Verwerkersovereenkomst voor STRYK.

1. Onderwerp en rollen

De klant is verwerkingsverantwoordelijke in de zin van art. 4 nr. 7 AVG voor de persoonsgegevens die hij of zijn gebruikers in STRYK verwerken (“Opdrachtgegevens”). Nextpulse verwerkt opdrachtgegevens als verwerker.

Onderwerp van de verwerking is de levering, exploitatie, het onderhoud, de back-up en de support van STRYK volgens de hoofdovereenkomst, inclusief testcontracten.

Voor eigen doeleinden – contractbeheer, facturatie, identiteitsaccounts bij Nextpulse ID, beveiliging van het platform, misbruikpreventie en rechtsbescherming – handelt Nextpulse als eigen verwerkingsverantwoordelijke; deze verwerkingen worden beschreven in de privacyverklaring.

2. Duur

De overeenkomst geldt voor de duur van de hoofdovereenkomst, inclusief de overgangs- en opvraagperiode na beëindiging van het contract, en daarna zolang Nextpulse opdrachtgegevens verwerkt, tot de verwijdering daarvan overeenkomstig punt 14.

3. Aard en doel van de verwerking

Aard van de verwerking: verzamelen, vastleggen, opslaan, ordenen, aanpassen, opvragen, gebruiken, doorgeven aan door de klant gekozen ontvangers, vergelijken, beperken, back-uppen, herstellen en verwijderen. Doel is het leveren van de functies die de klant gebruikt, met name:

• Hotelbeheer: reserveringen, kamers, bezetting, housekeeping, gastprofielen, facturen, betalingsstatus, financiële boekingen, rapportages en personeelsorganisatie;
• Booking Engine, gastenwebsite, online check-in, gastenportaal en kiosk, inclusief registratie van aangifte- en identiteitsdocumentgegevens, voor zover de klant deze functies activeert;
• Gastcommunicatie per e-mail en via overige kanalen, inclusief door AI ondersteunde analyse, antwoordvoorstellen en geautomatiseerde antwoorden, voor zover geactiveerd;
• Verspreiding van beschikbaarheid, prijzen en reserveringen via de channel manager, voor zover geactiveerd;
• Koppeling van betalings-, kassa-, bank- en overige systemen, voor zover de klant deze activeert;
• Gegevensovername uit voorsystemen, foutanalyse, support en beveiligingsmaatregelen, voor zover voor de dienst noodzakelijk.

4. Betrokkenen en categorieën gegevens

• Gasten, meereizenden, boekers en geïnteresseerden: identiteits- en contactgegevens, verblijfs- en boekingsgegevens, voorkeuren, communicatie-inhoud, factuur- en betalingsstatusgegevens, aangifte- en gastenregistergegevens.
• Identiteitsbewijsgegevens: gegevens uit reisdocumenten en afbeeldingen van identiteitsdocumenten, voor zover de klant de betreffende functie gebruikt.
• Medewerkers en gebruikers van de klant: naam, contactgegevens, rol, dienst- en taaktoewijzing, activiteits- en toegangslogs.
• Zakelijke contacten, zakelijke klanten, leveranciers en partners: stam-, contact-, contract- en factuurgegevens.
• Bijzondere categorieën persoonsgegevens in de zin van art. 9 AVG, bijvoorbeeld gezondheidsgegevens in gastenwensen, uitsluitend indien de klant besluit dergelijke gegevens vast te leggen en hiervoor een rechtsgrond heeft.
• Niet verwerkt worden volledige kaartnummers, kaartcontrolecijfers en gegevens voor internetbankieren; betaalmiddelen worden verwerkt door de betalingsdienstverlener van de klant.

5. Instructies

Nextpulse verwerkt opdrachtgegevens uitsluitend op gedocumenteerde instructie van de klant, ook met betrekking tot doorgifte naar derde landen, tenzij Nextpulse wettelijk verplicht is tot verwerking krachtens Unierecht of het recht van een lidstaat; in dat geval deelt Nextpulse de klant deze wettelijke eisen vóór de verwerking mee, tenzij het recht dit verbiedt.

Het hoofdcontract, deze overeenkomst en de configuratie en het gebruik van de functies door de klant vormen de instructies. Individuele instructies worden in tekstvorm gegeven.

Is Nextpulse van mening dat een instructie in strijd is met gegevensbeschermingsvoorschriften, dan informeert Nextpulse de klant onverwijld en mag zij de uitvoering opschorten tot bevestiging of wijziging van de instructie.

6. Vertrouwelijkheid

Nextpulse waarborgt dat de voor de verwerking gemachtigde personen zich tot vertrouwelijkheid hebben verbonden of aan een passende wettelijke geheimhoudingsplicht zijn onderworpen. Toegang tot opdrachtgegevens vindt alleen plaats voor zover dit voor exploitatie, beveiliging of support noodzakelijk is. Wijzigende supportmaatregelen in het platformbeheer worden met motivering gelogd.

7. Beveiliging van de verwerking

Nextpulse treft de technische en organisatorische maatregelen die art. 32 AVG vereist. Deze zijn beschreven in punt 17. Nextpulse mag de maatregelen aanpassen aan de technische vooruitgang, mits het beschermingsniveau niet wordt onderschreden.

8. Subverwerkers

De klant verleent algemene toestemming voor het inschakelen van de ondernemingen die in de lijst van subverwerkers zijn genoemd. Nextpulse informeert de klant ten minste 30 dagen vóór het inschakelen van een nieuwe of het vervangen van een bestaande subverwerker in tekstvorm.

De klant kan binnen 14 dagen na ontvangst van de informatie om een gewichtige reden op grond van gegevensbescherming schriftelijk in tekstvorm bezwaar maken tegen de wijziging. De partijen streven naar een onderlinge oplossing. Lukt dat niet, dan kan de klant het betrokken contract of contractonderdeel opzeggen op het moment van inzet; vooraf betaalde vergoedingen voor de periode daarna worden naar rato terugbetaald.

Is een vervanging voor de afwending van een acute beveiligings- of beschikbaarheidsdreiging op korte termijn nodig, dan informeert Nextpulse onverwijld achteraf; het bezwaar- en opzegrecht geldt dienovereenkomstig.

Nextpulse legt elke subverwerker contractueel in hoofdzaak dezelfde gegevensbeschermingsverplichtingen op als in deze overeenkomst zijn vastgelegd, en staat jegens de klant in voor de naleving daarvan.

9. Rechten van betrokkenen

Nextpulse ondersteunt de Klant met passende technische en organisatorische maatregelen bij het beantwoorden van verzoeken van betrokkenen, in de eerste plaats via de in STRYK beschikbare functies, met name voor rectificatie, export van gegevens en het wissen of anonimiseren van gastprofielen. Volstaan deze functies niet voor een verzoek, dan stelt Nextpulse op verzoek van de Klant binnen tien werkdagen de namens de Klant verwerkte gegevens van de betrokkene beschikbaar in een gangbaar, machineleesbaar formaat, of wist deze. Wendt een betrokkene zich rechtstreeks tot Nextpulse, dan stuurt Nextpulse het verzoek binnen vijf werkdagen door naar de Klant en beantwoordt het niet zelf, tenzij de wet daartoe verplicht.

10. Ondersteuning bij beveiliging, effectbeoordeling en overleg

Nextpulse ondersteunt de klant, rekening houdend met de aard van de verwerking en de beschikbare informatie, bij de naleving van de verplichtingen volgens art. 32 tot en met 36 AVG, met name door informatie voor een gegevensbeschermingseffectbeoordeling en bij voorafgaand overleg met de toezichthouder.

Ondersteuningsdiensten die verder gaan dan het verstrekken van bestaande informatie en functies en niet door een schending door Nextpulse zijn veroorzaakt, kan Nextpulse na voorafgaande informatie tegen redelijke tarieven doorberekenen.

11. Inbreuken op de beveiliging van persoonsgegevens

Nextpulse meldt de klant een inbreuk op de beveiliging van opdrachtgegevens onverwijld, uiterlijk binnen 48 uur nadat Nextpulse daarvan kennis heeft gekregen. De melding gaat naar het door de klant opgegeven contactadres.

De melding bevat, voor zover beschikbaar, een beschrijving van de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en gegevensrecords, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen, alsmede een contactpunt. Nog niet beschikbare informatie wordt onverwijld nagezonden.

De beslissing over meldingen aan de toezichthouder en kennisgevingen aan betrokkenen neemt de klant. Een melding is geen erkenning van een schending van verplichtingen.

12. Verwerkingslocaties en doorgiften naar derde landen

Opdrachtgegevens worden bij voorrang verwerkt in de Europese Unie of de Europese Economische Ruimte. Enkele subverwerkers verwerken gegevens ook in derde landen, met name in de Verenigde Staten; de lijst van subverwerkers vermeldt per aanbieder de locatie en de doorgiftegrondslag.

Doorgiften naar derde landen vinden uitsluitend plaats onder de voorwaarden van art. 44 e.v. AVG, met name op grond van een adequaatheidsbesluit zoals het EU-US Data Privacy Framework voor gecertificeerde ontvangers, of van de standaardcontractbepalingen van de Europese Commissie, inclusief de noodzakelijke aanvullende maatregelen. Waar een adequaatheidsbesluit wordt gebruikt, komt Nextpulse, voor zover mogelijk, standaardcontractbepalingen overeen als aanvullende grondslag.

13. Bewijs en controles

Nextpulse stelt de klant alle noodzakelijke informatie ter beschikking om de naleving van deze overeenkomst aan te tonen, met name een actuele beschrijving van de technische en organisatorische maatregelen en beschikbare bewijzen van de subverwerkers.

De klant of een door hem ingeschakelde controleur die tot geheimhouding is verplicht en geen concurrent van Nextpulse is, kan toetsingen uitvoeren, inclusief inspecties. Reguliere toetsingen vinden ten hoogste eenmaal per jaar plaats, met een voorafgaande aankondiging van ten minste 30 dagen. Bij een inbreuk op de beveiliging van opdrachtgegevens, een aanwijzing van de toezichthouder of concrete aanwijzingen voor een overtreding zijn aanvullende toetsingen met redelijke voorafgaande aankondiging toegestaan.

Toetsingen vinden plaats binnen kantooruren, zonder onevenredige verstoring van de bedrijfsvoering en met inachtneming van de vertrouwelijkheid van de gegevens van andere klanten. De klant draagt zijn eigen kosten; levert de toetsing een wezenlijke overtreding door Nextpulse op, dan draagt Nextpulse de redelijke kosten.

14. Teruggave en verwijdering

Tijdens de looptijd van het contract kan de klant opdrachtgegevens opvragen via de beschikbare exportfuncties. Na beëindiging van het contract houdt Nextpulse de opdrachtgegevens gedurende de overgangs- en opvraagperiode volgens de B2B-SaaS-AV beschikbaar voor teruggave; voor zover de toegang tot STRYK niet meer bestaat, stelt Nextpulse op verzoek een export beschikbaar.

Na afloop van de opvraagperiode verwijdert Nextpulse de opdrachtgegevens onverwijld, uiterlijk binnen 90 dagen, tenzij het Unierecht of het recht van een lidstaat Nextpulse zelf tot bewaring verplicht. Bestaat zo'n verplichting, dan blokkeert Nextpulse de betrokken gegevens en verwerkt zij die uitsluitend nog voor dit doel. Back-ups worden overschreven in de reguliere back-upcyclus, uiterlijk na 90 dagen, en worden tot dan niet meer voor de lopende bedrijfsvoering gebruikt. Op verzoek bevestigt Nextpulse de verwijdering schriftelijk in tekstvorm.

Wettelijke bewaarplichten van de klant, bijvoorbeeld volgens de BAO, het UGB of de Meldegesetz, rusten op de klant; hij vervult ze op grond van de teruggave respectievelijk de exports. Nextpulse bewaart opdrachtgegevens na beëindiging van het contract niet voor de klant, tenzij de klant dit uitdrukkelijk als afzonderlijke dienst met vastgestelde duur opdraagt. Eigen contract-, factuur- en bewijsgegevens van Nextpulse zijn geen opdrachtgegevens.

15. Geanonimiseerde gegevens

Nextpulse mag opdrachtgegevens anonimiseren, voor zover dit voor het leveren, beveiligen en verbeteren van STRYK noodzakelijk is, en de geanonimiseerde gegevens gebruiken zonder herleidbaarheid tot natuurlijke personen of de individuele klant. Opdrachtgegevens worden niet gebruikt voor het trainen van AI-modellen.

16. Voorrang en aansprakelijkheid

Voor vragen over gegevensbescherming gaat deze overeenkomst voor de overige contractdocumenten, met uitzondering van individuele regelingen die uitdrukkelijk naar een bepaalde regeling van deze overeenkomst verwijzen; een afwijking van art. 28 AVG ten nadele van de klant wordt niet overeengekomen.

De dwingende aansprakelijkheid volgens de AVG wordt niet uitgesloten of beperkt. In de verhouding tussen de partijen richt de vergoeding zich naar art. 82 lid 5 AVG; daarvoor en verder gelden de aansprakelijkheidsbepalingen van de B2B-SaaS-AV, inclusief de beperkingen bij lichte schuld.

17. Bijlage: technische en organisatorische maatregelen

De volgende maatregelen beschrijven de huidige stand. Zij worden regelmatig getoetst en verder ontwikkeld.

• Mandantenscheiding: gegevens van elke klant zijn per mandant gekenmerkt; de database handhaaft de scheiding bovendien via rijniveau-beveiligingsbeleid (Row Level Security) dat voor de toepassingsrol niet kan worden omzeild, naast de applicatielogica.
• Toegangscontrole: aanmelding van gebruikers via Nextpulse ID met OpenID Connect; ondersteuning van een tweede factor; voor gevoelige administratieve handelingen in het platformbeheer is een verse aanmelding met tweede factor vereist. Apparaataccounts voor kioskfuncties zijn beperkt tot het betreffende bedrijf.
• Toegangsbeheer: op rollen gebaseerde rechten volgens het noodzakelijkheidsbeginsel met serverzijdige controle van elk verzoek; niet-toegewezen toegang wordt geweigerd. Supportmaatregelen verlopen via het platformbeheer; wijzigende maatregelen vereisen een motivering en worden gelogd.
• Transmissiecontrole: toegang tot STRYK via internet verloopt uitsluitend versleuteld met TLS. E-mails worden transportversleuteld verzonden, voor zover de ontvangende server dit ondersteunt. Toegangsgeheimen voor gekoppelde derde systemen worden versleuteld opgeslagen.
• Versleuteling van opgeslagen gegevens: back-ups worden versleuteld opgeslagen. Voor bijzonder beschermenswaardige inhoud zoals afbeeldingen van identiteitsdocumenten beveelt Nextpulse aan de registratie te beperken tot wat wettelijk noodzakelijk is en verwijdertermijnen vast te stellen.
• Verwijdertermijnen: voor gegevens uit de online check-in, inclusief geregistreerde identiteitsgegevens, kan de klant in STRYK een verwijdertermijn instellen. Deze is standaard niet geactiveerd; het vaststellen van verwijdertermijnen is de verantwoordelijkheid van de klant als verwerkingsverantwoordelijke.
• Uploads: geüploade bestanden worden vóór verwerking op schadelijke software gecontroleerd.
• Invoercontrole en logging: logging van beveiligings- en vakinhoudelijke handelingen; logs bevatten geen wachtwoorden, tokens of toegangsgeheimen.
• Beschikbaarheidscontrole: dagelijkse back-ups die versleuteld op een van de productieomgeving gescheiden opslaglocatie worden bewaard; gedocumenteerde herstelprocedures; beperking van anonieme verzoeken ter voorkoming van overbelasting en misbruik.
• Scheiding: scheiding van ontwikkel-, test- en productieomgevingen; geen productieve toegangsgegevens in de broncode.
• Organisatorische maatregelen: verplichting tot vertrouwelijkheid, beperking van administratieve toegang tot bevoegde personen, procedures voor beveiligingsupdates en voor de afhandeling van beveiligingsincidenten.