Verwerkersovereenkomst

1.Partijen

Deze verwerkersovereenkomst (hierna: overeenkomst) is aangegaan tussen:

• De winkelier — de ondernemer die een abonnement afneemt op de digitale stempelkaart van OMRZ Digital, zoals geregistreerd in zijn account. Hij handelt hierbij als verwerkingsverantwoordelijke in de zin van artikel 4 lid 7 AVG.
• OMRZ Digital — de aanbieder van de dienst, gevestigd in Nederland en bereikbaar via info@omrzdigital.nl. OMRZ Digital handelt als verwerker in de zin van artikel 4 lid 8 AVG.

De gegevens van de winkelier (bedrijfsnaam, KvK-nummer, btw-nummer, adres en contactpersoon) zoals opgegeven in het dashboard onder Bedrijfsgegevens gelden als de partijgegevens bij deze overeenkomst.

Deze overeenkomst wordt van kracht op het moment dat de winkelier de dienst in gebruik neemt en maakt onderdeel uit van de overeenkomst tussen partijen. Bij tegenstrijdigheid tussen deze verwerkersovereenkomst en de algemene voorwaarden gaat deze verwerkersovereenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.

2.Onderwerp

OMRZ Digital verwerkt in het kader van de digitale stempelkaart persoonsgegevens van de klanten van de winkelier (hierna: eindklanten). Dit gebeurt uitsluitend namens en in opdracht van de winkelier.

De winkelier bepaalt het doel en de middelen van de verwerking. Hij is verantwoordelijk voor een geldige grondslag onder artikel 6 AVG — bij een loyaliteitsprogramma in de regel toestemming van de eindklant of de uitvoering van de overeenkomst — en voor een eigen privacyverklaring richting zijn klanten.

OMRZ Digital is verantwoordelijk voor de technische uitvoering en beveiliging van de verwerking, en verwerkt de gegevens niet voor eigen doeleinden.

3.Soorten persoonsgegevens en betrokkenen

Betrokkenen: de eindklanten van de winkelier die deelnemen aan het loyaliteitsprogramma.

Categorieën persoonsgegevens:

• Naam — voor- en achternaam, zoals opgegeven bij het aanmaken van de spaarkaart.
• E-mailadres — voor het aanmaken en terugvinden van de kaart en voor kaartgerelateerde berichten.
• Telefoonnummer — optioneel, indien de eindklant dit opgeeft.
• Spaargegevens — het aantal verzamelde stempels, verdiende en ingewisselde beloningen, het tijdstip van bezoeken en de vestiging waar werd gespaard.
• Technische identificatoren — een unieke, willekeurig gegenereerde QR-code per eindklant, zodat de kaart gescand kan worden.
• Demografische gegevens (optioneel, premium) — bezigheid (student, werknemer, ondernemer, gepensioneerd of anders) en herkomst (plaats of “buiten Nederland”). Deze velden worden alleen getoond wanneer de winkelier de functie Klantinzichten heeft ingeschakeld, en de eindklant vult ze vrijwillig in. Hij kan de vragen leeg laten en toch een kaart aanmaken.

Er worden geen bijzondere categorieën van persoonsgegevens in de zin van artikel 9 AVG verwerkt. De winkelier voert dergelijke gegevens ook niet in via de dienst.

4.Doeleinden en instructies

OMRZ Digital verwerkt de persoonsgegevens uitsluitend voor de volgende doeleinden:

• het aanmaken, tonen en bijhouden van de digitale stempelkaart van de eindklant;
• het registreren van stempels en het uitkeren van beloningen;
• het aanbieden van de kaart in Apple Wallet en Google Wallet;
• het tonen van statistieken en klantinzichten aan de winkelier in zijn dashboard;
• het versturen van kaartgerelateerde berichten aan de eindklant namens de winkelier.

OMRZ Digital verwerkt de gegevens uitsluitend op basis van schriftelijke instructies van de winkelier. Het gebruik van de dienst en de instellingen die de winkelier in zijn dashboard kiest, gelden als zulke instructies. OMRZ Digital gebruikt de gegevens van eindklanten niet voor eigen doeleinden, verkoopt ze niet, verhuurt ze niet en gebruikt ze niet voor eigen marketing of voor het trainen van modellen.

Meent OMRZ Digital dat een instructie in strijd is met de AVG of andere wetgeving, dan meldt zij dit onverwijld aan de winkelier. Verplicht Unierecht of Nederlands recht OMRZ Digital tot een verwerking, dan informeert zij de winkelier daarover vooraf, tenzij dat recht die kennisgeving verbiedt.

5.Verplichtingen van de verwerker

OMRZ Digital verplicht zich tot het volgende:

• Alleen volgens instructies verwerken — zoals beschreven in artikel 4.
• Vertrouwelijkheid — personen die toegang hebben tot de gegevens zijn tot geheimhouding verplicht en krijgen alleen toegang voor zover dat nodig is voor hun werk.
• Passende beveiliging — het treffen en onderhouden van de technische en organisatorische maatregelen uit artikel 6, conform artikel 32 AVG.
• Bijstand bij verzoeken van betrokkenen — het verlenen van redelijke medewerking bij verzoeken om inzage, correctie, verwijdering, beperking of overdraagbaarheid, zoals beschreven in artikel 8.
• Bijstand bij verplichtingen — het verlenen van redelijke medewerking bij beveiligingsmaatregelen, datalekmeldingen en een eventuele gegevensbeschermingseffectbeoordeling (DPIA).
• Melden van datalekken — zoals beschreven in artikel 9.
• Informatieplicht en audits — het op verzoek beschikbaar stellen van de informatie die nodig is om aan te tonen dat aan deze overeenkomst wordt voldaan. De winkelier mag ten hoogste eenmaal per jaar een audit laten uitvoeren door een onafhankelijke, aan geheimhouding gebonden deskundige, na een aankondiging van ten minste dertig dagen en op een moment dat de dienstverlening niet verstoort. De kosten van de audit komen voor rekening van de winkelier, tenzij daaruit een wezenlijke tekortkoming van OMRZ Digital blijkt.
• Verwijderen of teruggeven — na beëindiging, zoals beschreven in artikel 10.

6.Beveiligingsmaatregelen

OMRZ Digital treft passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies, misbruik en onrechtmatige verwerking. Daaronder vallen in ieder geval:

• Versleuteld transport — al het verkeer tussen de eindklant, de winkelier en onze servers verloopt via HTTPS/TLS.
• Gehashte wachtwoorden — wachtwoorden van winkeliers en medewerkers worden nooit leesbaar opgeslagen, maar uitsluitend als cryptografische hash.
• Opslag binnen de EU — de database en bestandsopslag draaien op servers binnen de Europese Unie.
• Row-Level Security — op databaseniveau is afgedwongen dat een winkelier uitsluitend de gegevens van zijn eigen kaart en vestigingen kan benaderen.
• Toegangscontrole — toegang tot de dienst verloopt via persoonlijke accounts met tokens die na verloop van tijd verlopen. Medewerkers van een winkelier (vestigingsmanagers) zien uitsluitend de gegevens van hun eigen vestiging.
• Rate limiting — het aantal verzoeken per gebruiker is begrensd, om misbruik en geautomatiseerde aanvallen tegen te gaan.
• Dagelijkse back-ups — van de database worden dagelijks back-ups gemaakt, zodat gegevens na een storing hersteld kunnen worden.
• Dataminimalisatie — er worden niet meer gegevens gevraagd dan nodig; de demografische velden zijn optioneel en staan standaard uit.

De maatregelen worden periodiek geëvalueerd en kunnen worden aangepast aan de stand van de techniek, mits het beschermingsniveau daarmee gelijk blijft of verbetert.

7.Subverwerkers

De winkelier geeft OMRZ Digital algemene toestemming om subverwerkers in te schakelen. OMRZ Digital sluit met elke subverwerker een overeenkomst met ten minste dezelfde verplichtingen als in deze overeenkomst, en blijft jegens de winkelier verantwoordelijk voor hun handelen.

Op dit moment worden de volgende subverwerkers ingeschakeld:

Voor doorgiften buiten de Europese Economische Ruimte gelden passende waarborgen, zoals de standaardcontractbepalingen van de Europese Commissie of een geldig adequaatheidsbesluit.

Wil OMRZ Digital een subverwerker toevoegen of vervangen, dan meldt zij dit ten minste dertig dagen vooraf. De winkelier kan daartegen op redelijke gronden bezwaar maken. Komen partijen er niet uit, dan mag de winkelier het abonnement opzeggen tegen de datum waarop de wijziging ingaat.

8.Rechten van betrokkenen

Eindklanten hebben op grond van de AVG recht op inzage, correctie, verwijdering, beperking van de verwerking, bezwaar en overdraagbaarheid van hun gegevens. De winkelier is het eerste aanspreekpunt voor deze verzoeken, omdat hij de verwerkingsverantwoordelijke is.

• Een eindklant kan zijn gegevens en spaarsaldo zelf inzien via zijn digitale kaart.
• De winkelier kan gegevens van een eindklant inzien en verwijderen via zijn dashboard.
• Kan de winkelier een verzoek niet zelf afhandelen, dan verleent OMRZ Digital daarbij kosteloos redelijke technische medewerking, in beginsel binnen tien werkdagen na het verzoek.
• Komt een verzoek van een eindklant rechtstreeks bij OMRZ Digital binnen, dan handelt OMRZ Digital dit niet zelfstandig af, maar stuurt zij het onverwijld door naar de betreffende winkelier — tenzij zij daartoe wettelijk verplicht is.

9.Datalekken

Constateert OMRZ Digital een inbreuk in verband met persoonsgegevens (een datalek), dan informeert zij de betrokken winkelier onverwijld en uiterlijk binnen 48 uur na ontdekking. De melding bevat, voor zover bekend:

• de aard van de inbreuk en, zo mogelijk, de betrokken categorieën en aantallen personen en gegevens;
• de waarschijnlijke gevolgen van de inbreuk;
• de maatregelen die zijn of worden genomen om de inbreuk aan te pakken en de gevolgen te beperken;
• de contactgegevens voor nadere informatie.

Is nog niet alle informatie beschikbaar, dan meldt OMRZ Digital wat bekend is en vult zij dit zo spoedig mogelijk aan. OMRZ Digital houdt een registratie van datalekken bij.

De winkelier beoordeelt vervolgens of melding aan de Autoriteit Persoonsgegevens (binnen 72 uur) en aan de betrokken eindklanten nodig is, en doet die melding. OMRZ Digital verleent daarbij redelijke medewerking. OMRZ Digital doet geen zelfstandige melding namens de winkelier, tenzij dat uitdrukkelijk is afgesproken.

10.Duur en beëindiging

Deze overeenkomst gaat in op het moment dat OMRZ Digital voor het eerst persoonsgegevens verwerkt namens de winkelier, en loopt zolang het abonnement duurt. Zij eindigt van rechtswege zodra de onderliggende overeenkomst eindigt.

Na beëindiging:

• kan de winkelier gedurende dertig dagen een export van de gegevens van zijn eindklanten opvragen via info@omrzdigital.nl;
• verwijdert OMRZ Digital de persoonsgegevens daarna uit de productieomgeving, in beginsel binnen dertig dagen na afloop van die termijn;
• verdwijnen resterende kopieën in back-ups zodra die back-ups volgens de reguliere cyclus verlopen;
• blijven gegevens die OMRZ Digital wettelijk moet bewaren — zoals facturatiegegevens van de winkelier voor de fiscale bewaarplicht van zeven jaar — bewaard, uitsluitend voor dat doel.

Bepalingen die naar hun aard bedoeld zijn om na beëindiging voort te duren, zoals geheimhouding, blijven van kracht.

11.Aansprakelijkheid, toepasselijk recht en contact

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in Nederland. De aansprakelijkheidsregeling uit de algemene voorwaarden is van overeenkomstige toepassing, voor zover dwingend recht dat toelaat. Artikel 82 AVG blijft onverkort gelden.

OMRZ Digital kan deze overeenkomst wijzigen wanneer wet- of regelgeving, de dienst of de ingeschakelde subverwerkers daartoe aanleiding geven. Wezenlijke wijzigingen worden ten minste dertig dagen vooraf aangekondigd.

Vragen over deze verwerkersovereenkomst, of behoefte aan een ondertekend exemplaar op naam van je bedrijf? Neem contact op via info@omrzdigital.nl. Zie ook ons privacybeleid en onze algemene voorwaarden.