Verwerkersovereenkomst

1.Partijen

• De onderneming die een account bij Usuals heeft: de verwerkingsverantwoordelijke (hierna: jij).
• [statutaire naam], ingeschreven bij de Kamer van Koophandel onder nummer [KvK-nummer], gevestigd op [straat en huisnummer], [postcode en plaats]: de verwerker (hierna: Usuals).

Begrippen als persoonsgegevens, verwerking, betrokkene, subverwerker en inbreuk in verband met persoonsgegevens hebben de betekenis die de Algemene verordening gegevensbescherming (AVG) eraan geeft.

2.Onderwerp en duur

Usuals verwerkt persoonsgegevens van je klanten om de dienst te leveren die in de algemene voorwaarden staat: digitale spaarkaarten in Apple Wallet en Google Wallet, met de scanner, berichten, rapportages en de AI assistent.

Deze overeenkomst loopt zolang je account bestaat, en daarna tot Usuals alle persoonsgegevens heeft verwijderd zoals beschreven in artikel 12.

3.Aard en doel van de verwerking

Usuals verwerkt de gegevens alleen voor deze doelen:

• kaarten aanmaken, in de Wallet zetten en bijwerken;
• stempels, beloningen en bezoeken vastleggen;
• berichten versturen die jij instelt of verstuurt, alleen naar klanten die daar toestemming voor gaven;
• rapportages, klantgroepen en exports voor jou maken;
• gepseudonimiseerde analyses door de AI assistent, op de betaalde plannen;
• je klanten hun eigen gegevens laten inzien en verwijderen;
• support, beveiliging en het voorkomen van misbruik.

Usuals gebruikt de gegevens niet voor eigen doeleinden, verkoopt ze niet en benadert je klanten niet op eigen initiatief.

4.Betrokkenen en persoonsgegevens

Usuals is niet bedoeld voor bijzondere persoonsgegevens, zoals gegevens over gezondheid. Je zet die niet in kaartnamen, beloningen of berichten.

5.Verwerken op jouw instructie

Usuals verwerkt de gegevens alleen op jouw schriftelijke instructie. Je instructies zijn deze overeenkomst en wat je in het dashboard, de scanner en de app instelt en doet. Vindt Usuals dat een instructie in strijd is met de AVG, dan laten we je dat direct weten.

Moet Usuals gegevens verstrekken op grond van de wet, bijvoorbeeld aan een overheidsinstantie, dan laten we je dat vooraf weten, tenzij de wet dat verbiedt.

6.Geheimhouding

Iedereen die bij Usuals toegang heeft tot de gegevens is tot geheimhouding verplicht. Ons supportteam kijkt alleen in je account als dat nodig is voor support of beveiliging. Dat wordt vastgelegd in het logboek van je account.

7.Beveiliging

Usuals neemt passende technische en organisatorische maatregelen, zoals bedoeld in artikel 32 AVG. Daaronder vallen in elk geval:

• versleutelde verbindingen (TLS) voor al het verkeer;
• opslag bij partijen in de EU, in versleutelde opslag;
• gegevens per onderneming gescheiden, met toegang per rol (eigenaar of medewerker);
• wachtwoorden alleen als hash, en sessies die verlopen;
• QR codes met een ondertekende code in plaats van een klantnummer;
• limieten op aanmelden, inloggen en scannen;
• een logboek van belangrijke handelingen, waaronder toegang door support;
• pseudonimisering van gegevens die naar de AI assistent gaan;
• back-ups, regelmatige updates en toegang voor zo min mogelijk mensen;
• geen echte klantgegevens in test- en ontwikkelomgevingen.

Usuals mag deze maatregelen aanpassen als dat nodig is, zolang het beveiligingsniveau niet omlaag gaat.

8.Subverwerkers

Je geeft Usuals algemene toestemming om subverwerkers in te schakelen. Dit zijn de subverwerkers op dit moment:

Usuals legt subverwerkers minstens dezelfde verplichtingen op als in deze overeenkomst, en blijft tegenover jou verantwoordelijk voor hun werk. Een nieuwe of vervangende subverwerker laten we je minstens 30 dagen vooraf weten. Heb je een gegronde reden om bezwaar te maken, dan zoeken we samen een oplossing. Lukt dat niet, dan kun je de overeenkomst beëindigen.

9.Doorgifte buiten de EER

Usuals geeft persoonsgegevens alleen door naar landen buiten de Europese Economische Ruimte als daar passende waarborgen voor zijn: een adequaatheidsbesluit van de Europese Commissie, zoals het EU-VS Data Privacy Framework, of standaardcontractbepalingen met aanvullende maatregelen waar dat nodig is.

10.Datalekken

Ontdekt Usuals een inbreuk in verband met persoonsgegevens die jouw gegevens raakt, dan laten we je dat zonder onnodige vertraging weten, en uiterlijk 48 uur na de ontdekking. Zo kun je zelf binnen 72 uur melden bij de Autoriteit Persoonsgegevens als dat nodig is.

We geven je daarbij wat we weten over:

• de aard van het lek en wanneer het gebeurde;
• de soorten gegevens en het geschatte aantal betrokkenen;
• de waarschijnlijke gevolgen;
• de maatregelen die we hebben genomen of voorstellen;
• een contactpersoon voor meer informatie.

We helpen je bij een melding aan de toezichthouder of aan betrokkenen, en houden een overzicht bij van alle lekken.

11.Rechten van betrokkenen en andere hulp

Je klanten zien en verwijderen hun gegevens zelf via de link op hun kaart. Krijgt Usuals een ander verzoek van een betrokkene, dan sturen we dat zonder onnodige vertraging aan je door en helpen we je het binnen de wettelijke termijn af te handelen.

Usuals helpt je ook, voor zover redelijk, bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij vragen van de Autoriteit Persoonsgegevens.

12.Teruggave en verwijdering

Zolang je account bestaat, exporteer je de gegevens van je klanten als CSV. Na het einde van de overeenkomst verwijdert Usuals alle persoonsgegevens binnen 30 dagen, tenzij de wet ons verplicht ze langer te bewaren. Back-ups worden binnen 35 dagen daarna overschreven. Op verzoek bevestigen we de verwijdering schriftelijk.

13.Audit

Usuals geeft je op verzoek de informatie die nodig is om aan te tonen dat we ons aan deze overeenkomst houden. Je mag maximaal één keer per jaar een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht. Je laat dat minstens 30 dagen vooraf weten en draagt de kosten. Blijkt uit de audit dat we ons niet aan deze overeenkomst houden, dan lossen we dat op onze kosten op.

14.Aansprakelijkheid

Voor de aansprakelijkheid onder deze overeenkomst gelden de afspraken in de algemene voorwaarden. Daarnaast is ieder van ons aansprakelijk zoals bepaald in artikel 82 AVG.

15.Slotbepalingen

Spreken deze overeenkomst en de algemene voorwaarden elkaar tegen over de verwerking van persoonsgegevens, dan gaat deze overeenkomst voor. Op deze overeenkomst is Nederlands recht van toepassing. Wijzigingen laten we je minstens 30 dagen vooraf weten, tenzij ze nodig zijn om aan de wet te voldoen.

Deze overeenkomst is ook in het Engels beschikbaar. Bij verschil tussen de versies geldt de Nederlandse tekst.