Verwerkersovereenkomst

§ 1 Onderwerp en duur

De Verwerker stelt de Verwerkingsverantwoordelijke de SaaS-platform „Bookicorn" ter beschikking voor het beheer van cursusboekingen, klantgegevens en betalingstransacties. De verwerking vindt plaats voor de duur van de gebruiksovereenkomst (Studiovoorwaarden). Bij beëindiging van de overeenkomst eindigt ook deze verwerkersovereenkomst.

§ 2 Aard, doel en omvang van de verwerking

De Verwerker verwerkt de volgende gegevenscategorieën in opdracht van de Verwerkingsverantwoordelijke:

• Stamgegevens: naam, e-mail, telefoonnummer van de eindklanten van het Studio
• Boekingsgegevens: geboekte cursussen, tijdstippen, annuleringen, boekingsgeschiedenis
• Betalingsgegevens: transactie-ID's, betalingsstatus (geen volledige kaartgegevens)
• Toegangsgegevens: versleutelde wachtwoorden, sessietokens
• Communicatiegegevens: e-mails, chatberichten
• Technische gegevens: IP-adressen, browserinformatie

Betrokkenen: eindklanten van het Studio, trainers, Studio-exploitanten.

§ 3 Verplichtingen van de Verwerker

De Verwerker verplicht zich:

• gegevens uitsluitend te verwerken op gedocumenteerde instructie van de Verwerkingsverantwoordelijke
• alle betrokken personen tot geheimhouding te verplichten
• passende technische en organisatorische maatregelen (TOM's) conform art. 32 AVG te implementeren
• de Verwerkingsverantwoordelijke te ondersteunen bij het vervullen van rechten van betrokkenen
• datalekken onverwijld te melden conform art. 33 AVG
• na afloop van de overeenkomst alle gegevens te verwijderen (behoudens wettelijke bewaarplichten)

De verwerking omvat met name: opslag en beheer van eindklantgegevens in de database, verwerking van boekings- en betalingstransacties, verzending van e-mailmeldingen namens het Studio, beschikbaarstelling van het chatsysteem voor communicatie, het opstellen van facturen en uitbetalingsrapporten, technische support en foutoplossing.

De toegang tot persoonsgegevens van de Verwerkingsverantwoordelijke is beperkt tot die medewerkers en gemachtigden van de Verwerker die deze toegang nodig hebben voor het vervullen van hun contractuele verplichtingen. Een naamlijst van toegangsgerechtigde personen wordt op verzoek verstrekt.

§ 4 Verplichtingen van de Verwerkingsverantwoordelijke

De Verwerkingsverantwoordelijke is als enige verantwoordelijk voor: de rechtmatigheid van de verwerking van eindklantgegevens, de naleving van de gegevensbeschermingswetgeving jegens eindklanten, alle inhoud, cursussen, prijzen en dienstverlening.

§ 5 Instructierecht van de Verwerkingsverantwoordelijke

De Verwerker verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de Verwerkingsverantwoordelijke conform art. 28 lid 3 sub a AVG. Mondelinge instructies dienen onverwijld schriftelijk (tekstvorm per e-mail volstaat) te worden bevestigd. Indien de Verwerker een instructie voor onrechtmatig houdt, deelt hij dit onverwijld aan de Verwerkingsverantwoordelijke mee. Hij is gerechtigd de uitvoering van de betreffende instructie op te schorten totdat er duidelijkheid is.

§ 6 Technische en organisatorische maatregelen (TOM's)

• Versleuteling: TLS/HTTPS voor alle overdrachten
• Toegangscontrole: Row Level Security (RLS), rolgebaseerde rechten
• Gegevensopslag in de EU: databaseserver AWS eu-central-1 Frankfurt
• Back-up: automatische dagelijkse back-ups
• Wachtwoordbeveiliging: wachtwoorden uitsluitend als bcrypt-hash
• Monitoring: realtime bewaking van beveiligingsrelevante gebeurtenissen
• Pseudonimisering: waar technisch mogelijk worden persoonsgegevens gepseudonimiseerd verwerkt
• Invoercontrole: registratie van alle gegevenstoegang en -wijzigingen via audit-logs
• Opdrachtcontrole: verwerking uitsluitend conform gedocumenteerde instructies van de Verwerkingsverantwoordelijke
• Beschikbaarheidscontrole: redundante gegevensopslag, automatische failover-mechanismen
• Scheidingsgebod: logische scheiding van gegevens van verschillende Studio's (multi-tenant-architectuur met Row Level Security)

§ 7 Subverwerkers

De Verwerkingsverantwoordelijke stemt in met de inzet van de volgende subverwerkers. Wijzigingen worden minstens 30 dagen vooraf meegedeeld. Voor zover subverwerkers gevestigd zijn in derde landen buiten de EER, vindt de doorgifte plaats op basis van standaardcontractbepalingen (SCC's) conform art. 46 lid 2 sub c AVG of een gelijkwaardig adequaatheidsbesluit van de Europese Commissie.

§ 8 Rechten van betrokkenen

De Verwerker ondersteunt de Verwerkingsverantwoordelijke bij het vervullen van verzoeken om inzage, rectificatie, verwijdering, beperking, overdraagbaarheid van gegevens en bezwaar conform art. 15-22 AVG. Verzoeken kunt u richten aan: hey@bookicorn.net. Na afloop van de overeenkomst: verwijdering van gegevens binnen 30 dagen, gegevensexport op verzoek vooraf mogelijk.

§ 9 Controlerecht van de Verwerkingsverantwoordelijke

De Verwerkingsverantwoordelijke heeft het recht de naleving van deze verwerkersovereenkomst en de AVG door de Verwerker te controleren. Controles kunnen plaatsvinden door middel van documentatieverzoeken, vragenlijsten of, na voorafgaande aankondiging met een redelijke termijn, door inspecties ter plaatse. De Verwerker verstrekt de Verwerkingsverantwoordelijke alle informatie die nodig is om de naleving van deze overeenkomst aan te tonen en maakt controles conform art. 28 lid 3 sub h AVG mogelijk en ondersteunt deze.

§ 10 Melding van datalekken

Bij het bekend worden van een inbreuk op de beveiliging van persoonsgegevens informeert de Verwerker de Verwerkingsverantwoordelijke onverwijld, uiterlijk binnen 72 uur na kennisname. De melding bevat: de aard van de inbreuk, de betrokken gegevenscategorieën en het aantal betrokkenen, de te verwachten gevolgen, alsmede genomen of voorgestelde maatregelen. Voor zover mogelijk worden de gegevens op het moment van de eerste melding verstrekt; aanvulling in delen is toegestaan.

§ 11 Vertrouwelijkheid

De Verwerker verplicht alle bij de verwerking betrokken personen tot geheimhouding. Hij zorgt ervoor dat deze personen alleen toegang hebben tot de gegevens die nodig zijn voor hun betreffende taken (need-to-know-principe). Deze verplichting geldt ook na afloop van de contractuele relatie.

§ 12 Aansprakelijkheid

Elke partij is jegens betrokkenen aansprakelijk voor schade die is ontstaan door een AVG-strijdige verwerking, overeenkomstig art. 82 AVG. In de onderlinge verhouding zijn de partijen aansprakelijk naar evenredigheid van hun aandeel in de verantwoordelijkheid voor de schade. De Verwerker is alleen aansprakelijk indien hij uitdrukkelijke verplichtingen uit deze verwerkersovereenkomst of de AVG heeft geschonden. De aansprakelijkheid van de Verwerker is beperkt tot de jaarlijkse contractwaarde van de gebruiksvergoedingen, voor zover wettelijk toegestaan.

§ 13 Slotbepalingen

• Schriftelijke vorm: wijzigingen van deze verwerkersovereenkomst vereisen tekstvorm (e-mail volstaat).
• Scheidbaarheidsbeding: mochten afzonderlijke bepalingen van deze verwerkersovereenkomst ongeldig zijn of worden, dan blijft de geldigheid van de overige bepalingen onaangetast. De partijen vervangen de ongeldige bepaling door een geldige regeling die het economische doel van de ongeldige bepaling het dichtst benadert.
• Toepasselijk recht: het recht van de Bondsrepubliek Duitsland is van toepassing. Bevoegde rechtbank is, voor zover wettelijk toegestaan, Bexbach, Duitsland.
• Rangorde: bij tegenstrijdigheid tussen deze verwerkersovereenkomst en de hoofdovereenkomst (Studiovoorwaarden) heeft deze verwerkersovereenkomst voorrang in gegevensbeschermingskwesties.

§ 14 Contact

Unicorn Factory Media GmbH
In der Kolling 146, 66450 Bexbach, Duitsland
hey@bookicorn.net