1. Partijen en reikwijdte
1.1 Deze Verwerkersovereenkomst wordt gesloten tussen het bedrijf dat MezaTap gebruikt (de "Verwerkingsverantwoordelijke") en MezaTap, een eenmanszaak, ingeschreven bij de Kamer van Koophandel (KVK) onder nummer 42086035, btw-id NL005484324B92 (de "Verwerker").
1.2 Deze Verwerkersovereenkomst maakt deel uit van de overeenkomst voor het gebruik van MezaTap op grond van onze Algemene Voorwaarden (de "Overeenkomst") en is van toepassing op alle persoonsgegevens die de Verwerker namens de Verwerkingsverantwoordelijke verwerkt. De Verwerkingsverantwoordelijke aanvaardt deze Verwerkersovereenkomst bij de aanmelding.
1.3 Begrippen als persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, subverwerker en inbreuk in verband met persoonsgegevens hebben de betekenis uit de Algemene Verordening Gegevensbescherming ("AVG").
1.4 Bij strijdigheid tussen deze Verwerkersovereenkomst en de Algemene Voorwaarden over de verwerking van persoonsgegevens, gaat deze Verwerkersovereenkomst voor.
2. Onderwerp, aard en doel
De Verwerker verwerkt persoonsgegevens uitsluitend om de Dienst aan de Verwerkingsverantwoordelijke te leveren: het uitgeven en bijwerken van digitale klantenkaarten, het registreren van stempels en beloningen, het versturen van kaartupdates en berichten die de Verwerkingsverantwoordelijke instelt, het leveren van het dashboard en de scanpagina, en de bijbehorende ondersteuning, beveiliging en back-ups. Bijlage 1 beschrijft de verwerking nader.
3. Instructies
3.1 De Verwerker verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke, ook wat betreft doorgifte buiten de EER, tenzij een op de Verwerker toepasselijke Unierechtelijke of Nederlandse bepaling hem tot verwerking verplicht. In dat geval stelt de Verwerker de Verwerkingsverantwoordelijke daarvan voorafgaand aan de verwerking in kennis, tenzij de wet dat verbiedt.
3.2 De Overeenkomst, deze Verwerkersovereenkomst en de instellingen en handelingen van de Verwerkingsverantwoordelijke in de Dienst vormen de gedocumenteerde instructies.
3.3 De Verwerker stelt de Verwerkingsverantwoordelijke onmiddellijk in kennis als een instructie naar zijn oordeel in strijd is met de AVG of andere regels over gegevensbescherming.
3.4 De Verwerker gebruikt de persoonsgegevens niet voor eigen doeleinden, verkoopt ze niet en combineert ze niet met gegevens van andere klanten, behalve in geanonimiseerde en geaggregeerde vorm die niet herleidbaar is tot personen.
4. Verantwoordelijkheden van de Verwerkingsverantwoordelijke
De Verwerkingsverantwoordelijke is verantwoordelijk voor:
- een geldige grondslag voor de verwerking, waaronder toestemming voor commerciële berichten waar vereist;
- het informeren van kaarthouders over de verwerking, bijvoorbeeld door te verwijzen naar het deel over kaarthouders in de Privacyverklaring van MezaTap en naar de eigen privacyverklaring;
- de rechtmatigheid van zijn instructies en van de gegevens die hij invoert;
- de beveiliging van zijn eigen apparaten en accounts, en de toegang die hij aan zijn personeel geeft.
5. Geheimhouding
De Verwerker zorgt ervoor dat personen die de persoonsgegevens mogen verwerken, tot geheimhouding zijn verplicht en alleen toegang hebben voor zover nodig voor hun taken.
6. Beveiliging
6.1 De Verwerker neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beschermen tegen verlies en onrechtmatige verwerking, rekening houdend met de stand van de techniek, de kosten en de risico's. Bijlage 3 beschrijft deze maatregelen.
6.2 De Verwerker mag de maatregelen aanpassen, mits het beschermingsniveau niet daalt.
7. Subverwerkers
7.1 De Verwerkingsverantwoordelijke geeft algemene toestemming voor de inschakeling van subverwerkers. De huidige subverwerkers staan in Bijlage 2.
7.2 De Verwerker informeert de Verwerkingsverantwoordelijke ten minste 30 dagen vooraf over een voorgenomen toevoeging of vervanging van een subverwerker, per e-mail of in het dashboard. De Verwerkingsverantwoordelijke kan binnen die termijn op redelijke gronden bezwaar maken. Komen partijen er niet uit, dan kan de Verwerkingsverantwoordelijke de Overeenkomst kosteloos opzeggen voordat de wijziging ingaat.
7.3 De Verwerker legt elke subverwerker bij schriftelijke overeenkomst dezelfde verplichtingen inzake gegevensbescherming op als in deze Verwerkersovereenkomst, en blijft tegenover de Verwerkingsverantwoordelijke aansprakelijk voor de nakoming door de subverwerker.
8. Doorgifte buiten de EER
De Verwerker geeft persoonsgegevens alleen door buiten de Europese Economische Ruimte als aan de voorwaarden van hoofdstuk V AVG is voldaan, bijvoorbeeld op basis van een adequaatheidsbesluit van de Europese Commissie, waaronder het EU-VS Data Privacy Framework, of van de standaardcontractbepalingen, met aanvullende maatregelen waar nodig.
9. Bijstand
9.1 Rekening houdend met de aard van de verwerking helpt de Verwerker de Verwerkingsverantwoordelijke met passende maatregelen bij het beantwoorden van verzoeken van kaarthouders die hun rechten uitoefenen. Via het dashboard kan de Verwerkingsverantwoordelijke gegevens van kaarthouders inzien, wijzigen, exporteren en verwijderen. Ontvangt de Verwerker rechtstreeks een verzoek, dan stuurt hij dit zonder onredelijke vertraging door aan de Verwerkingsverantwoordelijke en reageert hij niet zelf, tenzij de Verwerkingsverantwoordelijke hem daartoe opdracht geeft.
9.2 De Verwerker helpt de Verwerkingsverantwoordelijke, met de informatie waarover hij beschikt, bij het nakomen van zijn verplichtingen op het gebied van beveiliging, meldingen van datalekken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van de toezichthouder.
9.3 Bijstand die verder gaat dan wat de Dienst standaard biedt en die niet het gevolg is van een tekortkoming van de Verwerker, kan na voorafgaande melding tegen redelijke tarieven in rekening worden gebracht.
10. Datalekken
10.1 De Verwerker informeert de Verwerkingsverantwoordelijke zonder onredelijke vertraging, en in elk geval binnen 48 uur na ontdekking, over een inbreuk in verband met persoonsgegevens die de persoonsgegevens van de Verwerkingsverantwoordelijke raakt.
10.2 De melding bevat, voor zover bekend: de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, en de genomen of voorgestelde maatregelen. Informatie die nog niet beschikbaar is, wordt zo snel mogelijk nagezonden.
10.3 De Verwerker neemt redelijke maatregelen om de gevolgen van de inbreuk te beperken en herhaling te voorkomen. De Verwerkingsverantwoordelijke beslist of melding wordt gedaan aan de toezichthouder en de betrokkenen.
11. Audits
11.1 De Verwerker stelt alle informatie ter beschikking die nodig is om aan te tonen dat hij deze Verwerkersovereenkomst naleeft.
11.2 Is die informatie onvoldoende, dan kan de Verwerkingsverantwoordelijke ten hoogste eenmaal per jaar, met een aankondiging van ten minste 30 dagen, een audit laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding is verplicht. De audit mag de bedrijfsvoering van de Verwerker niet onredelijk verstoren en geen toegang geven tot gegevens van andere klanten. De kosten komen voor rekening van de Verwerkingsverantwoordelijke, tenzij uit de audit een wezenlijke tekortkoming van de Verwerker blijkt.
12. Looptijd, verwijdering en teruggave
12.1 Deze Verwerkersovereenkomst geldt zolang de Verwerker persoonsgegevens voor de Verwerkingsverantwoordelijke verwerkt.
12.2 Voordat het account wordt gesloten, kan de Verwerkingsverantwoordelijke de gegevens van zijn kaarthouders exporteren vanuit het dashboard. Na sluiting verwijdert de Verwerker de persoonsgegevens binnen 14 dagen, en binnen 30 dagen daarna ook uit back-ups, tenzij Unierecht of Nederlands recht opslag voorschrijft.
13. Aansprakelijkheid
De aansprakelijkheid van partijen onder deze Verwerkersovereenkomst wordt beheerst door de beperkingen in artikel 13 van de Algemene Voorwaarden, behalve voor zover de AVG zo'n beperking niet toestaat.
14. Toepasselijk recht
Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in Den Haag (Rechtbank Den Haag).
Bijlage 1. Beschrijving van de verwerking
| Onderdeel | Beschrijving |
|---|---|
| Betrokkenen | Kaarthouders van de Verwerkingsverantwoordelijke; personeel van de Verwerkingsverantwoordelijke wanneer het stempels registreert |
| Persoonsgegevens | Voornaam, e-mailadres, telefoonnummer, taal, geschiedenis van stempels en beloningen met datum, tijd, vestiging en personeelsaccount, registratie van toestemming inclusief IP-adres, kaartkenmerken en pushtokens van apparaten, en gegevens die de Verwerkingsverantwoordelijke toevoegt, zoals geboortedatum, labels en notities; voor personeel optioneel de globale locatie van het apparaat bij het stempelen |
| Bijzondere categorieën | Geen. De Verwerkingsverantwoordelijke voert geen bijzondere categorieën van persoonsgegevens in |
| Aard van de verwerking | Verzamelen, opslaan, ordenen, bijwerken, tonen, berichten versturen, exporteren en verwijderen |
| Doel | Het leveren van het spaarprogramma van de Verwerkingsverantwoordelijke via de Dienst |
| Duur | Voor de looptijd van de Overeenkomst, gevolgd door verwijdering volgens artikel 12 |
Bijlage 2. Subverwerkers
| Subverwerker | Dienst | Locatie | Waarborg bij doorgifte |
|---|---|---|---|
| Hostingprovider | Servers, database, back-ups | Europese Economische Ruimte | Niet van toepassing |
| Resend, Inc. | Versturen van e-mails aan kaarthouders | Verenigde Staten | EU-VS Data Privacy Framework of standaardcontractbepalingen |
| Apple Inc. | Afleveren en bijwerken van Apple Wallet-kaarten | Verenigde Staten | EU-VS Data Privacy Framework of standaardcontractbepalingen |
| Google LLC | Afleveren en bijwerken van Google Wallet-kaarten | Verenigde Staten | EU-VS Data Privacy Framework of standaardcontractbepalingen |
| Cloudflare, Inc. | Botbescherming op het aanmeldformulier | Wereldwijd netwerk | EU-VS Data Privacy Framework of standaardcontractbepalingen |
| Functional Software, Inc. (Sentry) | Foutmonitoring, standaard zonder namen of e-mailadressen | Verenigde Staten | EU-VS Data Privacy Framework of standaardcontractbepalingen |
De Verwerkingsverantwoordelijke kan de volledige naam en locatie van de hostingprovider opvragen via info@mezatap.com.
Bijlage 3. Technische en organisatorische maatregelen
- Versleutelde verbindingen (TLS) voor al het verkeer naar de Dienst
- Wachtwoorden uitsluitend opgeslagen als veilige hash
- Scheiding van gegevens per klantaccount op applicatieniveau
- Rolgebaseerde toegang voor personeel van de Verwerkingsverantwoordelijke
- Snelheidsbeperking en botbescherming op openbare formulieren
- Cryptografisch ondertekende walletkaarten en geheime authenticatietokens per kaart
- Registratie van belangrijke handelingen in het dashboard
- Toegang tot productiesystemen beperkt tot bevoegde personen, met tweestapsverificatie voor beheerdersaccounts
- Regelmatige back-ups en een procedure voor de afhandeling van datalekken
- Verwijdering van gegevens na sluiting van een account, zoals beschreven in artikel 12