Verwerkersovereenkomst (DPA)
Deze verwerkersovereenkomst is een integraal onderdeel van de dienstverleningsovereenkomst tussen RecranetPMS B.V. (hierna: "Verwerker") en de afnemer (hierna: "Verantwoordelijke"), en is opgesteld conform artikel 28 van de Algemene Verordening Gegevensbescherming.
Artikel 1 — Onderwerp en duur
Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van de uitvoering van de tussen partijen gesloten overeenkomst tot afname van RecranetPMS-modules. De duur van deze verwerkersovereenkomst is gelijk aan de duur van de onderliggende dienstverleningsovereenkomst. Na beëindiging worden alle persoonsgegevens verwijderd conform artikel 8.
Artikel 2 — Aard en doel van de verwerking
De verwerking betreft het beschikbaar stellen van softwarematige uitbreidingen op het Recranet-account van Verantwoordelijke, met als doel het beheren van vakantieverhuur-reserveringen, gastregistratie, betalingen, boekhouding en gastcommunicatie.
Artikel 3 — Type persoonsgegevens
- NAW-gegevens van gasten (naam, adres, geboortedatum, nationaliteit)
- Contactgegevens (e-mail, telefoon)
- Identiteitsbewijs-scan (indien module Digitale Gastregistratie actief)
- Reserveringsdetails (aankomst, vertrek, tarief)
- Betaalgegevens (versleuteld doorgezet naar PSP, niet lokaal opgeslagen)
- Communicatie via WhatsApp of e-mail (indien module actief)
Artikel 4 — Categorieën betrokkenen
- Gasten die reserveren via kanalen die met RecranetPMS-modules gekoppeld zijn
- Contactpersonen van Verantwoordelijke voor authenticatie op RecranetPMS-account
Artikel 5 — Beveiligingsmaatregelen
Verwerker treft passende technische en organisatorische maatregelen conform artikel 32 AVG, waaronder:
- Encryptie in transit (TLS 1.3) en at rest (AES-256-GCM)
- Toegangsbeheer op basis van least-privilege met hardware-security-keys
- Jaarlijkse externe penetratietest door gecertificeerd bureau
- ISO 27001-kaderconforme processen (in certificering)
- Gescheiden productie- en testomgevingen
- 24/7 monitoring van beveiligingsincidenten
Volledige beschrijving op /security.
Artikel 6 — Sub-verwerkers
Verwerker maakt gebruik van de volgende sub-verwerkers:
- Equinix Netherlands B.V. — hosting Amsterdam AM3 en Rotterdam RT2
- Mollie B.V. — betaalverwerking Amsterdam
- Cloudflare Ireland Ltd. — DDoS-bescherming (uitsluitend EU-datacenters)
- Postmark ActiveCampaign Ireland — transactionele e-mail
Wijzigingen in sub-verwerkers worden 30 dagen voor inwerkingtreding aangekondigd. Verantwoordelijke heeft recht van bezwaar. Bij gegrond bezwaar heeft Verantwoordelijke recht op ontbinding van de onderliggende overeenkomst zonder schadevergoeding.
Artikel 7 — Doorgifte buiten de EER
Verwerker draagt geen persoonsgegevens over buiten de Europese Economische Ruimte. Alle sub-verwerkers verwerken uitsluitend binnen EU-datacenters.
Artikel 8 — Beëindiging
Bij beëindiging van de dienstverleningsovereenkomst worden alle persoonsgegevens binnen 90 dagen definitief verwijderd uit productiesystemen en binnen 12 maanden uit back-ups, tenzij er een wettelijke bewaarplicht geldt (bijvoorbeeld fiscale bewaarplicht van 7 jaar). Op verzoek van Verantwoordelijke worden de gegevens vooraf in een portable formaat (CSV of JSON) aangeleverd.
Artikel 9 — Datalekken
Verwerker meldt datalekken aan Verantwoordelijke binnen 24 uur na ontdekking, met de informatie die Verantwoordelijke nodig heeft voor zijn eigen meldplicht bij de Autoriteit Persoonsgegevens conform artikel 33 AVG.
Artikel 10 — Bijstand bij rechten van betrokkenen
Verwerker biedt Verantwoordelijke redelijke bijstand bij het uitoefenen van de rechten van betrokkenen (inzage, rectificatie, verwijdering, dataportabiliteit). Bijstand wordt zonder aanvullende kosten geleverd tenzij het volume of de complexiteit dit onredelijk maakt.
Artikel 11 — Audit
Verantwoordelijke heeft eenmaal per kalenderjaar het recht een audit uit te voeren of te laten uitvoeren, na schriftelijke aankondiging van minimaal 30 dagen. Kosten van de audit zijn voor Verantwoordelijke, tenzij de audit een significante non-compliance aantoont, in welk geval Verwerker de kosten draagt.
Artikel 12 — Aansprakelijkheid
De aansprakelijkheid onder deze verwerkersovereenkomst valt onder de aansprakelijkheidsregeling van de onderliggende dienstverleningsovereenkomst, zoals beschreven in artikel 9 van de algemene voorwaarden.
Artikel 13 — Slotbepalingen
Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden beslecht door de rechtbank Amsterdam. Deze verwerkersovereenkomst prevaleert boven alle eerdere afspraken tussen partijen over dezelfde onderwerpen. Wijzigingen zijn alleen geldig indien schriftelijk overeengekomen.