Verwerkersovereenkomst

tussen

het bedrijf dat de bedrijfssoftware gebruikt, met de gegevens uit zijn colofon op het platform — als verwerkingsverantwoordelijke, hierna ‘de Klant’ —

en

SavePaperwork, eigenaar Andreas Gerum, Höfatsstraße 16, 86163 Augsburg, Duitsland — als verwerker, hierna ‘de Aanbieder’. Contactpunt voor instructies en gegevensbescherming is het e-mailadres dat in het colofon staat vermeld.

Preambule

(1) De Aanbieder stelt de Klant een software-as-a-serviceplatform ter beschikking voor het beheer van zijn bedrijf, met de in § 1 lid 3 genoemde functies, afhankelijk van het geboekte product en tarief. Daarbij verwerkt hij persoonsgegevens in opdracht en volgens de instructies van de Klant. De Klant is voor die verwerking verwerkingsverantwoordelijke in de zin van art. 4 punt 7 AVG.

(2) Deze overeenkomst maakt deel uit van de overeenkomst voor het gebruik van het platform (hoofdovereenkomst, AV). Bij strijdigheid gaat zij in kwesties van gegevensbescherming voor, ook boven de regels van de AV over verwijdering na het einde van de overeenkomst.

(3) De volgende verwerkingen vallen niet onder deze overeenkomst; daarvoor is de Aanbieder zelf verwerkingsverantwoordelijke, en zijn privacyverklaring beschrijft ze:

1. contract-, facturerings- en betalingsgegevens van de Klant en zijn gebruikers jegens de Aanbieder (abonnement, aanvullende diensten, sms-tegoed);
2. het platformbrede klantaccount (§ 2 lid 4);
3. de bereikmeting en gebruiksanalyse op de pagina's van het platform, ook op de website, de boekingspagina en het klantenportaal van de Klant en in zijn beheeromgeving (Bijlage 3, nr. 2 en 3);
4. contact-, feedback- en supportverzoeken aan de Aanbieder.

De Aanbieder vermeldt deze verwerkingen in Bijlage 3, zodat de Klant zijn klanten en werknemers juist kan informeren.

§ 1 Onderwerp, aard, doel en duur van de verwerking

(1) Onderwerp: het ter beschikking stellen en exploiteren van het platform en de daarmee samenhangende verwerking van persoonsgegevens voor het beheer van afspraken, klanten, voertuigen, opdrachten, personeel en facturering van de Klant.

(2) Aard: verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending (aan de gemachtigde gebruikers van de Klant, aan de betrokkene zelf en aan de in Bijlage 2 en 3 genoemde partijen), aligneren, combineren, afschermen, anonimiseren en wissen, telkens geautomatiseerd binnen het platform.

(3) Doel: uitsluitend het leveren van de overeengekomen diensten, voor zover de Klant daarvan gebruikmaakt:

Verwerking voor eigen doeleinden van de Aanbieder — in het bijzonder reclame, profilering, verstrekking aan derden voor hun eigen doeleinden en het trainen van AI-modellen — vindt met de gegevens onder deze overeenkomst niet plaats. Preambule lid 3 blijft onverlet.

(4) Duur: de looptijd van de hoofdovereenkomst. Deze overeenkomst eindigt niet voordat de verplichtingen uit § 9 zijn nagekomen.

§ 2 Betrokkenen en categorieën van gegevens

(1) Betrokkenen

• klanten van de Klant: personen die een afspraak boeken, aanvragen of nakomen, in het klantenbestand staan, een voertuig brengen, een kostenraming goedkeuren of een factuur ontvangen;
• houders en bestuurders van voertuigen, voor zover zij zelf geen klant zijn;
• werknemers van de Klant (als resource in de agenda, als persoon die werk uitvoert of controleert, als houder van een medewerkersaccount);
• sollicitanten;
• beoordelaars (Google-reviews van het bedrijf die op zijn website worden getoond);
• derden die de Klant in vrije tekst vastlegt (bijv. begeleiders).

(2) Categorieën van gegevens — alle producten

(3) Categorieën van gegevens — alleen Werkstattsystem

Tijdregistratie, kwaliteitscontrole en werkposten zijn werknemersgegevens die betrekking hebben op prestaties. Of en hoe de Klant ze evalueert, valt onder zijn verantwoordelijkheid; de Aanbieder evalueert ze niet.

(4) Het klantaccount. Een klantaccount (e-mail, wachtwoordhash, voor- en achternaam, telefoon, taal, profielfoto, bevestigings- en resetkenmerken, tijdstip van de toestemming om afspraken bij praktijken te tonen onder ‘Mijn afspraken’) geldt platformbreed: dezelfde aanmelding werkt bij elk bedrijf, en elk klantenportaal toont alleen de gegevens van het betreffende bedrijf. Voor het klantaccount zelf is de Aanbieder verwerkingsverantwoordelijke (preambule lid 3 nr. 2). De klantkaart en de afspraken, voertuigen, werkorders en facturen bij de Klant zijn verwerking in opdracht onder deze overeenkomst. De koppeling tussen account en klantkaart ontstaat bij de eerste boeking en alleen bij een bevestigd e-mailadres.

(5) Bijzondere categorieën (art. 9 AVG) en gegevens als bedoeld in art. 10 AVG

a) Gezondheidsregime. Geen enkel veld van het platform is bestemd voor gegevens over de gezondheid van klanten. Bij een Klant in een branche als bedoeld in Bijlage 4 (zorgpraktijken) is echter al het feit dat iemand een afspraak heeft gemaakt een gegeven over gezondheid (art. 9 lid 1 AVG), evenals de gekozen dienst en de behandelende persoon. Voor het maken van afspraken baseert de Klant zich doorgaans op art. 6 lid 1 onder b in samenhang met art. 9 lid 2 onder h AVG; herinneringen en beoordelingsverzoeken vallen niet onder die grondslag (§ 5 nr. 6). Voor Klanten die onder Bijlage 4 vallen, geldt het volgende, wijzigbaar in de boekingsinstellingen:

1. Herinneringen en beoordelingsverzoeken staan uit totdat de Klant ze inschakelt nadat hij de toestemming van zijn patiënten heeft verkregen. Wie geen toestemming heeft gegeven of die intrekt, krijgt op de klantkaart de aantekening ‘geen herinneringen of beoordelingsverzoeken’ en ontvangt er geen.
2. Herinneringen per e-mail en sms vermelden de dienst niet.
3. Afgeronde afspraken worden na de bewaartermijn verwijderd, niet geanonimiseerd (§ 9 lid 4).
4. Op de website, de boekingspagina, het klantenportaal en de beheeromgeving van de Klant draait geen sessie-opname (Bijlage 3, nr. 3); de cookieloze bereikmeting (Bijlage 3, nr. 2) blijft.
5. In het platformbrede klantaccount verschijnen afspraken bij de Klant alleen als de persoon daar uitdrukkelijk toestemming heeft gegeven. De toestemming wordt met tijdstip opgeslagen en kan daar worden ingetrokken.
6. Het boekingsformulier noemt de Klant als verwerkingsverantwoordelijke en de Aanbieder als de partij die de afspraken namens hem beheert.

b) Vrije tekst. In notities bij klantkaarten, afspraken, verzoeken, voertuigen en defecten kunnen gegevens terechtkomen zoals allergieën, huidgevoeligheid, zwangerschap of medicatie, en in werkplaatsnotities gegevens over de toedracht van een ongeval of over een strafrechtelijke procedure. Of zulke gegevens worden vastgelegd, beslist de Klant; hij heeft daarvoor een eigen rechtsgrondslag nodig (bij art. 9 AVG doorgaans uitdrukkelijke toestemming). Het platform biedt geen bijzondere bescherming per veld: wie een klantkaart of een afspraak mag inzien, ziet ook de vrije tekst daarvan.

c) Ziekte van werknemers. Het afwezigheidstype ‘ziekte’ en de herkomst ‘ziekmelding’ leggen het feit van een ziekte vast. De rechtsgrondslag en de toegangsregels vallen onder de verantwoordelijkheid van de Klant. Een ziekteoorzaak is geen veld en hoort niet in de vrije tekst te worden geschreven.

d) Minderjarigen. Het platform vraagt niet naar de leeftijd. Of de Klant boekingen door minderjarigen aanvaardt, beslist hij zelf.

§ 3 Instructies

(1) De Aanbieder verwerkt de gegevens uitsluitend op basis van gedocumenteerde instructies van de Klant, ook wat betreft doorgiften naar derde landen (§ 7). De basisinstructie bestaat uit de hoofdovereenkomst, de dienstbeschrijving en deze overeenkomst.

(2) Als gedocumenteerde afzonderlijke instructies gelden de instellingen die de Klant op het platform kiest, in het bijzonder: bewaartermijnen voor afspraken en sollicitaties (§ 9 lid 4 en 5), herinneringen en beoordelingsverzoeken, sms-herinneringen per niveau, het gebruik van de AI-assistent (§ 7 lid 2) en van de kentekenopvraging (§ 7 lid 4), het inrichten van een bedrijfsmailbox, de weergave van Google-reviews, het publiceren van vacatures, de vervolgherinnering per dienst en het werkgebied en de reistijd voor afspraken bij de klant.

(3) Verdere instructies geeft de Klant in tekstvorm aan het contactpunt van de Aanbieder. Bevoegd om instructies te geven zijn de accounthouder en de personen die het bedrijf daarvoor aanwijst; op het platform bovendien medewerkersaccounts met de rol ‘leiding’, voor zover zij instellingen kunnen wijzigen.

(4) Acht de Aanbieder een instructie onrechtmatig, dan stelt hij de Klant daarvan onverwijld in kennis (art. 28 lid 3 tweede alinea AVG) en mag hij de uitvoering ervan opschorten totdat de instructie is bevestigd of gewijzigd.

§ 4 Verplichtingen van de Aanbieder

De Aanbieder

1. verwerkt de gegevens uitsluitend overeenkomstig § 3;
2. verplicht alle personen die toegang hebben tot de gegevens tot vertrouwelijkheid, voor zover zij niet aan een wettelijke geheimhoudingsplicht zijn onderworpen;
3. neemt de technische en organisatorische maatregelen als bedoeld in art. 32 AVG die in Bijlage 1 zijn beschreven en houdt ze actueel; wezenlijke verslechteringen zijn uitgesloten;
4. leeft de voorwaarden voor subverwerkers volgens § 6 na;
5. ondersteunt de Klant bij verzoeken van betrokkenen (art. 12 tot en met 22 AVG). Het platform stelt de Klant in staat klantkaarten, afspraken, voertuigen en sollicitaties in te zien, te corrigeren en te verwijderen. Op verzoek maakt de Aanbieder binnen 14 dagen een volledige machineleesbare export per persoon als csv-bestand. Neemt een betrokkene contact op met de Aanbieder, dan stuurt hij het verzoek onverwijld door aan de Klant; heeft het verzoek betrekking op het klantaccount (§ 2 lid 4), dan beantwoordt de Aanbieder het zelf;
6. ondersteunt de Klant bij de verplichtingen uit art. 32 tot en met 36 AVG;
7. meldt inbreuken in verband met persoonsgegevens onverwijld nadat hij er kennis van heeft gekregen aan de Klant, uiterlijk binnen 48 uur, met de informatie als bedoeld in art. 33 lid 3 AVG voor zover beschikbaar, en vult die doorlopend aan;
8. wijst Andreas Gerum, bereikbaar via het contactpunt, aan als contactpersoon voor gegevensbescherming en, voor zover wettelijk voorgeschreven, een functionaris voor gegevensbescherming;
9. stelt de Klant alle informatie ter beschikking die nodig is om de naleving van deze verplichtingen aan te tonen (§ 8);
10. informeert de Klant onverwijld over controles en maatregelen van een toezichthoudende autoriteit, voor zover die deze overeenkomst betreffen, en over verzoeken van autoriteiten om gegevens van de Klant, voor zover dat wettelijk is toegestaan.

§ 4a Beroepsgeheim (§ 203 Duits Wetboek van Strafrecht)

(1) Toepassingsgebied. Deze paragraaf is van toepassing als de Klant of een persoon die voor hem werkt behoort tot de personen genoemd in § 203 lid 1 of 2 van het Duitse Wetboek van Strafrecht (StGB) — in het bijzonder artsen, tandartsen, dierenartsen en beoefenaars van een zorgberoep waarvoor de uitoefening of het voeren van de beroepstitel een door de staat geregelde opleiding vereist (bijv. fysiotherapie, ergotherapie, logopedie, podotherapie).

(2) Medewerkende persoon. De Aanbieder werkt mee aan de beroepswerkzaamheden van de Klant in de zin van § 203 lid 3 tweede zin StGB. Hij verbindt zich ertoe alle geheimen van derden die hem bij of naar aanleiding van zijn werkzaamheden voor de Klant bekend worden, geheim te houden, ook na het einde van deze overeenkomst. Hij is ervan op de hoogte dat hij zich volgens § 203 lid 4 eerste zin StGB strafbaar maakt als hij een dergelijk geheim onbevoegd openbaart.

(3) Kennisneming alleen waar nodig. De Aanbieder neemt alleen kennis van geheimen van derden voor zover dat nodig is voor de uitvoering van deze overeenkomst, bijvoorbeeld voor het verhelpen van een fout op verzoek van de Klant.

(4) Eigen personeel. De Aanbieder verplicht iedere persoon die bij hem toegang tot de gegevens krijgt, vóór aanvang van de werkzaamheden in tekstvorm tot geheimhouding en wijst die persoon op de strafbaarheid volgens § 203 lid 4 StGB.

(5) Subverwerkers. Schakelt de Aanbieder subverwerkers in (§ 6, Bijlage 2), dan zorgt hij ervoor dat zij tot geheimhouding verplicht zijn en op hun beurt hun personeel en verdere onderaannemers daartoe verplichten (§ 203 lid 4 tweede zin nr. 2 StGB). De hostingdienstverlener (Bijlage 2, nr. 1 en 2) en de sms-dienstverlener (nr. 3) zetten volgens hun contracten alleen personen in die tot vertrouwelijkheid zijn verplicht. In de objectopslag (nr. 4) worden geen gegevens van patiënten bewaard. De AI-assistent (nr. 5 tot en met 7) is niet beschikbaar voor Klanten als bedoeld in lid 1.

(6) Melding. Heeft de Aanbieder reden om aan te nemen dat een geheim onbevoegd is geopenbaard, dan informeert hij de Klant onverwijld; § 4 nr. 7 is van overeenkomstige toepassing.

§ 5 Verplichtingen van de Klant

De Klant

1. is verantwoordelijk voor de rechtmatigheid van de verwerking, in het bijzonder voor een rechtsgrondslag voor herinneringen per e-mail en sms, herinneringen aan onderhouds- en keuringsdata, beoordelingsverzoeken, vervolgherinneringen en het vastleggen van vrije tekst volgens § 2 lid 5;
2. informeert zijn klanten, werknemers en sollicitanten overeenkomstig art. 13 en 14 AVG, ook over de ontvangers in Bijlage 2 en 3 en, als hij de kentekenopvraging gebruikt, over het feit dat voertuiggegevens uit een openbaar register afkomstig zijn;
3. stelt op het platform de bewaartermijnen in (§ 9 lid 4 en 5) die overeenkomen met zijn verwijderingsbeleid; zolang hij geen termijn voor afspraken instelt, blijven afspraken opgeslagen — behalve bij Klanten die onder Bijlage 4 vallen (§ 9 lid 4);
4. kent medewerkersaccounts en rollen toe volgens het noodzakelijkheidsbeginsel en trekt ze in wanneer iemand vertrekt;
5. meldt de Aanbieder onverwijld fouten of onregelmatigheden die hij bij het controleren van de resultaten vaststelt;
6. verkrijgt — alleen als hij onder Bijlage 4 valt — de toestemming van zijn patiënten voor herinneringen per e-mail of sms en voor beoordelingsverzoeken, en kan die aantonen. Het platform vraagt daar bij het online boeken niet om; het verstuurt herinneringen en beoordelingsverzoeken pas wanneer de Klant ze in de boekingsinstellingen inschakelt. Een sjabloon voor de toestemming aan de balie staat in zijn beheeromgeving (Configuratie, onderdeel ‘Gegevens voor je colofon’). Wie geen toestemming heeft gegeven of die intrekt, markeert de Klant op de klantkaart;
7. neemt — alleen als hij onder Bijlage 4 valt — inhoud die moet worden gedocumenteerd over in zijn behandeldossier. De agenda, de klantkaart en de vrije tekst van het platform vormen geen behandeldossier;
8. vermeldt — alleen als hij onder Bijlage 4 valt — de Aanbieder als ontvanger in zijn privacyinformatie en biedt naast het online boeken een andere manier om een afspraak te maken, bijvoorbeeld telefonisch. Een sjabloon voor deze tekst staat in zijn beheeromgeving (Configuratie, onderdeel ‘Gegevens voor je colofon’).

§ 6 Subverwerkers (art. 28 lid 2 en 4 AVG)

(1) Algemene toestemming. De Klant geeft toestemming voor de in Bijlage 2 vermelde subverwerkers en verleent een algemene schriftelijke toestemming voor verdere subverwerkers. De Aanbieder informeert de Klant ten minste 30 dagen van tevoren in tekstvorm over elke voorgenomen toevoeging of vervanging, per e-mail aan het accountadres en via een melding op het platform.

(2) Bezwaar. Binnen die termijn kan de Klant om een gewichtige reden op het gebied van gegevensbescherming bezwaar maken. Wordt er geen oplossing gevonden, dan kan hij de hoofdovereenkomst voor de betrokken dienst buitengewoon opzeggen met ingang van het tijdstip van de wijziging; vooruitbetaalde vergoedingen voor de periode daarna worden naar rato terugbetaald.

(3) Doorleggen van verplichtingen. De Aanbieder legt elke subverwerker contractueel in wezen dezelfde verplichtingen inzake gegevensbescherming op als deze overeenkomst, in het bijzonder voldoende garanties voor passende technische en organisatorische maatregelen. Hij is jegens de Klant aansprakelijk voor de nakoming daarvan.

(4) Geen subverwerkers zijn diensten die de Aanbieder als nevendienst afneemt (bijv. telecommunicatie, post), en de in Bijlage 3 vermelde partijen, die gegevens ontvangen als zelfstandige verwerkingsverantwoordelijke of als openbare gegevensbron.

§ 7 Plaats van verwerking, derde landen, bijzondere ontvangers

(1) Kernverwerking. De applicatie, de database, de bestanden en de e-mail draaien bij een hostingdienstverlener in Duitsland (Bijlage 2, nr. 1 en 2, datacenter in Frankfurt am Main), die dagelijks een back-up van de gegevens en e-mails maakt. Bijlagen bij sollicitaties en afbeeldingen voor website, galerij en reviews worden bewaard bij een dienstverlener voor objectopslag in Frankfurt am Main, waarvan het concern zijn hoofdzetel in de Verenigde Staten heeft (Bijlage 2, nr. 4). De videodienst van een online afspraak kiest de Klant; de Aanbieder geeft daaraan niets door en toont alleen de link van de Klant in e-mails en in het klantenportaal.

(2) Doorgiften naar derde landen. Een doorgifte naar een land buiten de EU en de EER vindt alleen plaats voor de AI-assistent, op basis van art. 44 e.v. AVG:

• In de beheeromgeving van Salon Wizard is een AI-assistent beschikbaar; de functionaliteit hangt af van het tarief. Waar mogelijk beantwoordt de assistent een invoer op basis van vaste regels, zonder derde. Alleen een invoer die door geen enkele vaste regel wordt beantwoord, wordt ter classificatie naar de AI-dienstverlener volgens Bijlage 2, nr. 5 gestuurd. Antwoordt die niet, bereikt het gebruik ervan een kosten- of verzoekenlimiet of is er geen toegang voor ingericht, dan beantwoordt de assistent de invoer op basis van vaste regels; er wordt geen andere dienstverlener aangesproken. De dienstverlener verwerkt in de Verenigde Staten.
• Verzonden worden de invoer in gemaskeerde vorm, de taal van de gebruikersinterface, de datum, het geopende onderdeel en, volgens een vooraf getoonde lijst, kenmerken zonder namen. Niet verzonden worden opgezochte gegevens (klantenbestand, afspraken, afwezigheden, omzet), contactgegevens uit de database en eerdere invoer en antwoorden.
• Gemaskeerd betekent: vóór verzending vervangt de Aanbieder in de invoer e-mailadressen, telefoonnummers en de namen die de Klant op het platform bijhoudt (medewerkers, medewerkersaccounts, klanten en hun bevestigde klantaccounts, namen uit afspraken en afspraakverzoeken van de afgelopen 90 dagen en uit toekomstige afspraken, sollicitanten) door plaatshouders. Lukt dat niet, dan wordt de invoer naar geen enkele dienstverlener verzonden. Maskering is geen anonimisering: namen die de Klant niet bijhoudt, bijnamen, verbogen of verkeerd gespelde namen, namen die ook alledaagse woorden zijn, zeer korte naamdelen, telefoonnummers die met punten of met minder dan acht cijfers zijn geschreven en al het andere dat iemand in de invoer schrijft, worden ongewijzigd verzonden. De Klant draagt zijn gemachtigde personen op geen gezondheidsgegevens of andere bijzondere categorieën van persoonsgegevens in de assistent in te voeren.
• De grondslag voor de doorgifte zijn de standaardcontractbepalingen van de Europese Commissie (art. 46 lid 2 onder c AVG) en, voor zover een dienstverlener is gecertificeerd onder het EU-U.S. Data Privacy Framework, het adequaatheidsbesluit daarvoor (art. 45 AVG), telkens zoals vermeld in Bijlage 2.
• De Aanbieder slaat voor de assistent zelf per bedrijf en per gebruiker tellers, kosten en tijdstippen op, maar noch invoer, noch antwoorden.

De sms-dienstverlener wordt via zijn EU-platform gebruikt; daarbij vindt geen doorgifte naar een derde land plaats.

(3) Andere doorgiften naar derde landen vinden niet plaats. Toekomstige doorgiften vinden uitsluitend plaats volgens § 6 lid 1 en art. 44 e.v. AVG.

(4) Kentekenopvraging (alleen Werkstattsystem, alleen Nederlandse kentekens). Gebruikt de Klant de opvraging in het voertuigformulier of de nachtelijke controle van de keuringsdata, dan stuurt de Aanbieder alleen het kenteken naar het open voertuigregister van de Nederlandse voertuigautoriteit en neemt hij de voertuiggegevens over in het voertuigdossier. Met het register bestaat geen overeenkomst; het is gegevensbron en ontvanger in de zin van Bijlage 3.

(5) Kaartbetaling via het Stripe-account van de Klant (alleen bedrijven die in Duitsland zijn gevestigd). Koppelt de Klant zijn eigen Stripe-account en start een gemachtigde persoon een kaartbetaling, dan stuurt de Aanbieder op die instructie aan de betaaldienstverlener van de Klant het bedrag, de valuta, de omschrijving van de dienst met het boekingsnummer en interne kenmerken, en bij een betaling die uit regels bestaat bovendien per regel de omschrijving, het aantal en de stukprijs — niet de naam, het e-mailadres of het telefoonnummer van de klant. De omschrijving van een eigen regel is vrije tekst van de Klant; hij vult daar geen gegevens van klanten in. De klant geeft de kaart rechtstreeks aan de betaaldienstverlener. De Aanbieder ontvangt de uitkomst van de betaling en de in § 2 lid 2 vermelde kaartgegevens terug. De betaaldienstverlener is contractpartij van de Klant en geen subverwerker van de Aanbieder; het geld gaat rechtstreeks naar de rekening van de Klant (Bijlage 3, nr. 10). Voor een betaalde kaartbetaling maakt de Aanbieder een betaalbewijs aan; heeft de klant geboekt met een klantaccount met een bevestigd e-mailadres, dan stuurt de Aanbieder het betaalbewijs daarheen, tenzij de klant dat heeft uitgeschakeld.

(6) Ontvangers zonder verwerking in opdracht (onder meer webanalyse, kaarten, geocodering, lettertypen in e-mails) zijn vermeld in Bijlage 3.

§ 8 Bewijs en audits

(1) De Aanbieder toont de naleving van deze overeenkomst in de eerste plaats aan met de actuele beschrijving van de technische en organisatorische maatregelen (Bijlage 1), bewijsstukken van de subverwerkers en, voor zover beschikbaar, certificaten (art. 28 lid 3 onder h AVG).

(2) Volstaat dat niet, dan kan de Klant audits uitvoeren, ook ter plaatse, zelf of door een tot geheimhouding verplichte auditor, na een aankondiging van 14 dagen vooraf, tijdens kantooruren en zonder onevenredige verstoring van de bedrijfsvoering. Datacenters van subverwerkers worden aan de hand van hun bewijsstukken gecontroleerd.

(3) Elke partij draagt haar eigen kosten. Voor elke verdere audit in hetzelfde kalenderjaar kan de Aanbieder zijn aantoonbare kosten in rekening brengen.

§ 9 Bewaring, verwijdering en teruggave

(1) Na het einde van de overeenkomst verwijdert de Aanbieder alle gegevens onder deze overeenkomst of geeft hij ze terug, naar keuze van de Klant, en verwijdert hij bestaande kopieën, tenzij er een wettelijke verplichting tot opslag bestaat (art. 28 lid 3 onder g AVG). Op verzoek stelt hij binnen 30 dagen na het einde van de overeenkomst een export beschikbaar en verwijdert hij de gegevens daarna binnen nog eens 30 dagen; back-ups volgen met de rotatie van de hostingdienstverlener. Op verzoek bevestigt hij de verwijdering in tekstvorm.

(2) Directe verwijdering door de Klant. Verwijdert de Klant het product in zijn account, dan worden de geüploade bestanden direct en definitief verwijderd, en met het product zijn instellingen en bedrijfsgegevens. Op verzoek maakt de Aanbieder binnen 14 dagen een export als csv-bestand; onder meer facturen en rapportages kunnen afzonderlijk worden gedownload.

(3) Bewaring op grond van handels- en belastingrecht is de verantwoordelijkheid van de Klant. Boeken, registraties en boekingsbescheiden vallen onder § 147 van het Duitse belastingwetboek (Abgabenordnung, AO). De Aanbieder is niet het wettelijke archief van de Klant; vóór een verwijdering volgens lid 1 of 2 stelt de Klant de bescheiden die hij moet bewaren zelf veilig.

(4) Bewaartermijn voor afspraken. De Klant kan een termijn van 90 tot 3.650 dagen instellen; zonder instelling staat die uit. Een dagelijkse verwerkingsronde wist bij afgeronde afspraken waarvan het einde langer dan de termijn geleden is, de vrije tekst, de bij de boeking opgegeven contactgegevens en het adres bij afspraken bij de klant, en legt het tijdstip daarvan vast. Datum, dienst, medewerker, prijs, boekingsnummer en de koppeling aan de klantkaart blijven behouden. Dezelfde ronde wist bij beantwoorde afspraakverzoeken de opmerking, de reden van afwijzing en de opgegeven contactgegevens zodra de termijn sinds het antwoord is verstreken, en verwijdert voor die afspraken het telefoonnummer uit het sms-logboek. Een openstaand verzoek wordt nooit aangeraakt. Voor Klanten die onder Bijlage 4 vallen geldt zonder eigen instelling een termijn van vijf jaar; na afloop daarvan verwijdert de ronde de afgeronde afspraak samen met het beantwoorde verzoek daarvoor, in plaats van haar te anonimiseren, en verwijdert zij eerst het telefoonnummer uit het sms-logboek. Op de klantkaart blijft de datum van de laatste nagekomen afspraak staan. Inschrijvingen op de wachtlijst van een cursus worden verwijderd zodra het begin ervan voorbij is.

(5) Bewaartermijn voor sollicitaties. Standaard 180 dagen, instelbaar van 30 tot 365 dagen. Sollicitaties met een definitieve status worden na afloop van de termijn samen met hun bijlagen verwijderd.

(6) Geen automatische termijn geldt voor klantkaarten, voertuigen, werkorders, kostenramingen, tijdregistratie, bandenopslag, sms-logboeken en afwezigheden. Zij blijven opgeslagen totdat de Klant ze verwijdert of de overeenkomst eindigt.

(7) Back-ups worden verwijderd in het kader van de reguliere rotatie van de hostingdienstverlener (Bijlage 1).

§ 10 Aansprakelijkheid, wijzigingen, slotbepalingen

(1) Voor de aansprakelijkheid jegens betrokkenen geldt art. 82 AVG. Tussen de partijen gelden de aansprakelijkheidsregels van de hoofdovereenkomst, voor zover art. 82 AVG zich daar niet tegen verzet.

(2) De Aanbieder kan deze overeenkomst wijzigen voor zover wetgeving, rechtspraak, toezichthoudende autoriteiten of een wijziging van de diensten dat vereisen. Hij kondigt wijzigingen op dezelfde wijze aan als wijzigingen van de AV (AV § 11 lid 1 en 2); voor nieuwe subverwerkers geldt § 6. Andere wijzigingen vereisen de tekstvorm.

(3) Is een bepaling ongeldig, dan blijft de overeenkomst voor het overige geldig.

(4) Op deze overeenkomst is Duits recht van toepassing. Bevoegd is, voor zover toegestaan, de rechter te Augsburg. Voor een Klant in het Verenigd Koninkrijk gelden verwijzingen naar de AVG als verwijzingen naar de UK GDPR.

(5) De Duitse versie is bindend. Deze Nederlandse versie is een vertaling.

Bijlage 1 — Technische en organisatorische maatregelen (art. 32 AVG)

De maatregelen van de hostingdienstverlener zijn overgenomen uit diens verwerkersovereenkomst. De Aanbieder exploiteert zelf geen servers.

1. Vertrouwelijkheid

• Fysieke toegang tot de servers (hostingdienstverlener, datacenter in Frankfurt am Main): elektronisch toegangscontrolesysteem met registratie, zwaar beveiligd hekwerk, dag en nacht bemande meldkamer, beveiligingspersoneel, camerabewaking van in- en uitgangen, organisatorisch gescheiden toekenning van toegangsrechten.
• Toegang tot de applicatie: wachtwoorden worden alleen als hash opgeslagen. Accounts van eigenaren en van de exploitant kunnen zich aanmelden met een tweede factor of een toegangssleutel (passkey). Alle aanmeldingen zijn beveiligd met een captcha op basis van een rekenopdracht; de openbare boekingsformulieren beperken het aantal verzoeken per IP-adres en per e-mailadres. Sessiecookies worden uitsluitend versleuteld verzonden; medewerkers- en klantaccounts blijven maximaal zeven dagen aangemeld. Na vijf onjuiste wachtwoorden binnen een minuut wordt inloggen kort geblokkeerd.
• Toegang binnen de applicatie: alle bedrijfsgegevens horen bij één bedrijf, en elke opvraging is aan dat bedrijf gebonden. De exploitant en eigenaren, medewerkers en klanten melden zich aan in gescheiden omgevingen. Medewerkersaccounts hebben de rol medewerker, receptie of leiding, telkens beperkt tot toegewezen vestigingen; alleen de leiding ziet de ziekteoorzaken van collega's. Het platformbrede klantaccount toont per bedrijf alleen diens eigen gegevens; de bedrijfsoverstijgende lijst ‘Mijn afspraken’ toont afspraken bij praktijken alleen na toestemming van de persoon.
• Scheiding: geautomatiseerde tests draaien op aparte, lege databases. Invoer in de AI-assistent gaat alleen gemaskeerd naar de AI-dienstverlener (§ 7 lid 2).
• Personeel: iedere persoon die bij de Aanbieder toegang tot de gegevens krijgt, wordt vooraf tot vertrouwelijkheid en geheimhouding verplicht (§ 4a lid 4). De hostingdienstverlener en de sms-dienstverlener zetten alleen werknemers in die tot vertrouwelijkheid zijn verplicht.

2. Integriteit

• Alle pagina's en interfaces uitsluitend via TLS; verzending van e-mail en ophalen van mailboxen uitsluitend versleuteld; sms via de HTTPS-interface van de sms-dienstverlener op diens EU-platform.
• Mailboxwachtwoorden van de bedrijven worden versleuteld opgeslagen.
• Applicatielogboeken bevatten kenmerken, geen inhoud, en worden geroteerd; gegevensrecords bevatten tijdstippen van aanmaak en wijziging.

3. Beschikbaarheid en veerkracht

• Bij de hostingdienstverlener: dagelijkse back-up van webruimte, databases en e-mail; schijfspiegeling, noodstroomaggregaat en ononderbroken stroomvoorziening; firewalls en permanente bescherming tegen overbelastingsaanvallen; herstel van databases en bestanden.
• Bij de Aanbieder: kritieke fouten alarmeren de exploitant direct; nieuwe softwareversies kunnen worden teruggedraaid.

4. Verwijdering en minimale gegevensverwerking

• Verwijderingstermijnen voor afspraken, afspraakverzoeken en sollicitaties volgens § 9 lid 4 en 5; directe verwijdering bij het verwijderen van het product volgens § 9 lid 2.
• Standaardinstellingen voor Klanten die onder Bijlage 4 vallen (art. 25 AVG) volgens § 2 lid 5 onder a.

5. Controle op de verwerking en toetsing

• Elke ontvanger is vermeld (Bijlage 2 en 3); nieuwe subverwerkers worden 30 dagen van tevoren aangekondigd (§ 6).
• Elke wijziging van de software doorloopt vóór de uitrol een geautomatiseerde controle met tests, statische analyse en een controle van afhankelijkheden. Projectregels over gezondheidsgegevens, verwijdering en ontvangers gelden bij elke wijziging.
• Deze bijlage wordt bij elke wijziging van de hostingdienstverlener, de ontvangers of de beschermingsmaatregelen bijgewerkt, ten minste eenmaal per jaar.

Bijlage 2 — Subverwerkers

Bijlage 3 — Ontvangers die geen subverwerker zijn

Ter informatie van de Klant, zodat hij aan zijn informatieplichten kan voldoen (§ 5 nr. 2).

Bijlage 4 — Gezondheidsregime

Branches waarvan de Klanten onder het gezondheidsregime vallen (§ 2 lid 5 onder a, § 5 nr. 6 tot en met 8), en branches waarop § 4a doorgaans van toepassing is. Doorslaggevend is de op het platform gekozen branche; § 4a is bovendien altijd van toepassing als aan lid 1 daarvan is voldaan.