Verwerkersovereenkomst

Deze Verwerkersovereenkomst wordt gesloten tussen RoboMiri (handelend onder de naam Mijn Kapper), ingeschreven bij de Kamer van Koophandel onder nummer 42037140, gevestigd aan Platostraat 108, 3076 BP Rotterdam, Nederland (hierna: Mijn Kapper of de Verwerker), en de Klant, zoals die bij de aanmelding voor het Platform is geïdentificeerd (hierna: de Klant of de Verwerkingsverantwoordelijke). Mijn Kapper en de Klant zijn samen de Partijen.

Deze Verwerkersovereenkomst geeft uitvoering aan artikel 28 van de Algemene verordening gegevensbescherming (AVG). De Klant gebruikt het Platform voor onder meer online boeken, kassa, klantbeheer, marketing en voorraadbeheer voor zijn eigen Onderneming. Daarbij verwerkt Mijn Kapper in opdracht van de Klant persoonsgegevens van Cliënten.

Begrippen die met een hoofdletter worden geschreven, hebben de betekenis die zij hebben in de algemene voorwaarden van Mijn Kapper. Daarnaast betekent:

1. AVG: Verordening (EU) 2016/679. Begrippen als persoonsgegevens, verwerken, verwerkingsverantwoordelijke en verwerker hebben de betekenis die de AVG daaraan geeft;
2. Persoonsgegevens: alle persoonsgegevens van Cliënten die Mijn Kapper in het kader van de Dienst voor de Klant verwerkt;
3. Bijzondere persoonsgegevens: persoonsgegevens als bedoeld in artikel 9 AVG, in dit Platform met name gezondheids- en veiligheidsnotities over Cliënten, zoals allergieën, een gevoelige huid of hoofdhuid, zwangerschap en de uitkomst van een allergietest;
4. Subverwerker: een derde die Mijn Kapper inschakelt om een deel van de verwerking voor de Klant uit te voeren;
5. Datalek: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van, of toegang tot, doorgezonden, opgeslagen of anderszins verwerkte Persoonsgegevens.

Voor de Persoonsgegevens van Cliënten (zoals afspraken, contactgegevens, gezondheids- en veiligheidsnotities, kleurformules, kassa- en betaalgegevens en foto’s) is de Klant verwerkingsverantwoordelijke en is Mijn Kapper verwerker. De Klant bepaalt het doel en de middelen van de verwerking.

Elke Onderneming is voor haar eigen Cliënten zelfstandig verwerkingsverantwoordelijke. Een stoelhuurder binnen een salon is dus een eigen Klant en een eigen verwerkingsverantwoordelijke. De salon-eigenaar heeft geen toegang tot de Cliëntgegevens van een stoelhuurder en is daarvoor geen (mede)verantwoordelijke. Deze Verwerkersovereenkomst geldt afzonderlijk tussen Mijn Kapper en elke Klant.

Voor de gegevens die Mijn Kapper over de Klant zelf verwerkt (zoals bedrijfsgegevens, contactpersonen, de Commissie- en facturatieadministratie en aanvragen via de website) is Mijn Kapper zelf verwerkingsverantwoordelijke. Daarop is deze Verwerkersovereenkomst niet van toepassing; zie de privacyverklaring.

Mollie B.V. verwerkt betaalgegevens en de identiteits- en bedrijfscontrole van de Klant als zelfstandig verwerkingsverantwoordelijke en is geen Subverwerker van Mijn Kapper (zie ook artikel 7 van de algemene voorwaarden).

Deze Verwerkersovereenkomst maakt deel uit van de Overeenkomst (artikelen 2.5 en 11.1 van de algemene voorwaarden). Bij strijdigheid gaat deze Verwerkersovereenkomst voor, voor zover het de verwerking van Persoonsgegevens betreft.

Onderwerp en aard: het geautomatiseerd opslaan, raadplegen, wijzigen, verzenden en back-uppen van Persoonsgegevens in het Platform, een softwaredienst die door meerdere Klanten wordt gebruikt.

Doel: het leveren van de Dienst aan de Klant, zodat de Klant zijn eigen dienstverlening aan Cliënten kan uitvoeren: online boeken en agendabeheer, kassa en facturatie, klantbeheer, het vastleggen van gezondheids- en veiligheidsgegevens voor kleur- en chemische behandelingen, het versturen van bevestigingen en herinneringen per e-mail en sms en, met toestemming van de Cliënt, marketingberichten, cadeaubonnen, en de bijbehorende rapportages.

Categorieën betrokkenen: Cliënten van de Klant en, voor zover nodig voor de Dienst, medewerkers en stoelhuurders van de Klant met een account.

Categorieën Persoonsgegevens: naam-, adres- en contactgegevens, geboortedatum, boekings- en bezoekgeschiedenis, kassa-, betaal- en factuurgegevens, communicatie- en toestemmingsgegevens, foto’s, kleurformules en, als bijzondere categorie, gezondheids- en veiligheidsgegevens. Zie Bijlage 1.

Duur: de looptijd van de Overeenkomst, met inachtneming van artikel 12 bij beëindiging.

Mijn Kapper verwerkt Persoonsgegevens alleen op basis van schriftelijke instructies van de Klant. Instructies zijn de Overeenkomst, deze Verwerkersovereenkomst en de instellingen en handelingen van de Klant in het Dashboard. Is Mijn Kapper op grond van een wettelijke verplichting tot andere verwerking verplicht, dan meldt zij dat vooraf aan de Klant, tenzij de wet dat verbiedt.

Mijn Kapper verwerkt Persoonsgegevens niet voor eigen doeleinden, verkoopt ze niet en gebruikt ze niet voor marketing van derden.

Mijn Kapper zorgt dat personen die Persoonsgegevens mogen verwerken, gebonden zijn aan geheimhouding.

Mijn Kapper treft passende technische en organisatorische maatregelen als bedoeld in artikel 7.

Mijn Kapper schakelt Subverwerkers alleen in volgens artikel 6.

Mijn Kapper helpt de Klant, rekening houdend met de aard van de verwerking en de informatie waarover zij beschikt, bij de verplichtingen uit de artikelen 32 tot en met 36 AVG (beveiliging, melding van Datalekken, gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging), volgens artikel 8 en 9.

Mijn Kapper stelt de Klant de informatie ter beschikking die nodig is om aan te tonen dat zij deze Verwerkersovereenkomst naleeft (artikel 10).

Mijn Kapper waarschuwt de Klant onverwijld als een instructie naar haar oordeel in strijd is met de AVG of andere regelgeving over gegevensbescherming.

Medewerkers van Mijn Kapper krijgen alleen toegang tot Persoonsgegevens als dat nodig is voor hun taak, zoals support en het oplossen van storingen.

Medewerkers van Mijn Kapper raadplegen Persoonsgegevens alleen voor support, op instructie van de Klant, of om incidenten te verhelpen. Gezondheids- en veiligheidsgegevens raadplegen zij alleen als dat voor een van die doelen strikt noodzakelijk is.

Elke medewerker van Mijn Kapper die toegang tot Persoonsgegevens kan hebben, is gebonden aan geheimhouding, ook na afloop van zijn werkzaamheden.

De Klant geeft Mijn Kapper algemene toestemming om Subverwerkers in te schakelen. De Subverwerkers die op de ingangsdatum van deze Verwerkersovereenkomst worden gebruikt, staan in Bijlage 3.

Mijn Kapper legt elke Subverwerker verplichtingen op die ten minste gelijkwaardig zijn aan die in deze Verwerkersovereenkomst, in het bijzonder voor beveiliging en doorgifte, en blijft jegens de Klant verantwoordelijk voor de nakoming door de Subverwerker.

Wil Mijn Kapper een Subverwerker toevoegen of vervangen, dan informeert zij de Klant daarover ten minste 30 dagen voor de ingangsdatum, per e-mail aan het accountadres van de Klant en via het Dashboard. De mededeling noemt de naam en locatie van de Subverwerker, het doel, de categorieën Persoonsgegevens en de ingangsdatum. Bijlage 3 noemt voor sommige diensten nog alleen een categorie aanbieder. Zodra Mijn Kapper een aanbieder heeft gekozen, geldt voor die aanbieder dezelfde mededeling van ten minste 30 dagen voordat de aanbieder Persoonsgegevens verwerkt.

De Klant kan binnen die termijn gemotiveerd bezwaar maken via hallo@robomiri.com. Partijen overleggen dan te goeder trouw over een oplossing. Komen zij er niet uit en is het bezwaar redelijk, dan kan de Klant de Overeenkomst opzeggen volgens artikel 18.2 van de algemene voorwaarden, zonder kosten. Maakt de Klant geen bezwaar, dan geldt de wijziging vanaf de ingangsdatum.

Om een dringende beveiligingsreden, bijvoorbeeld een datalek bij een Subverwerker, mag Mijn Kapper een Subverwerker met kortere termijn vervangen. Zij informeert de Klant dan zo snel mogelijk daarna en legt uit waarom.

WhatsApp wordt op dit moment niet gebruikt. Wordt WhatsApp later aangeboden, dan gebeurt dat pas na een mededeling volgens dit artikel.

Mijn Kapper treft passende technische en organisatorische maatregelen om Persoonsgegevens te beveiligen tegen verlies en tegen onrechtmatige verwerking. Zij houdt daarbij rekening met de stand van de techniek, de uitvoeringskosten, de aard van de gegevens en de risico’s voor Cliënten.

De maatregelen die op de ingangsdatum gelden, staan in Bijlage 2.

Mijn Kapper evalueert de maatregelen regelmatig en past ze aan waar dat nodig is. Zij verlaagt het niveau van beveiliging niet zodanig dat het niet meer passend is.

De Klant is zelf verantwoordelijk voor de beveiliging aan zijn kant, zoals het geheimhouden van inloggegevens, het beheren van de rechten van zijn medewerkers en de beveiliging van zijn eigen apparaten.

Ontdekt Mijn Kapper een Datalek dat Persoonsgegevens van de Klant raakt of kan raken, dan informeert zij de Klant daarover onverwijld, met als doel binnen 24 uur nadat zij het Datalek heeft bevestigd. Zij doet dat per e-mail aan het accountadres van de Klant.

De mededeling bevat, voor zover dan bekend: de aard van het Datalek, de categorieën en het geschatte aantal betrokken Cliënten en Persoonsgegevens, de waarschijnlijke gevolgen, de genomen en voorgenomen maatregelen en een contactpersoon. Ontbrekende informatie vult Mijn Kapper zo snel mogelijk aan.

De Klant beoordeelt zelf of hij het Datalek moet melden aan de Autoriteit Persoonsgegevens (binnen 72 uur nadat hij ervan op de hoogte is, artikel 33 AVG) en aan betrokken Cliënten (artikel 34 AVG). Mijn Kapper werkt hieraan redelijkerwijs mee. Mijn Kapper meldt zelf niets aan de Autoriteit Persoonsgegevens of aan Cliënten namens de Klant, tenzij de Klant haar daartoe instrueert of een wet haar daartoe verplicht.

Een mededeling van Mijn Kapper over een Datalek is geen erkenning van aansprakelijkheid.

De Klant beantwoordt verzoeken van Cliënten over hun rechten onder de AVG (inzage, correctie, verwijdering, beperking, overdraagbaarheid en bezwaar). Het Platform heeft functies om Cliëntgegevens te exporteren, te corrigeren en een Cliënt te anonimiseren of te verwijderen.

Ontvangt Mijn Kapper rechtstreeks een verzoek van een Cliënt over Persoonsgegevens van de Klant, dan verwijst zij de Cliënt naar de Klant en stuurt zij het verzoek door, tenzij de wet iets anders vereist.

Kan de Klant een verzoek niet met de functies van het Platform afhandelen, dan helpt Mijn Kapper daar redelijkerwijs bij.

Mijn Kapper helpt de Klant, voor zover redelijkerwijs mogelijk, bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij voorafgaande raadpleging van de toezichthouder, in het bijzonder voor de verwerking van gezondheids- en veiligheidsgegevens. Vraagt dat onevenredig veel inspanning, dan mag Mijn Kapper daarvoor redelijke kosten in rekening brengen, na overleg vooraf.

De Klant mag controleren of Mijn Kapper deze Verwerkersovereenkomst naleeft.

Mijn Kapper voldoet daaraan in de eerste plaats door de Klant, op verzoek, de relevante informatie te geven, zoals een beschrijving van de beveiligingsmaatregelen, een auditrapport van een onafhankelijke deskundige of een ingevulde vragenlijst.

Is dat naar redelijk oordeel onvoldoende, dan staat Mijn Kapper een audit toe door de Klant of door een onafhankelijke derde die de Klant aanwijst en die tot geheimhouding is gebonden. Daarvoor gelden deze voorwaarden: de Klant kondigt de audit ten minste 4 weken van tevoren Schriftelijk aan, een audit vindt niet vaker dan eenmaal per 12 maanden plaats (behalve na een Datalek), en de audit belast de bedrijfsvoering van Mijn Kapper en de vertrouwelijkheid van gegevens van andere Klanten niet onevenredig. De redelijke kosten van Mijn Kapper voor de audit komen voor rekening van de Klant.

Mijn Kapper en haar Subverwerkers verwerken Persoonsgegevens in beginsel binnen de Europese Economische Ruimte (EER). De hosting staat in Duitsland.

Verwerking buiten de EER gebeurt alleen met een passende waarborg uit de AVG, zoals een adequaatheidsbesluit van de Europese Commissie of standaardcontractbepalingen. Mijn Kapper meldt dat vooraf aan de Klant volgens artikel 6.

De Klant kan de Persoonsgegevens tijdens de Overeenkomst en na opzegging kosteloos exporteren, in ieder geval als CSV of JSON en met pdf’s van bonnen en facturen. Na beëindiging van de Overeenkomst blijft de export gedurende 30 dagen beschikbaar (artikel 15 van de algemene voorwaarden).

Na die termijn verwijdert of anonimiseert Mijn Kapper de Persoonsgegevens, tenzij een wet haar verplicht ze te bewaren.

Kassabonnen, facturen, creditnota’s en de bijbehorende auditgegevens moeten op grond van artikel 52 van de Algemene wet inzake rijksbelastingen 7 jaar worden bewaard. Die gegevens worden niet verwijderd. Waar mogelijk worden identificerende gegevens van Cliënten daarna gepseudonimiseerd of verwijderd.

De Klant bepaalt zelf hoe lang hij gegevens van Cliënten bewaart. Hij kan een Cliënt in het Dashboard anonimiseren of verwijderen. Gezondheids- en veiligheidsnotities worden verwijderd bij anonimisering van het Cliëntprofiel of bij intrekking van toestemming. Automatische anonimisering van Cliëntprofielen na een instelbare inactiviteitstermijn (standaard 3 jaar) is nog niet beschikbaar en volgt. Tot dat moment blijven Cliëntprofielen bewaard totdat de Klant ze anonimiseert of verwijdert.

Gegevens staan ook in back-ups. Die worden beperkt bewaard en periodiek vervangen. Verwijderde gegevens verdwijnen daardoor na verloop van tijd uit de back-ups. Mijn Kapper wist niet los een individueel record uit een bestaande back-up.

De Klant zorgt dat er voor de verwerking van Persoonsgegevens een rechtmatige grondslag is, en dat hij zijn Cliënten informeert zoals de AVG vereist, onder meer over het gebruik van het Platform.

De Klant is zelf verantwoordelijk voor de toestemming van Cliënten voor marketingberichten en voor het vastleggen van gezondheids- en veiligheidsgegevens. Deze gegevens legt de Klant alleen vast als dat nodig is en met de uitdrukkelijke toestemming van de Cliënt.

De Klant geeft alleen instructies die in overeenstemming zijn met de AVG, en houdt de gegevens in het Platform juist en actueel.

Voor de aansprakelijkheid van Mijn Kapper onder deze Verwerkersovereenkomst geldt artikel 16 van de algemene voorwaarden, inclusief de beperkingen en uitzonderingen daarin. Deze Verwerkersovereenkomst bevat geen eigen aansprakelijkheidsregeling.

Deze Verwerkersovereenkomst beperkt de rechten niet die een betrokkene rechtstreeks aan de AVG ontleent, zoals het recht op schadevergoeding onder artikel 82 AVG.

Deze Verwerkersovereenkomst gaat in op het moment dat de Klant haar aanvaardt bij aanmelding of, als Mijn Kapper het account voor de Klant inricht, bij de eerste keer inloggen (artikel 2.3 van de algemene voorwaarden). Zij duurt zolang de Overeenkomst duurt en eindigt daarmee, onverminderd de bepalingen die naar hun aard blijven gelden, zoals artikel 12.

Mijn Kapper kan deze Verwerkersovereenkomst wijzigen volgens artikel 18 van de algemene voorwaarden. Voor een wijziging van Subverwerkers geldt artikel 6.

Deze Verwerkersovereenkomst heeft een versienummer en een ingangsdatum, zoals bovenaan deze pagina vermeld. Mijn Kapper legt vast welke versie de Klant heeft aanvaard en wanneer. De actuele versie staat op deze pagina; eerdere versies worden op verzoek verstrekt.

Op deze Verwerkersovereenkomst is Nederlands recht van toepassing.

Geschillen worden voorgelegd aan de bevoegde rechter, zoals bepaald in artikel 20 van de algemene voorwaarden.

Onderwerp en aard: opslag, raadpleging, wijziging, verzending en back-up van Persoonsgegevens in het Platform.

Doel: het leveren van de Dienst aan de Klant (artikel 3.2).

Categorieën betrokkenen: Cliënten van de Klant; medewerkers en stoelhuurders van de Klant met een account.

Categorieën Persoonsgegevens:

1. naam-, adres- en contactgegevens (e-mailadres, telefoonnummer);
2. geboortedatum, voorkeuren en aantekeningen die de Klant vastlegt;
3. boekings-, bezoek- en kassageschiedenis, betaal- en factuurgegevens;
4. communicatiegegevens (verzonden berichten en afleverstatus) en toestemmingsgegevens;
5. foto’s (voor zover de Klant die uploadt) en kleurformules;
6. bijzondere persoonsgegevens: gezondheids- en veiligheidsnotities (allergieën, huidconditie, zwangerschap) en de uitkomst van allergietests.

Kanalen voor berichten aan Cliënten: e-mail en sms.

Bewaartermijnen: de Klant bepaalt die zelf, met inachtneming van artikel 12.

Mijn Kapper treft de volgende maatregelen:

1. Scheiding van gegevens: elke Klant en elke Onderneming heeft een eigen afgescheiden gegevensruimte. Dit wordt in de applicatie (tenant- en ondernemingsidentificatie) en in de database (PostgreSQL Row-Level Security) afgedwongen, zodat een Klant alleen zijn eigen gegevens ziet. Een salon-eigenaar ziet geen Cliëntgegevens van een stoelhuurder;
2. Versleuteling tijdens verzending: verbindingen met het Platform lopen via TLS;
3. Versleutelde opslag van koppelingssleutels: de toegangssleutels van de Mollie-koppeling worden versleuteld opgeslagen;
4. Toegangscontrole: toegang op basis van rollen en rechten (permissiematrix per rol) en een beperkte sessieduur;
5. Toegang door medewerkers van Mijn Kapper: alleen voor zover nodig, en alleen voor de doelen in artikel 5;
6. Logging: een logboek van belangrijke handelingen (audit-log). In technische logbestanden worden geen persoonsgegevens vastgelegd;
7. Back-ups: van de database worden back-ups gemaakt. Zij worden beperkt bewaard en periodiek vervangen (zie artikel 12.5);
8. Datalekken: een vaste procedure voor het signaleren, beoordelen en melden van Datalekken (artikel 8);
9. Leveranciers: Subverwerkers zijn gebonden aan verplichtingen die ten minste gelijkwaardig zijn aan deze Verwerkersovereenkomst (artikel 6).

Op de ingangsdatum gebruikt Mijn Kapper de volgende Subverwerkers of categorieën Subverwerkers. Voor een categorie geldt artikel 6.3.

1. Hetzner Online GmbH: hosting van het Platform, de database en de opslag van bestanden (zoals foto’s en pdf’s van facturen). Alle gegevens die in het Platform staan, alleen als infrastructuur. Locatie: Duitsland (EU).
2. Inlogdienst (Zitadel): inloggen van medewerkers, eigenaren en Cliënten. E-mailadres, telefoonnummer (voor eenmalige codes), inlogbeveiliging en sessiegegevens. Locatie: EU.
3. Aanbieder van e-mailverzending: bevestigingen, herinneringen en andere berichten versturen. Naam, e-mailadres, berichtinhoud en afleverstatus. Locatie: EU.
4. Aanbieder van sms-berichten: herinneringen en bevestigingen versturen. Naam, telefoonnummer, berichtinhoud en afleverstatus. Locatie: Nederland of een andere EU-lidstaat.
5. Aanbieder van foutregistratie: technische fouten opsporen en herstellen. Technische gegevens bij een fout; persoonsgegevens worden zoveel mogelijk buiten deze meldingen gehouden. Locatie: EU.
6. Aanbieder van supportchat: klantondersteuning voor de Klant. Naam, e-mailadres en gespreksgeschiedenis van de contactpersoon van de Klant, geen gegevens van Cliënten. Locatie: EU.
7. Aanbieder van productanalyse: geaggregeerde gebruiksstatistieken van het Platform. Gebruiksgegevens van medewerkers, geen gegevens van Cliënten. Locatie: EU of door Mijn Kapper zelf gehost.

Mollie B.V. is geen Subverwerker: zij verwerkt betaalgegevens als zelfstandig verwerkingsverantwoordelijke (artikel 2.4). Boekhoudkoppelingen en koppelingen met Google of Meta zet de Klant zelf aan; daarvoor is de Klant zelf verantwoordelijk. De ontvangers staan ook in de privacyverklaring. Vragen over Subverwerkers: hallo@robomiri.com.