Verwerkersovereenkomst

1. Onderwerp, duur en aard

De Verwerker verwerkt persoonsgegevens namens de Verwerkingsverantwoordelijke uitsluitend om het boekingsplatform te leveren: boekingen hosten en beheren, met reizigers communiceren (bevestigingen en berichten), de informatie verwerken die nodig is voor de incasso en overzichten uitgeven. Duur: die van de dienstverleningsovereenkomst, plus de tijd die nodig is om de gegevens terug te geven of te verwijderen volgens artikel 9.

2. Soorten gegevens en betrokkenen

• Betrokkenen: reizigers en personen die boeken, en medereizigers van wie de gegevens in de boeking worden vermeld.
• Gegevens: identificatie- en contactgegevens (naam, e-mail, telefoon), boekingsgegevens (activiteit, datum, aantal personen, bedrag, betalingsstatus) en informatie die de reiziger vrijwillig bij het boeken verstrekt (bijv. opmerkingen of behoeften).
• Verwerking van bijzondere categorieën persoonsgegevens is niet voorzien. De Verwerkingsverantwoordelijke mag deze niet via het platform opvragen, tenzij onmisbaar, en moet dit aan de Verwerker melden.

3. Verplichtingen van de Verwerker

1. Gegevens alleen verwerken op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke, waartoe deze voorwaarden en het ingestelde gebruik van het platform behoren, ook wat doorgifte naar derde landen betreft. Meent hij dat een instructie de regelgeving schendt, dan informeert hij de Verwerkingsverantwoordelijke.
2. Waarborgen dat de personen die gemachtigd zijn de gegevens te verwerken zich tot geheimhouding hebben verplicht.
3. De beveiligingsmaatregelen van artikel 32 AVG uit Bijlage II toepassen.
4. De voorwaarden voor subverwerkers (artikel 6) naleven.
5. De Verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking, bijstaan bij het beantwoorden van verzoeken van betrokkenen en verzoeken die hij rechtstreeks ontvangt onverwijld doorsturen.
6. De Verwerkingsverantwoordelijke bijstaan bij de naleving van beveiligingsverplichtingen, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging, waar van toepassing.
7. De Verwerkingsverantwoordelijke zonder onredelijke vertraging en in elk geval binnen 48 uur nadat hij ervan kennisneemt, op de hoogte stellen van elke inbreuk op persoonsgegevens, met de beschikbare informatie zodat deze de toezichthouder kan informeren.
8. De Verwerkingsverantwoordelijke de informatie ter beschikking stellen die nodig is om naleving aan te tonen en redelijke audits toestaan, met 30 dagen opzegtermijn, tijdens kantooruren en onder geheimhouding, zonder de beveiliging van andere klanten in gevaar te brengen.

4. Verplichtingen van de Verwerkingsverantwoordelijke

De Verwerkingsverantwoordelijke garandeert dat hij een rechtsgrond heeft om de gegevens te verwerken en de verwerking toe te vertrouwen, dat hij reizigers heeft geïnformeerd conform artikelen 13 en 14 AVG, dat hij de gegevens alleen gebruikt om de activiteit uit te voeren en aan zijn wettelijke verplichtingen te voldoen, en dat hij geen niet-noodzakelijke gegevens uploadt.

5. Eigen doeleinden van de Verwerker

Deze Overeenkomst dekt niet de verwerkingen die For Holidays als zelfstandig verwerkingsverantwoordelijke uitvoert (incasso en fraudepreventie, facturatie en boekhouding, platformbeveiliging en naleving van wetgeving), beschreven in het privacybeleid.

6. Subverwerkers

De Verwerkingsverantwoordelijke verleent algemene toestemming voor het gebruik van de subverwerkers in Bijlage III. De Verwerker meldt elke toevoeging of vervanging minstens 15 dagen vooraf, per e-mail of in het dashboard, en de Verwerkingsverantwoordelijke kan binnen die termijn bezwaar maken op redelijke gegevensbeschermingsgronden; lost dat niet op, dan kan hij de dienst opzeggen. De Verwerker legt subverwerkers verplichtingen op die gelijkwaardig zijn aan die van deze Overeenkomst en blijft jegens de Verwerkingsverantwoordelijke aansprakelijk voor de naleving.

7. Doorgifte buiten de EER

Wanneer een subverwerker gegevens buiten de EER verwerkt, zorgt de Verwerker voor passende waarborgen conform hoofdstuk V AVG (adequaatheidsbesluit, waaronder het EU-VS Data Privacy Framework voor gecertificeerde partijen, of modelcontractbepalingen).

8. Rechten van betrokkenen en inbreuken

Verzoeken van betrokkenen over boekingsgegevens moeten aan de Verwerkingsverantwoordelijke worden gericht. Ontvangt de Verwerker ze, dan stuurt hij ze onverwijld door, tenzij de Verwerker als zelfstandig verwerkingsverantwoordelijke optreedt.

9. Teruggave of verwijdering

Na beëindiging van de dienst geeft de Verwerker, naar keuze van de Verwerkingsverantwoordelijke, de persoonsgegevens en bestaande kopieën terug of verwijdert ze binnen 90 dagen, tenzij Unie- of Spaans recht bewaring vereist (bijvoorbeeld de eigen boekhoudkundige en fiscale verplichtingen van de Verwerker). Tot die tijd houdt hij ze geblokkeerd.

10. Aansprakelijkheid en toepasselijk recht

Elke partij is aansprakelijk conform artikel 82 AVG en de beperkingen in de voorwaarden voor aanbieders, voor zover wettelijk toegestaan. Op deze Overeenkomst is Spaans recht van toepassing en de bevoegde rechter is die welke in de voorwaarden voor aanbieders is vermeld.

Bijlage I — Beschrijving van de verwerking

• Handelingen: verzamelen, vastleggen, ordenen, opslaan, raadplegen, verstrekken door doorzending (e-mail aan reizigers en aanbieder), verwijderen.
• Doel: het leveren van het boekingsplatform namens de Verwerkingsverantwoordelijke.
• Frequentie: continu zolang de dienst duurt.
• Bewaartermijn: zoals vermeld in artikel 9.

Bijlage II — Technische en organisatorische maatregelen

• Versleuteling van communicatie via HTTPS/TLS.
• Toegangsbeheer per aanbiedersaccount (row-level security in de database) en logische scheiding van de gegevens van elke aanbieder.
• Toegang van medewerkers beperkt tot wat nodig is en met persoonlijke inloggegevens.
• Kaartgegevens worden niet opgeslagen: Stripe verwerkt ze.
• Serversleutels en geheimen worden beheerd als beschermde omgevingsvariabelen, buiten de code en de browser.
• Beperking van verzoeken (rate limiting) ter bescherming tegen misbruik.
• Procedure voor incidentbeheer en melding van inbreuken conform artikel 3.
• [COMPLETAR: back-ups, wachtwoord-/MFA-beleid en toegangslogs alleen toevoegen als dit in de praktijk is bevestigd].

Bijlage III — Toegestane subverwerkers

• Supabase — database en authenticatie. Locatie: [COMPLETAR: regio van het Supabase-project].
• Vercel — hosting en uitvoering van de applicatie. Locatie: [COMPLETAR: regio van Vercel-functies].
• Stripe — verwerking van betalingen en terugbetalingen (ook zelfstandig verwerkingsverantwoordelijke voor zijn wettelijke verplichtingen).
• Google (Gmail API en, als de Aanbieder dat inschakelt, Agenda) — versturen van transactionele e-mails en synchroniseren van afspraken.
• Upstash — beperking van verzoeken (IP-adressen, tijdelijk), wanneer ingeschakeld.