Verwerkersovereenkomst

1. Partijen en waarom deze overeenkomst bestaat

Deze overeenkomst geldt tussen de organisatie die Passavo gebruikt — de VERWERKINGSVERANTWOORDELIJKE — en Fades Management EOOD, Legis Center, Blvd. 6-ti Septemvri 152, Office 3-8B, 4000 Plovdiv, Bulgarije, ondernemingsnummer 208607050 — de VERWERKER.

Artikel 28 AVG verplicht een verwerkingsverantwoordelijke om met elke verwerker schriftelijk vast te leggen wat die met de gegevens mag doen. Deze pagina is dat document.

Ze maakt deel uit van de algemene voorwaarden. Heb je een eigen model nodig voor een subsidiedossier of een aanbesteding, schrijf ons dan op info@passavo.eu: we tekenen het.

Waar deze overeenkomst en de algemene voorwaarden elkaar tegenspreken over de verwerking van persoonsgegevens, gaat deze overeenkomst voor.

2. Onderwerp, aard en doel

ONDERWERP: het verwerken van persoonsgegevens van bezoekers en kopers van de organisatie, voor zover dat nodig is om het platform te laten werken.

AARD VAN DE VERWERKING: verzamelen, opslaan, raadplegen, ordenen, doorsturen naar de diensten die de organisatie zelf koppelde, en wissen.

DOEL: de verkoop van tickets, de levering en de controle ervan, de kassa ter plaatse, de communicatie met de koper over zijn bestelling, en de rapportering aan de organisatie. Voor niets anders.

Wij gebruiken deze gegevens niet voor eigen doeleinden. We bouwen er geen profielen mee, we trainen er niets mee, we verkopen ze niet en we gebruiken ze niet om andere klanten te bedienen.

3. Duur

Deze overeenkomst gaat in zodra de organisatie het platform begint te gebruiken en loopt zolang de hoofdovereenkomst loopt.

Wat naar zijn aard langer moet blijven gelden — geheimhouding, en de afspraken over teruggave en verwijdering — blijft ook na het einde gelden.

4. Soorten gegevens en betrokkenen

BETROKKENEN: bezoekers en kopers van de organisatie, en de personen die de organisatie zelf toegang geeft tot haar account.

SOORTEN GEGEVENS:

• identificatie: naam en e-mailadres, en wat de organisatie verder aan haar bestelformulier toevoegt;
• bestelgegevens: welke tickets, welk tijdslot, bedrag en betaalstatus;
• ticketgegevens: het ticketnummer, de wallet-pas wanneer de koper daarvoor kiest, en het moment van scannen aan de deur;
• het nummer van een kansentariefpas, wanneer de organisatie met het kansentarief werkt;
• technische gegevens: IP-adres en tijdstip in de logs.

GEEN BIJZONDERE CATEGORIEËN. Het platform is niet bedoeld voor gegevens over gezondheid, geloof, politieke overtuiging, seksuele geaardheid of etnische afkomst, en de organisatie zorgt ervoor dat ze die er niet in zet — ook niet in een vrij invulveld of in een opmerking bij een bestelling.

Een kansentariefnummer is op zichzelf geen bijzondere categorie, maar het zegt wel iets over de financiële situatie van een bezoeker. We behandelen het daarom met dezelfde zorg: het is alleen zichtbaar voor wie het aan de kassa nodig heeft.

5. Instructies

Wij verwerken de gegevens uitsluitend op gedocumenteerde instructie van de organisatie. Die instructie bestaat uit: deze overeenkomst, de algemene voorwaarden, en de instellingen die de organisatie in haar account maakt. Wat zij daar instelt, is wat wij uitvoeren.

Verplicht het recht van de Europese Unie of van een lidstaat ons tot een verwerking waar geen instructie voor is, dan lichten we de organisatie daar vooraf over in, tenzij dat recht dat verbiedt.

Denken wij dat een instructie in strijd is met de AVG, dan zeggen we dat, en we voeren ze niet blind uit.

6. Vertrouwelijkheid

Alleen de mensen die de gegevens nodig hebben om hun werk te doen, krijgen er toegang toe. Dat is bij ons een kleine kring.

Iedereen die toegang heeft, is tot geheimhouding gehouden, en die verplichting blijft gelden nadat de samenwerking eindigt.

Toegang voor ondersteuning gebeurt op vraag van de organisatie, en wordt gelogd.

7. Beveiliging

Wij nemen passende technische en organisatorische maatregelen (art. 32 AVG). Concreet:

• VERSLEUTELING ONDERWEG: al het verkeer naar en van het platform loopt over TLS. Dat geldt ook voor de scan-app en voor de koppelingen met betaalproviders.
• VERSLEUTELING IN RUST: wachtwoorden staan gehasht met een moderne, trage hashfunctie. Geheimen zoals de sleutels van een betaalprovider staan versleuteld in de database, met een sleutel die niet in de database zit.
• TOEGANGSBEHEER PER ROL: wie wat mag zien of doen, hangt af van zijn rol in zijn eigen organisatie. Elke opvraging is bovendien gebonden aan die organisatie, zodat de gegevens van twee klanten elkaar niet kunnen raken.
• APPEND-ONLY JOURNAAL: het kassajournaal kan alleen aangevuld worden. Een geboekte verkoop is achteraf niet meer te wijzigen of te wissen; een vergissing wordt rechtgezet met een nieuwe regel die naar de oude verwijst. Voor Duitse klanten wordt elke transactie bovendien technisch ondertekend.
• BACK-UPS: dagelijks, versleuteld bewaard, en we testen of ze terug te zetten zijn.
• SCHEIDING VAN OMGEVINGEN: ontwikkeling en test draaien niet op echte gegevens van klanten.
• OPVOLGING: updates van het systeem en van de onderdelen waarop het draait volgen we op, en logs bewaren we 90 dagen om een incident te kunnen onderzoeken.

Wij evalueren deze maatregelen regelmatig en mogen ze vervangen door maatregelen die minstens evenwaardig zijn.

8. Sub-verwerkers

De organisatie geeft ons algemene toestemming om de sub-verwerkers hieronder in te schakelen. Met elk van hen is een verwerkersovereenkomst gesloten die minstens dezelfde verplichtingen oplegt als deze.

• Contabo GmbH (DE) — servers en back-ups, in een datacenter in Duitsland
• Wattify B.V. (BE) — het versturen en ontvangen van onze e-mail
• Mollie B.V. (NL) — betalingen van bezoekers, rechtstreeks op de rekening van de organisatie (alleen wanneer dit van toepassing is)
• Stripe Payments Europe Ltd. (IE) — betalingen van bezoekers, rechtstreeks op de rekening van de organisatie (alleen wanneer dit van toepassing is)
• Payconiq International S.A. (LU) — betalingen van bezoekers, rechtstreeks op de rekening van de organisatie (alleen wanneer dit van toepassing is)
• Apple Inc. (US) — het ticket als pas in Apple Wallet (alleen wanneer dit van toepassing is)
• Google Ireland Ltd. (IE) — het ticket als pas in Google Wallet (alleen wanneer dit van toepassing is)
• publiq vzw (BE) — het kansentarief: controle van het pasnummer en registratie van de verkoop (alleen wanneer dit van toepassing is)
• fiskaly GmbH (DE) — de wettelijk verplichte handtekening onder het kassajournaal voor Duitse klanten (alleen wanneer dit van toepassing is)
• Apple Inc. / Google Ireland Ltd. (US/IE) — de verspreiding en de updates van de scan-app (alleen wanneer dit van toepassing is)

Willen we er eentje bijnemen of vervangen, dan laten we dat minstens 30 dagen vooraf per e-mail weten. Heeft de organisatie daar een gegrond bezwaar tegen, dan zoeken we samen een oplossing; komen we er niet uit, dan mag zij opzeggen zonder kosten tegen de datum waarop de wijziging ingaat.

Wij blijven tegenover de organisatie volledig aansprakelijk voor wat een sub-verwerker doet.

9. Bijstand bij verzoeken van betrokkenen

Vraagt een bezoeker inzage, verbetering, verwijdering, beperking of overdracht van zijn gegevens, dan beslist de organisatie daarover — zij is de verantwoordelijke, niet wij.

Wij helpen haar daarbij met passende technische middelen: de gegevens van één bezoeker opzoeken, exporteren en wissen doet zij zelf in het systeem, op zijn e-mailadres — bij een bestelling of onder Instellingen → Gegevens exporteren. Wat zij wettelijk moet bewaren, zoals uitgereikte facturen, blijft daarbij staan. Lukt het niet, dan doen wij het voor haar.

Komt zo een verzoek per vergissing bij ons terecht, dan beantwoorden wij het niet zelf. We sturen het binnen vijf werkdagen door naar de organisatie en laten de bezoeker weten bij wie hij moet zijn.

Deze bijstand zit in de prijs van het abonnement. Alleen bij een buitensporig aantal of een buitensporige omvang van verzoeken mogen we de werkelijke kosten aanrekenen, en dan zeggen we dat vooraf.

10. Bijstand bij gegevensbeschermingseffectbeoordelingen

Moet de organisatie een gegevensbeschermingseffectbeoordeling maken (art. 35 AVG) of haar toezichthouder raadplegen (art. 36 AVG), dan geven wij de informatie die alleen wij hebben: welke gegevens waar staan, hoe ze beveiligd zijn en wie ze nog ziet.

Wij helpen ook bij het naleven van de artikelen 32 tot en met 36 AVG, in verhouding tot de aard van de verwerking en tot wat wij redelijkerwijs weten.

11. Datalekken

Stellen wij een inbreuk in verband met persoonsgegevens vast, dan lichten wij de betrokken organisatie in binnen 48 uur na vaststelling. Niet binnen 72 uur: die 72 uur is de termijn waarbinnen ZIJ haar toezichthouder moet inlichten, en die haalt ze alleen als ze het eerder van ons hoort.

Onze melding bevat wat we op dat moment weten: wat er gebeurd is, welke soorten gegevens en hoeveel betrokkenen het ongeveer betreft, wat de waarschijnlijke gevolgen zijn, en wat we eraan gedaan hebben of gaan doen. Wat we nog niet weten, zeggen we er eerlijk bij en vullen we aan zodra we het weten.

Wij melden niet in naam van de organisatie aan haar toezichthouder en wij lichten haar bezoekers niet zelf in: dat is haar beslissing. Wij helpen haar er wel bij.

12. Teruggave en verwijdering bij het einde

Eindigt de overeenkomst, dan kiest de organisatie: teruggave of verwijdering.

• TERUGGAVE: ze kan haar gegevens zelf exporteren in een gangbaar bestandsformaat: CSV, per lijst of alles samen in één zip, onder Instellingen → Gegevens exporteren. Die mogelijkheid blijft 30 dagen open na het einde.
• VERWIJDERING: daarna verwijderen wij de gegevens uit de actieve systemen, en uit de back-ups zodra die volgens het gewone schema vervallen.

Wat wij wettelijk moeten bewaren — facturen, en het ondertekende kassajournaal van een Duitse klant — blijft staan tot die termijn afgelopen is, en wordt in die periode voor niets anders gebruikt.

Vraagt de organisatie er om, dan bevestigen wij de verwijdering schriftelijk.

13. Audit

De organisatie mag nagaan of wij doen wat hier staat. Op haar vraag bezorgen we de informatie die nodig is om de naleving van artikel 28 AVG aan te tonen.

Wil ze een audit ter plaatse of door een onafhankelijke auditor, dan kan dat, met een redelijke aankondigingstermijn, tijdens de kantooruren, hoogstens één keer per jaar — en vaker wanneer er een concrete aanleiding is, zoals een datalek.

De auditor mag geen concurrent van ons zijn en is tot geheimhouding gehouden. De gegevens van andere klanten blijven buiten de audit.

De kosten van een audit draagt de organisatie, tenzij daaruit blijkt dat wij in gebreke bleven.

14. Wijzigingen

Verandert de wet, of verandert de manier waarop het platform werkt, dan passen wij deze overeenkomst aan. Dat kondigen we minstens 30 dagen vooraf per e-mail aan.

Gaat de organisatie niet akkoord, dan kan ze opzeggen tegen de datum waarop de wijziging ingaat, zonder kosten.

De versiedatum bovenaan zegt welke versie je leest. De versie die bij de registratie aanvaard werd, bewaren we bij de organisatie.