Verwerkersovereenkomst
1. Partijen en akkoord
Deze overeenkomst (artikel 28 AVG) geldt tussen de zaak (verwerkingsverantwoordelijke) en Hartii (verwerker, Pleksy). De zaak gaat hiermee elektronisch akkoord bij het aanmaken van de zaak, met een vakje. Versie en tijdstip worden vastgelegd. Zij vormt een onderdeel van de algemene voorwaarden.
2. Onderwerp en duur
Pleksy verwerkt persoonsgegevens van klanten van de zaak om de boekingsdienst te leveren. De overeenkomst duurt zolang de zaak Pleksy gebruikt en eindigt met de overeenkomst.
3. Aard en doel
Opslaan en beheren van agenda, afspraken, klanten en wachtlijst; versturen van bevestigingen, herinneringen en aanbiedingen voor vrijgekomen plekken; automatisch rangschikken wie een aanbieding krijgt (wachtlijst eerst, daarna vaste klanten); rapportage aan de zaak.
4. Soorten gegevens en betrokkenen
- Betrokkenen: klanten en wachtlijstklanten van de zaak; medewerkers van de zaak.
- Klantgegevens: naam, telefoonnummer, optioneel e-mailadres, afspraakgeschiedenis (behandeling, medewerker, datum en tijd, status), notities van de zaak, toestemmingsregistratie per kanaal (tijdstip, bron), verstuurde aanbiedingen en uitkomst, logboek van verstuurde berichten.
- Medewerkers: naam en e-mailadres.
5. Instructies
Pleksy verwerkt alleen op gedocumenteerde instructie van de zaak: deze overeenkomst en het gebruik van de functies in Pleksy. Is Pleksy van mening dat een instructie in strijd is met de AVG, dan meldt zij dat direct.
6. Vertrouwelijkheid
Personen die onder gezag van Pleksy gegevens verwerken, zijn tot geheimhouding gehouden en hebben alleen toegang voor zover nodig.
7. Beveiliging (art. 32 AVG)
- TLS-versleuteling in transit; opslag in de EU (Cloudflare Durable Objects met EU-jurisdictie).
- HttpOnly-sessiecookies, CSRF-bescherming, limieten per IP-adres en per e-mailadres, blokkade na herhaald mislukt inloggen, eenmalige links.
- Wachtwoorden uitsluitend als gezouten PBKDF2-SHA256-hash.
- Rollen met minimale rechten (eigenaar en medewerker; privacymodus waarin medewerkers alleen hun eigen stoel zien).
8. Sub-verwerkers
De zaak geeft Pleksy algemene schriftelijke toestemming om sub-verwerkers in te schakelen. Pleksy legt hen dezelfde verplichtingen op. Huidige lijst:
- Cloudflare, Inc.: hosting, netwerk, opslag in de EU. Het wereldwijde netwerk kan verzoeken onderweg verwerken.
- Resend: e-mail (inloggen, wachtwoordherstel, e-mailberichten).
- Meta Platforms Ireland: WhatsApp Business Cloud API, wanneer ingeschakeld (nog niet actief).
- Twilio Ireland Ltd: sms, wanneer ingeschakeld (nog niet actief).
Pleksy meldt wijzigingen minimaal 30 dagen vooraf. De zaak kan binnen die termijn bezwaar maken. Blijft het bezwaar bestaan, dan kan de zaak de overeenkomst beëindigen.
9. Medewerking
Pleksy helpt de zaak, met passende middelen, bij verzoeken van betrokkenen (inzage, correctie, wissen, beperking, overdraagbaarheid, bezwaar) en bij beveiliging, meldingen en gegevensbeschermingseffectbeoordelingen. Functies voor export en wissen per klant en voor de hele zaak zitten in Pleksy.
10. Datalekken
Pleksy meldt een inbreuk op persoonsgegevens zonder onredelijke vertraging aan de zaak, uiterlijk binnen 48 uur nadat zij ervan op de hoogte is, zodat de zaak de meldtermijn van 72 uur bij de Autoriteit Persoonsgegevens kan halen (art. 33 AVG). De melding bevat de beschikbare informatie over aard, omvang, gevolgen en maatregelen.
11. Doorgifte buiten de EU
Gegevens in rust staan in de EU. Voor doorgifte naar derde landen gebruikt Pleksy het EU-VS Data Privacy Framework en/of standaardcontractbepalingen.
12. Einde: wissen of teruggeven
De zaak kan haar gegevens op elk moment exporteren en wissen in Instellingen (direct en definitief). Na einde van de overeenkomst wist Pleksy de gegevens binnen 30 dagen, tenzij de zaak ze eerst exporteert of de wet bewaring eist. Back-ups: Cloudflare Durable Objects bewaren een point-in-time herstel van maximaal 30 dagen; we maken geen andere kopieën.
13. Audits
Pleksy stelt op verzoek informatie beschikbaar om naleving aan te tonen. De zaak mag op eigen kosten maximaal één keer per jaar een audit laten uitvoeren, met redelijke voorafgaande kennisgeving en zonder de dienstverlening onredelijk te verstoren.
14. Contact
Privacy: privacy@pleksy.app. Ondersteuning: support@pleksy.app. Toepasselijk recht en bevoegde rechter: zie de algemene voorwaarden (de bevoegde rechter in Nederland).
Data processing agreement
1. Parties and acceptance
This agreement (GDPR art. 28) applies between the shop (controller) and Hartii (processor, Pleksy). The shop accepts it electronically with a checkbox when the shop is created. The version and timestamp are logged. It forms part of the terms of service.
2. Subject matter and duration
Pleksy processes personal data of the shop's clients to provide the booking service. The agreement lasts as long as the shop uses Pleksy and ends with the contract.
3. Nature and purpose
Storing and managing the agenda, appointments, clients and waitlist; sending confirmations, reminders and offers for freed-up slots; automatically ranking who receives an offer (waitlist first, then regular clients); reporting to the shop.
4. Types of data and data subjects
- Data subjects: the shop's clients and waitlist clients; the shop's staff.
- Client data: name, phone number, optional email address, appointment history (service, staff, date and time, status), shop notes, per-channel consent log (timestamp, source), offers sent and their outcome, message send log.
- Staff data: name and email address.
5. Instructions
Pleksy processes only on the shop's documented instructions: this agreement and the shop's use of Pleksy's features. If Pleksy believes an instruction infringes the GDPR, it will tell the shop immediately.
6. Confidentiality
Persons who process data under Pleksy's authority are bound to confidentiality and have access only as far as needed.
7. Security (GDPR art. 32)
- TLS encryption in transit; storage in the EU (Cloudflare Durable Objects with EU jurisdiction).
- HttpOnly session cookies, CSRF protection, per-IP and per-email rate limits, lockout after repeated failed sign-ins, single-use links.
- Passwords stored only as a salted PBKDF2-SHA256 hash.
- Least-privilege roles (owner and staff; private mode where staff see only their own chair).
8. Sub-processors
The shop gives Pleksy general written authorisation to engage sub-processors. Pleksy imposes the same obligations on them. Current list:
- Cloudflare, Inc.: hosting, network, storage in the EU. The global network may process requests in transit.
- Resend: email (sign-in, password reset, email messages).
- Meta Platforms Ireland: WhatsApp Business Cloud API, when enabled (not active yet).
- Twilio Ireland Ltd: SMS, when enabled (not active yet).
Pleksy gives at least 30 days' notice of changes. The shop may object within that period. If the objection stands, the shop may terminate the agreement.
9. Assistance
Pleksy assists the shop, with appropriate measures, with data-subject requests (access, rectification, erasure, restriction, portability, objection) and with security, notifications and data protection impact assessments. Per-client and whole-shop export and erase functions are built into Pleksy.
10. Personal data breaches
Pleksy notifies the shop of a personal data breach without undue delay and at the latest within 48 hours of becoming aware, so the shop can meet the 72-hour deadline to the Autoriteit Persoonsgegevens (GDPR art. 33). The notice contains the available information on nature, scope, consequences and measures.
11. International transfers
Data at rest is stored in the EU. For transfers to third countries Pleksy relies on the EU-US Data Privacy Framework and/or Standard Contractual Clauses.
12. End: deletion or return
The shop can export and erase its data at any time in Settings (immediate and permanent). After the contract ends Pleksy deletes the data within 30 days, unless the shop exports it first or the law requires retention. Backups: Cloudflare Durable Objects keep point-in-time recovery for up to 30 days; we make no other copies.
13. Audits
Pleksy provides information on request to demonstrate compliance. The shop may, at its own cost, have an audit carried out at most once a year, with reasonable prior notice and without unreasonably disrupting the service.
14. Contact
Privacy: privacy@pleksy.app. Support: support@pleksy.app. Governing law and court: see the terms of service (de bevoegde rechter in Nederland).