Partijen
1. De zaak: de onderneming die een abonnement op UwPosWare afneemt, zoals vermeld bij de aanmelding en in het abonnement. Hierna: de verwerkingsverantwoordelijke.
2. UwPosWare, Herinckhavestraat 1, 7557 JJ Hengelo, KVK 98922408. Hierna: de verwerker.
Deze overeenkomst hoort bij het abonnement en de abonnementsvoorwaarden. Zij geldt zolang de verwerker persoonsgegevens verwerkt voor de zaak. De zaak gaat ermee akkoord met het vinkje bij het starten of betalen van het abonnement in het dashboard, samen met de abonnementsvoorwaarden. Een handtekening is niet nodig.
1. Onderwerp
De verwerker levert de zaak een kassasysteem met online bestellen (TasteDine), bezorgen, keukenschermen en bijbehorende apps. Daarbij verwerkt de verwerker persoonsgegevens in opdracht van de zaak. De zaak bepaalt het doel en de middelen; de verwerker verwerkt de gegevens alleen volgens deze overeenkomst en de schriftelijke instructies van de zaak. Het gebruik van het systeem zoals de zaak het instelt, geldt als instructie.
2. Welke gegevens, van wie, waarvoor
Gasten en klanten van de zaak
- Naam, telefoonnummer, e-mailadres, bedrijfsnaam (zakelijk bestellen).
- Bezorgadres, en de plek daarvan op de kaart.
- Bestellingen, bedragen, betaalwijze en betaalstatus, gekozen tijden, tafelnummer, opmerkingen.
- Klantkaart: aantal bestellingen, totaal besteed, laatste bestelling, laatste bezorgadres.
- Berichten en spraakberichten tussen gast en bezorger.
- Reviews: score, tekst, opgegeven naam, reactie van de zaak.
Medewerkers van de zaak
- Naam, gebruikersnaam, rol, versleutelde pincode en wachtwoord.
- Wie welke bestelling aannam, afrekende of bezorgde; kasdiensten en het activiteitenlog.
- Bij bezorgers: de plek van de bezorger tijdens een rit (zodat de gast hem op de kaart ziet), berichten en spraakberichten aan gasten.
- Gegevens van de apparaten waarmee medewerkers werken, zoals een sleutel voor pushmeldingen.
Doel: bestellingen aannemen, bereiden, bezorgen en afrekenen; de kas- en btw-administratie van de zaak; reviews; ondersteuning door de verwerker; het systeem werkend en veilig houden.
3. Plichten van de verwerker
1. De verwerker verwerkt de gegevens alleen voor de zaak en gebruikt ze niet voor eigen doelen, niet voor reclame en verkoopt ze niet.
2. Medewerkers van de verwerker die bij de gegevens kunnen, zijn tot geheimhouding verplicht en kijken alleen mee als dat nodig is voor ondersteuning of het oplossen van een storing.
3. De verwerker neemt passende beveiligingsmaatregelen, waaronder: versleutelde verbindingen, versleuteld opgeslagen wachtwoorden en pincodes, een eigen database per zaak, toegang op basis van rollen, een activiteitenlog en elke twee uur een reservekopie van de databases.
4. De verwerker helpt de zaak bij verzoeken van gasten en medewerkers om inzage, verbetering, verwijdering, beperking, bezwaar en overdracht, en bij een gegevensbeschermingseffectbeoordeling als die nodig is.
5. De verwerker geeft de zaak op verzoek de informatie die nodig is om aan te tonen dat deze overeenkomst wordt nageleefd. Een controle door een onafhankelijke deskundige is mogelijk na overleg, op kosten van de zaak, tenzij er een tekortkoming blijkt.
4. Subverwerkers
De zaak geeft toestemming voor de volgende subverwerkers. Voegt de verwerker een subverwerker toe of vervangt hij er een, dan meldt hij dat minstens dertig dagen vooraf. De zaak kan daartegen op redelijke gronden bezwaar maken en, als partijen er niet uitkomen, het abonnement opzeggen.
| Partij | Waarvoor | Waar |
|---|---|---|
| Een hostingpartij in Nederland (naam op verzoek) | Opslag en hosting van het systeem, de databases en de reservekopieën | Nederland |
| Mollie B.V. | Online betalingen en uitbetalingen | Nederland |
| OpenAI | Supportassistent en samenvattingen van supportvragen; AI-foto's van gerechten en het herkennen van een plattegrond uit foto's of een scan | Verenigde Staten |
| PDOK (Kadaster) | Adres omzetten in een plek op de kaart | Nederland |
| OpenStreetMap Foundation (Nominatim) | Adres omzetten in een plek op de kaart | Verenigd Koninkrijk |
| OSRM-project en FOSSGIS e.V. | Route en reistijd berekenen | Duitsland |
| MapTiler en Apple (MapKit) | Kaartbeelden voor de bezorger en de gast | Zwitserland en Verenigde Staten |
| Google (Firebase Cloud Messaging) en Apple (Push Notification Service) | Pushmeldingen naar de apps van medewerkers | Verenigde Staten |
E-mails aan gasten en zaken gaan via de eigen mailserver van de verwerker.
Aan adreszoekers, routeplanners en kaartdiensten geeft de verwerker alleen een adres of een plek op de kaart door, geen naam of bestelling.
SumUp (pinnen aan de kassa) is geen subverwerker van de verwerker: de zaak sluit daar zelf een overeenkomst mee.
5. Gegevens buiten de Europese Unie
Gaan gegevens naar een land buiten de EU, dan gebeurt dat alleen met een passende waarborg: een adequaatheidsbesluit van de Europese Commissie (zoals voor het Verenigd Koninkrijk en Zwitserland, of het EU-VS-gegevensprivacykader voor gecertificeerde bedrijven) of de standaardcontractbepalingen van de Europese Commissie. Voor Google en Apple geldt het EU-VS-gegevensprivacykader. Voor OpenAI gelden de standaardcontractbepalingen uit de verwerkersovereenkomst van OpenAI.
6. Datalekken
De verwerker meldt een inbreuk op de beveiliging die gevolgen kan hebben voor persoonsgegevens van de zaak zonder onnodige vertraging, en uiterlijk binnen 48 uur nadat hij die heeft ontdekt. Hij geeft daarbij wat hij weet over de aard, de betrokken gegevens, de gevolgen en de genomen maatregelen, en vult dat aan zodra hij meer weet. De zaak beslist of de inbreuk wordt gemeld bij de Autoriteit Persoonsgegevens en aan betrokkenen; de verwerker helpt daarbij.
7. Bewaren en verwijderen
1. Gegevens worden bewaard zolang de zaak ze nodig heeft. De administratie van bestellingen en betalingen bewaart het systeem zeven jaar, omdat de zaak dat volgens de belastingwet moet.
2. Na het einde van het abonnement kan de zaak binnen 90 dagen haar gegevens laten exporteren, als CSV-bestanden. Daarna verwijdert de verwerker de gegevens van de zaak, behalve wat de verwerker zelf wettelijk moet bewaren (zoals zijn eigen facturen aan de zaak). Reservekopieën worden binnen twee dagen overschreven.
8. Aansprakelijkheid
Voor de aansprakelijkheid geldt wat in de abonnementsvoorwaarden staat. Boetes of claims die het gevolg zijn van een handeling van de verwerker in strijd met deze overeenkomst of de AVG, komen voor rekening van de verwerker, binnen de grenzen van de abonnementsvoorwaarden voor zover de wet dat toelaat.
9. Slot
Op deze overeenkomst is Nederlands recht van toepassing. Geschillen gaan naar de rechtbank Overijssel. Gaat het abonnement over in een ander abonnement van dezelfde zaak, dan loopt deze overeenkomst door.