1. Partijen en rollen
Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van Manseli en geldt zodra een onderneming het platform gebruikt.
De onderneming die het platform gebruikt is verwerkingsverantwoordelijke: zij bepaalt waarom en hoe de gegevens van haar eigen klanten worden gebruikt. Manseli is verwerker en verwerkt die gegevens uitsluitend namens en in opdracht van de onderneming.
Voor eigen verwerkingen van Manseli, zoals accountbeheer, facturatie, beveiliging en ondersteuning, is Manseli zelf verwerkingsverantwoordelijke. Daarop is de privacyverklaring van toepassing en niet deze overeenkomst.
2. Onderwerp, aard en doel
Manseli verwerkt persoonsgegevens om het boekingsplatform te leveren. Dat omvat het tonen van beschikbaarheid, het maken, wijzigen en annuleren van afspraken, het versturen van bevestigingen en herinneringen, het bijhouden van een klantenadministratie voor de onderneming, het verwerken van betalingen bij een afspraak, en het beantwoorden van berichten via de WhatsApp-assistent wanneer de onderneming die afneemt.
Manseli verwerkt de gegevens niet voor eigen doeleinden, verkoopt ze niet, gebruikt ze niet voor eigen advertenties en gebruikt de inhoud van gesprekken niet om algemene AI-modellen te trainen.
3. Categorieën betrokkenen en gegevens
Betrokkenen: klanten van de onderneming die een afspraak maken of contact opnemen, en medewerkers van de onderneming die het platform gebruiken.
Gegevens van eindklanten: naam, telefoonnummer, e-mailadres, gekozen dienst en medewerker, datum, tijd, duur en prijs van de afspraak, status, opmerkingen die de onderneming of de klant invult, betaalstatus, en de communicatie over de afspraak.
Bij gebruik van WhatsApp: telefoonnummer, zichtbare profielnaam, inhoud en tijdstippen van berichten, technische bericht-identificatoren, bezorg- en leesstatussen, en bestanden die de klant vrijwillig stuurt.
Gegevens van medewerkers: naam, zakelijk e-mailadres, rol, agenda-instellingen, beschikbaarheid en inloggegevens. Wachtwoorden worden niet leesbaar opgeslagen.
Het platform is niet bedoeld voor bijzondere persoonsgegevens. Vult de onderneming die toch in vrije tekstvelden in, dan blijft zij verantwoordelijk voor een geldige grondslag en passende waarborgen.
4. Instructies
Manseli verwerkt de gegevens alleen op basis van de instructies van de onderneming. Het gebruik van het platform en de instellingen die de onderneming daarin kiest gelden als die instructie.
Verplicht een wettelijke regel Manseli tot een verwerking buiten die instructie, dan meldt Manseli dat vooraf, tenzij die regel dat verbiedt.
Meent Manseli dat een instructie in strijd is met de privacywetgeving, dan meldt zij dat aan de onderneming.
5. Vertrouwelijkheid
Manseli houdt de gegevens geheim. Medewerkers en ingeschakelde partijen krijgen alleen toegang voor zover dat nodig is voor hun werk en zijn tot geheimhouding gehouden.
6. Beveiliging
Manseli neemt passende technische en organisatorische maatregelen. Daaronder vallen in elk geval:
- versleuteld verkeer tussen browser en platform, met certificaten die automatisch worden vernieuwd;
- versleutelde opslag van gevoelige waarden zoals toegangstokens, sleutels van betaalproviders en koppelgegevens;
- wachtwoorden die alleen als onomkeerbare hash worden bewaard;
- toegang op basis van rollen, waarbij medewerkers van een onderneming alleen de gegevens van die onderneming zien;
- scheiding van gegevens per onderneming binnen het platform;
- controle van de echtheid van binnenkomende meldingen van betaalproviders en van WhatsApp;
- regelmatige back-ups en logging van beveiligingsrelevante gebeurtenissen;
- tijdgebonden en eenmalig bruikbare links voor gevoelige handelingen.
Manseli mag maatregelen aanpassen zolang het beschermingsniveau daarmee gelijk blijft of verbetert.
7. Subverwerkers
De onderneming geeft Manseli toestemming om andere verwerkers in te schakelen. Manseli legt hun ten minste dezelfde verplichtingen op als in deze overeenkomst staan, en blijft aanspreekbaar op hun handelen.
Op het moment van deze versie zet Manseli de volgende partijen in:
- Hetzner — hosting van het platform en de gegevensopslag, binnen de Europese Unie;
- Mollie — abonnementsincasso van de onderneming en, wanneer zij dat kiest, betalingen van haar eindklanten;
- Stripe — betalingen van eindklanten en betalen in de zaak via de mobiele app, wanneer de onderneming daarvoor kiest;
- Meta — de WhatsApp-assistent, wanneer de onderneming die afneemt;
- de e-maildienst die de onderneming zelf instelt of die Manseli als terugval gebruikt voor bevestigingen en herinneringen;
- de partij die domeinnamen en DNS beheert voor het eigen webadres van de onderneming.
Wil Manseli een subverwerker toevoegen of vervangen, dan meldt zij dat ten minste dertig dagen van tevoren. Maakt de onderneming binnen die termijn schriftelijk gemotiveerd bezwaar en komen partijen er niet uit, dan mag de onderneming het abonnement opzeggen tegen de datum waarop de wijziging ingaat.
8. Doorgifte buiten de Europese Economische Ruimte
De gegevens worden in beginsel binnen de Europese Economische Ruimte opgeslagen en verwerkt.
Bij het gebruik van Meta en Stripe kan doorgifte naar landen daarbuiten plaatsvinden. Die doorgifte vindt plaats op basis van de waarborgen die deze partijen daarvoor hanteren, zoals de standaardcontractbepalingen van de Europese Commissie of een geldig adequaatheidsbesluit. De onderneming die de WhatsApp-assistent of Stripe afneemt, aanvaardt die doorgifte.
9. Rechten van betrokkenen
Verzoeken van betrokkenen om inzage, correctie, verwijdering, beperking, bezwaar of overdraagbaarheid worden afgehandeld door de onderneming. Zij beschikt daarvoor over de functies in het beheerpaneel.
Komt zo'n verzoek bij Manseli binnen, dan stuurt Manseli het door naar de onderneming en beantwoordt zij het niet zelf. Kan de onderneming een verzoek niet zelfstandig afhandelen, dan verleent Manseli redelijke medewerking.
10. Datalekken
Ontdekt Manseli een inbreuk op de beveiliging die tot verlies of onrechtmatige verwerking van persoonsgegevens leidt, dan meldt zij dat zonder onredelijke vertraging aan de onderneming, met de informatie die op dat moment bekend is.
De onderneming beoordeelt zelf of melding aan de Autoriteit Persoonsgegevens of aan betrokkenen nodig is; die melding is haar verantwoordelijkheid. Manseli verleent daarbij redelijke medewerking.
11. Controle
De onderneming mag ten hoogste eenmaal per jaar een audit laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding is gehouden, na aankondiging van ten minste dertig dagen.
De audit verstoort de bedrijfsvoering van Manseli niet onnodig en raakt niet aan gegevens van andere ondernemingen. De kosten zijn voor de onderneming, tenzij uit de audit een wezenlijke tekortkoming van Manseli blijkt.
Manseli mag in plaats daarvan een recent rapport of certificering overleggen dat het onderwerp van de audit afdoende dekt.
12. Bewaren, teruggave en verwijdering
Manseli bewaart de gegevens zolang het abonnement loopt. De onderneming kan haar gegevens gedurende die tijd exporteren vanuit het beheerpaneel.
Na het einde van het abonnement blijven de gegevens nog dertig dagen beschikbaar voor export. Daarna verwijdert Manseli ze of maakt zij ze onherleidbaar, tenzij een wettelijke bewaarplicht anders bepaalt. Voor facturatiegegevens geldt de wettelijke bewaartermijn.
13. Duur en rangorde
Deze overeenkomst geldt zolang Manseli persoonsgegevens namens de onderneming verwerkt en eindigt zodra alle gegevens zijn verwijderd of teruggegeven. Bepalingen die naar hun aard doorlopen, zoals geheimhouding, blijven daarna gelden.
Bij tegenstrijdigheid gaat deze overeenkomst voor op de algemene voorwaarden, voor zover het de verwerking van persoonsgegevens betreft.