Verwerkersovereenkomst

Deze verwerkersovereenkomst hoort bij de overeenkomst tussen de klant en Roomcility, eenmanszaak, KvK 95538577, gevestigd op Bloemenstraat 5, 6414 RN Heerlen.

De klant is verwerkingsverantwoordelijke. Roomcility is verwerker. De klant bepaalt waarvoor en hoe persoonsgegevens worden verwerkt, wij verwerken ze alleen om de dienst te leveren.

We verwerken persoonsgegevens alleen om de dienst Roomcility te leveren. Dat is het plannen van vergaderingen, het regelen van zalen en faciliteiten, het aanmelden en ontvangen van gasten en het informeren van afdelingen.

• Medewerkers van de klant, naam, mailadres, functie en agenda beschikbaarheid. Deze haalt Roomcility live op uit Microsoft 365.
• Gasten, naam, mailadres, organisatie, kenteken, dieetwensen en of ze aanwezig zijn.
• Gebruikers van het portaal, naam, mailadres, rol en inlogmomenten.
• Logs, wie wat deed en wanneer, en welke mails zijn verstuurd.

Bijzondere persoonsgegevens verwerken we in principe niet. Dieetwensen kunnen in uitzonderlijke gevallen iets zeggen over gezondheid of geloof. De klant bepaalt zelf of dit veld wordt gebruikt.

Gastgegevens en gegevens over faciliteiten staan versleuteld op de afspraak in Microsoft 365 van de klant. De sleutel staat in de Azure Key Vault van de klant.

Op de Roomcility server staan alleen instellingen, reserveringen zonder persoonsgegevens na opschonen, de maillog en de auditlog. De server staat in Nederland.

We verwerken persoonsgegevens alleen op schriftelijke instructie van de klant. De overeenkomst en de instellingen die de klant in het portaal kiest, gelden als instructie. Vinden we een instructie in strijd met de AVG, dan laten we dat direct weten.

Iedereen die bij ons toegang heeft tot persoonsgegevens, is gebonden aan geheimhouding.

We nemen passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen. Daaronder vallen in elk geval

• versleuteling van gevoelige gegevens met een sleutel die de klant zelf beheert
• een koppeling met Microsoft 365 via een certificaat, zonder wachtwoord
• beperking van de toegang tot alleen de zalen die de klant kiest
• tweestapsverificatie voor het beheerportaal
• een auditlog van alle acties
• dagelijkse back-ups en monitoring van de server
• het automatisch verwijderen van gegevens na de ingestelde bewaartermijn

De klant geeft ons toestemming om de volgende subverwerkers in te schakelen.

• mijn.host, hosting en back-ups, servers in Nederland.
• Brevo, alleen voor het versturen van inlogcodes voor het beheerportaal, binnen de EU.

Mails aan gasten en afdelingen gaan via Microsoft 365 van de klant zelf. Microsoft is daarbij geen subverwerker van ons, maar een leverancier van de klant.

Willen we een subverwerker toevoegen of vervangen, dan melden we dat minimaal 30 dagen vooraf. De klant mag daar met een goede reden bezwaar tegen maken. Komen we er samen niet uit, dan mag de klant de overeenkomst opzeggen.

We leggen met elke subverwerker minimaal dezelfde verplichtingen vast als in deze overeenkomst.

We verwerken persoonsgegevens niet buiten de Europese Economische Ruimte en geven ze ook niet door aan landen daarbuiten.

Ontdekken we een datalek dat persoonsgegevens van de klant raakt, dan melden we dat zonder onnodige vertraging en uiterlijk binnen 48 uur bij de klant. We geven daarbij alle informatie die de klant nodig heeft om zelf te bepalen of het lek gemeld moet worden bij de Autoriteit Persoonsgegevens of bij de betrokkenen.

Het melden aan de Autoriteit Persoonsgegevens en aan betrokkenen doet de klant zelf. Wij helpen daarbij.

Wil iemand zijn gegevens inzien, laten aanpassen of laten verwijderen, dan helpt Roomcility de klant daarbij. Krijgen wij zo een verzoek rechtstreeks binnen, dan sturen we het door naar de klant.

De klant mag controleren of we ons aan deze overeenkomst houden. We geven daarvoor de informatie die redelijkerwijs nodig is. Een audit op locatie spreken we minimaal 4 weken vooraf af en is voor rekening van de klant.

Persoonsgegevens worden automatisch verwijderd na de bewaartermijn die de klant in het portaal instelt.

Na het einde van de overeenkomst vernietigen we alle gegevens op de Roomcility server binnen 30 dagen, tenzij de wet ons verplicht ze langer te bewaren. Gegevens in Microsoft 365 van de klant blijven daar en vallen onder het beheer van de klant.

Voor aansprakelijkheid gelden de afspraken uit onze algemene voorwaarden.

Deze verwerkersovereenkomst loopt zolang de overeenkomst loopt, en daarna zolang wij nog persoonsgegevens van de klant verwerken.