Verwerkersovereenkomst

1. Partijen en rollen

De salon (jij) is verwerkingsverantwoordelijke voor de persoonsgegevens van haar klanten. Salonix (wij) is verwerker: wij verwerken die gegevens uitsluitend in jouw opdracht en volgens jouw instructies, zoals vastgelegd in deze overeenkomst en in de werking van de dienst.

2. Welke gegevens en waarvoor

Naam, e-mailadres, telefoonnummer, geboortedatum (optioneel), afspraken (datum, behandeling, medewerker, status) en de notities die jij invoert. Doel: het beheren van afspraken, het versturen van bevestigingen, wijzigingen en herinneringen namens jou, en het bijhouden van een klantkaart. Betrokkenen: klanten van de salon.

3. Instructies

Wij verwerken de gegevens alleen voor de doelen hierboven en niet voor eigen doelen. We sturen geen berichten aan jouw klanten buiten de berichten die de dienst namens jou verstuurt en die jij kunt uitzetten. We verkopen of delen geen gegevens met derden buiten de subverwerkers in artikel 5.

4. Beveiliging

Passende technische en organisatorische maatregelen: versleutelde verbindingen, gescheiden gegevens per salon op databaseniveau, toegangstokens met beperkte looptijd, versleutelde opslag van gevoelige tokens, dagelijkse back-ups binnen de EU, en logging van toegang door medewerkers van Salonix (meekijken in een account gebeurt alleen op jouw verzoek en wordt vastgelegd).

5. Subverwerkers

• Hostingpartij binnen de EU (wordt ingevuld vóór livegang): opslag en verwerking.
• Resend: verzenden van e-mail namens de salon.
• Stripe: alleen voor het abonnement van de salon zelf, geen klantgegevens.
• Sentry (indien ingeschakeld): technische foutmeldingen, zonder klantgegevens.

Een nieuwe subverwerker kondigen we minimaal 30 dagen vooraf aan; je kunt bezwaar maken en de overeenkomst beëindigen als we geen alternatief bieden.

6. Rechten van betrokkenen

Jij handelt verzoeken van je klanten af. De dienst ondersteunt dat: per klant kun je alle gegevens exporteren (één bestand) en een klant anonimiseren, waarbij de persoon verdwijnt en de afspraakhistorie geanonimiseerd blijft. Krijgen wij rechtstreeks een verzoek, dan verwijzen we naar jou.

7. Datalekken

Bij een inbreuk die jouw klantgegevens raakt, informeren we je zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking, met wat er bekend is over aard, omvang en maatregelen, zodat jij kunt melden bij de Autoriteit Persoonsgegevens als dat nodig is.

8. Duur, einde en teruggave

Deze overeenkomst geldt zolang je een account hebt. Bij beëindiging kun je je gegevens exporteren; drie maanden na beëindiging verwijderen we alle klantgegevens, tenzij een wettelijke plicht anders vereist. Op verzoek bevestigen we de verwijdering.

9. Audit

Op verzoek, maximaal eens per jaar, verstrekken we de informatie die redelijkerwijs nodig is om aan te tonen dat we deze overeenkomst naleven. Een audit op locatie vindt plaats na overleg en op jouw kosten.

10. Overig

Op deze overeenkomst is Nederlands recht van toepassing. Bij strijd met de algemene voorwaarden gaat deze overeenkomst voor wat betreft de verwerking van persoonsgegevens.