Verwerkersovereenkomst

1.1. Deze verwerkersovereenkomst (de “Verwerkersovereenkomst”) maakt deel uit van de overeenkomst tussen Vrodex, Obrechtstraat 55-D, 2517VM Den Haag (“Vrodex”), en de klant die de Producten van Vrodex gebruikt (de “Klant”), zoals vastgelegd in de Algemene voorwaarden (de “Overeenkomst”). Begrippen als “persoonsgegevens”, “verwerking”, “verwerkingsverantwoordelijke”, “verwerker”, “betrokkene” en “inbreuk in verband met persoonsgegevens” hebben de betekenis die de Algemene Verordening Gegevensbescherming (EU) 2016/679 (de “AVG”) eraan geeft.

1.2. Deze Verwerkersovereenkomst is van toepassing op de persoonsgegevens die Vrodex bij het leveren van de Producten in opdracht van de Klant verwerkt. Voor deze persoonsgegevens is de Klant de verwerkingsverantwoordelijke en Vrodex de verwerker.

1.3. Deze Verwerkersovereenkomst is niet van toepassing op persoonsgegevens waarvan Vrodex zelf het doel en de middelen bepaalt, zoals de gegevens van het account van de Klant, facturatie, support en het registreren van telefoonnummers. Die gegevens verwerkt Vrodex als verwerkingsverantwoordelijke volgens zijn Privacybeleid, beschikbaar op https://www.vrodex.com/nl/privacy-policy.

2.1. Vrodex verwerkt persoonsgegevens uitsluitend om de Producten te leveren waarop de Klant is geabonneerd, zoals het kassasysteem, reserveringen, online bestellen, betalingen, klantrelatiebeheer, personeelsplanning en de telefoonassistent, en om de bijbehorende support, het onderhoud en de beveiliging te verzorgen.

2.2. De verwerking bestaat uit het verzamelen, opslaan, ordenen, raadplegen, verstrekken, combineren en verwijderen van persoonsgegevens, voor zover nodig voor de Producten. De verwerking duurt zolang de Overeenkomst loopt, vermeerderd met de periode die nodig is om de gegevens volgens artikel 12 terug te geven en te verwijderen.

2.3. Afhankelijk van de gebruikte Producten betreft de verwerking de volgende categorieën betrokkenen:

• Gasten en klanten van de Klant, onder wie personen die een reservering maken, een bestelling plaatsen, een betaling doen of de Klant bellen of een bericht sturen
• Medewerkers en andere gebruikers die namens de Klant met de Producten werken
• Leveranciers en andere zakelijke contacten van de Klant

2.4. Afhankelijk van de gebruikte Producten betreft de verwerking de volgende categorieën persoonsgegevens:

• Contactgegevens, zoals naam, e-mailadres, telefoonnummer en adres
• Reserverings- en bestelgegevens, zoals datum, tijd, aantal gasten, bestelde artikelen, opmerkingen en voorkeuren
• Betaal- en transactiegegevens, zoals bedragen, betaalmethode en transactiereferenties; volledige kaartnummers worden door de betaaldienstverlener verwerkt en niet door Vrodex
• Communicatie, zoals e-mails, sms- en WhatsApp-berichten en, bij gebruik van de telefoonassistent, gespreksopnames, transcripten en samenvattingen
• Gegevens van medewerkers, zoals naam, rol, inlog- en pincodegegevens, diensten, kloktijden en in de Producten uitgevoerde handelingen
• Technische gegevens, zoals IP-adres, apparaatgegevens en loggegevens

2.5. De Producten zijn niet bedoeld voor bijzondere categorieën van persoonsgegevens. Legt de Klant zulke gegevens toch vast, bijvoorbeeld allergieën of dieetwensen in een opmerking bij een reservering, dan is de Klant ervoor verantwoordelijk dat hij daarvoor een grondslag heeft en dit beperkt tot wat nodig is.

3.1. Vrodex verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Klant, tenzij een op Vrodex van toepassing zijnde Unierechtelijke of lidstaatrechtelijke bepaling hem tot verwerking verplicht; in dat geval stelt Vrodex de Klant vóór de verwerking daarvan in kennis, tenzij die wetgeving dat verbiedt.

3.2. De Overeenkomst, deze Verwerkersovereenkomst en de instellingen en handelingen van de Klant en zijn gebruikers in de Producten vormen samen de instructies van de Klant. Aanvullende instructies worden schriftelijk gegeven en moeten technisch uitvoerbaar zijn binnen de Producten.

3.3. Vrodex stelt de Klant onmiddellijk op de hoogte als een instructie naar zijn oordeel in strijd is met de AVG of andere regelgeving over gegevensbescherming.

4.1. Vrodex zorgt ervoor dat personen die gemachtigd zijn de persoonsgegevens te verwerken, onder wie zijn medewerkers en ingehuurde krachten, zich tot geheimhouding hebben verbonden of door een passende wettelijke geheimhoudingsplicht zijn gebonden, en dat zij alleen toegang hebben tot de persoonsgegevens voor zover hun werkzaamheden dat vereisen.

5.1. Vrodex neemt passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, zoals bedoeld in artikel 32 AVG. Daartoe behoren:

• Versleuteling van gegevens tijdens transport en in opslag bij onze hostingproviders
• Toegang tot persoonsgegevens alleen voor bevoegde medewerkers, met rolgebaseerde toegangsrechten in de Producten
• Scheiding van de gegevens van verschillende klanten
• Regelmatige back-ups en de mogelijkheid om gegevens te herstellen
• Logging en monitoring om fouten en beveiligingsincidenten te signaleren
• Het actueel houden van software en infrastructuur

5.2. Vrodex mag deze maatregelen wijzigen, mits het algehele beveiligingsniveau daardoor niet afneemt.

6.1. De Klant geeft Vrodex algemene schriftelijke toestemming om subverwerkers in te schakelen, zoals aanbieders van hosting en infrastructuur, betaalverwerking, foutmonitoring, analyse en communicatiediensten zoals e-mail, sms, telefonie en spraaktechnologie. Een actuele lijst van subverwerkers, met hun vestigingsplaats en de diensten die zij leveren, is op verzoek verkrijgbaar via privacy@vrodex.com.

6.2. Vrodex informeert de Klant ten minste 14 dagen van tevoren, per e-mail of met een bericht in de Producten, voordat hij een subverwerker toevoegt of vervangt. De Klant kan binnen die termijn op redelijke gronden die verband houden met gegevensbescherming bezwaar maken. Vrodex spant zich dan redelijkerwijs in om aan het bezwaar tegemoet te komen. Wordt geen oplossing gevonden, dan kan de Klant de Producten waarop de wijziging betrekking heeft zonder verdere verplichtingen opzeggen voordat de wijziging ingaat.

6.3. Vrodex legt elke subverwerker bij overeenkomst verplichtingen op het gebied van gegevensbescherming op die ten minste hetzelfde beschermingsniveau bieden als deze Verwerkersovereenkomst. Vrodex blijft tegenover de Klant volledig aansprakelijk voor het nakomen van de verplichtingen van zijn subverwerkers.

7.1. Vrodex geeft persoonsgegevens alleen door aan landen buiten de Europese Economische Ruimte, of staat toegang vanuit die landen alleen toe, als aan de eisen van hoofdstuk V van de AVG is voldaan: op basis van een adequaatheidsbesluit van de Europese Commissie, waaronder het EU-VS Data Privacy Framework voor gecertificeerde bedrijven, of op basis van de door de Europese Commissie goedgekeurde standaardcontractbepalingen, waar nodig aangevuld met extra maatregelen.

8.1. Vrodex helpt de Klant, rekening houdend met de aard van de verwerking, bij het beantwoorden van verzoeken van betrokkenen die hun rechten uitoefenen. Waar mogelijk kan de Klant dit in de Producten zelf doen, bijvoorbeeld door gegevens in te zien, te exporteren, te corrigeren of te verwijderen. Ontvangt Vrodex rechtstreeks een verzoek, dan stuurt hij dit zonder onredelijke vertraging door aan de Klant en beantwoordt hij het niet zelf, tenzij de Klant hem daartoe opdracht geeft.

8.2. Vrodex helpt de Klant daarnaast, voor zover redelijkerwijs mogelijk en rekening houdend met de informatie waarover hij beschikt, bij het nakomen van zijn verplichtingen op het gebied van beveiliging, inbreuken in verband met persoonsgegevens, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van de toezichthouder.

9.1. Vrodex meldt een inbreuk in verband met persoonsgegevens die de persoonsgegevens van de Klant raakt zonder onredelijke vertraging, en zo mogelijk binnen 48 uur nadat hij ervan op de hoogte is geraakt, aan de Klant.

9.2. Voor zover beschikbaar beschrijft de melding de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en gegevensrecords, de waarschijnlijke gevolgen en de maatregelen die zijn genomen of worden voorgesteld om de inbreuk aan te pakken en de gevolgen te beperken. Is niet alle informatie direct beschikbaar, dan verstrekt Vrodex die in fasen.

9.3. De Klant beslist of hij de toezichthouder en de betrokkenen informeert. Vrodex doet dat niet namens de Klant, tenzij de wet dat vereist.

10.1. Vrodex stelt de Klant de informatie ter beschikking die redelijkerwijs nodig is om aan te tonen dat hij deze Verwerkersovereenkomst naleeft.

10.2. Is die informatie niet voldoende, dan kan de Klant ten hoogste eenmaal per jaar een audit laten uitvoeren door een onafhankelijke, tot geheimhouding verplichte auditor, met een aankondiging van ten minste 30 dagen, tijdens normale kantooruren en zonder de bedrijfsvoering van Vrodex onredelijk te verstoren. De kosten van de audit komen voor rekening van de Klant, tenzij uit de audit blijkt dat Vrodex deze Verwerkersovereenkomst op wezenlijke punten niet naleeft.

11.1. Vrodex bewaart persoonsgegevens niet langer dan nodig is om de Producten te leveren, of dan de Klant in de Producten heeft ingesteld. Zo kiest de Klant hoe lang opnames, transcripten en gegevens van bellers van de telefoonassistent bewaard blijven, van 7 tot 90 dagen, waarna ze automatisch worden verwijderd.

12.1. Zolang de Overeenkomst loopt, kan de Klant zijn gegevens uit de Producten exporteren. Na het einde van de Overeenkomst verwijdert Vrodex de persoonsgegevens die hij in opdracht van de Klant verwerkt binnen 90 dagen, tenzij Unierechtelijke of lidstaatrechtelijke bepalingen Vrodex verplichten ze te bewaren. Op verzoek van de Klant, gedaan vóór het einde van de Overeenkomst, verstrekt Vrodex een kopie van de gegevens in een gangbaar formaat.

12.2. Kopieën in back-ups worden in de normale back-upcyclus verwijderd en worden in de tussentijd niet voor andere doeleinden gebruikt.

13.1. De beperkingen van aansprakelijkheid uit de Overeenkomst zijn van toepassing op deze Verwerkersovereenkomst, tenzij de wet dat niet toestaat.

14.1. Deze Verwerkersovereenkomst geldt zolang Vrodex in opdracht van de Klant persoonsgegevens verwerkt. Verplichtingen die naar hun aard doorlopen na het einde, zoals geheimhouding en verwijdering, blijven van kracht.

14.2. Zijn deze Verwerkersovereenkomst en de Overeenkomst over de verwerking van persoonsgegevens met elkaar in strijd, dan gaat deze Verwerkersovereenkomst voor.

14.3. Vrodex mag deze Verwerkersovereenkomst wijzigen, bijvoorbeeld om aan gewijzigde wetgeving te voldoen. Vrodex informeert de Klant vooraf over wezenlijke wijzigingen. Wijzigingen verlagen nooit het beschermingsniveau van de persoonsgegevens.

14.4. Op deze Verwerkersovereenkomst is hetzelfde recht van toepassing als op de Overeenkomst, en geschillen worden beslecht zoals in de Overeenkomst is bepaald.

15.1. Vragen over deze Verwerkersovereenkomst, verzoeken om de lijst van subverwerkers en meldingen op grond van deze Verwerkersovereenkomst kunnen worden gestuurd naar privacy@vrodex.com.