Verwerkersovereenkomst

Gastenpas is een dienst van Infinity Leads (Eenmanszaak), [adres], KvK [KvK-nummer]. Contact: [e-mailadres].

Deze overeenkomst (art. 28 AVG) geldt tussen de zaak die een account aanmaakt (verwerkingsverantwoordelijke) en Gastenpas (verwerker), en maakt onderdeel uit van de algemene voorwaarden. Door je akkoord te geven bij het aanmaken van een account, ga je ook akkoord met deze overeenkomst.

1. Onderwerp en duur

De verwerker verwerkt persoonsgegevens uitsluitend om de dienst te leveren: het uitgeven en bijhouden van digitale loyaliteitskaarten en het versturen van berichten door de verantwoordelijke. De overeenkomst loopt zolang het account bestaat.

2. Gegevens en betrokkenen

• Betrokkenen: klanten van de verantwoordelijke die een kaart nemen; medewerkers van de verantwoordelijke.
• Categorieën: naam, e-mailadres, optioneel telefoonnummer, stempel- en inwisselhistorie, toestemming voor berichten; voor medewerkers naam en e-mailadres.
• Er worden geen bijzondere persoonsgegevens verwerkt. De verantwoordelijke zorgt dat klanten er niet in worden opgenomen (bijv. in vrije tekstvelden).

3. Instructies

De verwerker verwerkt gegevens alleen op basis van schriftelijke instructies van de verantwoordelijke, waaronder deze overeenkomst en het gebruik van de functies in het platform. Meent de verwerker dat een instructie in strijd is met de AVG, dan meldt hij dat direct.

4. Beveiliging

• Verbinding via HTTPS; wachtwoorden worden alleen gehasht opgeslagen (scrypt); wachtwoordherstel-tokens alleen als hash.
• Toegang tot gegevens is beperkt per zaak; medewerkers hebben alleen scanner-toegang.
• Beperking van inlogpogingen, controle van de herkomst van schrijvende aanvragen en beveiligingsheaders.
• Dagelijkse back-ups van de database met beperkte bewaartermijn.
• Toegang van onze eigen beheerders tot een zaak ("inloggen als") gebeurt alleen voor support of op verzoek en wordt gelogd.

5. Geheimhouding

Personen die onder gezag van de verwerker gegevens verwerken, zijn gebonden aan geheimhouding.

6. Subverwerkers

De verantwoordelijke geeft algemene toestemming voor de subverwerkers uit de privacyverklaring (hosting, betalingen, e-mail, en Apple/Google voor Wallet). Wijzigingen meldt de verwerker minstens 14 dagen vooraf; de verantwoordelijke kan dan bezwaar maken of het account beëindigen. De verwerker legt subverwerkers dezelfde verplichtingen op.

7. Rechten van betrokkenen

De verantwoordelijke kan inzage, export en verwijdering zelf uitvoeren in het platform (klantlijst, CSV-export, verwijderen). Klanten kunnen hun eigen kaart en gegevens ook zelf verwijderen. De verwerker helpt binnen redelijke grenzen bij verzoeken die niet via het platform kunnen.

8. Datalekken

De verwerker meldt een inbreuk op persoonsgegevens zonder onredelijke vertraging, en uiterlijk binnen 48 uur nadat hij die heeft ontdekt, met de informatie die nodig is voor een melding aan de Autoriteit Persoonsgegevens.

9. Einde van de overeenkomst

Bij beëindiging of het verwijderen van het account worden alle klantgegevens van de zaak definitief gewist. Back-ups verdwijnen binnen 14 dagen na verwijdering uit de roulatie.

10. Audit

De verwerker verstrekt op verzoek de informatie die nodig is om naleving aan te tonen en werkt mee aan redelijke audits, met 30 dagen vooraankondiging en op kosten van de verantwoordelijke.