Verwerkersovereenkomst

De Verwerker verwerkt gegevens alleen om de dienst Fadevo aan de barbershop te leveren, zolang het abonnement loopt en tijdens de bewaartermijn uit sectie 9.

• Klanten van de barbershop: naam, mobiel nummer, e-mail (optioneel), notities en wensen, geschiedenis van afspraken, no-shows, punten en beloningen, uitnodigingen aan vrienden, klantaccount en communicatievoorkeuren.
• Team van de barbershop: naam, foto, functie, bio, werktijden, toegewezen afspraken en, voor wie toegang heeft tot het dashboard, e-mailadres en sessiegegevens.

Het is niet de bedoeling bijzondere categorieën van gegevens te verwerken (bijvoorbeeld gezondheidsgegevens). De barbershop mag die niet in notities invullen.

De Verwerker verwerkt gegevens alleen volgens de gedocumenteerde instructies van de barbershop: die in deze voorwaarden en die de barbershop geeft door het dashboard te gebruiken (bijvoorbeeld een klant aanmaken, wijzigen of verwijderen). Lijkt een instructie in strijd met de wet, dan meldt de Verwerker dat aan de barbershop.

De personen die bij de Verwerker gemachtigd zijn de gegevens te verwerken, zijn tot geheimhouding verplicht.

• Versleutelde communicatie (HTTPS) en versleuteld opgeslagen wachtwoorden.
• Scheiding van de gegevens van elke barbershop door regels in de database zelf (elke barbershop heeft alleen toegang tot zijn eigen gegevens).
• Toegang per rol (eigenaar, manager, barber) en beheerderstoegang van Fadevo beveiligd met verificatie in twee stappen en vastgelegd in een logboek.
• Database gehost in de Europese Unie (Frankfurt), met de back-ups van de leverancier.
• Dataminimalisatie: voor afspraken zijn alleen naam en mobiel nummer verplicht.

De barbershop geeft de Verwerker toestemming de volgende subverwerkers in te schakelen, die gelijkwaardige verplichtingen op het gebied van gegevensbescherming hebben:

• Supabase (database en authenticatie; gegevens opgeslagen in Frankfurt, Duitsland).
• Vercel (hosting van de site en het dashboard).
• Resend (versturen van bevestigings- en herinneringsmails en inlogcodes).

Als een subverwerker buiten de Europese Unie zit, gebeurt de doorgifte op basis van het EU-VS-gegevensprivacykader of standaardcontractbepalingen. De Verwerker meldt elke voorgenomen wijziging van deze lijst minstens 30 dagen vooraf aan de barbershop; de barbershop kan bezwaar maken en het abonnement opzeggen.

Met het dashboard kan de barbershop de gegevens van klanten inzien, corrigeren, exporteren en anonimiseren, en klanten kunnen hun gegevens downloaden of verwijderen in de klantomgeving. Neemt een klant rechtstreeks contact op met de Verwerker, dan stuurt de Verwerker het verzoek door naar de barbershop.

Als de Verwerker kennis krijgt van een inbreuk in verband met persoonsgegevens die de barbershop raakt, meldt hij dat zonder onnodige vertraging en waar mogelijk binnen 48 uur aan de barbershop, met de beschikbare informatie, zodat de barbershop zijn verplichtingen kan nakomen (inclusief melding aan de toezichthouder binnen 72 uur, waar van toepassing).

Als het abonnement eindigt, worden de gegevens 12 maanden bewaard zodat de barbershop terug kan komen, en daarna verwijderd, tenzij de wet bewaren verplicht. Daarvóór kan de barbershop de gegevens van zijn klanten exporteren en vragen om eerdere verwijdering.

De Verwerker stelt de informatie beschikbaar die nodig is om naleving van deze overeenkomst aan te tonen en werkt mee aan redelijke audits, na voorafgaande aankondiging.

Als verwerkingsverantwoordelijke zorgt de barbershop dat hij een rechtsgrond heeft om de gegevens van zijn klanten te verwerken, informeert hij hen over de verwerking (de site van elke barbershop bevat een basisprivacybeleid, dat de barbershop moet controleren en aanvullen) en behandelt hij de verzoeken van betrokkenen.