Verwerkersovereenkomst

Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van Tafelbon en geldt tussen de zaak (verwerkingsverantwoordelijke) en Tafelbon (verwerker) voor de persoonsgegevens van gasten die Tafelbon in opdracht van de zaak verwerkt. Je gaat ermee akkoord bij het aanmaken van je account.

1. Partijen en rollen

De zaak is verwerkingsverantwoordelijke in de zin van de Algemene verordening gegevensbescherming (AVG). Blom Development, ingeschreven bij de Kamer van Koophandel onder nummer 58891498, Oranje Nassaustraat 17, 5361 CG Grave is verwerker. Begrippen in deze overeenkomst hebben de betekenis die de AVG eraan geeft.

2. Onderwerp, aard en doel

Tafelbon verwerkt persoonsgegevens uitsluitend om de dienst te leveren: het tonen van de menukaart, het aannemen en doorgeven van bestellingen, het afhandelen van betalingen via Mollie, het versturen van bonnen en het maken van statistieken en exports voor de zaak.

3. Categorieën gegevens en betrokkenen

• Betrokkenen: gasten van de zaak en medewerkers van de zaak die het dashboard gebruiken.
• Gegevens: bestelgegevens (producten, tafel, tijdstip, opmerkingen, fooi), betaalstatus en betaalmethode, e-mailadres voor de bon, en naam, e-mailadres en rol van medewerkers.
• Er worden geen bijzondere categorieën persoonsgegevens gevraagd. Gasten kunnen in opmerkingen vrijwillig bijvoorbeeld een allergie vermelden; die opmerking wordt alleen aan de zaak getoond.

4. Duur

Deze overeenkomst loopt zolang Tafelbon in opdracht van de zaak persoonsgegevens verwerkt en eindigt automatisch na verwijdering van de gegevens zoals beschreven in artikel 11.

5. Instructies

Tafelbon verwerkt de gegevens alleen op basis van schriftelijke instructies van de zaak. De algemene voorwaarden, deze overeenkomst en de instellingen die de zaak in het dashboard kiest, gelden als die instructies. Is Tafelbon wettelijk verplicht tot een andere verwerking, dan informeert Tafelbon de zaak daarover vooraf, tenzij dat wettelijk verboden is.

6. Geheimhouding

Iedereen die namens Tafelbon toegang heeft tot de gegevens is tot geheimhouding verplicht.

7. Beveiliging

Tafelbon neemt passende technische en organisatorische maatregelen (artikel 32 AVG), waaronder:

• versleuteling van alle verbindingen (TLS) en versleutelde opslag van koppelingen met Mollie (AES-256-GCM);
• toegang tot gegevens alleen voor geauthenticeerde gebruikers van de eigen zaak, met rollen (beheerder en medewerker);
• schrijven van gegevens uitsluitend server-side, met validatie van alle invoer;
• rate limiting op publieke endpoints en monitoring van fouten;
• opslag van de database in de Europese Unie en dagelijkse back-ups;
• toegang tot productiesystemen alleen voor bevoegde personen, met tweestapsverificatie.

8. Subverwerkers

De zaak geeft Tafelbon algemene toestemming om subverwerkers in te schakelen. Tafelbon legt met iedere subverwerker minimaal dezelfde verplichtingen vast als in deze overeenkomst. Op dit moment zijn dat:

• Google Ireland Ltd. / Google LLC (Firebase): database, bestandsopslag en authenticatie;
• Vercel Inc.: hosting van de applicatie (regio Frankfurt);
• Resend Inc.: versturen van e-mail;
• Functional Software Inc. (Sentry): foutmonitoring.

Mollie B.V. verwerkt betalingen als zelfstandig verwerkingsverantwoordelijke op basis van de overeenkomst tussen de zaak en Mollie. Tafelbon kondigt een nieuwe of vervangende subverwerker minimaal 30 dagen van tevoren aan. De zaak kan binnen die termijn gemotiveerd bezwaar maken; komen partijen er niet uit, dan kan de zaak de overeenkomst kosteloos beëindigen.

9. Doorgifte buiten de EER

Doorgifte van gegevens naar landen buiten de Europese Economische Ruimte vindt alleen plaats als daarvoor een geldige grondslag bestaat, zoals het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie.

10. Bijstand

Tafelbon helpt de zaak bij het beantwoorden van verzoeken van betrokkenen, onder meer via de export- en verwijderfuncties in het dashboard. Komt een verzoek bij Tafelbon binnen, dan stuurt Tafelbon het door naar de zaak. Tafelbon helpt de zaak ook bij een eventuele gegevensbeschermingseffectbeoordeling, voor zover dat redelijkerwijs van Tafelbon kan worden verwacht.

11. Datalekken

Tafelbon informeert de zaak zonder onredelijke vertraging, en uiterlijk binnen 48 uur na ontdekking, over een inbreuk in verband met persoonsgegevens. Tafelbon geeft daarbij alle informatie die de zaak redelijkerwijs nodig heeft om aan een eventuele meldplicht bij de Autoriteit Persoonsgegevens en betrokkenen te voldoen, en neemt maatregelen om de gevolgen te beperken.

12. Einde en verwijdering

De zaak kan de gegevens op ieder moment exporteren via het dashboard. Na verwijdering van de zaak verwijdert Tafelbon de persoonsgegevens binnen 30 dagen, ook uit back-ups zodra die volgens het back-upschema verlopen (uiterlijk na 14 weken), tenzij bewaring wettelijk verplicht is.

13. Audit

Tafelbon stelt alle informatie beschikbaar die nodig is om naleving van deze overeenkomst aan te tonen. De zaak kan maximaal eenmaal per jaar, op eigen kosten en na redelijke aankondiging, een audit laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding is verplicht.

14. Aansprakelijkheid en recht

Voor aansprakelijkheid geldt de regeling uit de algemene voorwaarden. Op deze overeenkomst is Nederlands recht van toepassing. Bij strijdigheid gaat deze verwerkersovereenkomst voor op de algemene voorwaarden, voor zover het de verwerking van persoonsgegevens betreft.