Verwerkersovereenkomst en gebruiksvoorwaarden Afsprakenplanner

Versie 1.1

Deze overeenkomst (versie 1.1) wordt gesloten tussen StapsgeWies, Rekkenseweg 21, 7152 AA, Eibergen (KvK 73660299), hierna "StapsgeWies" of "Verwerker", en de ondernemer die haar hieronder digitaal ondertekent, hierna "Ondernemer" of "Verwerkingsverantwoordelijke".

1. De dienst en de voorwaarde om hem te gebruiken

StapsgeWies biedt een online afsprakenplanner (afspraken.stapsgewies.nl). Klanten van de Ondernemer plannen daarmee een afspraak, online of op locatie, op een moment waarop zowel de Ondernemer als de klant vrij is. Bij een afspraak op locatie wordt rekening gehouden met reistijd, verkeer en tien minuten eerder aanwezig zijn.

De Ondernemer kan de dienst alleen gebruiken nadat deze overeenkomst digitaal is ondertekend. Zolang dat niet is gebeurd, of zolang een nieuwe versie nog niet opnieuw is ondertekend, is de Ondernemer niet zichtbaar voor klanten en kunnen er geen afspraken worden geboekt.

2. Rollen

Voor de persoonsgegevens van klanten van de Ondernemer die via de planner worden verwerkt, is de Ondernemer verwerkingsverantwoordelijke en is StapsgeWies verwerker in de zin van artikel 28 van de Algemene verordening gegevensbescherming (AVG). Betrokkenen zijn de klanten van de Ondernemer die via de planner een afspraak maken, en de personen die in de agenda van de Ondernemer voorkomen.

Voor de gegevens van de Ondernemer zelf (account, facturatie en ondertekening) is StapsgeWies zelf verwerkingsverantwoordelijke. Daarvoor geldt de privacyverklaring op www.stapsgewies.nl/privacy.html.

3. Welke gegevens wij verwerken en opslaan

StapsgeWies verwerkt uitsluitend de volgende gegevens, voor het doel van de planner en niet voor andere doeleinden:

• Account van de Ondernemer: e-mailadres (Google-account), naam, bedrijfsnaam, KvK-nummer, vestigingsadres en werktijden. Opgeslagen tot het account is verwijderd.
• Toegang van de Ondernemer: een versleuteld Google-toegangstoken en versleutelde extra agenda-links. Opgeslagen tot de Ondernemer de koppeling verbreekt of het account wordt verwijderd.
• Agenda van de Ondernemer: afspraken uit Google Agenda en uit extra agenda-links (tijd, titel, locatie) worden gelezen om vrije tijd en reistijd te berekenen. Dit wordt niet bewaard; het staat hooguit enkele minuten in het werkgeheugen van de server. Klanten zien deze gegevens nooit.
• Klanten van de Ondernemer die een afspraak maken: naam, e-mailadres, adres (bij een afspraak op locatie), tijdstip en reistijden. Dit wordt in de Google Agenda van de Ondernemer gezet (en bij een online afspraak in Google Meet) en niet door StapsgeWies opgeslagen buiten die agenda. Een agenda die een klant uploadt wordt alleen voor dat ene verzoek gebruikt en niet opgeslagen.
• Adressen en reistijd: adressen worden alleen gebruikt om de aanvraag van dat moment uit te rekenen. We slaan ze niet op; ze staan hooguit enkele minuten in het werkgeheugen van de server, zodat hetzelfde adres tijdens één zoekopdracht en de boeking daarna niet opnieuw hoeft te worden opgezocht.
• Technische gegevens: IP-adressen en tijdstippen in de serverlogs van Google Cloud (maximaal 30 dagen) en tijdelijke tellers tegen misbruik (enkele minuten). Bij klanten kan Cloudflare Turnstile een robotcontrole uitvoeren.
• Gebruik en facturatie: het aantal geboekte afspraken per maand, facturen, het Mollie-klantnummer en de status van de incassomachtiging. Facturen bewaren we zeven jaar (wettelijke bewaarplicht).
• Ondertekening: naam van de ondertekenaar, e-mailadres, tijdstip, IP-adres, versienummer, een vingerafdruk van de tekst en het ondertekende document. Bewaard zolang deze overeenkomst loopt en zeven jaar daarna.

4. Verplichtingen van StapsgeWies

• Gegevens alleen verwerken volgens deze overeenkomst en het gebruik van de dienst door de Ondernemer, tenzij een wettelijke plicht anders vereist. In dat geval informeren we de Ondernemer vooraf, tenzij de wet dat verbiedt.
• Is een instructie van de Ondernemer naar ons oordeel in strijd met de AVG of andere privacywetgeving, dan melden we dat direct. We hoeven zo'n instructie niet uit te voeren. Houdt de Ondernemer eraan vast, dan mag elk van beide partijen de overeenkomst beëindigen.
• Geheimhouding: wie toegang heeft tot gegevens is gebonden aan vertrouwelijkheid.
• Passende beveiliging: versleutelde verbindingen (HTTPS), versleutelde opslag van toegangstokens en agenda-links, afgeschermde beheerfuncties met aparte inlog, toegang beperkt tot wie dat nodig heeft, en afspraken van een Ondernemer worden alleen op de server gebruikt om vrije tijd te berekenen.
• Een datalek waarbij gegevens van de Ondernemer of diens klanten betrokken zijn melden we zonder onredelijke vertraging, uiterlijk binnen 48 uur nadat wij het ontdekken, zodat de Ondernemer kan voldoen aan zijn eigen meldplicht.
• Meewerken aan verzoeken van betrokkenen (inzage, correctie, beperking, verwijdering, overdracht en bezwaar), aan de beveiliging, aan het melden van datalekken en aan een gegevensbeschermingseffectbeoordeling en een eventuele voorafgaande raadpleging van de Autoriteit Persoonsgegevens, voor zover dat redelijkerwijs van ons verwacht kan worden.
• Op verzoek informatie verstrekken waarmee de naleving wordt aangetoond. Een audit is mogelijk met redelijke aankondiging en in beginsel eens per jaar; na een datalek of bij een gegronde aanwijzing van niet-naleving ook vaker. De kosten zijn voor de Ondernemer, tenzij de audit een tekortkoming van betekenis aan onze kant aantoont; dan zijn ze voor ons.
• Na beëindiging verwijderen we de gegevens die wij voor de Ondernemer verwerken (zie artikel 9), behalve wat wettelijk bewaard moet worden. Wil de Ondernemer ze liever eerst terugkrijgen, dan kan hij dat tot het einde van de overeenkomst aangeven; we leveren ze dan in een gangbaar bestandsformaat. Klantgegevens van afspraken staan al in de eigen agenda van de Ondernemer.
• Geen doorgifte buiten de Europese Economische Ruimte zonder passende waarborgen.

5. Subverwerkers

De Ondernemer geeft algemene toestemming voor het inschakelen van de volgende subverwerkers. StapsgeWies sluit met hen overeenkomsten met gelijkwaardige verplichtingen, behalve waar hieronder anders staat.

• Google (Cloud Run en Firestore voor de planner en opslag in de EU; Agenda, Meet en Gmail voor afspraken en e-mail): hosting, opslag, agenda en e-mail.
• Cloudflare (Turnstile): robotcontrole voor klanten.
• OpenStreetMap (Nominatim) en OSRM: adressen omzetten naar coördinaten en reistijd berekenen. Dit zijn openbare diensten waarmee geen verwerkersovereenkomst te sluiten is. We sturen daarom alleen het adres dat voor die aanvraag nodig is, zonder naam of andere gegevens, en bewaren er niets van.

Mollie, dat de betalingen van de Ondernemer aan StapsgeWies verzorgt, is geen subverwerker maar zelf verwerkingsverantwoordelijke voor die betaalgegevens.

Wijzigingen in deze lijst melden we minimaal 30 dagen vooraf per e-mail. De Ondernemer kan binnen die termijn bezwaar maken en de overeenkomst beëindigen.

6. Verplichtingen van de Ondernemer

• Google-account: de Ondernemer heeft een eigen Google-account nodig. Daarmee logt hij in en verleent hij toegang tot zijn agenda (lezen en schrijven van afspraken). Zonder Google-account kan de dienst niet worden gebruikt.
• Rechtmatigheid: de Ondernemer is verantwoordelijk voor een geldige grondslag voor de verwerking van zijn klantgegevens, informeert zijn klanten (bijvoorbeeld met een link naar de privacyverklaring) en houdt de gegevens juist.
• Agenda-links: de Ondernemer is zelf verantwoordelijk voor de extra agenda-links (iCal) die hij toevoegt. Die moeten alleen-lezen zijn en geen details tonen: alleen bezet of vrij, zonder titels, locaties, omschrijvingen of deelnemers. De links zijn geheim en de Ondernemer trekt ze in als ze op straat liggen.
• Controle door de planner: de planner controleert de extra agenda-links. Toont een link meer dan bezet/vrij, of wordt er meer zichtbaar dan eerder, dan krijgt de Ondernemer een waarschuwing op het scherm en per e-mail. Die waarschuwing is een hulpmiddel. De planner kan niet garanderen dat elke wijziging wordt opgemerkt, en de verantwoordelijkheid voor de inhoud van de links blijft bij de Ondernemer.
• Bijzondere persoonsgegevens (zoals over gezondheid) horen niet in titels of opmerkingen die met de planner worden gedeeld.
• Veilig account: de Ondernemer beveiligt zijn Google-account (tweestapsverificatie wordt aangeraden) en meldt misbruik direct.
• Boekingslink: de Ondernemer kan zijn persoonlijke boekingslink op zijn website zetten of aan klanten sturen. Wie die link opent, kan alleen een afspraak plannen met die Ondernemer.

7. Tarieven, facturen en automatische incasso

• Tarieven: een vast bedrag per maand en een bedrag per geboekte afspraak, exclusief btw, zoals zichtbaar in het ondernemersportaal. In een introductieperiode kan het tarief € 0 zijn; dan wordt er niets gefactureerd. De eerste factuur waar een bedrag op staat krijgt een introductiekorting, met het percentage vermeld op de factuur.
• Wijzigingen in tarieven kondigen we minimaal 30 dagen vooraf per e-mail aan.
• Facturen ontvangt de Ondernemer digitaal, per e-mail en in het portaal.
• Automatische incasso: de Ondernemer machtigt StapsgeWies, via betaaldienst Mollie, om maandelijks de verschuldigde bedragen via SEPA-incasso van zijn rekening af te schrijven. De machtiging wordt vastgelegd met een eerste betaling van een klein bedrag via iDEAL in het portaal. De Ondernemer houdt de wettelijke rechten rond SEPA-incasso, waaronder terugboeking, en kan de machtiging intrekken bij zijn bank.
• Is er geen geldige machtiging, dan betaalt de Ondernemer de factuur binnen 14 dagen na de factuurdatum. Mislukt een incasso, dan krijgt de Ondernemer bericht en wordt er opnieuw geprobeerd of om betaling gevraagd.

8. Aansprakelijkheid

StapsgeWies spant zich in voor een goede werking en beveiliging, maar geeft geen garantie op ononderbroken beschikbaarheid. De aansprakelijkheid van StapsgeWies is beperkt tot het bedrag dat de Ondernemer in de twaalf maanden voor het schadeveroorzakende feit aan StapsgeWies heeft betaald, met een minimum van € 2.500. Deze beperking geldt niet bij opzet of bewuste roekeloosheid en niet voor aansprakelijkheid die wettelijk niet kan worden beperkt, zoals de aansprakelijkheid tegenover betrokkenen op grond van artikel 82 AVG.

9. Duur en beëindiging

Deze overeenkomst loopt zolang de Ondernemer de dienst gebruikt. De Ondernemer kan op elk moment opzeggen door een e-mail te sturen aan r.stap@stapsgewies.nl; de lopende maand wordt nog gefactureerd. StapsgeWies kan opzeggen als de Ondernemer zich niet aan deze overeenkomst houdt.

Na beëindiging verwijderen we het account, de agendakoppeling en de Mollie-klantgegevens binnen 30 dagen, of eerder op verzoek, tenzij de Ondernemer vóór het einde om teruggave heeft gevraagd (artikel 4). Facturen en het ondertekende document bewaren we zoals in artikel 3 staat. De Ondernemer kan de toegang tot zijn Google-agenda altijd zelf intrekken in zijn Google-account.

10. Digitale ondertekening

De Ondernemer ondertekent deze overeenkomst in het ondernemersportaal, ingelogd met zijn Google-account, door zijn naam in te vullen en akkoord te geven. Dat geldt als elektronische handtekening. StapsgeWies legt naam, e-mailadres, tijdstip, IP-adres, versienummer en een vingerafdruk van de tekst vast.

Het ondertekende document wordt als pdf bewaard in de afsprakenplanner en per e-mail gestuurd naar r.stap@stapsgewies.nl, met een kopie aan de Ondernemer. Wijzigt de overeenkomst, dan krijgt de Ondernemer een nieuwe versie die opnieuw moet worden ondertekend voordat hij de dienst verder kan gebruiken.

11. Slotbepalingen

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter van de Rechtbank Gelderland. Is een bepaling niet geldig, dan blijven de overige bepalingen van kracht. Deze overeenkomst vervangt eerdere afspraken over de verwerking van gegevens in de afsprakenplanner, waaronder versie 1.0.

Vingerafdruk van deze tekst (SHA-256): b0caa101d9abf4c260b534e8c4142699d5f02ecbb1d14bb022c76fefa050a3f8