Verwerkersovereenkomst

Artikel 1 — Definities

In deze Overeenkomst wordt aangesloten bij de definities uit de AVG. In het bijzonder wordt verstaan onder:

• Verwerkingsverantwoordelijke: de klant, die alleen of samen met anderen het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt — in dit geval het schoenreinigings- of sneakercare-bedrijf dat het KicksDesk-platform gebruikt om zijn eigen eindklanten te bedienen.
• Verwerker: KicksDesk, die ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt zonder aan zijn rechtstreeks gezag te zijn onderworpen.
• Betrokkene: de natuurlijke persoon op wie de persoonsgegevens betrekking hebben — in dit geval de eindklanten van de verwerkingsverantwoordelijke die gebruikmaken van diens schoenreinigings- of sneakercare-diensten.
• Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, zoals gedefinieerd in artikel 4 lid 1 AVG.
• Verwerking: een bewerking of geheel van bewerkingen met betrekking tot persoonsgegevens, zoals gedefinieerd in artikel 4 lid 2 AVG, waaronder het verzamelen, vastleggen, opslaan, raadplegen en verwijderen van gegevens.
• Subverwerker: een derde partij die door de verwerker wordt ingeschakeld om (een deel van) de verwerking ten behoeve van de verwerkingsverantwoordelijke uit te voeren.
• Datalek: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of toegang tot persoonsgegevens, zoals gedefinieerd in artikel 4 lid 12 AVG.

Artikel 2 — Onderwerp en duur van de verwerking

Deze Overeenkomst regelt de verwerking van persoonsgegevens door de verwerker in opdracht van de verwerkingsverantwoordelijke, in het kader van het gebruik van het KicksDesk-platform. De Overeenkomst treedt in werking op het moment dat de klant een KicksDesk-account activeert en loopt zolang de hoofdovereenkomst (het abonnement op het platform) van kracht is. Na beëindiging van de hoofdovereenkomst blijven de verplichtingen uit deze Overeenkomst die naar hun aard bestemd zijn om ook na beëindiging voort te duren — zoals geheimhouding en de afwikkeling van gegevens conform artikel 10 — onverminderd van kracht.

Artikel 3 — Aard en doel van de verwerking

De verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van het leveren van de KicksDesk-softwaredienst aan de verwerkingsverantwoordelijke. Dit omvat in ieder geval:

• Het faciliteren van boekingen (bookings) door eindklanten;
• Het vastleggen en beheren van orders en de status daarvan;
• Klantcommunicatie namens de verwerkingsverantwoordelijke, zoals orderbevestigingen en statusupdates;
• Facturatie aan eindklanten namens de verwerkingsverantwoordelijke, voor zover dit via het platform wordt afgehandeld;
• Overige functionaliteit van het platform die redelijkerwijs nodig is om de dienst te kunnen leveren, waaronder technisch beheer, ondersteuning en beveiliging.

De verwerker verwerkt persoonsgegevens nooit voor eigen doeleinden, tenzij dit wettelijk verplicht is of vooraf schriftelijk is overeengekomen met de verwerkingsverantwoordelijke.

Artikel 4 — Soorten persoonsgegevens en categorieën betrokkenen

De betrokkenen van wie persoonsgegevens worden verwerkt zijn de eindklanten van de verwerkingsverantwoordelijke: de particulieren en/of zakelijke contacten die gebruikmaken van de schoenreinigings- of sneakercare-diensten van de verwerkingsverantwoordelijke.

De verwerking kan de volgende categorieën persoonsgegevens omvatten:

• Naam- en contactgegevens (naam, e-mailadres, telefoonnummer);
• Adresgegevens, bijvoorbeeld voor afhaal- of bezorgdiensten;
• Orderdetails, zoals het type dienst, ordergeschiedenis en communicatie over de order;
• Foto's van schoenen, bijvoorbeeld voor- en na-foto's in het kader van een reinigings- of reparatieopdracht;
• Betaalstatus en gerelateerde transactiegegevens, voor zover deze via het platform worden vastgelegd (de verwerker verwerkt zelf geen volledige betaalkaartgegevens; deze lopen via de betaalprovider van de verwerkingsverantwoordelijke of van KicksDesk).

Er worden voor zover bekend geen bijzondere categorieën persoonsgegevens in de zin van artikel 9 AVG verwerkt. Mocht de verwerkingsverantwoordelijke toch dergelijke gegevens in het platform invoeren, dan is en blijft de verwerkingsverantwoordelijke daarvoor verantwoordelijk.

Artikel 5 — Verplichtingen van de verwerker

De verwerker verplicht zich om:

• Persoonsgegevens uitsluitend te verwerken op basis van schriftelijke instructies van de verwerkingsverantwoordelijke, zoals vastgelegd in de hoofdovereenkomst en deze Overeenkomst, tenzij een wettelijke verplichting de verwerker tot verwerking verplicht;
• Geheimhouding te betrachten ten aanzien van de persoonsgegevens en ervoor te zorgen dat personen die onder zijn gezag gegevens verwerken (waaronder medewerkers en ingehuurde krachten) zich eveneens tot geheimhouding hebben verbonden;
• Passende technische en organisatorische beveiligingsmaatregelen te treffen om persoonsgegevens te beschermen tegen verlies en tegen enige vorm van onrechtmatige verwerking, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, omvang, context en doeleinden van de verwerking;
• De verwerkingsverantwoordelijke, voor zover redelijkerwijs mogelijk, bijstand te verlenen bij het beantwoorden van verzoeken van betrokkenen tot uitoefening van hun rechten onder de AVG (zoals inzage, correctie, verwijdering en dataportabiliteit);
• De verwerkingsverantwoordelijke zonder onredelijke vertraging en in ieder geval binnen 48 uur na ontdekking op de hoogte te stellen van een datalek dat betrekking heeft op de door de verwerker verwerkte persoonsgegevens, zodat de verwerkingsverantwoordelijke zelf kan beoordelen of en hoe een melding aan de Autoriteit Persoonsgegevens en/of betrokkenen moet plaatsvinden;
• Waar redelijkerwijs mogelijk medewerking te verlenen aan een eventuele gegevensbeschermingseffectbeoordeling (DPIA) van de verwerkingsverantwoordelijke en aan onderzoeken van een toezichthoudende autoriteit, voor zover deze betrekking hebben op de door de verwerker uitgevoerde verwerkingen.

Artikel 6 — Subverwerkers

De verwerkingsverantwoordelijke geeft de verwerker toestemming om subverwerkers in te schakelen voor de uitvoering van (een deel van) de verwerking, mits de verwerker met deze subverwerkers schriftelijke afspraken maakt die materieel gelijkwaardige verplichtingen opleggen als die welke in deze Overeenkomst zijn opgenomen.

Op dit moment maakt de verwerker gebruik van de volgende subverwerkers:

• Vercel Inc. — hosting en infrastructuur voor het draaien van het KicksDesk-platform;
• Supabase — databasedienst voor de opslag van platformgegevens.

De verwerker zal de verwerkingsverantwoordelijke voorafgaand aan het inschakelen van een nieuwe subverwerker, of het vervangen van een bestaande subverwerker, hierover informeren. De verwerkingsverantwoordelijke heeft het recht om binnen een redelijke termijn na deze kennisgeving bezwaar te maken tegen de wijziging op redelijke, aan de gegevensbescherming gerelateerde gronden. Partijen zullen in dat geval in overleg treden om tot een oplossing te komen.

Artikel 7 — Doorgifte buiten de EER

Voor zover de verwerker of een door haar ingeschakelde subverwerker persoonsgegevens doorgeeft naar een land buiten de Europese Economische Ruimte (EER), zal de verwerker ervoor zorgen dat een passend beschermingsniveau wordt geboden in overeenstemming met hoofdstuk V van de AVG. Dit gebeurt bijvoorbeeld door gebruik te maken van de Europese Commissie goedgekeurde Standaardcontractbepalingen (Standard Contractual Clauses), door te steunen op een adequaatheidsbesluit van de Europese Commissie, of via een andere door de AVG erkende waarborg. Op verzoek van de verwerkingsverantwoordelijke verstrekt de verwerker informatie over de getroffen waarborgen.

Artikel 8 — Audit-recht van de verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke heeft het recht om, na voorafgaande schriftelijke aankondiging met een redelijke termijn en niet vaker dan eenmaal per jaar (behoudens concrete aanleiding, zoals een datalek), de naleving van deze Overeenkomst door de verwerker te laten controleren. Dit kan in de vorm van een audit door de verwerkingsverantwoordelijke zelf of door een door hem aangewezen onafhankelijke derde, of, indien de verwerker dit aanbiedt, door overlegging van een actueel beveiligings- of auditrapport (zoals een ISO- of SOC-verklaring) van de verwerker of diens subverwerkers. De kosten van een audit komen voor rekening van de verwerkingsverantwoordelijke, tenzij de audit aantoont dat de verwerker in ernstige mate tekortschiet in de nakoming van deze Overeenkomst.

Artikel 9 — Aansprakelijkheid

Iedere partij is aansprakelijk voor de schade die het gevolg is van het niet naleven van haar verplichtingen uit de AVG en uit deze Overeenkomst. De aansprakelijkheid van de verwerker jegens de verwerkingsverantwoordelijke voor schade die voortvloeit uit of verband houdt met deze Overeenkomst is beperkt tot hetgeen daarover is bepaald in de hoofdovereenkomst tussen partijen. Niets in deze Overeenkomst is bedoeld om enige wettelijke aansprakelijkheid die niet bij overeenkomst kan worden beperkt, te beperken of uit te sluiten.

Artikel 10 — Duur en beëindiging

Deze Overeenkomst eindigt van rechtswege op het moment dat de hoofdovereenkomst tussen partijen eindigt. Na afloop van deze Overeenkomst zal de verwerker, naar keuze van de verwerkingsverantwoordelijke, alle persoonsgegevens die zij namens de verwerkingsverantwoordelijke heeft verwerkt terugbezorgen aan de verwerkingsverantwoordelijke, of deze gegevens verwijderen, tenzij opslag van (een deel van) de gegevens op grond van een wettelijke verplichting nog noodzakelijk is. Bestaande back-ups worden verwijderd conform het reguliere back-upritme van de verwerker.

Artikel 11 — Toepasselijk recht

Op deze Overeenkomst is Nederlands recht van toepassing. Geschillen die voortvloeien uit of verband houden met deze Overeenkomst zullen worden voorgelegd aan de bevoegde rechter, tenzij partijen in de hoofdovereenkomst een ander forum zijn overeengekomen.