Data processing agreement

1. Partijen en doel

Deze verwerkersovereenkomst wordt gesloten tussen:

• de klant die DAIT gebruikt, als verwerkingsverantwoordelijke;
• DAIT, Juffrouw Lamotestraat 46 bus 01, 8800 Roeselare, België, ondernemingsnummer/btw BE1002.826.976, als verwerker.

Ze maakt deel uit van onze algemene voorwaarden. Ze regelt de verwerking van persoonsgegevens die de verwerker voor de klant uitvoert bij het leveren van DAIT, zoals artikel 28 van de Algemene Verordening Gegevensbescherming (AVG) voorschrijft. Bij tegenstrijdigheid met de algemene voorwaarden gaat deze verwerkersovereenkomst voor wat de bescherming van persoonsgegevens betreft.

Begrippen zoals persoonsgegevens, verwerking, betrokkene, subverwerker en inbreuk in verband met persoonsgegevens hebben de betekenis uit de AVG.

2. Onderwerp, aard en duur van de verwerking

Onderwerp en doel: het aanbieden van online software voor reservaties, gastenbeheer, zaalplan, webshop, bestellingen, betalingen, cadeaubonnen, nieuwsbrieven, personeelsplanning en de bijhorende communicatie, zoals de klant die gebruikt.

Aard: opslaan, ordenen, raadplegen, wijzigen, versturen (zoals bevestigings- en herinneringsmails), exporteren en wissen van gegevens, telkens zoals de klant dat via de dienst instelt of vraagt.

Duur: zolang de klant de dienst gebruikt, en daarna tot de gegevens zijn gewist zoals in artikel 10.

Categorieën betrokkenen: gasten en eindklanten van de klant, personen die een cadeaubon ontvangen, inschrijvers op een nieuwsbrief, en medewerkers van de klant die de dienst gebruiken.

Categorieën persoonsgegevens:

• identificatie- en contactgegevens: naam, e-mailadres, telefoonnummer, adres (bij leveringen);
• reservatie- en bestelgegevens: datum, uur, aantal personen, tafel, bestelde producten, bedragen, betaalstatus, opmerkingen;
• gastenprofiel: bezoekgeschiedenis, no-shows, labels (zoals vaste gast) en notities van de klant;
• antwoorden op vragen die de klant instelt, zoals gelegenheid, voorkeuren en allergieën of dieetwensen;
• voor medewerkers: naam, e-mailadres, rol, inloggegevens en planning;
• technische gegevens: IP-adres en tijdstip, voor beveiliging.

Allergieën en dieetwensen kunnen gezondheidsgegevens zijn (bijzondere categorie, artikel 9 AVG). De klant vraagt die enkel als dat nodig is om de gast veilig te bedienen, met de uitdrukkelijke toestemming van de gast, en vermeldt dat in zijn privacyverklaring. De verwerker biedt daarvoor de technische middelen; de klant bepaalt of hij ze gebruikt.

3. Verplichtingen van de klant

De klant:

• is verantwoordelijk voor de rechtmatigheid van de verwerking, zoals een geldige rechtsgrond, een duidelijke privacyverklaring voor zijn gasten en toestemming waar nodig (bijvoorbeeld voor nieuwsbrieven en gezondheidsgegevens);
• voert enkel gegevens in die hij rechtmatig mag verwerken;
• geeft zijn instructies via de instellingen van de dienst of schriftelijk;
• beheert zelf wie in zijn organisatie toegang heeft tot de dienst, en beveiligt die accounts.

4. Verplichtingen van de verwerker

De verwerker:

• verwerkt de persoonsgegevens enkel volgens de gedocumenteerde instructies van de klant, inclusief de instellingen die de klant in de dienst kiest, tenzij een wettelijke verplichting hem anders oplegt. In dat geval verwittigt hij de klant vooraf, tenzij de wet dat verbiedt;
• meldt het de klant meteen als een instructie volgens hem in strijd is met de AVG;
• gebruikt de gegevens niet voor eigen doeleinden en verkoopt of verhuurt ze nooit;
• zorgt ervoor dat iedereen die onder zijn gezag toegang heeft tot de gegevens, tot geheimhouding verplicht is;
• neemt de beveiligingsmaatregelen van artikel 5;
• helpt de klant, rekening houdend met de aard van de verwerking, bij het beantwoorden van verzoeken van betrokkenen (artikel 7), bij het melden van inbreuken (artikel 8) en, waar nodig, bij een gegevensbeschermingseffectbeoordeling en een voorafgaande raadpleging van de toezichthouder;
• houdt een register bij van de verwerkingen die hij voor zijn klanten uitvoert.

5. Beveiliging

De verwerker neemt passende technische en organisatorische maatregelen volgens artikel 32 AVG, waaronder:

• versleutelde verbindingen (https) voor alle verkeer;
• strikte scheiding van de gegevens van elke klant in de software, met een controle die elke databankopdracht zonder klantfilter weigert;
• wachtwoorden enkel gehasht bewaard, tweestapsverificatie en passkeys mogelijk voor klanten, en verplicht voor het beheer door de verwerker;
• beperking en registratie van aanmeldpogingen, en een logboek van belangrijke acties;
• versleutelde geheimen (zoals betaalsleutels van de klant) en versleutelde back-ups, met een kopie buiten de server;
• regelmatige updates, opvolging van de beschikbaarheid en automatische tests;
• toegang tot productiegegevens enkel voor wie dat nodig heeft, en enkel op verzoek van de klant of om een storing op te lossen;
• automatische opschoning van tijdelijke en technische gegevens.

De verwerker mag deze maatregelen aanpassen, op voorwaarde dat het beschermingsniveau niet daalt.

6. Subverwerkers

De klant geeft de verwerker een algemene toestemming om subverwerkers in te schakelen. Momenteel zijn dat:

• hosting en opslag: Combell NV;
• het versturen van e-mails: de e-mailprovider van de verwerker;
• versleutelde back-ups: een opslagprovider binnen de Europese Economische Ruimte;
• pushmeldingen: de pushdiensten van browsers en besturingssystemen, die enkel een versleuteld bericht ontvangen.

Betalingen van gasten verlopen via het eigen account van de klant bij Mollie. Daarvoor is Mollie geen subverwerker van de verwerker, maar een dienstverlener die de klant zelf kiest.

De verwerker meldt een nieuwe of andere subverwerker minstens 30 dagen vooraf per e-mail of in het beheer. De klant kan binnen die termijn gemotiveerd bezwaar maken. Vinden partijen geen oplossing, dan kan de klant de overeenkomst kosteloos opzeggen.

De verwerker legt elke subverwerker schriftelijk minstens dezelfde verplichtingen op als in deze overeenkomst, en blijft tegenover de klant aansprakelijk voor die subverwerkers.

7. Rechten van betrokkenen

De dienst bevat functies waarmee de klant zelf gegevens van een gast kan inkijken, verbeteren, exporteren en wissen. Krijgt de verwerker rechtstreeks een verzoek van een gast, dan stuurt hij dat zonder onnodige vertraging door naar de klant en beantwoordt hij het niet zelf, tenzij de klant hem dat vraagt.

8. Inbreuken in verband met persoonsgegevens (datalekken)

De verwerker meldt een inbreuk die de gegevens van de klant treft, zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat hij ze heeft vastgesteld, aan het e-mailadres van de klant. Hij geeft daarbij, voor zover bekend, de aard van de inbreuk, de betrokken categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, en de genomen of voorgestelde maatregelen. Ontbrekende informatie bezorgt hij zodra ze beschikbaar is.

De klant beslist of hij de inbreuk meldt aan de Gegevensbeschermingsautoriteit en aan de betrokkenen. De verwerker helpt hem daarbij.

9. Doorgifte buiten de Europese Economische Ruimte

De verwerker verwerkt en bewaart de gegevens binnen de Europese Economische Ruimte. Een doorgifte daarbuiten gebeurt enkel met de voorafgaande toestemming van de klant en met de waarborgen van hoofdstuk V van de AVG, zoals een adequaatheidsbesluit of de standaardcontractbepalingen van de Europese Commissie.

10. Einde van de verwerking

De klant kan zijn gegevens op elk moment exporteren via zijn beheer. Na het einde van de overeenkomst bewaart de verwerker de gegevens nog minstens 30 dagen, zodat de klant ze kan exporteren. Uiterlijk 90 dagen na het einde wist hij ze definitief, tenzij de wet hem verplicht ze langer te bewaren. Kopieën in back-ups worden binnen de gewone bewaartermijn van die back-ups overschreven en worden tot dan niet meer gebruikt.

Op verzoek bevestigt de verwerker schriftelijk dat de gegevens gewist zijn.

11. Audit

De verwerker stelt de klant alle informatie ter beschikking die nodig is om aan te tonen dat hij deze overeenkomst naleeft, zoals een beschrijving van de beveiligingsmaatregelen. Is dat onvoldoende, dan kan de klant, na een redelijke aankondiging van minstens 30 dagen, eenmaal per jaar een audit laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding verplicht is, tijdens de kantooruren en zonder de dienstverlening te verstoren. De kosten van een audit zijn voor de klant, tenzij de audit een wezenlijke tekortkoming van de verwerker aantoont.

12. Aansprakelijkheid en slotbepalingen

Elke partij is aansprakelijk volgens artikel 82 AVG. Voor het overige gelden de aansprakelijkheidsregels en -beperkingen van de algemene voorwaarden, voor zover de wet dat toelaat.

Deze overeenkomst loopt zolang de verwerker persoonsgegevens voor de klant verwerkt. Ze valt onder het Belgisch recht. Geschillen worden behandeld door de rechtbanken die in de algemene voorwaarden zijn aangeduid.