Verwerkersovereenkomst

1.Partijen en reikwijdte

Deze Verwerkersovereenkomst (de ‘Verwerkersovereenkomst’) wordt gesloten tussen het bedrijf dat een Hournook-account heeft (de ‘Verwerkingsverantwoordelijke’, ‘jij’) en Theocharis Panagiotis Siozos (ΣΙΩΖΟΣ ΘΕΟΧΑΡΗΣ ΠΑΝΑΓΙΩΤΗΣ), eenmanszaak handelend onder de naam DevTaskHub.com, Markou Mpotsari 83, 546 44 Thessaloniki, Greece. Grieks fiscaal nummer (ΑΦΜ) 169481343, Algemeen Handelsregister van Griekenland (Γ.Ε.ΜΗ.) nr. 186989906000 (de ‘Verwerker’, ‘wij’). Ze maakt deel uit van de Servicevoorwaarden en geldt automatisch, zonder afzonderlijke ondertekening, wanneer we bij het leveren van Hournook namens jou persoonsgegevens verwerken.

Begrippen als ‘persoonsgegevens’, ‘verwerking’, ‘verwerkingsverantwoordelijke’, ‘verwerker’, ‘betrokkene’ en ‘inbreuk in verband met persoonsgegevens’ hebben de betekenis die Verordening (EU) 2016/679 (de ‘AVG’) eraan geeft. Als deze Verwerkersovereenkomst en de Voorwaarden op het gebied van gegevensbescherming met elkaar in strijd zijn, gaat deze Verwerkersovereenkomst voor.

2.Details van de verwerking

• Onderwerp en doel: Hournook aan jou leveren: je boekingspagina hosten, boekingen aannemen en beheren, klantgegevens opslaan, afspraakmails namens jou versturen, statistieken, exports en ondersteuning.
• Duur: zolang je Hournook gebruikt en totdat de gegevens zijn verwijderd zoals hieronder beschreven.
• Aard van de verwerking: verzameling via de boekingspagina of jouw invoer, opslag, ordening, opvraging, weergave aan jou en je team, verzending per e-mail, export en wissing.
• Betrokkenen: je klanten en potentiële klanten die boeken of die je toevoegt; je medewerkers en teamleden.
• Categorieën van persoonsgegevens: naam, e-mailadres, telefoonnummer, afspraakgegevens (dienst, medewerker, datum, tijd, prijs, status, geschiedenis), berichten van klanten, notities die je schrijft, en namen en roosters van medewerkers.
• Bijzondere categorieën: Hournook is niet ontworpen voor bijzondere categorieën van gegevens (zoals gezondheidsgegevens). Je voert die niet in, tenzij je dat wettelijk mag en je de vereiste waarborgen hebt getroffen; doe je dat wel, dan gelden de beveiligingsmaatregelen van deze Verwerkersovereenkomst ook voor die gegevens.

3.Verwerking alleen op jouw instructies

We verwerken de persoonsgegevens uitsluitend op basis van je schriftelijke instructies, namelijk deze Voorwaarden en deze Verwerkersovereenkomst, en de instellingen en handelingen die je in Hournook gebruikt. We gebruiken ze niet voor eigen doeleinden, verkopen ze niet en combineren ze niet met andere gegevens, tenzij het recht van de EU of van Griekenland ons verplicht ze te verwerken; in dat geval laten we je dat vooraf weten, tenzij de wet dat verbiedt.

We laten het je onmiddellijk weten als een instructie naar ons oordeel in strijd is met de AVG of andere wetgeving inzake gegevensbescherming.

4.Vertrouwelijkheid

Iedereen die we toegang geven tot de persoonsgegevens is gebonden aan geheimhouding en heeft alleen toegang voor zover nodig om de dienst te leveren, te beveiligen of te ondersteunen.

5.Beveiligingsmaatregelen (artikel 32)

We treffen passende technische en organisatorische maatregelen, rekening houdend met de stand van de techniek, de kosten en de risico’s. Momenteel zijn dat onder meer:

• Versleuteling tijdens de overdracht (HTTPS met HSTS; versleutelde databaseverbindingen).
• Versleuteling in rust door onze hosting- en databaseaanbieders.
• Logische scheiding van de gegevens van elk bedrijf, bij elk verzoek afgedwongen, en op rollen gebaseerde rechten voor teamleden.
• Sterke eenrichtingshashing van wachtwoorden, beveiligde sessiecookies, beperking van inlogpogingen en accountblokkering, en snelheidsbeperking van gevoelige handelingen.
• Een contentbeveiligingsbeleid en andere beveiligingsheaders op elke pagina.
• Een auditlog van belangrijke handelingen met betrekking tot accounts en gegevens.
• Back-ups die onze databaseaanbieder bijhoudt, zodat herstel na een incident mogelijk is.
• Toegang tot productiesystemen alleen voor de eigenaar van de aanbieder, met meervoudige authenticatie op de accounts bij aanbieders.
• Gegevensminimalisatie en automatische verwijdering zoals beschreven in ons privacybeleid.

We kunnen deze maatregelen bijwerken, zolang het algehele beveiligingsniveau niet daalt.

6.Subverwerkers

Je geeft ons algemene toestemming om subverwerkers in te schakelen. De subverwerkers die momenteel de gegevens van je klanten verwerken, zijn:

We leggen elke subverwerker verplichtingen inzake gegevensbescherming op die gelijkwaardig zijn aan die in deze Verwerkersovereenkomst en blijven jegens jou verantwoordelijk voor de nakoming daarvan. We laten accounteigenaren ten minste 30 dagen vóór het toevoegen of vervangen van een subverwerker per e-mail weten. Je kunt binnen die termijn op redelijke gronden van gegevensbescherming bezwaar maken; als we redelijkerwijs niet aan het bezwaar tegemoet kunnen komen, kun je de betreffende dienst beëindigen en ontvang je een evenredige terugbetaling van vooruitbetaalde bedragen.

7.Internationale doorgiften

Wanneer een subverwerker persoonsgegevens buiten de Europese Economische Ruimte verwerkt, zorgen we ervoor dat de doorgifte voldoet aan hoofdstuk V van de AVG, door middel van een adequaatheidsbesluit (zoals het EU-VS-kader voor gegevensbescherming voor gecertificeerde aanbieders) of de modelcontractbepalingen van de Europese Commissie, zo nodig met aanvullende maatregelen.

8.Hulp bij verzoeken van betrokkenen en naleving

Met Hournook kun je de meeste verzoeken zelf afhandelen: klantgegevens inzien, corrigeren en exporteren, een klant wissen en je bedrijf verwijderen. Als we rechtstreeks een verzoek van een van je klanten ontvangen, beantwoorden we dat niet zelf (behalve om de persoon naar jou te verwijzen) en sturen we het zonder onredelijke vertraging aan je door.

Rekening houdend met de aard van de verwerking en de informatie waarover we beschikken, helpen we je ook in redelijke mate bij je verplichtingen op het gebied van beveiliging, melding van inbreuken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging (artikelen 32–36 AVG).

9.Inbreuken in verband met persoonsgegevens

We stellen je zonder onredelijke vertraging, en in elk geval binnen 48 uur nadat we kennis hebben gekregen van een inbreuk in verband met persoonsgegevens die jouw gegevens raakt, per e-mail aan de accounteigenaar op de hoogte. De melding beschrijft, voor zover op dat moment bekend, de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en gegevensrecords, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. We nemen redelijke maatregelen om de inbreuk in te dammen en verstrekken verdere informatie zodra die beschikbaar is, zodat je aan je eigen verplichtingen kunt voldoen om de toezichthoudende autoriteit en de betrokkenen te informeren.

10.Verwijdering en teruggave van gegevens

Je kunt je gegevens op elk moment exporteren. Wanneer je een klant wist, worden diens persoonsgegevens direct verwijderd en blijven alleen anonieme afspraakrecords over voor je statistieken. Wanneer je je bedrijf verwijdert, worden alle gegevens ervan direct uit onze productiesystemen verwijderd. In beide gevallen worden de gegevens binnen 30 dagen overschreven in de back-ups van onze databaseaanbieder, tenzij het recht van de EU of van Griekenland ons verplicht ze te bewaren. Eindigt je abonnement zonder dat je je bedrijf verwijdert, dan blijven je gegevens voor je beschikbaar totdat je ze verwijdert.

11.Informatie en audits

We stellen de informatie beschikbaar die redelijkerwijs nodig is om aan te tonen dat we voldoen aan artikel 28 AVG, en beantwoorden je schriftelijke vragen over onze verwerking. Is dat niet voldoende, dan kun je onze naleving laten controleren, ook door een onafhankelijke auditor die tot geheimhouding is verplicht, met een schriftelijke aankondiging van ten minste 30 dagen, niet vaker dan eenmaal per jaar (tenzij een toezichthoudende autoriteit dat eist of na een inbreuk), tijdens kantooruren en op een manier die de gegevens van andere klanten of onze beveiliging niet in gevaar brengt. Elke partij draagt haar eigen kosten.

12.Aansprakelijkheid en looptijd

Aansprakelijkheid op grond van deze Verwerkersovereenkomst valt onder de beperkingen in de Voorwaarden, behalve waar de wet die niet toestaat. Deze Verwerkersovereenkomst eindigt automatisch wanneer we geen persoonsgegevens meer namens jou verwerken; de verplichtingen inzake verwijdering en vertrouwelijkheid blijven tot dat moment gelden. Op deze overeenkomst zijn hetzelfde recht en dezelfde bevoegde rechter van toepassing als op de Voorwaarden.

13.Contact

Vragen over deze Verwerkersovereenkomst of verzoeken om een door ons medeondertekend exemplaar: devtaskhub@devtaskhub.com.