Verwerkersovereenkomst

Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van vikket.be en geldt tussen de vereniging of organisatie die vikket.be gebruikt ("de verwerkingsverantwoordelijke") en Viktor Dries, eenmanszaak, Mispelaarstraat 44, 3600 Genk, België, ondernemingsnummer BE 1026.676.110 ("de verwerker"), volgens artikel 28 van de Algemene Verordening Gegevensbescherming (AVG). Ze wordt aanvaard bij het aanmaken van een account.

1. Onderwerp

De verwerker verwerkt persoonsgegevens van gasten en medewerkers van de verwerkingsverantwoordelijke, enkel om de dienst vikket.be te leveren: reservaties en tickets, online betalingen, de kassa, het keukenscherm, bevestigingsmails en bonnetjes. De overeenkomst loopt zolang de verwerkingsverantwoordelijke een account heeft.

2. Welke gegevens, van wie

• Gasten: voornaam, achternaam, e-mailadres, telefoonnummer, adres en opmerking (voor zover de verwerkingsverantwoordelijke ze in het formulier vraagt), aantal personen, bestellingen, reservatiecode en de status van betalingen.
• Medewerkers: naam, e-mailadres of pincode, rol, en een logboek van acties met datum en IP-adres.

Er worden geen bijzondere categorieën van persoonsgegevens gevraagd. Vermeldt een gast zelf iets gevoeligs in een opmerking (bv. een allergie), dan beslist de verwerkingsverantwoordelijke wat ze daarmee doet.

3. Verplichtingen van de verwerker

• Verwerkt de gegevens enkel volgens de schriftelijke instructies van de verwerkingsverantwoordelijke. Het gebruik van vikket.be en de instellingen die ze kiest, gelden als die instructies.
• Gebruikt de gegevens nooit voor eigen doeleinden en verkoopt ze niet.
• Zorgt dat wie toegang heeft tot de gegevens tot geheimhouding verplicht is.
• Neemt passende technische en organisatorische maatregelen (artikel 7 hieronder) en helpt de verwerkingsverantwoordelijke bij haar verplichtingen, zoals verzoeken van betrokkenen en een eventuele gegevensbeschermingseffectbeoordeling.
• Verwittigt de verwerkingsverantwoordelijke als een instructie volgens haar de AVG schendt.

4. Subverwerkers

De verwerkingsverantwoordelijke geeft toestemming om deze subverwerkers in te schakelen:

• Hosting en opslag: servers in de Europese Unie.
• Dcube (jouwdomein.be), België: verzenden van e-mails.
• Mollie B.V., Nederland: online betalingen (voor betaalgegevens ook zelf verantwoordelijk).
• Functional Software, Inc. (Sentry), VS: technische foutmeldingen, zonder inhoud van formulieren.
• Cloudflare, Inc., VS: Turnstile, controle tegen robots op het reservatieformulier.
• Enkel als de verwerkingsverantwoordelijke ze zelf koppelt: Viva Wallet of SumUp, voor betaalterminals aan de kassa.

De verwerker legt subverwerkers minstens dezelfde verplichtingen op als in deze overeenkomst. Een nieuwe subverwerker meldt hij minstens 30 dagen vooraf per mail; de verwerkingsverantwoordelijke kan binnen die termijn met redenen bezwaar maken en, als er geen oplossing komt, de overeenkomst beëindigen.

5. Doorgifte buiten de EU

De gegevens worden in de Europese Unie opgeslagen. Voor Sentry en Cloudflare kan een doorgifte naar de Verenigde Staten gebeuren, op basis van het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie.

6. Rechten van betrokkenen

Krijgt de verwerker een verzoek van een gast (inzage, verbetering, wissen, …), dan stuurt hij dat zonder onnodige vertraging door naar de verwerkingsverantwoordelijke en helpt hij om het binnen de wettelijke termijn te beantwoorden.

7. Beveiliging

• Alle verbindingen zijn versleuteld (HTTPS).
• De gegevens van elke klant zijn in de database van elkaar gescheiden, ook op databaseniveau (row-level security).
• Wachtwoorden worden enkel als hash bewaard (Argon2id); sleutels voor betaaldiensten worden versleuteld.
• Beheerders gebruiken tweestapsverificatie; elke beheerder heeft enkel de rechten van zijn rol.
• Belangrijke acties worden gelogd; de beheeromgeving van het platform is enkel bereikbaar via een beveiligd netwerk.
• Afgeschermde servers in de EU, met regelmatige updates.

8. Datalekken

Bij een inbreuk in verband met persoonsgegevens verwittigt de verwerker de verwerkingsverantwoordelijke zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat hij ervan op de hoogte is, met de informatie die hij op dat moment heeft: wat er gebeurde, welke gegevens en hoeveel personen betrokken zijn, en welke maatregelen genomen zijn. De verwerkingsverantwoordelijke beslist of ze de Gegevensbeschermingsautoriteit en de betrokkenen inlicht.

9. Einde van de overeenkomst

Na het einde van de overeenkomst bezorgt de verwerker op vraag een export van de gegevens, en wist hij ze binnen 30 dagen, behalve wat hij wettelijk moet bewaren.

10. Controle

De verwerker geeft de verwerkingsverantwoordelijke alle informatie die nodig is om aan te tonen dat hij deze overeenkomst naleeft. Een audit kan na redelijke voorafgaande melding, maximaal één keer per jaar en op kosten van de verwerkingsverantwoordelijke.

11. Aansprakelijkheid en recht

Voor aansprakelijkheid gelden de algemene voorwaarden. Op deze overeenkomst is het Belgisch recht van toepassing; bevoegd zijn de rechtbanken van het gerechtelijk arrondissement Limburg, afdeling Tongeren.

12. Contact

Vragen of meldingen: privacy@vikket.be.