Addendum gegevensverwerking | Quandoo for Restaurants

Read English version here

Addendum gegevensverwerking bij de dienstverleningsovereenkomst ("dienstverleningsovereenkomst") door en tussen de Partner zoals bepaald in de dienstverleningsovereenkomst - "hierna de "Verantwoordelijke voor de verwerking" genoemd - en Quandoo Netherlands B.V. , Keizersgracht 555, 1017 DR Amsterdam, Nederland - "hierna de "Gegevensverwerker" genoemd - "elk een "Partij", gezamenlijk de "Partijen"

1. Werkingssfeer

De Gegevensverwerker is een aanbieder van diensten in verband met restaurantreserveringen en andere aanverwante diensten, met inbegrip van communicatie met gasten in verband met reserveringen, alsmede toegang tot een gegevensbank voor het beheer van restaurantreserveringen en gegevens in verband met die reserveringen (de "database") (samen de "diensten").

De Gegevensverwerker is een volledige dochteronderneming van Quandoo GmbH, KulturBrauerei, Schönhauser Allee 36, 10435 Berlijn, die optreedt als een verdere, aanvullende verwerker voor alle essentiële gegevensverwerking. Voor deze relatie tussen de Gegevensverwerker en Quandoo GmbH zijn passende overeenkomsten voor gegevensuitwisseling tussen bedrijven gesloten.

De Verantwoordelijke voor de verwerking is eigenaar van een restaurant en heeft zich bij het sluiten van de dienstverleningsovereenkomst geabonneerd op de diensten van de Gegevensverwerker. In verband met de verlening van de diensten verwerkt Gegevensverwerker namens Verantwoordelijke voor de verwerking persoonsgegevens die door de Verantwoordelijke voor de verwerking in de database zijn ingevoerd.

Dit addendum inzake gegevensverwerking (het "addendum") bevat de verplichtingen van de Partijen inzake gegevensbescherming, die voortvloeien uit de verwerking van gegevens door de Gegevensverwerker namens de Verantwoordelijke voor de verwerking.

2. Beschrijving van de verwerking

De Gegevensverwerker verwerkt de persoonsgegevens van Verantwoordelijke voor de verwerking als volgt:

2.1 Voorwerp, doel en aard van de verwerking

Het voorwerp en doel van de verwerking is de terbeschikkingstelling van de database om de Verantwoordelijke voor de verwerking in staat te stellen reserveringsaanvragen te beheren en gegevens met betrekking tot gasten in de database op te slaan, alsmede de levering van de diensten. De Gegevensverwerker stuurt namens de Verantwoordelijke voor de verwerking bepaalde mededelingen per e-mail of sms aan de klant over de status van de betrokken reservering.

2.2 Duur van de verwerking

De looptijd van dit addendum stemt overeen met die van de dienstverleningsovereenkomst.

2.3 Soort gegevens

De volgende soorten/categorieën gegevens maken deel uit van de verwerkte gegevens:

• Voor- en achternaam
• E-mailadres
• Telefoonnummer
• Details reservering
• Speciale opmerkingen of verzoeken zoals opgenomen door de Verantwoordelijke voor de verwerking
• Naam en e-mailadres van de werknemers van de Verantwoordelijke voor de verwerking, indien toegevoegd om toegang te verlenen tot de database

2.4 Categorieën van getroffen personen

De volgende personen worden door de gegevensverwerking getroffen:

• Gasten
• Werknemers van de Verantwoordelijke voor de verwerking

3. Rechten en plichten van de Verantwoordelijke voor de verwerking

3.1. De Verantwoordelijke voor de verwerking en de Gegevensverwerker zijn elk verantwoordelijk voor de naleving van de toepasselijke wetgeving inzake gegevensbescherming met betrekking tot de te verwerken gegevens, en dienen deze wetgeving ook na te leven. In het bijzonder, met betrekking tot de Verantwoordelijke voor de verwerking, stemt de Verantwoordelijke voor de verwerking ermee in dat:

3.1.1 hij de exclusieve controle en verantwoordelijkheid heeft om te bepalen welke persoonsgegevens Gegevensverwerker mag verwerken in verband met de dienstverleningsovereenkomst en dit addendum, en om duidelijke schriftelijke instructies te geven aan de Gegevensverwerker;

3.1.2. hij ervoor verantwoordelijk is dat de betrokkenen, in overeenstemming met alle toepasselijke wetgeving inzake gegevensbescherming, voldoende informatie hebben gekregen over de verwerking van hun persoonsgegevens; en

3.1.3 hij ervoor verantwoordelijk is dat er een rechtsgrondslag is voor de verwerking van persoonsgegevens van de betrokkenen, met inbegrip van het verkrijgen van alle nodige toestemmingen, indien vereist, in overeenstemming met de wetgeving inzake gegevensbescherming.

3.2. De Verantwoordelijke voor de verwerking stelt de Gegevensverwerker onverwijld in kennis indien hij gedurende de effectieve periode van de gegevensverwerking fouten en/of onregelmatigheden met betrekking tot de toepasselijke wetgeving inzake gegevensbescherming ontdekt.

4. Verplichtingen van de Gegevensverwerker

4.1. De Gegevensverwerker verwerkt de gegevens alleen in het kader van de instructies van de Verantwoordelijke voor de verwerking, zoals contractueel is overeengekomen:

4.1.1 De verwerking door de Gegevensverwerker geschiedt volgens de instructies van de Verantwoordelijke voor de verwerking. Dit addendum en de dienstverleningsovereenkomst bevatten in het algemeen de instructies van de Verantwoordelijke voor de verwerking. De Verantwoordelijke voor de verwerking behoudt zich echter het recht voor om schriftelijk redelijke aanvullende instructies te geven over de aard, de omvang en de methode van gegevensverwerking. Indien Gegevensverwerker niet in staat of niet bereid is om aan deze aanvullende instructies te voldoen, heeft Gegevensverwerker het recht om dit addendum en de dienstverleningsovereenkomst te beëindigen door de Verantwoordelijke voor de verwerking hiervan schriftelijk in kennis te stellen.

4.1.2 De verwerking van persoonsgegevens door Gegevensverwerker en Subverwerkers vindt plaats (i) op het grondgebied van de Europese Unie of de EER en (ii) op het grondgebied van derde landen die een niveau van gegevensbescherming bieden dat voldoende vergelijkbaar is met dat van de EU-wetgeving of (iii) wanneer de verwerking van persoonsgegevens gebaseerd is op contractuele waarborgen, zoals de modelcontractbepalingen van de EU of bindende bedrijfsvoorschriften. Voor elke andere doorgifte aan een derde land is voorafgaande toestemming en een desbetreffende instructie van de Verantwoordelijke voor de verwerking vereist, alsmede naleving van de wettelijke voorschriften voor gegevensoverdracht aan een derde land. Een uitzondering wordt gemaakt wanneer de Gegevensverwerker wettelijk verplicht is gegevens door te geven aan het derde land. In dat geval stelt de Gegevensverwerker de Verantwoordelijke voor de verwerking vóór het begin van de verwerking in kennis van dergelijke wettelijke vereisten (mits de toepasselijke wet een dergelijke mededeling niet verbiedt). Indien een beroep moet worden gedaan op een Subverwerker, zijn deze vereisten van toepassing naast de bepalingen in sectie 8.

4.1.3. Gegevensverwerker zal de Verantwoordelijke voor de verwerking schriftelijk in kennis stellen (e-mail naar het e-mailadres zoals vermeld in de dienstverleningsovereenkomst is voldoende) indien hij van mening is dat een instructie van Verantwoordelijke voor de verwerking in strijd is met wettelijke bepalingen. De Gegevensverwerker is gerechtigd de uitvoering van de respectievelijke instructies op te schorten tot het moment dat de Verantwoordelijke voor de verwerking deze schriftelijk aan Gegevensverwerker heeft bevestigd of gewijzigd.

4.1.4. De Gegevensverwerker verwerkt de gegevens uitsluitend ten behoeve van de dienstverleningsovereenkomst en in het kader van de instructies. De Gegevensverwerker mag de gegevens niet voor eigen doeleinden gebruiken of aan derden doorgeven, tenzij hij daartoe wettelijk verplicht is.

4.2. De Gegevensverwerker richt zijn interne processen zodanig in dat wordt voldaan aan de specifieke eisen inzake gegevensbescherming binnen het verantwoordelijkheidsgebied van de Gegevensverwerker en dat de rechten van de betrokkenen worden beschermd. De Gegevensverwerker zal de technische en organisatorische maatregelen treffen als bepaald in sectie 5 om de gegevens afdoende te beschermen tegen misbruik en verlies.

4.3. De Gegevensverwerker benoemt een functionaris voor gegevensbescherming indien hij daartoe wettelijk verplicht is.

4.4. De Gegevensverwerker vertrouwt de in dit addendum geschetste gegevensverwerking alleen toe aan werknemers die tot geheimhouding verplicht zijn en die vooraf vertrouwd zijn gemaakt met de voor hun werk relevante bepalingen inzake gegevensbescherming.

4.5. De Gegevensverwerker zal de Verantwoordelijke voor de verwerking onverwijld op de hoogte brengen in geval van gegevensinbreuken die verband houden met de verwerking van de gegevens van de Verantwoordelijke voor de verwerking krachtens dit addendum.

4.6. De Gegevensverwerker en de Verantwoordelijke voor de verwerking zullen samenwerken met alle toezichthoudende autoriteiten die bevoegd zijn voor de aangelegenheden die in dit addendum zijn vermeld. Voor zover de Verantwoordelijke voor de verwerking wordt onderworpen aan een inspectie door een toezichthoudende autoriteit, een administratieve of summiere overtreding of een strafrechtelijke procedure, een aansprakelijkheidsstelling door een betrokkene of door een derde of enige andere vordering in verband met de gegevensverwerking door Gegevensverwerker, zal de Gegevensverwerker op kosten van Verantwoordelijke voor de verwerking alle redelijke medewerking aan Verwerkingsverantwoordelijke verlenen.

4.7. Binnen 30 dagen na het verstrijken van dit addendum en/of op verzoek van Verantwoordelijke voor de verwerking, zal de Gegevensverwerker alle persoonsgegevens wissen die onder dit addendum zijn verstrekt.

4.8. De Gegevensverwerker helpt de Verantwoordelijke voor de verwerking bij het nakomen van de verplichtingen inzake de beveiliging van de verwerking van persoonsgegevens, de meldingsplicht voor inbreuken op de gegevens bij de bevoegde autoriteit of de betrokkenen, de gegevensbeschermingseffectbeoordeling en de voorafgaande raadpleging.

4.9. De Gegevensverwerker kan een redelijke vergoeding eisen voor ondersteunende diensten die niet in de beschrijving van de diensten zijn opgenomen, met name gegevensbeschermingseffectbeoordelingen en voorafgaande raadplegingen, en die niet te wijten zijn aan tekortkomingen van Gegevensverwerker.

5. Technisch-organisatorische maatregelen

5.1. De Gegevensverwerker neemt de beginselen van behoorlijke gegevensverwerking in acht en voert alle overeengekomen maatregelen uit in verband met de contractuele behandeling van persoonsgegevens van de Verantwoordelijke voor de verwerking. De Gegevensverwerker scheidt de verwerkte gegevens van de andere gegevensinventaris. De Gegevensverwerker neemt de passende contractueel overeengekomen en technisch-organisatorische maatregelen die door de wet worden vereist en zorgt er aldus voor dat de gegevensverwerking in overeenstemming is met de wettelijke voorschriften en de bescherming van de rechten van de betrokken personen. De maatregelen moeten met name toereikende gegevensbeveiligingscontroles omvatten om een op het risico afgestemd beschermingsniveau te waarborgen met betrekking tot de vertrouwelijkheid, de integriteit, de beschikbaarheid en de veerkracht van het systeem, en moeten rekening houden met beste praktijken, uitvoeringskosten en de aard, de werkingssfeer en het doel van de verwerking, alsook met de verschillende waarschijnlijkheden dat het risico zich voordoet en de ernst van het risico voor de rechten en vrijheden van natuurlijke personen. De in aanhangsel 1 beschreven technisch-organisatorische maatregelen maken deel uit van dit addendum en zijn bindend overeengekomen.

5.2 De technisch-organisatorische maatregelen kunnen door de Gegevensverwerker in de loop van de contractuele relatie worden aangepast, afhankelijk van de technische en organisatorische ontwikkeling. De Gegevensverwerker kan hiertoe alternatieve passende maatregelen treffen. In dit verband moet het veiligheidsniveau van de alternatieve maatregelen ten minste even hoog zijn als dat van de gespecificeerde maatregelen.

6. Recht op inzage van de Verantwoordelijke voor de verwerking

6.1. Ten minste 30 werkdagen van tevoren en ten hoogste eenmaal per contractjaar heeft de Verantwoordelijke voor de verwerking het recht zich ervan te vergewissen dat de technische en organisatorische maatregelen die de Gegevensverwerker tijdens de normale kantooruren in de gebouwen van de Gegevensverwerker heeft genomen, adequaat zijn, zonder de bedrijfsvoering te onderbreken en onder voorbehoud van voorafgaande sluiting van een geheimhoudingsovereenkomst. De Verantwoordelijke voor de verwerking zal de Gegevensverwerker de tijd vergoeden die aan een dergelijke controle ter plaatse is besteed. Vóór de aanvang van een dergelijke controle ter plaatse komen de Verantwoordelijke voor de verwerking en de Gegevensverwerker onderling de omvang, het tijdschema en de duur van die controle overeen, alsmede het vergoedingstarief waarvoor de Verantwoordelijke voor de verwerking verantwoordelijk is.

6.2. De Verantwoordelijke voor de verwerking stemt ermee in dat, in afwijking van sectie 6.1 hierboven, de Gegevensverwerker kopieën van certificeringen of rapporten waaruit blijkt dat Gegevensverwerker voldoet aan de geldende gegevensbeveiligingsnormen die van toepassing zijn op de verwerking van persoonsgegevens van Verantwoordelijke voor de verwerking, ter beoordeling aan Verantwoordelijke voor de verwerking beschikbaar mag stellen.

7. Rechten van de betrokkenen

7.1 De Verantwoordelijke voor de verwerking is als enige verantwoordelijk voor de naleving van de wettelijke rechten van de betrokken personen, met inbegrip van, maar niet beperkt tot, informatie over, openbaarmaking, verwijdering of markering/blokkering en overdracht van hun persoonsgegevens. De Gegevensverwerker mag geen besluiten nemen over of gevolg geven aan verzoeken die de betrokken personen tot hem richten, tenzij de Verantwoordelijke voor de verwerking daarom verzoekt.

7.2 Indien een betrokkene rechtstreeks contact opneemt met Gegevensverwerker, stuurt Gegevensverwerker het verzoek onverwijld door aan de Verantwoordelijke voor de verwerking. Indien de Verantwoordelijke voor de verwerking op grond van de bepalingen van de gegevensbeschermingswetgeving verplicht is een persoon informatie te verstrekken over de verzameling, de verwerking of het gebruik van de persoonsgegevens, assisteert de Gegevensverwerker de Verantwoordelijke voor de verwerking bij het verstrekken van deze informatie, mits de Verantwoordelijke voor de verwerking de Gegevensverwerker daarom schriftelijk heeft verzocht en zal de Gegevensverwerker de gemaakte kosten vergoeden.

8. Subverwerkers

8.1. De Verantwoordelijke voor de verwerking erkent en stemt ermee in dat Gegevensverwerker Subverwerkers kan inschakelen in verband met de verlening van de diensten.

8.2. Als voorwaarde om Subverwerkers toe te laten, zal de Gegevensverwerker met elke Subverwerker een schriftelijke overeenkomst sluiten die gegevensbeschermingsverplichtingen bevat die ten minste hetzelfde beschermingsniveau bieden als die in dit addendum.

8.3. Een actuele lijst van Subverwerkers is toegankelijk via Subprocessors De Verantwoordelijke voor de verwerking geeft uitdrukkelijk toestemming voor de inschakeling van Subverwerkers zoals vermeld op de voornoemde homepage. De Gegevensverwerker kan deze lijst van tijd tot tijd bijwerken. De Verantwoordelijke voor de verwerking is verplicht de lijst voortdurend te controleren. Toestemming voor de aanstelling van een nieuwe Subverwerker wordt geacht te zijn gegeven indien de Verantwoordelijke voor de verwerking de aanstelling van een nieuwe Subverwerker niet tegenspreekt via een kennisgeving per e-mail aan dataprotection@quandoo.com tot uiterlijk twee weken voor de go-live datum zoals gespecificeerd op de voornoemde homepage.

8.4. De Verantwoordelijke voor de verwerking heeft het recht de indienstneming van een nieuwe Subverwerker alleen om zwaarwegende redenen tegen te spreken en moet die redenen in de bovengenoemde kennisgeving aan de Gegevensverwerker vermelden. De Gegevensverwerker heeft in dit geval het recht om dit addendum alsmede de dienstverleningsovereenkomst te beëindigen.

8.5. De Gegevensverwerker is aansprakelijk voor het handelen en nalaten van zijn Subverwerkers in dezelfde mate waarin de Gegevensverwerker aansprakelijk zou zijn indien hij de diensten van elke Subverwerker rechtstreeks onder de voorwaarden van dit addendum zou uitvoeren.

9. Aansprakelijkheid

9.1. Overeenkomstig de wettelijke en statutaire bepalingen is de Gegevensverwerker aansprakelijk tegenover de Verantwoordelijke voor de verwerking voor alle schade die wordt veroorzaakt door zijn eigen verwijtbare schending van dit addendum, of de schending van wettelijke verplichtingen onder de gegevensbeschermingsvereisten, veroorzaakt door de Verantwoordelijke voor de verwerking, zijn werknemers of derden die namens hem handelen, bij het verlenen van de contractuele diensten. De Gegevensverwerker is niet aansprakelijk indien hij kan bewijzen dat hij de door de Verantwoordelijke voor de verwerking verstrekte gegevens uitsluitend heeft verwerkt in overeenstemming met de instructies van de Verantwoordelijke voor de verwerking en de verplichtingen in het kader van de toepasselijke wetgeving inzake gegevensbescherming die specifiek aan de Gegevensverwerker zijn opgelegd.

9.2. De Verantwoordelijke voor de verwerking zal de verwerker vrijwaren en schadeloos stellen voor alle vorderingen die derden tegen hem instellen op grond van een verwijtbare schending door de Verantwoordelijke voor de verwerking van dit addendum of de toepasselijke voorschriften inzake gegevensbescherming.

9.3. De aansprakelijkheid van de Verantwoordelijke voor de verwerking jegens de Gegevensverwerker strekt zich uit tot boetes die de Gegevensverwerker worden opgelegd, voor zover deze zijn gebaseerd op de niet-nakoming van de verplichtingen inzake gegevensbescherming door de Verantwoordelijke voor de verwerking. Indien als gevolg van een dergelijk plichtsverzuim door de Verantwoordelijke voor de verwerking een boete wordt opgelegd aan de Gegevensverwerker, vrijwaart de Verantwoordelijke voor de verwerking de Gegevensverwerker tegen de boete, waarbij de hoogte van de vrijwaring is gebaseerd op het aansprakelijkheidsquotum in het individuele geval. De Verantwoordelijke voor de verwerking is aansprakelijk voor het bedrag dat gelijk is aan zijn aandeel in de verantwoordelijkheid voor de overtreding die met de boete wordt bestraft. De bewijslast dat de bestrafte schending niet gebaseerd is op plichtsverzuim van de Verantwoordelijke voor de verwerking en dat de Verantwoordelijke niet verantwoordelijk is voor de schending, ligt bij de Verantwoordelijke voor de verwerking.

9.4 De bovengenoemde aansprakelijkheid van de Verantwoordelijke voor de verwerking volgens sectie 3 is afhankelijk van de onmiddellijke schriftelijke kennisgeving door de Gegevensverwerker aan de Verantwoordelijke voor de verwerking van elke gebeurtenis die aansprakelijkheid doet ontstaan, het onvermogen/de nalatigheid van de Gegevensverwerker om de vermeende schending te erkennen, en het feit dat de Gegevensverwerker eventuele geschillen, gerechtelijke of buitengerechtelijke, alleen met wederzijdse instemming met de Verantwoordelijke voor de verwerking voert. In het bijzonder kan de Verantwoordelijke voor de verwerking eisen dat de Gegevensverwerker naar de rechter stapt om de uitgevaardigde dwangsommen te controleren, waarbij de Verantwoordelijke voor de verwerking aan de Gegevensverwerker de kosten en uitgaven voor een dergelijk proces ten belope van de wettelijke vergoedingen moet vergoeden.

10. Diversen

10.1. Indien de gegevens van de Gegevensverwerker in gevaar komen als gevolg van een executie- of verbeurdverklaringsprocedure, een insolventieprocedure of andere soortgelijke gebeurtenissen, stelt de Gegevensverwerker de Verantwoordelijke voor de verwerking daarvan onverwijld in kennis.

10.2. Alle wijzigingen en/of aanpassingen van dit addendum dienen schriftelijk te geschieden en door beide Partijen te worden ondertekend.

10.3. Indien een bepaling van dit addendum ongeldig of niet-afdwingbaar is of wordt, blijft de geldigheid van de overige bepalingen onaangetast. De onwerkzame of niet-afdwingbare bepaling wordt vervangen door een bepaling die haar betekenis en doel zo dicht mogelijk benadert.

10.4. In geval van tegenstrijdigheid tussen de dienstverleningsovereenkomst en dit addendum, zal dit addendum voorrang hebben.

10.5. Dit addendum zal worden beheerst door en geïnterpreteerd in overeenstemming met de wetten van Nederland, en de rechtbanken van Amsterdam zullen exclusieve bevoegdheid hebben.

Aanhangsel 1 bij het addendum: Technische en organisatorische maatregelen

Beschrijving van de technische en organisatorische beveiligingsmaatregelen die de Gegevensverwerker heeft getroffen:

1. Ingangscontrole

Maatregelen om te voorkomen dat onbevoegden toegang krijgen tot gegevensverwerkingssystemen die persoonsgegevens verwerken of gebruiken

☒ Aanmaken van gebruikersprofielen
☐ Authenticatie met biometrische procedures
☒ Toewijzing van gebruikersprofielen aan IT-systemen
☒ Gebruik van VPN-technologie
☒ Veiligheidssloten
☒ Personencontrole door portier/bij de ingangen
☐ Zorgvuldige selectie van schoonmaakpersoneel
☐ Verplicht dragen van vergunningsbewijzen
☒ Encryptie van mobiele gegevensdragers
☐ Gebruik van gecentraliseerde software voor smartphone-administratie (bv. voor het extern wissen van gegevens)
☒ Encryptie van gegevensdragers in laptops/notebooks
☒ Gebruik van een software firewall