Verwerkersovereenkomst

Begrippen zoals "persoonsgegevens", "verwerking", "verwerkingsverantwoordelijke", "verwerker", "betrokkene", "subverwerker" en "inbreuk in verband met persoonsgegevens" hebben de betekenis die de AVG daaraan geeft.

• •Verwerkingsverantwoordelijke: de salon die Lean Salon gebruikt. Jij bepaalt het doel en de middelen van de verwerking van de persoonsgegevens van jouw klanten en medewerkers.
• •Verwerker: Lean Salon (eenmanszaak, Pijnsweg 29, 6419 CH Heerlen, KvK 42089738). Wij verwerken die gegevens in jouw opdracht, om de dienst te leveren.
• •Subverwerker: een derde partij die wij inschakelen om de dienst te leveren, en die daarbij namens ons persoonsgegevens verwerkt (zie artikel 5).

Deze verwerkersovereenkomst geldt zolang Lean Salon onder onze algemene voorwaarden persoonsgegevens namens jou verwerkt, vanaf de start van je account tot de gegevens zijn verwijderd of teruggegeven volgens artikel 11.

We verwerken persoonsgegevens uitsluitend om de dienst van Lean Salon te leveren: afspraken plannen en beheren, betalingen verwerken, herinneringen en bevestigingen sturen, WhatsApp berichten beantwoorden, marketingcijfers tonen uit accounts die je koppelt en bedrijfsinzichten voor jou als salon maken.

We delen geen contactgegevens van jouw klanten, zoals namen, e-mailadressen of telefoonnummers, met AI-providers. Voordat een WhatsApp bericht het AI-model achter onze WhatsApp assistent bereikt, worden namen van klanten, e-mailadressen, telefoonnummers en bankrekeningnummers automatisch vervangen door plaatshouders. Het model ontvangt het gesprek met deze plaatshouders, jouw behandelingen en openingstijden, en de gegevens van de laatste afspraak van de klant (behandeling, dag en medewerker). Andere informatie die een klant in de chat typt, wordt doorgegeven zoals die is getypt. Andere AI-functies werken uitsluitend met geaggregeerde bedrijfscijfers of leveranciers en productinformatie, nooit met gegevens van individuele klanten. We kunnen verschillende AI-providers gebruiken en van provider wisselen, zie artikel 5.

• •Categorieën betrokkenen: jouw klanten, en jouw medewerkers met een Lean Salon login.
• •Categorieën persoonsgegevens: naam, e-mailadres, telefoonnummer, geboortedatum (als je die vastlegt), afsprakengeschiedenis, betaalstatus, notities die je over een klant toevoegt, en de inhoud van berichten via onze WhatsApp assistent.
• •Bijzondere persoonsgegevens: we vragen of verwachten niet dat je bijzondere persoonsgegevens (bijvoorbeeld gezondheidsgegevens) in vrije tekstvelden invoert, en vragen je dat niet te doen voor zover het niet strikt nodig is voor je dienstverlening.

Wij:

• •Verwerken persoonsgegevens alleen op basis van jouw schriftelijke instructies, ook wat betreft doorgifte buiten de EER, tenzij EU of lidstatelijk recht ons tot iets anders verplicht.
• •Zorgen dat personen die persoonsgegevens mogen verwerken aan geheimhouding zijn gebonden.
• •Nemen passende technische en organisatorische beveiligingsmaatregelen, zoals beschreven in artikel 8.
• •Helpen je, voor zover redelijkerwijs mogelijk, bij het beantwoorden van verzoeken van betrokkenen die hun AVG-rechten uitoefenen (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid, bezwaar).
• •Helpen je bij het nakomen van je eigen verplichtingen uit artikel 32 tot en met 36 AVG (beveiliging, melding van datalekken, gegevensbeschermingseffectbeoordelingen), rekening houdend met de aard van de verwerking en de informatie waarover wij beschikken.
• •Verwijderen of retourneren alle persoonsgegevens aan het einde van de dienstverlening, zoals beschreven in artikel 11.
• •Stellen de informatie beschikbaar die redelijkerwijs nodig is om naleving van deze verwerkersovereenkomst aan te tonen, en maken audits mogelijk zoals beschreven in artikel 10.

Je geeft ons algemene toestemming om de volgende subverwerkers in te schakelen, elk gebonden aan een eigen verwerkersovereenkomst met ons. Elke subverwerker ontvangt alleen de gegevens die nodig zijn voor zijn taak:

• •Microsoft Azure: hosting, infrastructuur en inloggen (Microsoft Entra), in de regio Noord-Europa. Bewaart alle gegevens in Lean Salon.
• •Mollie: betalingsverwerking. Ontvangt de gegevens die nodig zijn voor een betaling, zoals bedrag, omschrijving en betaalmethode.
• •Mailgun: verzenden en ontvangen van e-mail. Ontvangt e-mailadressen, namen en de inhoud van e-mails die we namens jou versturen of ontvangen.
• •Meta (WhatsApp Business Platform): WhatsApp berichten. Ontvangt de telefoonnummers van je klanten, hun WhatsApp profielnaam en de inhoud van WhatsApp berichten, inclusief herinneringen en bevestigingen (bijvoorbeeld voornaam, behandeling en tijdstip) en, waar nodig, het e-mailadres dat een klant gebruikt voor een boeking of cadeaubon. Meta ontvangt van Lean Salon geen geboortedata.
• •Google (Gemini), OpenAI, Anthropic (Claude) en Mistral AI: AI-verwerking zoals beschreven in artikel 3, zonder contactgegevens van klanten.

Als we een subverwerker willen toevoegen of vervangen, laten we je dat vooraf weten (bijvoorbeeld per e-mail of via een melding in het dashboard). Je kunt binnen een redelijke termijn na die melding op redelijke gronden van gegevensbescherming bezwaar maken; als we je bezwaar niet kunnen wegnemen, kan elke partij het betreffende deel van de dienst beëindigen.

We streven ernaar gegevens binnen de Europese Economische Ruimte (EER) te hosten en te verwerken. Onze hostinginfrastructuur (Microsoft Azure) draait in de regio Noord-Europa.

Een aantal van onze subverwerkers (waaronder OpenAI en Anthropic, beide gevestigd in de Verenigde Staten) bevindt zich buiten de EER. Hiervoor hanteren we de door de Europese Commissie goedgekeurde modelcontractbepalingen (Standard Contractual Clauses): https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_en.

We gebruiken gangbare technische en organisatorische maatregelen om persoonsgegevens te beschermen, in lijn met ons privacybeleid:

• •Hosting bij Microsoft Azure (regio Noord-Europa), met versleuteling van gegevens tijdens verzending (TLS) en in rust.
• •Wachtwoorden, API-sleutels en andere geheimen worden nooit in de broncode opgeslagen, maar beheerd via Azure Key Vault.
• •Toegang tot Azure resources verloopt via Managed Identity, zonder langlevende inloggegevens die kunnen uitlekken.
• •Strikte scheiding van gegevens tussen salons op databaseniveau (Row-Level Security), zodat de gegevens van de ene salon nooit toegankelijk zijn voor een andere salon.
• •Rolgebaseerde toegang binnen je eigen dashboard (bijvoorbeeld eigenaar of medewerker), en vastlegging van wijzigingen in klantgegevens.

Als we een inbreuk in verband met persoonsgegevens ontdekken die jouw gegevens raakt, melden we dat zonder onredelijke vertraging aan jou, en in elk geval binnen 48 uur nadat we het hebben ontdekt, zodat je zelf waar nodig binnen 72 uur kunt melden bij de bevoegde toezichthouder voor gegevensbescherming. Onze melding bevat wat we op dat moment weten over de aard van de inbreuk, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen.

Op redelijk schriftelijk verzoek stellen we relevante documentatie beschikbaar waarmee we aantonen dat we deze verwerkersovereenkomst naleven. We staan één keer per kalenderjaar een audit toe, inclusief inspecties, met een redelijke aankondigingstermijn, of direct na een bevestigd datalek. Audits worden zo uitgevoerd dat ze onze bedrijfsvoering en andere klanten niet onredelijk verstoren; redelijke kosten kunnen vooraf worden afgesproken.

Na beëindiging van je gebruik van Lean Salon verwijderen of retourneren we, naar jouw keuze, alle persoonsgegevens die we namens jou hebben verwerkt, en verwijderen we bestaande kopieën, tenzij EU of lidstatelijk recht ons verplicht de gegevens te bewaren (bijvoorbeeld factuurgegevens onder de toepasselijke fiscale bewaarplicht; zie ons privacybeleid voor de bewaartermijnen).

Aansprakelijkheid onder deze verwerkersovereenkomst valt onder de beperking van aansprakelijkheid in onze algemene voorwaarden.

Op deze verwerkersovereenkomst zijn hetzelfde recht en dezelfde bevoegde rechter van toepassing als op onze algemene voorwaarden.

Vragen over deze verwerkersovereenkomst? Mail ons via legal@leansalon.com.