Verwerkersovereenkomst

Deze verwerkersovereenkomst hoort bij de overeenkomst over het gebruik van het CarwashManager-platform en regelt hoe wij als verwerker omgaan met persoonsgegevens.

1. Partijen en rollen

CarwashManager — Sportlaan 22, 3851 CD Ermelo, KvK 73612537. Bij een directe carwash zijn wij verwerker en is de carwash verwerkingsverantwoordelijke. Bij white-label via een bureau is het bureau de verwerker en zijn wij sub-verwerker; de carwash blijft de uiteindelijke verantwoordelijke.

2. Doel en gegevens

Wij verwerken uitsluitend voor het leveren van het platform: wasbonnen en kortingscodes, klant- en transactieadministratie, e-mailmarketing (opt-in), facturatie en optioneel kentekenherkenning. Het gaat om naam, e-mailadres, postcode, kenteken en transactiehistorie van klanten van de carwash. Er worden geen bijzondere persoonsgegevens bewust verwerkt.

Gebruikt de verantwoordelijke de optionele kentekenherkenning, dan is hij verantwoordelijk voor een geldige grondslag en voor het informeren van betrokkenen (bijvoorbeeld via een cameratoezicht-sticker bij de ingang en zijn privacyverklaring). Wij verwerken het kenteken uitsluitend in opdracht: de camerabeelden verwerken we ter plekke en verwijderen we daarna direct — alleen het kenteken en het tijdstip worden bewaard. Uitsluitend bij het instellen van een camera op een nieuwe locatie kunnen we tijdelijk een beperkt aantal beelden (alleen het kentekengedeelte, niet aan personen gekoppeld) bewaren om de herkenning bij te stellen; daarna verwijderen we ze. Kentekens verwijderen we op verzoek of, als de verantwoordelijke een bewaartermijn instelt, na afloop daarvan.

3. Beveiliging (art. 32)

• Tenant-isolatie op databaseniveau (row level security).
• Versleuteling van gevoelige sleutels (AES-256-GCM) en transport via TLS.
• Toegang op need-to-know-basis, met audit-logging.
• Versleutelde, off-site back-ups; rate-limiting op publieke endpoints.

4. Sub-verwerkers

Wij schakelen sub-verwerkers in; de actuele lijst staat op de sub-verwerkerslijst. Bij wijziging informeren wij de verantwoordelijke, die gemotiveerd bezwaar kan maken.

5. Datalekken

Wij melden een datalek onverwijld en uiterlijk binnen 48 uur na ontdekking aan de verantwoordelijke, zodat die tijdig (binnen 72 uur) aan zijn meldplicht kan voldoen.

6. Rechten van betrokkenen

Wij ondersteunen de verantwoordelijke bij verzoeken van betrokkenen (inzage, correctie, verwijdering, dataportabiliteit) met de functionaliteit van het platform. Verzoeken die rechtstreeks bij ons binnenkomen leiden wij door naar de verantwoordelijke.

7. Bewaren en verwijderen

Na beëindiging verwijderen of retourneren wij de persoonsgegevens, behoudens wettelijke bewaarplichten (zoals de fiscale bewaarplicht voor facturen). Wasbonnen en codes kennen een uitloopperiode (standaard 60 dagen) waarin ze verzilverbaar blijven.

8. Doorgifte buiten de EER

Gegevens worden in beginsel binnen de EER verwerkt. Voor sub-verwerkers buiten de EER gelden passende waarborgen (EU-modelcontractbepalingen of een geldig adequaatheidskader).

Dit is een conceptversie. Vragen? Mail info@carwashmanager.app.