Verwerkersovereenkomst

1. Partijen

Deze verwerkersovereenkomst ("Overeenkomst") wordt gesloten tussen:

• Verwerkingsverantwoordelijke: de salon of onderneming die een abonnement heeft afgesloten op FlowsFix ("Salon"), hierna "Verantwoordelijke" genoemd.
• Verwerker: FlowsFix, gevestigd in Nederland, hierna "FlowsFix" genoemd.

Deze Overeenkomst maakt onderdeel uit van de Algemene Voorwaarden van FlowsFix en is van toepassing zodra de Salon gebruik maakt van het FlowsFix-platform.

2. Onderwerp en duur

FlowsFix verwerkt persoonsgegevens namens de Salon in het kader van het leveren van salonbeheersoftware, inclusief maar niet beperkt tot: afsprakenbeheer, klantbeheer, kassa, loyaliteitsprogramma en het klantportaal.

De Overeenkomst geldt voor de duur van het abonnement en eindigt automatisch bij beëindiging daarvan, onverminderd de verplichtingen bij beëindiging zoals beschreven in artikel 9.

3. Aard, doel en soort verwerking

3.1 Doel

FlowsFix verwerkt persoonsgegevens uitsluitend ten behoeve van het leveren van de overeengekomen diensten aan de Salon. FlowsFix gebruikt deze gegevens niet voor eigen commerciële doeleinden, profilering of marketing richting de klanten van de Salon.

3.2 Soort persoonsgegevens

• Naam, e-mailadres en telefoonnummer van klanten van de Salon
• Afspraakhistorie en behandelnotities
• Loyaliteitspunten en bezoekfrequentie
• Betalingsinformatie (via externe betaalprovider, niet opgeslagen bij FlowsFix)
• Accountgegevens van medewerkers van de Salon

3.3 Categorieën betrokkenen

• Klanten van de Salon
• Medewerkers van de Salon

4. Verplichtingen van FlowsFix

4.1 Instructies opvolgen

FlowsFix verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de Verantwoordelijke, tenzij een wettelijke verplichting anders vereist. In dat geval stelt FlowsFix de Verantwoordelijke hiervan op de hoogte, tenzij dit wettelijk verboden is.

4.2 Vertrouwelijkheid

FlowsFix zorgt ervoor dat personen die toegang hebben tot de persoonsgegevens gebonden zijn aan een geheimhoudingsplicht, hetzij contractueel hetzij wettelijk.

4.3 Beveiliging

FlowsFix neemt passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen, waaronder:

• Versleuteling van gegevens in transit (TLS) en in rust
• Toegangsbeperking op basis van het need-to-know principe
• Gebruik van beveiligde cloudinfrastructuur (zie sub-verwerkers)
• Regelmatige back-ups

4.4 Rechten van betrokkenen

FlowsFix verleent redelijke medewerking aan de Verantwoordelijke bij het nakomen van verzoeken van betrokkenen (inzage, correctie, verwijdering, overdraagbaarheid) via de beschikbare functionaliteiten in het platform of op verzoek via info@flowsfix.com.

4.5 Datalekken

FlowsFix meldt een inbreuk in verband met persoonsgegevens aan de Verantwoordelijke binnen 48 uur nadat FlowsFix hiervan op de hoogte is geraakt, zodat de Verantwoordelijke kan voldoen aan de meldplicht aan de Autoriteit Persoonsgegevens (72 uur).

4.6 DPIA-ondersteuning

FlowsFix verleent op redelijk verzoek medewerking bij het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA) door de Verantwoordelijke.

5. Sub-verwerkers

FlowsFix maakt gebruik van de volgende sub-verwerkers voor de uitvoering van de diensten:

Voor sub-verwerkers buiten de EER (Supabase, Resend, Stripe) zijn Standard Contractual Clauses (SCC's) van toepassing conform artikel 46 AVG. FlowsFix informeert de Verantwoordelijke tijdig over beoogde wijzigingen inzake sub-verwerkers zodat de Verantwoordelijke bezwaar kan maken.

6. Doorgifte buiten de EER

Persoonsgegevens kunnen worden doorgegeven aan landen buiten de Europese Economische Ruimte (EER) via de sub-verwerkers genoemd in artikel 5. FlowsFix waarborgt dat dergelijke doorgiftes plaatsvinden op basis van een passend beschermingsniveau, waaronder Standard Contractual Clauses (SCC's) of een adequaatheidsbesluit van de Europese Commissie.

7. Verplichtingen van de Verantwoordelijke

De Salon is verantwoordelijk voor:

• Het hebben van een rechtsgeldige grondslag voor de verwerking van persoonsgegevens van hun klanten (bijv. uitvoering van overeenkomst, toestemming)
• Het informeren van klanten over de verwerking van hun gegevens via een eigen privacyverklaring
• Het niet invoeren van bijzondere persoonsgegevens (gezondheid, religie, etc.) in FlowsFix, tenzij dit expliciet is overeengekomen
• Het tijdig doorgeven van verzoeken van betrokkenen aan FlowsFix indien deze medewerking van FlowsFix vereisen

8. Audit en toezicht

FlowsFix stelt op redelijk schriftelijk verzoek, met inachtneming van een termijn van 30 dagen, informatie beschikbaar die nodig is om de naleving van deze Overeenkomst aan te tonen. Audits door de Verantwoordelijke of een door haar aangewezen derde zijn toegestaan, mits vooraf aangekondigd en op eigen kosten van de Verantwoordelijke, en mits de vertrouwelijkheid van gegevens van andere klanten van FlowsFix gewaarborgd blijft.

9. Beëindiging en gegevensverwijdering

Bij beëindiging van het abonnement:

• Heeft de Salon gedurende 30 dagen na beëindiging de mogelijkheid om gegevens te exporteren via het platform.
• Na deze periode worden alle persoonsgegevens van de Salon en haar klanten definitief verwijderd uit de productiesystemen van FlowsFix, tenzij een wettelijke bewaarplicht anders vereist.
• Op schriftelijk verzoek stelt FlowsFix een bevestiging van verwijdering beschikbaar.

10. Aansprakelijkheid

FlowsFix is aansprakelijk voor schade die het gevolg is van verwerking waarbij FlowsFix niet heeft gehandeld in overeenstemming met de verplichtingen van de AVG die specifiek op verwerkers van toepassing zijn, of waarbij FlowsFix heeft gehandeld buiten of in strijd met de rechtmatige instructies van de Verantwoordelijke.

De aansprakelijkheid van FlowsFix is in alle gevallen beperkt tot het bedrag dat de Salon in de 12 maanden voorafgaand aan het schadeveroorzakende evenement aan FlowsFix heeft betaald.

11. Contact

Voor vragen over deze Verwerkersovereenkomst of AVG-gerelateerde verzoeken:

FlowsFix
E-mail: info@flowsfix.com