Verwerkersovereenkomst

1. Wie is wie

De klant is verwerkingsverantwoordelijke: hij bepaalt welke gegevens op zijn producten staan en met welk doel. TapBuddi is verwerker: wij verwerken die gegevens uitsluitend in opdracht van de klant.

Voor de gegevens van de klant zelf — bedrijfsnaam, contactpersoon, e-mailadres en factuurgegevens — is TapBuddi juist wél verwerkingsverantwoordelijke. Daarvoor geldt deze overeenkomst niet, maar de privacyverklaring van TapBuddi.

De klant staat ervoor in dat hij de gegevens die hij via het platform laat verwerken rechtmatig heeft verkregen, dat hij daarvoor een geldige grondslag heeft en dat hij de betrokkenen heeft geïnformeerd zoals de AVG dat vraagt. Hij heeft het recht TapBuddi aanwijzingen te geven over die verwerking, en TapBuddi volgt die aanwijzingen.

2. Waar het over gaat

TapBuddi verwerkt in opdracht van de klant de volgende gegevens:

• Gegevens op digitale visitekaarten — naam, functie, telefoonnummer, e-mailadres, foto en verwijzingen naar sociale media van de klant en zijn medewerkers. Betrokkenen: medewerkers van de klant.
• Contactgegevens die bezoekers achterlaten — naam, e-mailadres, telefoonnummer en een eventueel bericht, achtergelaten via een TapBuddi-product van de klant. Betrokkenen: klanten, relaties en bezoekers van de klant.
• Gegevens bij een teruggevonden product — het telefoonnummer van de eigenaar en het bericht van de vinder. Betrokkenen: de eigenaar en de vinder.
• Gebruiksgegevens — hoe vaak en wanneer een product is gescand, met het land en het soort apparaat. Er wordt geen IP-adres vastgelegd; deze gegevens zijn niet tot een persoon te herleiden.

Het doel is steeds hetzelfde: het leveren en laten werken van het platform en de producten die de klant heeft afgenomen. TapBuddi gebruikt deze gegevens nooit voor eigen doeleinden, verkoopt ze niet en gebruikt ze niet om profielen op te bouwen.

Deze overeenkomst geldt zolang de klant het platform gebruikt, en eindigt met de onderliggende overeenkomst.

3. Instructies

TapBuddi verwerkt de gegevens alleen op instructie van de klant. Het gebruik van het platform geldt als die instructie. Wijkt een instructie naar het oordeel van TapBuddi af van de wet, dan meldt TapBuddi dat en mag zij die instructie weigeren.

Verplicht een wettelijke regel TapBuddi tot een verwerking buiten die instructie om, dan meldt TapBuddi dat vooraf aan de klant, tenzij die regel dat verbiedt.

4. Geheimhouding

Iedereen die namens TapBuddi toegang heeft tot de gegevens is tot geheimhouding verplicht, ook nadat het werk is beëindigd. Toegang wordt alleen gegeven aan wie die voor zijn werk nodig heeft.

5. Beveiliging

TapBuddi treft passende technische en organisatorische maatregelen. Op dit moment zijn dat onder meer:

• versleuteld verkeer (HTTPS) op alle onderdelen van het platform;
• contactgegevens en documenten versleuteld opgeslagen;
• strikte scheiding tussen klanten, zodat de ene klant nooit bij de gegevens van de andere kan;
• toegang op basis van rollen, met tweestapsverificatie voor beheerders van TapBuddi;
• een logboek van beheerhandelingen dat niet gewijzigd of gewist kan worden;
• dagelijkse versleutelde back-ups met een kopie op een tweede locatie, dertig dagen bewaard, waarvan het terugzetten is beproefd;
• bewaking van de beschikbaarheid van het platform.

De maatregelen kunnen wijzigen zolang het beschermingsniveau daarmee gelijk blijft of verbetert.

6. Subverwerkers

De klant geeft TapBuddi algemene toestemming om andere verwerkers in te schakelen. TapBuddi legt hun dezelfde verplichtingen op als in deze overeenkomst staan en blijft zelf aansprakelijk voor hun werk.

De volgende subverwerkers worden op dit moment ingeschakeld:

Wil TapBuddi een subverwerker toevoegen of vervangen, dan meldt zij dat ten minste dertig dagen vooraf. Maakt de klant binnen die termijn gemotiveerd bezwaar en komen partijen er niet uit, dan mag de klant de overeenkomst opzeggen tegen de datum waarop de wijziging ingaat.

Gegevens worden verwerkt binnen de Europese Economische Ruimte. Is een doorgifte daarbuiten toch nodig, dan gebeurt dat alleen met een geldige grondslag onder de AVG.

7. Rechten van betrokkenen

Krijgt TapBuddi rechtstreeks een verzoek van een betrokkene — inzage, correctie, verwijdering, bezwaar of overdracht — dan handelt zij dat niet zelf af, maar stuurt zij het door naar de klant. TapBuddi helpt de klant met de middelen die het platform biedt om zo'n verzoek te beantwoorden.

8. Datalekken

Ontdekt TapBuddi een inbreuk in verband met persoonsgegevens, dan meldt zij dat zonder onredelijke vertraging en uiterlijk binnen 24 uur na ontdekking aan de klant, met wat op dat moment bekend is: wat er is gebeurd, welke gegevens en hoeveel betrokkenen het betreft, wat de gevolgen kunnen zijn en welke maatregelen zijn genomen. Het melden bij de Autoriteit Persoonsgegevens en aan betrokkenen is de verantwoordelijkheid van de klant; TapBuddi helpt daarbij.

9. Hulp bij verplichtingen van de klant

TapBuddi helpt de klant redelijkerwijs bij het beveiligen van de gegevens, bij datalekken en bij een gegevensbeschermingseffectbeoordeling, voor zover dat past bij de aard van de verwerking en de informatie die TapBuddi beschikbaar heeft.

10. Controle

TapBuddi stelt op verzoek de informatie beschikbaar die nodig is om aan te tonen dat zij zich aan deze overeenkomst houdt. De klant mag ten hoogste eenmaal per jaar een audit laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding verplicht is, aangekondigd met een redelijke termijn en zonder de dienstverlening te verstoren. De kosten zijn voor de klant, tenzij uit de audit een wezenlijke tekortkoming van TapBuddi blijkt.

11. Bewaren en verwijderen

De klant bepaalt zelf hoe lang achtergelaten contactgegevens bewaard blijven; die termijn stelt hij in het platform in. Na afloop verwijdert het platform die gegevens automatisch.

Eindigt de overeenkomst, dan verwijdert TapBuddi de persoonsgegevens of geeft zij ze terug, naar keuze van de klant, tenzij zij wettelijk verplicht is ze te bewaren. Back-ups die de gegevens nog bevatten verlopen binnen dertig dagen volgens het gewone back-upschema; tot die tijd blijven ze onder deze overeenkomst beschermd.

12. Wijzigingen

TapBuddi mag deze overeenkomst wijzigen als wetgeving, het platform of de ingeschakelde subverwerkers daartoe aanleiding geven. Een nieuwe versie krijgt een eigen versienummer en wordt bij de eerstvolgende keer inloggen ter acceptatie voorgelegd. Eerder gegeven akkoorden blijven bewaard als bewijs van wat er tot dat moment gold.

13. Toepasselijk recht

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in Nederland.

Vragen over deze overeenkomst of over een verzoek van een betrokkene: info@tapbuddi.com of TapBuddi B.V., Oosterweezenstraat 6C, 1823 CN Alkmaar.