Verwerkersovereenkomst
Versie 1.0 · geldig vanaf 16 okt 2026
Deze overeenkomst is een bijlage bij de algemene voorwaarden voor handelaars. Ze regelt hoe Daizi persoonsgegevens verwerkt voor rekening van de handelaar, zoals artikel 28 van de AVG vereist.
Partijen
- De handelaar, die een account op het Daizi-platform heeft: de verwerkingsverantwoordelijke.
- [naam onderneming, rechtsvorm], [adres], ondernemingsnummer […], die Daizi uitbaat: de verwerker.
1. Onderwerp en duur
1.1 De verwerker verwerkt persoonsgegevens alleen om het Daizi-platform te leveren zoals beschreven in de algemene voorwaarden voor handelaars.
1.2 Deze overeenkomst loopt zolang de verwerker persoonsgegevens voor de handelaar verwerkt.
2. Welke gegevens
| Betrokkenen | Gegevens | Verwerkingen |
|---|---|---|
| Kopers en ontvangers van bonnen, abonnementen, beurtenkaarten en tickets | Naam, e-mail, telefoon, adres, bedrijfsgegevens, bestellingen, saldo, inwisselingen, boodschappen | Opslaan, tonen, mailen, facturen maken, rapporteren |
| Gebruikers van de handelaar (medewerkers, boekhouder) | Naam, e-mail, rol, vestiging, logboek van handelingen | Toegang beheren, beveiligen, loggen |
| Klanten in gekoppelde systemen | Gegevens die de handelaar via een koppeling ophaalt | Synchroniseren, rapporteren |
Bijzondere categorieën van gegevens, zoals gezondheidsgegevens, horen niet in het platform. De handelaar verbindt zich ertoe ze er niet in te voeren.
3. Verplichtingen van de verwerker
De verwerker:
- verwerkt de gegevens alleen volgens de schriftelijke instructies van de handelaar. Het gebruik van het platform en zijn instellingen geldt als instructie. Is een instructie volgens de verwerker in strijd met de wet, dan meldt hij dat meteen;
- zorgt dat iedereen die toegang heeft tot de gegevens tot geheimhouding verplicht is;
- neemt de technische en organisatorische maatregelen uit bijlage 2;
- helpt de handelaar om te antwoorden op verzoeken van betrokkenen, zoals inzage of wissen, onder meer via exportfuncties in het platform;
- helpt de handelaar bij een gegevensbeschermingseffectbeoordeling of een voorafgaande raadpleging, als die nodig is;
- stelt de informatie ter beschikking die nodig is om naleving aan te tonen, en laat audits toe (artikel 7).
4. Subverwerkers
4.1 De handelaar geeft algemene toestemming om de subverwerkers uit bijlage 1 in te schakelen.
4.2 Een nieuwe of vervangende subverwerker meldt de verwerker minstens 30 dagen vooraf. De handelaar kan binnen die termijn gemotiveerd bezwaar maken. Vinden partijen geen oplossing, dan kan de handelaar de overeenkomst kosteloos beëindigen.
4.3 De verwerker legt elke subverwerker dezelfde verplichtingen op als in deze overeenkomst en blijft tegenover de handelaar verantwoordelijk.
5. Doorgifte buiten de EER
De verwerker bewaart de gegevens in de EER. Doorgifte daarbuiten gebeurt alleen met passende waarborgen volgens hoofdstuk V van de AVG, zoals een adequaatheidsbesluit of standaardcontractbepalingen.
6. Datalekken
6.1 De verwerker meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging aan de handelaar, en uiterlijk binnen 48 uur nadat hij ervan op de hoogte is.
6.2 De melding bevat wat op dat moment bekend is: de aard van het lek, de betrokken gegevens en personen, de waarschijnlijke gevolgen en de genomen maatregelen. De verwerker vult aan zodra er meer bekend is.
6.3 De handelaar beslist of het lek aan de Gegevensbeschermingsautoriteit en aan betrokkenen gemeld wordt. De verwerker helpt hem daarbij.
7. Audit
De handelaar kan eenmaal per jaar, of na een datalek, informatie opvragen of een audit laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding verplicht is. Dat gebeurt na een aankondiging van minstens 30 dagen, tijdens de kantooruren en zonder de werking te verstoren. De kosten zijn voor de handelaar, tenzij de audit een ernstige tekortkoming aantoont.
8. Einde
Na het einde van de overeenkomst kan de handelaar zijn gegevens nog 90 dagen exporteren. Daarna verwijdert de verwerker ze, inclusief kopieën, behalve als de wet bewaring oplegt. Back-ups worden binnen 30 dagen daarna overschreven.
9. Aansprakelijkheid en voorrang
Voor aansprakelijkheid geldt artikel 13 van de algemene voorwaarden voor handelaars, voor zover de AVG dat toelaat. Bij strijdigheid over gegevensbescherming gaat deze overeenkomst voor.
Bijlage 1: subverwerkers
| Subverwerker | Dienst | Locatie |
|---|---|---|
| [hostingpartij] | Hosting van applicatie en database | [EU-land] |
| Cloudflare, Inc. | Beveiliging, DNS en levering van de website | Wereldwijd, met waarborgen |
| [mailprovider] | Versturen van e-mails | [land] |
| [bv. Billit] | E-facturatie via Peppol | België |
Mollie B.V. verwerkt betalingen als zelfstandige verantwoordelijke op basis van de eigen overeenkomst tussen de handelaar en Mollie, en is dus geen subverwerker.
Bijlage 2: beveiligingsmaatregelen
- Scheiding: gegevens van elke handelaar zijn op databaseniveau afgeschermd (row-level security), met automatische tests bij elke update.
- Versleuteling: al het verkeer via TLS. Schijven en back-ups zijn versleuteld, en gevoelige sleutels ook in de database.
- Toegang: tweestapsverificatie voor eigenaars, beheerders en medewerkers van Daizi; rollen met minimale rechten; elke toegang door Daizi-personeel vraagt een reden en wordt gelogd.
- Logboek: wijzigingen worden gelogd met gebruiker, tijdstip en een gehasht IP-adres.
- Bescherming tegen misbruik: rate limiting, captcha en bescherming tegen DDoS.
- Continuïteit: dagelijkse back-ups, 30 dagen bewaard, en een maandelijkse hersteltest.
- Organisatie: geheimhouding voor personeel, beveiligingsupdates binnen 14 dagen (kritieke binnen 72 uur), een jaarlijkse pentest door een externe partij.