Verwerkersovereenkomst

Deze verwerkersovereenkomst (hierna: VWO) hoort bij het gebruik dat een verhuurder maakt van het platform Privé Wellness.nl. Een verhuurder die zijn wellnessruimtes via het platform verhuurt, ontvangt en verwerkt persoonsgegevens van zijn klanten. Voor die gegevens is de verhuurder de verwerkingsverantwoordelijke; Privé Wellness.nl verwerkt ze in zijn opdracht en is daarmee verwerker. Artikel 28 van de AVG schrijft voor dat partijen daarover afspraken vastleggen. Dat doen zij in deze overeenkomst.

1. Partijen en rolverdeling

Deze overeenkomst wordt gesloten tussen:

• De verhuurder — de eigenaar die via het platform een of meer wellnessruimtes (sauna, jacuzzi of zwembad) aanbiedt en daarbij persoonsgegevens van zijn klanten verwerkt. De verhuurder treedt op als verwerkingsverantwoordelijke: hij bepaalt het doel van en de middelen voor die verwerking.
• Privé Wellness.nl — geëxploiteerd door PriveWellness.nl B.V., ingeschreven bij de Kamer van Koophandel onder KvK 94444730 (BTW NL866779656B01). Privé Wellness.nl treedt voor de hierna beschreven verwerking op als verwerker en verwerkt de persoonsgegevens uitsluitend in opdracht van de verhuurder.

De rolverdeling geldt alleen voor de gegevens die de verhuurder via het platform ontvangt en verwerkt in het kader van boekingen van zijn ruimtes. Voor gegevens die Privé Wellness.nl voor eigen doeleinden verwerkt — bijvoorbeeld het exploiteren en beveiligen van het platform zelf — is Privé Wellness.nl zelf verwerkingsverantwoordelijke. Die verwerkingen vallen buiten deze VWO en zijn beschreven in het privacybeleid.

2. Onderwerp, aard en doel van de verwerking

De verwerking betreft het uitvoeren van boekingen die klanten via het platform plaatsen voor de ruimtes van de verhuurder. Privé Wellness.nl verwerkt de persoonsgegevens om de verhuurder in staat te stellen die boekingen te ontvangen, te beheren en af te handelen. Concreet gaat het om:

• het registreren en tonen van boekingen aan de verhuurder;
• het versturen van bevestigings- en herinneringsberichten over een boeking;
• het bijhouden van de betaalstatus van een boeking;
• het beschikbaar stellen van een agenda- en planningoverzicht aan de verhuurder.

Privé Wellness.nl verwerkt deze gegevens niet voor eigen doeleinden of doeleinden van derden, anders dan voor zover dat nodig is om het platform te leveren, te beveiligen en aan wettelijke verplichtingen te voldoen.

3. Soorten persoonsgegevens en categorieën betrokkenen

In het kader van deze VWO verwerkt Privé Wellness.nl de volgende gegevens:

Categorie betrokkenen	Soorten persoonsgegevens
Klanten van de verhuurder	Naam, e-mailadres, telefoonnummer, boekingsgegevens (locatie, datum, tijdslot, aantal personen) en betaalstatus.
Medewerkers van de verhuurder	Naam, e-mailadres en de rol of rechten binnen het account van de verhuurder.

Er worden geen bijzondere categorieën persoonsgegevens verwerkt, zoals gegevens over gezondheid. Een bezoek aan een sauna, jacuzzi of zwembad is op dit platform een ontspanningsdienst, geen medische dienst. De verhuurder verwerkt dergelijke gegevens niet via het platform en legt klanten niet via vrije tekstvelden gezondheids- of andere bijzondere gegevens vast. Kaart- of rekeningnummers ontvangt Privé Wellness.nl niet; die blijven bij de betaalprovider.

4. Duur

Deze VWO gaat in op het moment dat de verhuurder het platform in gebruik neemt en loopt zolang de hoofdovereenkomst tussen de verhuurder en Privé Wellness.nl van kracht is. Bij beëindiging van de hoofdovereenkomst eindigt deze VWO automatisch, met inachtneming van de bepalingen over teruggave en verwijdering in artikel 13.

5. Verwerking uitsluitend op instructie

Privé Wellness.nl verwerkt de persoonsgegevens alleen op basis van de gedocumenteerde instructies van de verhuurder, waaronder de instructies die voortvloeien uit het gebruik van het platform en uit deze VWO. Een verwerking voor een ander doel vindt niet plaats, tenzij een wettelijke verplichting Privé Wellness.nl daartoe noodzaakt. In dat geval stelt Privé Wellness.nl de verhuurder daarvan vooraf op de hoogte, behalve wanneer die wet de melding verbiedt om gewichtige redenen van algemeen belang.

Meent Privé Wellness.nl dat een instructie in strijd is met de AVG of andere wetgeving over gegevensbescherming, dan meldt zij dat aan de verhuurder.

6. Geheimhouding

Privé Wellness.nl zorgt ervoor dat de personen die onder haar gezag de persoonsgegevens mogen verwerken, zich tot geheimhouding hebben verbonden of door een passende wettelijke verplichting tot geheimhouding zijn gebonden. De geheimhouding blijft van kracht na afloop van deze overeenkomst.

7. Beveiligingsmaatregelen

Privé Wellness.nl treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, rekening houdend met de stand van de techniek en de aard van de verwerking. Een toelichting op deze maatregelen — onder meer versleuteling, toegangscontrole, logging en back-ups — staat op de pagina beveiliging. Die pagina maakt deel uit van deze VWO.

8. Subverwerkers

De verhuurder geeft Privé Wellness.nl algemene toestemming om voor de uitvoering van de verwerking andere verwerkers (subverwerkers) in te schakelen, onder meer voor hosting, e-mailbezorging, betalingen en AI-ondersteuning. Het actuele overzicht van subverwerkers, met hun rol en vestigingsland, staat in de lijst met subverwerkers.

Privé Wellness.nl legt iedere subverwerker dezelfde verplichtingen op het gebied van gegevensbescherming op als in deze VWO zijn opgenomen, en blijft tegenover de verhuurder aansprakelijk voor het nakomen daarvan.

Wil Privé Wellness.nl een nieuwe subverwerker inschakelen of een bestaande vervangen, dan meldt zij dat vooraf, ten minste 30 dagen voordat de wijziging ingaat, via de subverwerkerslijst en waar redelijk per e-mail. De verhuurder kan binnen die termijn gemotiveerd bezwaar maken tegen de wijziging. Komen partijen er niet uit, dan mag de verhuurder de hoofdovereenkomst beëindigen voor het deel waarop het bezwaar betrekking heeft.

9. Bijstand bij verzoeken van betrokkenen

Een betrokkene kan tegenover de verhuurder rechten uitoefenen op grond van hoofdstuk III van de AVG, zoals inzage, rectificatie, wissing, beperking, bezwaar en dataportabiliteit. Voor zover dat mogelijk is, helpt Privé Wellness.nl de verhuurder met passende technische en organisatorische maatregelen om aan die verzoeken te voldoen, bijvoorbeeld door de betreffende gegevens via het platform inzichtelijk, exporteerbaar of verwijderbaar te maken.

Richt een betrokkene een verzoek rechtstreeks aan Privé Wellness.nl dat ziet op gegevens waarvoor de verhuurder verantwoordelijk is, dan handelt Privé Wellness.nl het verzoek niet zelfstandig af, maar verwijst zij de betrokkene door naar de verhuurder of leidt zij het verzoek namens de verhuurder af.

10. Bijstand bij beveiliging, datalekken en DPIA's

Rekening houdend met de aard van de verwerking en de informatie waarover zij beschikt, ondersteunt Privé Wellness.nl de verhuurder bij het nakomen van diens verplichtingen op grond van de artikelen 32 tot en met 36 AVG. Die bijstand betreft de beveiliging van de verwerking, het melden en afhandelen van datalekken, en het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA) en de eventueel daaropvolgende voorafgaande raadpleging van de toezichthouder.

11. Meldplicht datalekken

Wordt Privé Wellness.nl bekend met een inbreuk in verband met persoonsgegevens die de gegevens van de verhuurder raakt, dan meldt zij dat aan de verhuurder zonder onredelijke vertraging nadat zij van de inbreuk kennis heeft genomen. De melding bevat in elk geval, voor zover bekend:

• de aard van de inbreuk, met waar mogelijk de categorieën en het aantal betrokkenen en gegevens;
• de waarschijnlijke gevolgen van de inbreuk;
• de maatregelen die zijn of worden genomen om de inbreuk aan te pakken en de gevolgen te beperken;
• een contactpunt voor meer informatie.

De verhuurder beoordeelt zelf of de inbreuk gemeld moet worden bij de Autoriteit Persoonsgegevens en aan de betrokkenen, en is daarvoor verantwoordelijk. Privé Wellness.nl verstrekt de informatie die de verhuurder daarvoor redelijkerwijs nodig heeft.

12. Doorgifte buiten de EER

Privé Wellness.nl verwerkt de persoonsgegevens binnen de Europese Economische Ruimte (EER), tenzij hierna anders is aangegeven. Een deel van de ingeschakelde dienstverleners is gevestigd in de Verenigde Staten, waaronder Postmark (verzending van transactionele e-mail) en Google (onder meer reCAPTCHA en Analytics). Doorgifte naar deze partijen vindt alleen plaats met passende waarborgen: op basis van het EU-VS Data Privacy Framework (DPF) en/of de standaardcontractbepalingen (SCC's) van de Europese Commissie, aangevuld met aanvullende technische en organisatorische maatregelen waar dat nodig is. De landen en waarborgen per dienstverlener staan in de lijst met subverwerkers.

13. Audits en controle

Op verzoek stelt Privé Wellness.nl de verhuurder de informatie ter beschikking die nodig is om aan te tonen dat de verplichtingen uit deze VWO worden nagekomen, en maakt zij audits — waaronder inspecties — door de verhuurder of een door hem gemachtigde controleur mogelijk en draagt daaraan bij. Daarbij gelden de volgende afspraken:

• de verhuurder kondigt een audit ten minste 14 dagen van tevoren aan;
• een audit vindt plaats tijdens kantooruren en verstoort de bedrijfsvoering zo min mogelijk;
• de verhuurder kan in beginsel één audit per jaar laten uitvoeren, tenzij een concreet incident of een aanwijzing van een toezichthouder vaker aanleiding geeft;
• de redelijke kosten van een audit komen voor rekening van de verhuurder, behalve wanneer de audit een wezenlijke tekortkoming aan het licht brengt.

Een geldige certificering of een recent auditrapport van een onafhankelijke deskundige kan een afzonderlijke audit vervangen, voor zover daarmee de gevraagde naleving wordt aangetoond.

14. Teruggave en verwijdering van gegevens na einde

Na beëindiging van de hoofdovereenkomst verwijdert Privé Wellness.nl, naar keuze van de verhuurder, alle persoonsgegevens of geeft zij die aan de verhuurder terug, en verwijdert zij bestaande kopieën. Een teruggave gebeurt in een gestructureerd, gangbaar en machineleesbaar formaat. Verwijdering volgt binnen een redelijke termijn na het einde van de overeenkomst, tenzij Unierecht of nationaal recht Privé Wellness.nl verplicht de gegevens langer te bewaren. In dat geval bewaart zij uitsluitend de gegevens waarvoor die plicht geldt en uitsluitend voor zolang dat verplicht is.

15. Aansprakelijkheid

Op de aansprakelijkheid van partijen onder deze VWO is de aansprakelijkheidsregeling uit de algemene voorwaarden van toepassing, met inachtneming van de regels die de AVG aan verwerkers en verwerkingsverantwoordelijken stelt. Iedere partij is verantwoordelijk voor de eigen verplichtingen onder de AVG en voor schade die uit een eigen tekortkoming voortvloeit.

16. Wijzigingen

Privé Wellness.nl kan deze VWO aanpassen, bijvoorbeeld bij wijzigingen in de dienst, in de ingeschakelde subverwerkers of in de wet- en regelgeving. De actuele versie staat altijd op deze pagina, met bovenaan de datum van de laatste wijziging. Bij wijzigingen die de verhuurder wezenlijk raken, informeert Privé Wellness.nl hem vooraf en waar redelijk ook actief.

17. Slotbepalingen

Op deze VWO is Nederlands recht van toepassing. Geschillen die uit deze overeenkomst voortvloeien worden voorgelegd aan de bevoegde rechter in het arrondissement waarin Privé Wellness.nl is gevestigd. Is een bepaling van deze VWO nietig of vernietigbaar, dan blijven de overige bepalingen van kracht en vervangen partijen de getroffen bepaling door een geldige bepaling die zo dicht mogelijk bij de strekking ervan aansluit.

Vragen over deze verwerkersovereenkomst kun je richten aan support@privewellness.nl.