Partijen
De zakelijke klant is de verwerkingsverantwoordelijke. GastVonk, Oude Dijk 75, 7588 RV Beuningen, KvK 70070423, is de verwerker. Deze overeenkomst maakt deel uit van de hoofdovereenkomst tussen beide partijen.
1. Onderwerp en duur
GastVonk verwerkt persoonsgegevens uitsluitend om de afgesproken kassa-, bestel-, reserverings-, klant-, personeels-, rapportage- en supportfuncties te leveren. De verwerking duurt zolang de hoofdovereenkomst loopt en daarna alleen zolang dat nodig is voor verwijdering, teruggave, back-ups of een wettelijke verplichting.
2. Instructies en verantwoordelijkheid
GastVonk verwerkt persoonsgegevens alleen op gedocumenteerde instructies van de klant, waaronder de overeenkomst, instellingen en rechtmatige opdrachten van bevoegde gebruikers. GastVonk informeert de klant als een instructie volgens GastVonk in strijd is met de AVG of andere privacywetgeving, tenzij de wet dit verbiedt.
De klant bepaalt doelen en middelen van de verwerking, zorgt voor geldige grondslagen en informatie aan betrokkenen en voert geen onrechtmatige of onnodige gegevens in. Bijzondere persoonsgegevens zijn niet bedoeld voor de dienst.
3. Betrokkenen en gegevens
| Onderdeel | Beschrijving |
|---|---|
| Betrokkenen | Gasten, reserveringscontacten, loyaliteitsklanten, medewerkers, gebruikers en zakelijke contactpersonen van de klant |
| Contactgegevens | Naam, telefoonnummer, e-mailadres en eventuele reserveringsnotities |
| Horecagegevens | Reserveringen, tafel- en bestelgegevens, tickets, aankoop- en loyaliteitshistorie en voorkeuren die de klant invoert |
| Medewerkers | Naam, rol, rechten, inlog- of pincodegegevens, transacties en auditgegevens |
| Technisch | Apparaat-, netwerk-, log-, beveiligings- en supportgegevens |
| Betaling | Betaalwijze, bedrag, status en transactiereferentie; geen volledige kaartgegevens als een betaalprovider die rechtstreeks verwerkt |
4. Geheimhouding
Personen die onder gezag van GastVonk toegang hebben tot persoonsgegevens zijn tot geheimhouding verplicht en krijgen alleen toegang voor zover dat nodig is voor hun taak. De verplichting blijft na afloop bestaan.
5. Beveiliging
GastVonk neemt passende technische en organisatorische maatregelen, waaronder waar passend:
- beveiligde verbindingen en versleuteling tijdens transport;
- rolgebaseerde toegang, sterke beheeraccounts en beperkte bevoegdheden;
- logging, monitoring en procedures voor beveiligingsincidenten;
- tijdige beveiligingsupdates en beheer van kwetsbaarheden;
- back-up- en herstelmaatregelen passend bij de dienst;
- afspraken, beoordeling en beperkte toegang voor leveranciers;
- periodieke beoordeling van risico’s en beveiligingsmaatregelen.
De maatregelen houden rekening met de stand van de techniek, kosten, aard en omvang van de verwerking en risico’s voor betrokkenen. GastVonk mag maatregelen wijzigen zolang het beschermingsniveau niet wezenlijk lager wordt.
6. Subverwerkers
De klant geeft algemene schriftelijke toestemming voor het inschakelen van subverwerkers die nodig zijn voor hosting, opslag, e-mail, formulieren, betalingen, support en beveiliging. GastVonk legt hun ten minste dezelfde privacyverplichtingen op als in deze overeenkomst en blijft verantwoordelijk voor hun werkzaamheden voor zover de AVG dat bepaalt.
Een actuele lijst is opvraagbaar via info@gastvonk.nl. GastVonk meldt een voorgenomen toevoeging of vervanging vooraf. De klant kan binnen 14 dagen gemotiveerd bezwaar maken op privacygronden. Partijen zoeken dan een werkbare oplossing; lukt dat niet, dan kan het getroffen onderdeel worden beëindigd.
7. Doorgifte buiten de EER
GastVonk laat persoonsgegevens alleen buiten de Europese Economische Ruimte verwerken als dat rechtmatig is, bijvoorbeeld op basis van een adequaatheidsbesluit, standaardcontractbepalingen van de Europese Commissie of een andere geldige waarborg. Op verzoek verstrekt GastVonk informatie over de gebruikte waarborg.
8. Rechten van betrokkenen en toezicht
GastVonk helpt de klant, rekening houdend met de aard van de verwerking, bij verzoeken om inzage, correctie, verwijdering, beperking, bezwaar en dataportabiliteit. Ontvangt GastVonk rechtstreeks een verzoek, dan stuurt zij dit door naar de klant en reageert zij niet inhoudelijk zonder instructie, behalve wanneer de wet dat verlangt.
GastVonk verleent redelijke ondersteuning bij risicoanalyses, DPIA’s, voorafgaande raadpleging en vragen van toezichthouders voor zover dit verband houdt met de door GastVonk uitgevoerde verwerking.
9. Datalekken
GastVonk meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging nadat zij daarvan kennis heeft genomen. De melding bevat, voor zover beschikbaar, aard en omvang, waarschijnlijke gevolgen, genomen of voorgestelde maatregelen en een contactpunt. GastVonk werkt mee aan onderzoek en beperking van de gevolgen. De klant beslist over meldingen aan toezichthouders en betrokkenen.
10. Informatie en controle
GastVonk verstrekt informatie die redelijkerwijs nodig is om naleving van artikel 28 AVG aan te tonen. De klant mag eenmaal per jaar, en vaker na een ernstig incident, een controle laten uitvoeren door een onafhankelijke, geheimhoudingsplichtige deskundige. Dit gebeurt met minimaal 30 dagen aankondiging, zonder onnodige verstoring en voor rekening van de klant, tenzij een wezenlijke tekortkoming van GastVonk wordt vastgesteld.
11. Teruggave en verwijdering
Na afloop van de hoofdovereenkomst geeft GastVonk de klant gedurende 30 dagen gelegenheid beschikbare gegevens in een gangbaar formaat op te vragen. Daarna verwijdert of anonimiseert GastVonk persoonsgegevens, tenzij wettelijke bewaring verplicht is. Gegevens in beveiligde back-ups worden volgens de normale bewaarcirculatie verwijderd en worden in de tussentijd niet voor andere doelen gebruikt.
12. Rangorde en contact
Bij strijd over de verwerking van persoonsgegevens gaat deze verwerkersovereenkomst voor op de algemene voorwaarden. Voor overige onderwerpen, waaronder aansprakelijkheid, duur en toepasselijk recht, geldt de hoofdovereenkomst. Privacyvragen kunnen naar info@gastvonk.nl.