Verwerkersovereenkomst
Deze verwerkersovereenkomst hoort bij de ondernemersvoorwaarden en regelt de verwerking van persoonsgegevens tussen de ondernemer en HaoBao, zoals artikel 28 AVG voorschrijft. Door gebruik van het ondernemersportaal komt deze overeenkomst tot stand.
1. Rollen van partijen
- Voor de gegevens die de ondernemer via het portaal beheert en gebruikt voor de eigen bedrijfsvoering, is de ondernemer verwerkingsverantwoordelijke en HaoBao verwerker.
- Voor het platform zelf, de accounts van consumenten, de sociale functies en het loyaliteitsprogramma is HaoBao zelf verwerkingsverantwoordelijke. Daarop is onze privacyverklaring van toepassing.
- Gebruikt de ondernemer bestelgegevens voor eigen doeleinden, zoals eigen marketing, dan is de ondernemer daarvoor zelf verantwoordelijk en zorgt hij zelf voor een geldige grondslag.
2. Onderwerp en duur
| Onderdeel | Omschrijving |
|---|---|
| Soort gegevens | Naam, e-mailadres, telefoonnummer, bezorgadres, bestelinhoud, opmerkingen en beoordelingen |
| Betrokkenen | Consumenten die bij de ondernemer bestellen |
| Doel | Ontvangen, tonen, afhandelen en archiveren van bestellingen en communicatie daarover |
| Duur | Zolang de ondernemer gebruikmaakt van HaoBao |
| Locatie | Databases binnen de Europese Unie |
3. Instructies en geheimhouding
HaoBao verwerkt de gegevens uitsluitend volgens de instructies van de ondernemer en de functionaliteit van het platform, en niet voor eigen doeleinden. Medewerkers en ingeschakelde partijen zijn gebonden aan geheimhouding. Verplicht de wet ons tot een verwerking, dan informeren we de ondernemer vooraf, tenzij dat verboden is.
4. Beveiligingsmaatregelen
- Versleuteling van gegevens in transport (TLS) en in rust.
- Toegangsbeperking op rijniveau in de database, zodat een ondernemer alleen bij eigen vestigingen en bestellingen komt.
- Rolgebaseerde rechten voor beheerders en logging van beheeracties.
- Dagelijkse back-ups met herstelmogelijkheid.
- Periodieke beveiligingsscans en beoordeling van afhankelijkheden.
- Scheiding van test- en productieomgeving.
5. Subverwerkers
De ondernemer geeft algemene toestemming voor het inschakelen van de onderstaande subverwerkers. Nieuwe of vervangende subverwerkers kondigen we minimaal 30 dagen vooraf aan. De ondernemer kan gemotiveerd bezwaar maken; komen we er niet uit, dan kan hij de overeenkomst kosteloos beeindigen.
| Subverwerker | Doel | Gegevens | Regio |
|---|---|---|---|
| Supabase (via Lovable Cloud) | Hosting van de database, bestanden en authenticatie | Account-, bestel-, locatie- en sociale gegevens | Europese Unie |
| Cloudflare | Hosting en levering van de website en beveiliging tegen misbruik | IP-adres, technische verzoekgegevens | EU-datacenters, moederbedrijf in de VS (EU-US Data Privacy Framework) |
| Resend | Versturen van transactionele e-mail (bevestigingen, statusupdates) | E-mailadres, naam, bestelgegevens in de e-mail | EU-verzending, moederbedrijf in de VS (standaardcontractbepalingen) |
| Google Maps Platform | Adres-aanvulling, afstandsberekening en kaarten | Ingevoerd adres, benaderde locatie, IP-adres | VS (EU-US Data Privacy Framework en standaardcontractbepalingen) |
| Lovable AI Gateway | Automatisch inlezen van menukaarten voor ondernemers | Menu-informatie van de ondernemer, geen consumentgegevens | EU/VS afhankelijk van model (standaardcontractbepalingen) |
| Firecrawl | Ophalen van openbare menupagina's bij menu-import | Openbare URL's, geen persoonsgegevens van consumenten | VS (standaardcontractbepalingen) |
6. Datalekken
Bij een inbreuk in verband met persoonsgegevens informeert HaoBao de ondernemer zonder onnodige vertraging en in ieder geval binnen 24 uur na constatering. We melden wat er is gebeurd, welke gegevens en betrokkenen het raakt, de vermoedelijke gevolgen en de maatregelen die we nemen. De ondernemer beoordeelt zelf of melding bij de Autoriteit Persoonsgegevens nodig is voor zijn eigen verantwoordelijkheid; HaoBao meldt inbreuken in de eigen systemen.
7. Rechten van betrokkenen
HaoBao ondersteunt de ondernemer bij verzoeken tot inzage, correctie, verwijdering, beperking, bezwaar en overdraagbaarheid. Ontvangen wij een verzoek dat de ondernemer betreft, dan verwijzen we de betrokkene door of informeren we de ondernemer binnen 5 werkdagen.
8. Controle en audit
De ondernemer mag maximaal eenmaal per jaar een audit laten uitvoeren door een onafhankelijke deskundige, na aankondiging van minstens 30 dagen. De kosten zijn voor de ondernemer, tenzij uit de audit blijkt dat HaoBao deze overeenkomst niet nakomt. Op verzoek verstrekken we een samenvatting van onze meest recente beveiligingsrapportage.
9. Teruggave en verwijdering
Bij het einde van de samenwerking verstrekt HaoBao op verzoek een export van de bestelgegevens van de ondernemer. Daarna verwijderen we de gegevens binnen 90 dagen, met uitzondering van gegevens die we wettelijk moeten bewaren, zoals facturatiegegevens gedurende 7 jaar.
10. Doorgifte buiten de EER
Voor subverwerkers buiten de Europese Economische Ruimte hanteren we het EU-US Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie, aangevuld met aanvullende maatregelen zoals versleuteling en dataminimalisatie.
Vragen over deze overeenkomst: juridisch@smulpaal.com.