Verwerkersovereenkomst voor persoonsgegevens — Sonnette

Door een professional te controleren vóór publicatie of ondertekening:

De lijst van subverwerkers (Scaleway, leverancier van transactionele e-mails, Stripe) moet worden aangevuld met de exacte bedrijfsnamen en vestigingslanden zodra deze contractueel zijn gekozen, en bevestigd conform met de modelcontractbepalingen van de CNIL, de Franse gegevensbeschermingsautoriteit.
De meldingstermijn van 48 uur aan de Klant (artikel 8) moet worden bevestigd als verenigbaar met de termijn van 72 uur waarover de Klant zelf beschikt ten aanzien van de CNIL (artikel 33 AVG).
Bevestigen dat er geen gezondheidsgegevens worden verzameld door de Software (het vrije veld “opmerkingen” moet in de hulpfunctie worden omkaderd) voordat, zoals dit project doet, wordt vermeld dat geen erkende hosting voor gezondheidsgegevens (HDS) nodig is.
Door een DPO of een op de AVG gespecialiseerde advocaat laten valideren: de standaard bewaartermijnen (artikel 6.4) en het auditbeding (artikel 11), met name de praktische uitvoeringswijze ervan.
Verifiëren dat geen enkele huidige of toekomstige subverwerker gegevens buiten de Europese Unie overdraagt; mocht dit ooit het geval zijn, dan moet dit artikel worden herschreven met de passende waarborgen (modelcontractbepalingen, adequaatheidsbesluit).

Preambule

Deze verwerkersovereenkomst (“de Overeenkomst”) wordt gesloten tussen:

De Klant, hotel geïdentificeerd bij de inschrijving op Sonnette, handelend als verwerkingsverantwoordelijke in de zin van Verordening (EU) 2016/679 van 27 april 2016 (“AVG”), hierna “de Verwerkingsverantwoordelijke”;
Sonnette, vennootschap in oprichting, vertegenwoordigd door Samuel Wieder, in inschrijving als SASU, hierna “de Verwerker”,

en vormt de bijlage “persoonsgegevens” bij de AV/AGV (cgv-cgu.md), overeenkomstig artikel 28 van de AVG.

1. Rollen

1.1. De Klant is verwerkingsverantwoordelijke voor de persoonsgegevens van zijn eigen klantenkring (reizigers, boekers) die hij invoert of importeert in de Software.

1.2. Sonnette is verwerker in de zin van artikel 28 van de AVG: zij verwerkt deze gegevens namens de Klant en volgens diens gedocumenteerde instructies, in het kader van de levering van de Software.

1.3. Beds24 (channel manager en boekingsmachine) is geen subverwerker van Sonnette: het is een eigen dienstverlener van de Klant, rechtstreeks door hem afgesloten en geconfigureerd. Het delen van gegevens tussen Sonnette en Beds24 gebeurt op instructie van en onder de verantwoordelijkheid van de Klant.

2. Voorwerp, duur, aard en doeleinden van de verwerking

2.1. Voorwerp: deze Overeenkomst regelt de verwerkingen van persoonsgegevens die Sonnette uitvoert voor de uitvoering van de hoofdovereenkomst (levering van de Software).

2.2. Duur: de Overeenkomst is van toepassing gedurende de gehele looptijd van de hoofdovereenkomst en tot aan het einde van de teruggave- en verwijderingshandelingen bedoeld in artikel 10.

2.3. Aard van de verwerkingen: verzamelen, vastleggen, structureren, bewaren, wijzigen, raadplegen, meedelen (aan de Klant en, op instructie van de Klant, aan de boekingsplatforms), verwijderen, back-uppen en archiveren.

2.4. Doeleinden: beheer van reserveringen, facturatie en betalingen, van de relatie met de klantenkring van het hotel (met inbegrip van het versturen van e-mails en berichtenverkeer met de boekingsplatforms), naleving van de wettelijke verplichtingen van het hotel (facturatie, boekhouding, politieformulieren, toeristenbelasting), opstellen van exploitatiestatistieken namens de Klant.

3. Categorieën van gegevens en betrokkenen

3.1. Categorieën van betrokkenen: de klanten van het hotel (reizigers, boekers, gehuisveste personen) en, bijkomstig, de Gebruikers van de Software die in dienst zijn van de Klant.

3.2. Categorieën van verwerkte gegevens:

identiteit (naam, voornaam, aanspreektitel, geboortedatum indien vereist voor het politieformulier, nationaliteit, nummer en type identiteitsdocument voor buitenlandse reizigers);
contactgegevens (postadres, e-mail, telefoonnummer);
verblijfsgegevens (data, kamer, tarief, voorkeuren, verblijfshistoriek);
facturatie- en betalingsgegevens (bedragen, betaalwijze — zonder bewaring van volledige bankgegevens, die aan de kant van Beds24 door Stripe worden verwerkt);
politieformulieren voor de betrokken reizigers, onder de voorwaarden van de op de hotelsector toepasselijke regelgeving.

3.3. Er worden per ontwerp geen gezondheidsgegevens verzameld; het vrije veld “opmerkingen” wordt in de geïntegreerde hulp van de Software omkaderd om eraan te herinneren dat het geen dergelijke gegevens mag bevatten.

4. Instructies van de Verwerkingsverantwoordelijke

4.1. Sonnette verwerkt de gegevens uitsluitend op gedocumenteerde instructie van de Klant, onder meer vastgelegd door de configuratie van de Software (instellingen van het etablissement, keuze van bewaartermijnen wanneer deze instelbaar zijn, koppeling met Beds24) en door deze Overeenkomst.

4.2. Indien Sonnette van mening is dat een instructie van de Klant een inbreuk vormt op de AVG of op een andere bepaling van het Unierecht of het recht van een lidstaat inzake gegevensbescherming, stelt zij de Klant daarvan onmiddellijk in kennis.

5. Vertrouwelijkheid

Sonnette ziet erop toe dat de personen die op grond van deze Overeenkomst gemachtigd zijn persoonsgegevens te verwerken, zich ertoe verbinden de vertrouwelijkheid te respecteren of onderworpen zijn aan een passende wettelijke geheimhoudingsplicht.

6. Beveiliging

6.1. Sonnette treft de volgende technische en organisatorische maatregelen, afgestemd op het risico:

versleuteling van gegevens tijdens verzending (HTTPS/TLS) en in rust (database, bestanden, archieven);
versleutelde back-ups, met inbegrip van een kopie buiten de hoofdhostinglocatie, met regelmatig geteste restore;
logging van toegangen en gevoelige handelingen (activiteitenlogboek, auditjournaal);
rolgebaseerde toegangscontrole, waarbij elke Gebruiker over inloggegevens en rechten beschikt die overeenkomen met zijn functie in het hotel (receptie, housekeeping, directie, boekhouding);
sterke authenticatie (tweefactorauthenticatie) voor beheerders- en eigenaarsaccounts;
regelmatige beveiligingstests (interne audits, robuustheidstests, periodieke externe penetratietest) en opvolging van kwetsbaarheden in softwareafhankelijkheden.

6.2. Deze maatregelen evolueren mee met de stand van de techniek; Sonnette kan ze versterken zonder het algemene beschermingsniveau te verlagen, zonder de Klant daarover te hoeven informeren.

7. Subverwerkers

7.1. De Klant machtigt Sonnette op algemene wijze om een beroep te doen op de volgende subverwerkers, voor de strikt noodzakelijke behoeften voor de levering van de Software:

Subverwerker	Functie	Locatie van de gegevens
Scaleway	hosting van de applicatie en de databases	Frankrijk
[leverancier van transactionele e-mails — nog aan te vullen zodra gekozen]	verzenden van e-mails aan de klanten van het hotel en meldingen	nog aan te vullen
Stripe	facturatie van het Sonnette-abonnement (Stripe Billing); aan de kant van Beds24, verwerking van online betalingen voor verblijven, onder de contractuele verantwoordelijkheid van de Klant ten opzichte van Beds24	nog aan te vullen volgens de Stripe-documentatie

7.2. Sonnette informeert de Klant over elke geplande wijziging met betrekking tot het toevoegen of vervangen van subverwerkers, met een redelijke termijn die de Klant in staat stelt zich tegen deze wijziging te verzetten om een gegronde reden die verband houdt met de gegevensbescherming.

7.3. Sonnette zorgt er via een schriftelijke overeenkomst voor dat elke subverwerker voldoende waarborgen biedt en gebonden is aan verplichtingen inzake gegevensbescherming die minstens gelijkwaardig zijn aan die van deze Overeenkomst.

8. Melding van datalekken

8.1. Sonnette meldt de Klant elk datalek waarvan zij kennis heeft binnen een maximale termijn van achtenveertig (48) uur nadat zij hiervan kennis heeft genomen, zodat de Klant zijn eigen meldingsverplichtingen kan nakomen (termijn van 72 uur aan de CNIL, voorzien in artikel 33 van de AVG).

8.2. Deze melding beschrijft, voor zover mogelijk: de aard van het datalek, de categorieën en het geschatte aantal betrokken personen en gegevens, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen.

9. Bijstand aan de Verwerkingsverantwoordelijke

Sonnette assisteert de Klant, voor zover mogelijk en rekening houdend met de aard van de verwerking, bij: het beantwoorden van verzoeken tot uitoefening van de rechten van betrokkenen (inzage, rectificatie, verwijdering, overdraagbaarheid, bezwaar), het uitvoeren van een gegevensbeschermingseffectbeoordeling wanneer nodig, en contact met de toezichthoudende autoriteit indien nodig.

10. Lot van de gegevens bij het einde van de overeenkomst

10.1. Bij het einde van de hoofdovereenkomst, om welke reden dan ook, kan de Klant een volledige export van zijn gegevens verkrijgen in een open formaat, onder de voorwaarden van artikel 10 van de AV/AGV.

10.2. Tenzij de Klant anders verzoekt, wist Sonnette de gegevens van de Klant definitief negentig (90) dagen na de datum waarop het einde van de overeenkomst van kracht wordt, met uitzondering van de gegevens die Sonnette of de Klant moeten bewaren op grond van een wettelijke verplichting (met name het fiscale archief, dat aan de Klant wordt overhandigd, en de boekhoudkundige documenten die onderworpen zijn aan een bewaartermijn van tien jaar).

11. Audit

Sonnette stelt de Klant de nodige informatie ter beschikking om aan te tonen dat de verplichtingen van deze Overeenkomst en van artikel 28 van de AVG worden nageleefd, en maakt redelijke audits mogelijk, met inbegrip van inspecties, uitgevoerd door de Klant of een door hem aangestelde auditor, mits een redelijke aankondigingstermijn en volgens voorwaarden die de beveiliging en de vertrouwelijkheid van de andere Klanten van Sonnette waarborgen (aangezien de infrastructuur wordt gedeeld per geïsoleerde tenant, heeft een audit uitsluitend betrekking op de gegevens van de verzoekende Klant).

12. Doorgiften buiten de Europese Unie

In de huidige stand worden geen gegevens die in het kader van deze Overeenkomst worden verwerkt, overgedragen buiten de Europese Economische Ruimte: de hosting (Scaleway) en de in artikel 7 genoemde subverwerkers zijn gevestigd in of opereren vanuit de Europese Unie voor de betrokken gegevens. Mocht een doorgifte buiten de EU ooit noodzakelijk worden, dan zal deze pas worden uitgevoerd na voorafgaande informatie aan de Klant en na het treffen van de passende waarborgen waarin de AVG voorziet (met name modelcontractbepalingen van de Europese Commissie).

13. Aansprakelijkheid

Elke partij is aansprakelijk voor de schade veroorzaakt door een verwerking die is uitgevoerd in strijd met de verplichtingen van de AVG die specifiek op haar rusten. De bepalingen inzake aansprakelijkheid en het plafond in artikel 13 van de AV/AGV zijn van toepassing op deze Overeenkomst.

Deze overeenkomst is de bijlage “persoonsgegevens” bij de AV/AGV (cgv-cgu.md). Zie ook politique-confidentialite-site.md voor de gegevens die buiten het gebruik van de Software worden verwerkt.