Verwerkersovereenkomst

1. Partijen en rollen

Deze overeenkomst is gesloten tussen jou, de ondernemer met een account bij Salon Website (de verwerkingsverantwoordelijke), en Code Boost B.V., Boterkorfhoek 33, 7546 JC Enschede, KvK 42124313 (de verwerker). Je sluit haar af door bij het aanmaken van je account akkoord te gaan. Ze is de overeenkomst die artikel 28 van de Algemene verordening gegevensbescherming (AVG) vraagt.

Jij bepaalt waarvoor en hoe de gegevens van je bezoekers en klanten worden verwerkt. Wij verwerken ze alleen om Salon Website voor je te laten werken.

2. Welke gegevens we voor je verwerken

We verwerken de persoonsgegevens die je website en je account verzamelen of die jij invoert, zolang je account bestaat:

• Contactformulier: naam, e-mailadres, telefoonnummer en bericht van wie het formulier invult.
• Nieuwsbrief: het e-mailadres van wie zich aanmeldt, met het moment en de pagina van de aanmelding, de melding die erbij stond en het moment van bevestigen. Na een afmelding of verwijdering bewaren we alleen een hash van het adres, op je niet-mailen-lijst.
• Online afspraken (Pro): naam, e-mailadres en telefoonnummer van je klant, de behandeling, de medewerker en het tijdstip.
• Medewerkers (Pro): naam, beschikbaarheid en afspraken van je medewerkers.
• Je website: namen, foto's en teksten van mensen die je op je website laat zien.
• Bezoekers: technische gegevens zoals het IP-adres, die nodig zijn om je website te tonen en te beveiligen.

Hoe lang we die gegevens bewaren, ligt vast: berichten via het contactformulier 2 jaar, afspraken 2 jaar, aanmeldingen voor de nieuwsbrief die niet bevestigd zijn 7 dagen en de logboeken met IP-adressen van bezoekers 30 dagen. Daarna verwijderen we ze automatisch. Die termijnen zijn onderdeel van je instructie aan ons. Voor je website maken we een privacyverklaring op /privacyverklaring, tenzij je een eigen privacyverklaring koppelt.

Het doel is je website tonen, berichten, aanmeldingen en afspraken bij je bezorgen en je die laten beheren, aanmeldingen voor je nieuwsbrief laten bevestigen en afmeldingen verwerken. Vraag via je website geen bijzondere persoonsgegevens, zoals gegevens over gezondheid: Salon Website is daar niet voor ingericht.

3. Alleen op jouw instructie

We verwerken de gegevens alleen op jouw instructie: het gebruik van Salon Website zoals je het hebt ingesteld, en wat je ons schriftelijk vraagt, ook via Support. We gebruiken de gegevens niet voor eigen doeleinden.

Vinden we dat een instructie in strijd is met de AVG, dan laten we je dat direct weten. Moeten we gegevens volgens de wet aan een overheid geven, dan laten we je dat vooraf weten, tenzij de wet dat verbiedt.

4. Geheimhouding

Alleen medewerkers die de gegevens voor hun werk nodig hebben, kunnen erbij, en zij hebben een geheimhoudingsplicht. Een beheerder van ons kan je account voor support tijdelijk overnemen. Het begin en het einde daarvan leggen we vast in een logboek.

5. Beveiliging

We nemen passende technische en organisatorische maatregelen (artikel 32 AVG), waaronder:

• alle verbindingen gaan via HTTPS, en de verbinding met de database is versleuteld;
• het platform en de database draaien in een datacenter in Amsterdam, met dagelijkse back-ups van de database;
• inloggen gaat zonder wachtwoord, met een link per e-mail of een passkey, en je kunt tweestapsverificatie aanzetten;
• alleen onze beheerders komen in het beheergedeelte, met tweestapsverificatie en een tweede stap in dezelfde sessie;
• we houden 90 dagen een logboek bij van inloggen en andere beveiligingsgebeurtenissen;
• bijlagen bij supportvragen zijn alleen te zien voor wie ze stuurt en voor onze beheerders;
• elke nieuwe versie doorloopt eerst onze geautomatiseerde tests.

We passen de maatregelen aan als dat nodig is om de beveiliging passend te houden.

6. Subverwerkers

Je geeft ons algemene toestemming om subverwerkers in te schakelen. Welke dat zijn, waarvoor en waar, staat op de pagina Subverwerkers. We leggen hun dezelfde verplichtingen op als in deze overeenkomst, en blijven tegenover jou verantwoordelijk voor wat zij doen.

Een nieuwe subverwerker melden we minstens 30 dagen voordat die gegevens verwerkt, per e-mail en op die pagina. Ben je het er niet mee eens, laat het ons dan binnen die 30 dagen weten via Support. Komen we er samen niet uit, dan kun je je account opheffen voordat de wijziging ingaat.

OpenAI (OpenAI Ireland Ltd; de verwerking gebeurt in de Verenigde Staten door OpenAI, L.L.C.) ontvangt gegevens uit je website alleen als je een AI-functie gebruikt: de AI-assistent in de editor, het maken van teksten en afbeeldingen en de SEO-hulp. Die doorgifte rust op de standaardcontractbepalingen van de Europese Commissie. Berichten uit het contactformulier, aanmeldingen voor de nieuwsbrief en afspraken sturen we niet naar OpenAI.

7. Verzoeken van betrokkenen

Vraagt iemand je om inzage in, correctie of verwijdering van de eigen gegevens, dan helpen we je. Veel doe je zelf: berichten en aanmeldingen voor de nieuwsbrief exporteer je als CSV, en afspraken zie en wijzig je in je Agenda. Wat je niet zelf kunt verwijderen, verwijderen we binnen 10 werkdagen nadat we je verzoek via Support hebben ontvangen.

Komt een verzoek bij ons binnen, dan sturen we het naar jou door en beantwoorden we het niet zelf.

8. Datalekken

Ontdekken we een inbreuk op de beveiliging die gevolgen heeft voor de gegevens die we voor je verwerken, dan melden we die zonder onredelijke vertraging: we streven naar binnen 24 uur en melden uiterlijk binnen 48 uur nadat we het ontdekt hebben. We melden het per e-mail aan het e-mailadres van je account. We vertellen je wat er is gebeurd, om welke gegevens en hoeveel mensen het gaat, wat de gevolgen kunnen zijn en wat we doen om ze te beperken.

Zo kun je zelf beslissen of je het lek binnen 72 uur meldt bij de Autoriteit Persoonsgegevens en aan de mensen om wie het gaat; we helpen je daarbij. We helpen je ook bij een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging als je die nodig hebt.

9. Controle

We geven je op verzoek de informatie die je nodig hebt om te zien dat we ons aan deze overeenkomst houden. Je mag dat eens per jaar laten controleren, en vaker na een datalek of op verzoek van een toezichthouder, door jezelf of door een onafhankelijke deskundige met een geheimhoudingsplicht. Meld een controle minstens 30 dagen van tevoren. De kosten zijn voor jou, tenzij blijkt dat we ons niet aan deze overeenkomst houden.

10. Duur en einde

Deze overeenkomst loopt zolang je account bestaat. Download voor het einde wat je wilt bewaren. Hef je je account op, dan verwijderen we de gegevens direct, tenzij de wet ons verplicht ze te bewaren. Uit onze back-ups verdwijnen ze uiterlijk binnen 7 dagen. Op verzoek bevestigen we dat de gegevens verwijderd zijn.

11. Aansprakelijkheid en voorrang

Voor aansprakelijkheid geldt wat in de algemene voorwaarden staat. Spreken deze overeenkomst en de algemene voorwaarden elkaar tegen over persoonsgegevens, dan gaat deze overeenkomst voor.

12. Contact

Vragen over deze overeenkomst stel je via Support of per mail aan [email protected]. Wil je een ondertekend exemplaar, vraag het ons dan.