Addendum gegevensverwerking Pro | Quandoo for Restaurants

Addendum gegevensverwerking bij de dienstverleningsovereenkomst ("dienstverleningsovereenkomst") door en tussen de Partner zoals bepaald in de dienstverleningsovereenkomst - "hierna de "Verantwoordelijke voor de verwerking" genoemd - en Quandoo Netherlands B.V. , Keizersgracht 555, 1017 DR Amsterdam, Nederland - "hierna de "Gegevensverwerker" genoemd - "elk een "Partij", gezamenlijk de "Partijen"

1. Reikwijdte

De Gegevensverwerker is een aanbieder van reserveringsdiensten voor restaurants en aanverwante diensten, waaronder reserveringsgerelateerde communicatie met gasten en toegang tot een database voor het beheer van restaurantreserveringen en gegevens met betrekking tot die reserveringen (de "database") (samen de "diensten").

De Gegevensverwerker is een volledige dochteronderneming van Quandoo GmbH, KulturBrauerei, Schönhauser Allee 36, 10435 Berlijn, die optreedt als een verdere, aanvullende verwerker voor alle essentiële gegevensverwerking. Voor deze relatie tussen de Gegevensverwerker en Quandoo GmbH zijn passende overeenkomsten voor gegevensuitwisseling tussen bedrijven gesloten.

De Verantwoordelijke voor de verwerking is eigenaar van een restaurant en heeft zich bij het sluiten van de dienstverleningsovereenkomst geabonneerd op de diensten van de Gegevensverwerker. In verband met de verlening van de diensten verwerkt Gegevensverwerker namens Verantwoordelijke voor de verwerking persoonsgegevens die door de Verantwoordelijke voor de verwerking in de database zijn ingevoerd.

Dit addendum inzake gegevensverwerking (het "addendum") bevat de verplichtingen van de Partijen inzake gegevensbescherming, die voortvloeien uit de verwerking van gegevens door de Gegevensverwerker namens de Verantwoordelijke voor de verwerking.

2. Beschrijving van de verwerking

De Gegevensverwerker verwerkt de persoonsgegevens die hij ontvangt van de Gegevensbeheerder als volgt:

2.1 Onderwerp, doel en type van verwerking

Het onderwerp en het doel van de verwerking door de Gegevensverwerker, en de levering van de database door de Gegevensbeheerder aan de Gegevensverwerker, is om de Gegevensbeheerder in staat te stellen reserveringsaanvragen te beheren en gegevens met betrekking tot gasten op te slaan in de database, evenals de levering van de diensten door de Gegevensverwerker aan de Gegevensbeheerder. De Gegevensverwerker kan van tijd tot tijd bepaalde communicatie namens de Gegevensbeheerder via e-mail of sms naar de gasten sturen over de status van hun reservering(en) bij de Gegevensbeheerder.

2.2 Duur van de verwerking

De looptijd van dit addendum komt overeen met de looptijd van de servicevoorwaarden.

2.3 Soort gegevens

De volgende soorten/categorieën gegevens maken deel uit van de verwerkte gegevens:

• Voor- en achternaam
• E-mailadres
• Telefoonnummer
• Reserveringsgegevens
• Speciale wensen of verzoeken zoals ingevoerd door de Gegevensbeheerder
• Naam en e-mailadres van medewerkers van de Gegevensbeheerder indien toegevoegd om toegang te verlenen tot de database.

2.4 Categorieën van betrokken personen

De volgende personen zijn betrokken bij de gegevensverwerking:

• Gasten
• Medewerkers van de Gegevensbeheerder

3. Rechten en plichten van de Gegevensbeheerder

3.1. De Verantwoordelijke voor de verwerking en de Gegevensverwerker zijn elk verantwoordelijk voor de naleving van de toepasselijke wetgeving inzake gegevensbescherming met betrekking tot de te verwerken gegevens, en dienen deze wetgeving ook na te leven. In het bijzonder, met betrekking tot de Verantwoordelijke voor de verwerking, stemt de Verantwoordelijke voor de verwerking ermee in dat:

3.1.1 hij de exclusieve controle en verantwoordelijkheid heeft om te bepalen welke persoonsgegevens Gegevensverwerker mag verwerken in verband met de dienstverleningsovereenkomst en dit addendum, en om duidelijke schriftelijke instructies te geven aan de Gegevensverwerker;

3.1.2. hij ervoor verantwoordelijk is dat de betrokkenen, in overeenstemming met alle toepasselijke wetgeving inzake gegevensbescherming, voldoende informatie hebben gekregen over de verwerking van hun persoonsgegevens; en

3.1.3 hij ervoor verantwoordelijk is dat er een rechtsgrondslag is voor de verwerking van persoonsgegevens van de betrokkenen, met inbegrip van het verkrijgen van alle nodige toestemmingen, indien vereist, in overeenstemming met de wetgeving inzake gegevensbescherming.

3.2. De Verantwoordelijke voor de verwerking stelt de Gegevensverwerker onverwijld in kennis indien hij gedurende de effectieve periode van de gegevensverwerking fouten en/of onregelmatigheden met betrekking tot de toepasselijke wetgeving inzake gegevensbescherming ontdekt.

4. Verplichtingen van de Gegevensverwerker

4.1. De Gegevensverwerker verwerkt de gegevens alleen in het kader van de instructies van de Verantwoordelijke voor de verwerking, zoals contractueel is overeengekomen:

4.1.1 De verwerking door de Gegevensverwerker geschiedt volgens de instructies van de Verantwoordelijke voor de verwerking. Dit addendum en de dienstverleningsovereenkomst bevatten in het algemeen de instructies van de Verantwoordelijke voor de verwerking. De Verantwoordelijke voor de verwerking behoudt zich echter het recht voor om schriftelijk redelijke aanvullende instructies te geven over de aard, de omvang en de methode van gegevensverwerking. Indien Gegevensverwerker niet in staat of niet bereid is om aan deze aanvullende instructies te voldoen, heeft Gegevensverwerker het recht om dit addendum en de dienstverleningsovereenkomst te beëindigen door de Verantwoordelijke voor de verwerking hiervan schriftelijk in kennis te stellen.

4.1.2 De verwerking van persoonsgegevens door Gegevensverwerker en Subverwerkers vindt plaats (i) op het grondgebied van de Europese Unie of de EER en (ii) op het grondgebied van derde landen die een niveau van gegevensbescherming bieden dat voldoende vergelijkbaar is met dat van de EU-wetgeving of (iii) wanneer de verwerking van persoonsgegevens gebaseerd is op contractuele waarborgen, zoals de modelcontractbepalingen van de EU of bindende bedrijfsvoorschriften. Voor elke andere doorgifte aan een derde land is voorafgaande toestemming en een desbetreffende instructie van de Verantwoordelijke voor de verwerking vereist, alsmede naleving van de wettelijke voorschriften voor gegevensoverdracht aan een derde land. Een uitzondering wordt gemaakt wanneer de Gegevensverwerker wettelijk verplicht is gegevens door te geven aan het derde land. In dat geval stelt de Gegevensverwerker de Verantwoordelijke voor de verwerking vóór het begin van de verwerking in kennis van dergelijke wettelijke vereisten (mits de toepasselijke wet een dergelijke mededeling niet verbiedt). Indien een beroep moet worden gedaan op een Subverwerker, zijn deze vereisten van toepassing naast de bepalingen in sectie 8.

4.1.3. Gegevensverwerker zal de Verantwoordelijke voor de verwerking schriftelijk in kennis stellen (e-mail naar het e-mailadres zoals vermeld in de dienstverleningsovereenkomst is voldoende) indien hij van mening is dat een instructie van Verantwoordelijke voor de verwerking in strijd is met wettelijke bepalingen. De Gegevensverwerker is gerechtigd de uitvoering van de respectievelijke instructies op te schorten tot het moment dat de Verantwoordelijke voor de verwerking deze schriftelijk aan Gegevensverwerker heeft bevestigd of gewijzigd.

4.1.4. De Gegevensverwerker verwerkt de gegevens uitsluitend ten behoeve van de dienstverleningsovereenkomst en in het kader van de instructies. De Gegevensverwerker mag de gegevens niet voor eigen doeleinden gebruiken of aan derden doorgeven, tenzij hij daartoe wettelijk verplicht is.

4.2. De Gegevensverwerker richt zijn interne processen zodanig in dat wordt voldaan aan de specifieke eisen inzake gegevensbescherming binnen het verantwoordelijkheidsgebied van de Gegevensverwerker en dat de rechten van de betrokkenen worden beschermd. De Gegevensverwerker zal de technische en organisatorische maatregelen treffen als bepaald in sectie 5 om de gegevens afdoende te beschermen tegen misbruik en verlies.

4.3. De Gegevensverwerker benoemt een functionaris voor gegevensbescherming indien hij daartoe wettelijk verplicht is.

4.4. De Gegevensverwerker vertrouwt de in dit addendum geschetste gegevensverwerking alleen toe aan werknemers die tot geheimhouding verplicht zijn en die vooraf vertrouwd zijn gemaakt met de voor hun werk relevante bepalingen inzake gegevensbescherming.

4.5. De Gegevensverwerker zal de Verantwoordelijke voor de verwerking onverwijld op de hoogte brengen in geval van gegevensinbreuken die verband houden met de verwerking van de gegevens van de Verantwoordelijke voor de verwerking krachtens dit addendum.

4.6. De Gegevensverwerker en de Verantwoordelijke voor de verwerking zullen samenwerken met alle toezichthoudende autoriteiten die bevoegd zijn voor de aangelegenheden die in dit addendum zijn vermeld. Voor zover de Verantwoordelijke voor de verwerking wordt onderworpen aan een inspectie door een toezichthoudende autoriteit, een administratieve of summiere overtreding of een strafrechtelijke procedure, een aansprakelijkheidsstelling door een betrokkene of door een derde of enige andere vordering in verband met de gegevensverwerking door Gegevensverwerker, zal de Gegevensverwerker op kosten van Verantwoordelijke voor de verwerking alle redelijke medewerking aan Verwerkingsverantwoordelijke verlenen.

4.7. Binnen 30 dagen na het verstrijken van dit addendum en/of op verzoek van Verantwoordelijke voor de verwerking, zal de Gegevensverwerker alle persoonsgegevens wissen die onder dit addendum zijn verstrekt.

4.8. De Gegevensverwerker helpt de Verantwoordelijke voor de verwerking bij het nakomen van de verplichtingen inzake de beveiliging van de verwerking van persoonsgegevens, de meldingsplicht voor inbreuken op de gegevens bij de bevoegde autoriteit of de betrokkenen, de gegevensbeschermingseffectbeoordeling en de voorafgaande raadpleging.

4.9. De Gegevensverwerker kan een redelijke vergoeding eisen voor ondersteunende diensten die niet in de beschrijving van de diensten zijn opgenomen, met name gegevensbeschermingseffectbeoordelingen en voorafgaande raadplegingen, en die niet te wijten zijn aan tekortkomingen van Gegevensverwerker.

5. Technisch-organisatorische maatregelen

5.1 De Gegevensverwerker neemt de beginselen van behoorlijke gegevensverwerking in acht en voert alle overeengekomen maatregelen uit in verband met de contractuele behandeling van persoonsgegevens van de Verantwoordelijke voor de verwerking. De Gegevensverwerker scheidt de verwerkte gegevens van de andere gegevensinventaris. De Gegevensverwerker neemt de passende contractueel overeengekomen en technisch-organisatorische maatregelen die door de wet worden vereist en zorgt er aldus voor dat de gegevensverwerking in overeenstemming is met de wettelijke voorschriften en de bescherming van de rechten van de betrokken personen. De maatregelen moeten met name toereikende gegevensbeveiligingscontroles omvatten om een op het risico afgestemd beschermingsniveau te waarborgen met betrekking tot de vertrouwelijkheid, de integriteit, de beschikbaarheid en de veerkracht van het systeem, en moeten rekening houden met beste praktijken, uitvoeringskosten en de aard, de werkingssfeer en het doel van de verwerking, alsook met de verschillende waarschijnlijkheden dat het risico zich voordoet en de ernst van het risico voor de rechten en vrijheden van natuurlijke personen. De in aanhangsel 1 beschreven technisch-organisatorische maatregelen maken deel uit van dit addendum en zijn bindend overeengekomen.

5.2 De technisch-organisatorische maatregelen kunnen door de Gegevensverwerker worden aangepast in de loop van de contractuele relatie met de Gegevensbeheerder, afhankelijk van de technische en organisatorische ontwikkeling. De Gegevensverwerker kan hiertoe alternatieve adequate maatregelen implementeren. Hierbij dient het veiligheidsniveau van de alternatieve maatregelen minstens even hoog te zijn als dat van de gespecificeerde maatregelen.

6. Recht op inzage van de Gegevensbeheerder

6.1 Met inachtneming van schriftelijk kennisgeving van ten minste 30 werkdagen en niet meer dan eenmaal per contractjaar, heeft de Gegevensbeheerder het recht zich te vergewissen van de toereikendheid van de door de Gegevensverwerker getroffen technische en organisatorische maatregelen in de gebouwen van de Gegevensverwerker tijdens de normale kantooruren van de Gegevensverwerker, zonder onderbreking van de bedrijfsactiviteiten en onder voorbehoud van de voorafgaande sluiting en uitvoering van een geheimhoudingsovereenkomst tussen de Gegevensbeheerder en de Gegevensverwerker. De Gegevensbeheerder zal de Gegevensverwerker vergoeden voor de tijd die deze aan een dergelijke audit ter plaatse besteedt. Vóór het begin van een dergelijke audit ter plaatse komen de Gegevensbeheerder en de Gegevensverwerker onderling de reikwijdte, het tijdschema en de duur van een dergelijke audit overeen, evenals het vergoedingstarief waarvoor de Gegevensbeheerder verantwoordelijk is.

6.2 De Gegevensbeheerder stemt ermee in dat de Gegevensverwerker in plaats van punt 6.1 kopieën van certificeringen of rapporten ter inzage aan de Gegevensbeheerder kan geven, waaruit blijkt dat de Gegevensverwerker voldoet aan de geldende normen voor gegevensbeveiliging die van toepassing zijn op de verwerking van persoonsgegevens die hij van de Gegevensbeheerder heeft ontvangen.

7. Rechten van de betrokkenen

7.1 De Verantwoordelijke voor de verwerking is als enige verantwoordelijk voor de naleving van de wettelijke rechten van de betrokken personen, met inbegrip van, maar niet beperkt tot, informatie over, openbaarmaking, verwijdering of markering/blokkering en overdracht van hun persoonsgegevens. De Gegevensverwerker mag geen besluiten nemen over of gevolg geven aan verzoeken die de betrokken personen tot hem richten, tenzij de Verantwoordelijke voor de verwerking daarom verzoekt.

7.2 Indien een betrokkene rechtstreeks contact opneemt met Gegevensverwerker, stuurt Gegevensverwerker het verzoek onverwijld door aan de Verantwoordelijke voor de verwerking. Indien de Verantwoordelijke voor de verwerking op grond van de bepalingen van de gegevensbeschermingswetgeving verplicht is een persoon informatie te verstrekken over de verzameling, de verwerking of het gebruik van de persoonsgegevens, assisteert de Gegevensverwerker de Verantwoordelijke voor de verwerking bij het verstrekken van deze informatie, mits de Verantwoordelijke voor de verwerking de Gegevensverwerker daarom schriftelijk heeft verzocht en zal de Gegevensverwerker de gemaakte kosten vergoeden.

8. Subverwerkers

8.1 Gegevensbeheerder erkent en stemt ermee in dat Gegevensverwerker subverwerkers kan inschakelen in verband met het verlenen van de diensten.

8.2 Als voorwaarde voor het toestaan van subverwerkers, zal de Gegevensverwerker met elke subverwerker een schriftelijke overeenkomst aangaan die gegevensbeschermingsverplichtingen bevat die ten minste hetzelfde beschermingsniveau bieden als de verplichtingen in dit addendum.

8.3 Een actuele lijst van subverwerkers is toegankelijk via onze pagina Subverwerkers. De Gegevensbeheerder geeft uitdrukkelijk toestemming voor de inschakeling van de subverwerkers zoals vermeld op voornoemde homepage. De Gegevensverwerker kan deze van tijd tot tijd wijzigen of bijwerken. De Gegevensbeheerder is verplicht de lijst voortdurend te controleren. Instemming met de inschakeling van een nieuwe subverwerker wordt geacht te zijn gegeven indien de Gegevensbeheerder de inschakeling van een nieuwe subverwerker niet tegenspreekt via kennisgeving per e-mail aan dataprotection@quandoo.com tot uiterlijk twee weken voor de go-live datum zoals vermeld op voornoemde homepage.

8.4 De Gegevensbeheerder heeft uitsluitend om zwaarwegende redenen het recht om bezwaar te maken tegen de aanstelling van een nieuwe subverwerker, en zal deze redenen vermelden in de bovengenoemde kennisgeving aan de Gegevensverwerker. De Gegevensverwerker heeft in dat geval het recht om dit addendum en de servicevoorwaarden te beëindigen.

8.5 De Gegevensverwerker is aansprakelijk voor de handelingen en nalatigheden van zijn subverwerkers in dezelfde mate waarin de Gegevensverwerker aansprakelijk zou zijn indien hij de diensten van elke subverwerker rechtstreeks onder de voorwaarden van dit addendum zou uitvoeren.

9. Aansprakelijkheid

9.1. Overeenkomstig de wettelijke en statutaire bepalingen is de Gegevensverwerker aansprakelijk tegenover de Verantwoordelijke voor de verwerking voor alle schade die wordt veroorzaakt door zijn eigen verwijtbare schending van dit addendum, of de schending van wettelijke verplichtingen onder de gegevensbeschermingsvereisten, veroorzaakt door de Verantwoordelijke voor de verwerking, zijn werknemers of derden die namens hem handelen, bij het verlenen van de contractuele diensten. De Gegevensverwerker is niet aansprakelijk indien hij kan bewijzen dat hij de door de Verantwoordelijke voor de verwerking verstrekte gegevens uitsluitend heeft verwerkt in overeenstemming met de instructies van de Verantwoordelijke voor de verwerking en de verplichtingen in het kader van de toepasselijke wetgeving inzake gegevensbescherming die specifiek aan de Gegevensverwerker zijn opgelegd.

9.2. De Verantwoordelijke voor de verwerking zal de verwerker vrijwaren en schadeloos stellen voor alle vorderingen die derden tegen hem instellen op grond van een verwijtbare schending door de Verantwoordelijke voor de verwerking van dit addendum of de toepasselijke voorschriften inzake gegevensbescherming.

9.3. De aansprakelijkheid van de Verantwoordelijke voor de verwerking jegens de Gegevensverwerker strekt zich uit tot boetes die de Gegevensverwerker worden opgelegd, voor zover deze zijn gebaseerd op de niet-nakoming van de verplichtingen inzake gegevensbescherming door de Verantwoordelijke voor de verwerking. Indien als gevolg van een dergelijk plichtsverzuim door de Verantwoordelijke voor de verwerking een boete wordt opgelegd aan de Gegevensverwerker, vrijwaart de Verantwoordelijke voor de verwerking de Gegevensverwerker tegen de boete, waarbij de hoogte van de vrijwaring is gebaseerd op het aansprakelijkheidsquotum in het individuele geval. De Verantwoordelijke voor de verwerking is aansprakelijk voor het bedrag dat gelijk is aan zijn aandeel in de verantwoordelijkheid voor de overtreding die met de boete wordt bestraft. De bewijslast dat de bestrafte schending niet gebaseerd is op plichtsverzuim van de Verantwoordelijke voor de verwerking en dat de Verantwoordelijke niet verantwoordelijk is voor de schending, ligt bij de Verantwoordelijke voor de verwerking.

9.4 De bovengenoemde aansprakelijkheid van de Verantwoordelijke voor de verwerking volgens sectie 3 is afhankelijk van de onmiddellijke schriftelijke kennisgeving door de Gegevensverwerker aan de Verantwoordelijke voor de verwerking van elke gebeurtenis die aansprakelijkheid doet ontstaan, het onvermogen/de nalatigheid van de Gegevensverwerker om de vermeende schending te erkennen, en het feit dat de Gegevensverwerker eventuele geschillen, gerechtelijke of buitengerechtelijke, alleen met wederzijdse instemming met de Verantwoordelijke voor de verwerking voert. In het bijzonder kan de Verantwoordelijke voor de verwerking eisen dat de Gegevensverwerker naar de rechter stapt om de uitgevaardigde dwangsommen te controleren, waarbij de Verantwoordelijke voor de verwerking aan de Gegevensverwerker de kosten en uitgaven voor een dergelijk proces ten belope van de wettelijke vergoedingen moet vergoeden.

10. Diversen

10.1 In het geval dat de van de Gegevensbeheerder ontvangen gegevens in gevaar komen als gevolg van een executie of verbeurdverklaring, een insolventieprocedure of andere soortgelijke gebeurtenissen, zal de Gegevensverwerker de Gegevensbeheerder hiervan onmiddellijk op de hoogte stellen.

10.2 Waar in dit addendum is bepaald dat een Partij een kennisgeving of verzoek kan richten aan de andere Partij, zal een dergelijke kennisgeving of een dergelijk verzoek (al naar gelang het geval) schriftelijk worden gedaan en in overeenstemming met de toepasselijke bepalingen van de servicevoorwaarden bij het doen van een kennisgeving of verzoek, tenzij in dit addendum uitdrukkelijk anders is bepaald met betrekking tot een specifieke kennisgeving of een specifiek verzoek.

10.3 Om geldig en effectief te zijn, moeten alle wijzigingen en/of amendementen op dit addendum schriftelijk worden vastgelegd en door beide Partijen worden ondertekend.

10.4 Als een bepaling van dit addendum ongeldig of niet-afdwingbaar is of wordt, blijft de geldigheid van de overige bepalingen onaangetast. De ongeldige of niet-afdwingbare bepaling wordt vervangen door een bepaling die de betekenis en het doel ervan het dichtst benadert.

10.5 In geval van tegenstrijdigheid tussen de servicevoorwaarden en dit addendum, zal dit addendum voorrang hebben.

10.6 Dit addendum wordt beheerst door en geïnterpreteerd in overeenstemming met de wetten van Nederland, en de rechtbanken van Amsterdam hebben exclusieve jurisdictie over geschillen of verschillen die voortvloeien uit of onder dit addendum.

Aanhangsel 1 bij het addendum: technische en organisatorische maatregelen

Beschrijving van de technische en organisatorische beveiligingsmaatregelen die de Gegevensverwerker heeft genomen:

1. Ingangscontrole

Maatregelen om te voorkomen dat onbevoegden toegang krijgen tot gegevensverwerkingssystemen die persoonsgegevens verwerken of gebruiken

Data Processing Agreement • Pro