Verwerken in jouw opdracht

Deze overeenkomst geldt tussen de onderneming met een SalonWard-account (de salon, de verwerkingsverantwoordelijke) en SalonWard, exploitant van salonward.com (SalonWard, de verwerker), voor alle persoonsgegevens die de salon in het product opslaat. Ze geldt zolang het account bestaat en dekt niets anders.

Klantdossiers (contactgegevens, bezoekhistorie, notities, foto's, toestemmingen), afspraken en wachtlijstplekken, medewerkersgegevens (profielen, roosters, uren), facturen en betalingen, berichten die de salon verstuurt, en reviews. Dat alles wordt uitsluitend verwerkt zodat de salon haar zaak in SalonWard kan runnen: plannen, afrekenen, communiceren, rapporteren. De betrokkenen zijn de klanten, medewerkers en contacten van de salon.

SalonWard verwerkt de gegevens van de salon alleen om het product en zijn gedocumenteerde functies te leveren, wat de vaste instructies van de salon zijn, en nooit voor eigen doeleinden. Niet verkopen, niet profileren, geen advertenties, nergens iets op trainen. Dwingt een wettelijke verplichting ooit tot meer, dan informeert SalonWard de salon vooraf, tenzij de wet dat verbiedt.

Iedereen die SalonWard toegang geeft tot persoonsgegevens is gebonden aan geheimhouding, en toegang blijft beperkt tot wat het draaien van het platform echt vereist. Handelingen van de platformbeheerder op een salonaccount worden vastgelegd in het eigen auditlog van die salon.

SalonWard treft de technische en organisatorische maatregelen die op de privacypagina staan, zoals versleuteld transport, gehashte inloggegevens, isolatie per salon tot op de databaserij, tweestapsverificatie, intrekbare sessies, dagelijkse back-ups binnen de EU die versleuteld worden voordat een kopie de server verlaat, en automatische handhaving van bewaartermijnen, en houdt ze bij de stand van de techniek.

De salon verleent algemene schriftelijke toestemming voor de subverwerkers die op de privacypagina bij naam staan: Hostinger International Ltd. (hosting in Frankfurt, Duitsland), TransIP B.V. (bezorging van e-mail, Nederland) en Twilio Ireland Limited (sms). Elk is gebonden aan verplichtingen gelijkwaardig aan deze overeenkomst, en SalonWard blijft volledig verantwoordelijk voor hun werk. Een nieuwe of vervangende subverwerker kondigen we minstens 30 dagen voor de start per e-mail aan bij de eigenaar van het account. De salon kan in die tijd bezwaar maken, en een salon die bezwaar maakt kan het account beëindigen en eerst haar gegevens exporteren.

De gegevens van de salon staan in de Europese Unie. Sms is de uitzondering. Twilio verwerkt het telefoonnummer van de ontvanger en het bericht in de Verenigde Staten, onder het EU-VS Data Privacy Framework en de standaardcontractbepalingen van de Europese Commissie. Een salon die geen sms aanzet, stuurt daar geen gegevens heen.

SalonWard helpt de salon bij verzoeken van betrokkenen, en waar relevant bij beveiliging, datalekmeldingen en gegevensbeschermingseffectbeoordelingen, rekening houdend met wat het platform technisch kan weten. Exporteren, corrigeren en verwijderen zijn productfuncties in plaats van tickets.

SalonWard informeert getroffen salons zonder onnodige vertraging nadat een datalek bekend wordt, met wat er bekend is over aard, omvang en beperking, zodat de salon aan haar eigen meldplichten richting de Autoriteit Persoonsgegevens en de betrokkenen kan voldoen.

Sluit de salon haar account, dan krijgt ze een export van haar gegevens, met de facturen, factuurregels en betalingen, zodat ze haar eigen fiscale administratie kan bewaren. Dertig dagen na het sluiten wist SalonWard alle gegevens van de salon, persoonsgegevens inbegrepen, en de roulerende back-ups volgen binnen veertien dagen. Daarna houdt SalonWard geen kopie meer.

SalonWard stelt de informatie beschikbaar die redelijkerwijs nodig is om naleving van deze overeenkomst aan te tonen, en werkt mee aan audits waarop de salon wettelijk recht heeft, te beginnen bij de documentatie op de privacypagina, die bewust waarheidsgetrouw wordt gehouden.

Deze overeenkomst maakt deel uit van de voorwaarden; waar de twee botsen over persoonsgegevens, gaat deze overeenkomst voor. Aansprakelijkheid volgt de voorwaarden. Nederlands recht is van toepassing, en wijzigingen worden aangekondigd zoals wijzigingen van de voorwaarden. De datum bovenaan schuift op.