als behandeldossier vastlegt, en, als de Zaak de AI-assistent gebruikt, de assistent-gesprekken en het assistent-geheugen van de Zaak. Stuurt de Zaak boekingsmails van een ander boekingsplatform door naar haar eigen adres bij het Platform, dan verwerkt het Platform ook de inhoud van die doorgestuurde mail (zie sectie 4). Doel: het tonen van de vermelding, het laten maken en beheren van afspraken, het versturen van afspraak-gerelateerde berichten, het bijhouden van het behandeldossier, het overnemen van elders gemaakte afspraken uit een doorgestuurde mail en de AI-ondersteuning van de Zaak (zie sectie 4).

Categorieen betrokkenen. De klanten van de Zaak, en de medewerkers van de Zaak. Van medewerkers verwerkt het Platform de gegevens die de Zaak invoert om te kunnen plannen en tonen: naam, functie, foto, vaardigheden, roosters en afwezigheid, en voor wie een eigen inlog krijgt ook e-mailadres en toegangsrechten.

Bijzondere persoonsgegevens. Vult de Zaak notities of een behandeldossier in, dan kunnen daar gezondheidsgegevens in staan (bijvoorbeeld een allergie of een huidaandoening); voor/na-foto's kunnen dat ook zijn. De Zaak bepaalt zelf of zij die vastlegt en is er verwerkingsverantwoordelijke voor. Het Platform bewaart ze versleuteld.

Duur. Deze overeenkomst geldt zolang de Zaak een account bij het Platform heeft, en eindigt met dat account. De bepalingen die naar hun aard blijven gelden, zoals geheimhouding en de afwikkeling in sectie 10, blijven daarna van kracht.

3. Subverwerkers

Het Platform gebruikt de volgende subverwerkers. Per subverwerker staat waar de verwerking plaatsvindt. Waar verwerking buiten de Europese Economische Ruimte (EER) plaatsvindt, is de doorgifte gewaarborgd met EU Standard Contractual Clauses (SCC's).

• Hostinger (hosting van applicatie en database, datacenter Frankfurt, Duitsland, EU)
• Cloudflare (DNS, beveiliging, netwerk en media-opslag via Cloudflare R2, waaronder klant- en voor/na-foto's; Cloudflare gebruikt een wereldwijd netwerk, doorgifte gewaarborgd via SCC's en het EU-US Data Privacy Framework)
• Backblaze (off-site back-ups van de database, opslag in de EU, regio Amsterdam; versleutelde gegevensvelden blijven in de back-up versleuteld; back-ups worden na 30 dagen automatisch opgeruimd)
• Resend (transactionele e-mail, verwerking in de Verenigde Staten onder SCC's)
• Anthropic (het AI-model achter de assistent, zie sectie 4; verwerking in de Verenigde Staten onder SCC's; traint standaard niet op via de API verwerkte gegevens en het Platform gebruikt geen opt-in- of feedbackmechanismen die dat zouden toestaan)
• ElevenLabs (voorleesstem van de assistent; ontvangt uitsluitend de voor te lezen antwoordtekst; verwerking mede in de Verenigde Staten onder SCC's en het EU-US Data Privacy Framework)
• OpenAI (reservedienst voor spraak-naar-tekst en voorlezen bij de assistent; ontvangt in dat geval de gesproken vraag als audio-opname of de voor te lezen antwoordtekst; verwerking in de Verenigde Staten onder SCC's)
• Microsoft (voorleesdienst als reserve; ontvangt uitsluitend de voor te lezen tekst) PDOK, onderdeel van de Nederlandse overheid (omzetten van een postcode naar coordinaten om de afstand te bepalen bij diensten aan huis; ontvangt uitsluitend de postcode, verwerking in Nederland)

Bij wijziging van subverwerkers informeert het Platform de Zaak vooraf per e-mail, zodat de Zaak bezwaar kan maken. Betaaldiensten zoals Mollie en Pay.nl treden op als zelfstandig verwerkingsverantwoordelijke en zijn geen subverwerker.

Het Platform legt elke subverwerker bij overeenkomst dezelfde verplichtingen op als die het Platform hier op zich neemt, voor zover die op de betreffende dienst van toepassing zijn. Komt een subverwerker die verplichtingen niet na, dan blijft het Platform tegenover de Zaak volledig aansprakelijk voor het nakomen daarvan.

4. AI-ondersteuning

De Zaak kan een optionele AI-assistent gebruiken voor bijvoorbeeld agenda-vragen, klantopzoekingen en het maken van afspraken. Gebruikt de Zaak de assistent, dan deelt het Platform, uitsluitend binnen de opdracht van de Zaak, gegevens met de AI-subverwerkers uit sectie 3: de vragen van de Zaak en de daarbij opgevraagde klantgegevens (zoals klantnamen, afspraken, agenda-informatie en interne notities) gaan naar Anthropic om een antwoord te genereren. Laat de Zaak een antwoord voorlezen, dan gaat alleen die antwoordtekst naar de voorleesdienst. Gebruikt de Zaak de microfoon, dan wordt spraak omgezet in tekst via de spraakherkenning van de browser of, als reserve, via een spraak-naar-tekst-dienst (zie sectie 3); de audio-opname wordt niet op de servers van het Platform opgeslagen.

In de database opgeslagen e-mailadressen en telefoonnummers van klanten worden niet aan het AI-model verstrekt; die blijven op de servers van het Platform. Gegevens die de Zaak zelf in het gesprek invoert (zoals een e-mailadres bij het aanmaken van een klant) gaan wel naar het AI-model als onderdeel van de opdracht.

Assistent-gesprekken worden versleuteld opgeslagen en 90 dagen na de laatste activiteit automatisch verwijderd. Acties waarmee de assistent iets kan wijzigen (zoals een afspraak maken of een klant mailen) staan standaard uit en werken alleen als de Zaak ze zelf aanzet; de Zaak kan die permissies op elk moment weer uitzetten. Alleen bij daadwerkelijk gebruik van de assistent gaan er gegevens naar de AI-subverwerkers.

Zet de Zaak het doorsturen van boekingsmails van een ander boekingsplatform (zoals Treatwell of Salonized) aan, dan komt een mail die de Zaak zelf doorstuurt naar haar eigen adres bij het Platform terecht, en leest een AI-model (dezelfde AI-subverwerker als hierboven) de tekst van die mail om er een afspraak uit te halen: datum, tijd, dienst, bedrag en klantgegevens. Het model voert daarbij verder geen acties uit. De volledige, ruwe tekst van de doorgestuurde mail wordt versleuteld opgeslagen en na maximaal 30 dagen automatisch verwijderd; de afspraak zelf bevat alleen de daaruit gehaalde gegevens.

5. Beveiliging

Het Platform treft passende technische en organisatorische maatregelen, waaronder: versleutelde verbindingen (TLS), versleuteling van gevoelige persoonsgegevens in de database (AES-256-GCM), toegangsbeheer met logging, dagelijkse back-ups binnen de EU, en opslag van klantfoto's, voor/na-foto's en bonnen in een afgeschermde bewaarplek zonder publiek webadres, waaruit ze alleen via een tijdelijke link van 15 minuten worden getoond.

6. Geheimhouding

Iedereen die bij het Platform toegang heeft tot de gegevens van de Zaak, of dat nu een medewerker of een ingeschakelde hulppersoon is, is tot geheimhouding verplicht, hetzij op grond van een arbeids- of opdrachtovereenkomst, hetzij op grond van een aparte geheimhoudingsverklaring. Die verplichting blijft gelden na afloop van de werkzaamheden. Toegang wordt alleen verleend voor zover die nodig is voor support en beheer van het platform, en wijzigingen worden vastgelegd in een logboek.

7. Datalekken

Het Platform informeert de Zaak zonder onredelijke vertraging, en uiterlijk binnen 48 uur na ontdekking, over een datalek dat de gegevens van de Zaak raakt, met de informatie die de Zaak nodig heeft voor haar eigen meldplicht.

8. Rechten van betrokkenen en hulp bij verplichtingen

Het Platform ondersteunt de Zaak bij verzoeken van klanten over inzage, correctie of verwijdering van hun gegevens. Verzoeken die rechtstreeks bij het Platform binnenkomen worden doorgestuurd naar de Zaak.

Daarnaast verleent het Platform de Zaak, rekening houdend met de aard van de verwerking en de gegevens waarover het Platform beschikt, redelijke bijstand bij het nakomen van haar verplichtingen op het gebied van beveiliging, het melden van datalekken aan de toezichthouder en aan betrokkenen, een gegevensbeschermings- effectbeoordeling en een eventuele voorafgaande raadpleging van de Autoriteit Persoonsgegevens.

9. Controle en audit

Het Platform stelt de Zaak op verzoek alle informatie ter beschikking die zij nodig heeft om aan te tonen dat de verplichtingen uit deze overeenkomst worden nagekomen, en maakt controles mogelijk, waaronder een audit door de Zaak of door een door haar aangewezen onafhankelijke deskundige die aan geheimhouding gebonden is.

Een audit wordt ten minste dertig dagen vooraf aangekondigd, vindt plaats tijdens kantooruren, verstoort de bedrijfsvoering zo min mogelijk en raakt nooit gegevens van andere klanten van het Platform. De Zaak draagt de kosten van haar eigen audit, tenzij daaruit blijkt dat het Platform tekortschiet. Het Platform draagt hier zelf aan bij en wijst de Zaak op een instructie die naar zijn oordeel in strijd is met de wet.

10. Bewaartermijnen en einde

Bij beëindiging van het account kiest de Zaak of het Platform haar gegevens teruggeeft (export) of verwijdert. Maakt de Zaak binnen 90 dagen na beëindiging geen keuze, dan verwijdert het Platform de klantgegevens van de Zaak, tenzij een wettelijke bewaarplicht (zoals de fiscale bewaarplicht van 7 jaar voor factuurgegevens) langer bewaren vereist. Verwijderde gegevens kunnen daarnaast tot maximaal 30 dagen aanwezig blijven in back-ups; die worden automatisch opgeruimd en uitsluitend gebruikt voor herstel na een storing. Het Platform bevestigt de verwijdering desgevraagd schriftelijk.

11. Slotbepalingen

Op deze overeenkomst is Nederlands recht van toepassing. Vragen over deze overeenkomst: info@boeking.app.