Verwerkersovereenkomst

Partijen

Deze overeenkomst maakt deel uit van de algemene voorwaarden en geldt automatisch vanaf het moment dat u een Meet Marley-account aanmaakt. Art. 28 lid 3 AVG schrijft deze overeenkomst voor.

1. Rollen

Voor de boekings- en klantendienst bent u de verwerkingsverantwoordelijke en is Meet Marley de verwerker. U bepaalt welke klanten u vastlegt, wat u over hen schrijft, en waarom. Wij verwerken die gegevens om de dienst te leveren en op uw instructie.

Voor een aantal duidelijk afgebakende dingen is Meet Marley zelf verwerkingsverantwoordelijke, omdat wij daarvan het doel bepalen en niemand ons daartoe opdracht geeft:

Deze splitsing is bewust gemaakt en wordt hier benoemd in plaats van weggemoffeld, omdat het verschil bepaalt wie een betrokkene antwoord geeft en wie zich tegenover de toezichthouder verantwoordt. Waar wij verwerkingsverantwoordelijke zijn, dragen wij de verplichting en handelen wij niet op uw instructie.

Meet Marley is een afzonderlijke verwerkingsverantwoordelijke voor de gegevens van uw eigen account — de namen en e-mailadressen van u en uw medewerkers, uw facturatiegegevens en onze beveiligingslogs. Die verwerking staat beschreven in onze privacyverklaring, niet hier. Dat verschil doet ertoe: ons beveiligingsauditlog is ons eigen dossier als verwerkingsverantwoordelijke, bewaard voor de termijnen in §5, en het is niet iets waarvan u ons opdracht geeft het te verwijderen.

Waarom een verwijderingsverzoek dat niet verkort. Art. 17 lid 3 AVG bepaalt dat het recht op vergetelheid niet geldt waar de verwerking nodig is om aan een wettelijke verplichting te voldoen, en waar zij nodig is voor het instellen, uitoefenen of onderbouwen van een rechtsvordering. Daar is een auditlog voor: later, en aan iemand anders, laten zien wie wat deed. Wij beroepen ons op die bepaling in plaats van het verzoek simpelweg af te wijzen, want een recht dat opzij wordt gezet zonder dat de grond wordt genoemd is niet meer dan een weigering.

2. Onderwerp, duur, aard en doel

Het onderwerp, de duur, de aard en het doel van de verwerking, en de categorieën betrokkenen en persoonsgegevens, staan in Bijlage I.

Bijzondere persoonsgegevens (art. 9). Het veld Notities dat in Bijlage I staat beschreven is vrije tekst en wij beperken niet wat erin komt. In een salon zal het voorspelbaar worden gebruikt voor allergieën, huid- en hoofdhuidaandoeningen, zwangerschap en medicijngebruik — en dat zijn gezondheidsgegevens onder art. 9 AVG.

Voert u zulke gegevens in, dan blijft u daarvoor de verwerkingsverantwoordelijke, en hebt u een eigen grondslag onder art. 9 AVG nodig — in de praktijk de uitdrukkelijke toestemming van de klant. Meet Marley vraagt daar niet om en vereist het niet, en behandelt het veld niet als een veld voor bijzondere persoonsgegevens, wat betekent dat de waarborgen die bij gezondheidsgegevens horen door u moeten worden getroffen.

Het veld valt volledig onder het rechtenproces in §4: de inhoud kan op verzoek worden verstrekt en op verzoek worden verwijderd, net als al het andere in een klantdossier.

3. Instructies

Wij verwerken de gegevens van uw klanten uitsluitend op uw gedocumenteerde instructie. Uw gebruik van de dienst is die instructie. Menen wij dat een instructie in strijd is met de AVG, dan laten wij u dat weten.

Wij verkopen de gegevens van uw klanten niet, gebruiken ze niet voor reclame, en gebruiken ze niet om machine-learningmodellen te trainen.

Meet Marley beheert een openbare salongids. Uw salon staat daar alleen in als u de vermelding aanzet — die staat standaard uit. Reviews die openbaar worden getoond, laten een afgekorte klantnaam zien ("Sanne D.") en nooit een e-mailadres of telefoonnummer.

4. Bijstand bij de rechten van betrokkenen

Art. 28 lid 3 onder e AVG verlangt dat wij u helpen verzoeken van uw klanten te beantwoorden. Hier staat wat er vandaag waar is, gewoon opgeschreven en niet als een belofte die we niet kunnen nakomen.

Elk verzoek wordt uitgevoerd. Inzage, correctie, overdraagbaarheid en verwijdering kunnen alle vier volledig worden uitgevoerd.

Zelf te doen, door u, in de app: de gegevens van uw eigen account en die van uw medewerkers, en elk afzonderlijk klantdossier. In Studio kan een eigenaar of manager:

• de naam en contactgegevens van een klant corrigeren (iedereen in uw team kan de notities bijwerken);
• de gegevens van een klant downloaden — één bestand met de gegevens, notities, elke afspraak en elke review van die klant — om een verzoek om inzage (art. 15) of overdraagbaarheid (art. 20) te beantwoorden;
• een klant op verzoek wissen (art. 17). Naam, e-mailadres, telefoonnummer, taal en notities worden verwijderd, net als de notities bij hun afspraken en hun naam bij reviews. De afspraken zelf blijven zonder naam in uw administratie staan, zodat uw historie en omzet blijven kloppen. Dit kan niet ongedaan worden gemaakt;
• twee dossiers samenvoegen die dezelfde persoon blijken te zijn. De persoonsgegevens van het dubbele dossier worden op het moment van samenvoegen gewist.

Elke export en elke verwijdering wordt vastgelegd in uw Activiteit-overzicht, zonder de persoonsgegevens van de klant.

Zelf te doen, door uw klanten: een klant kan inloggen op het klantportaal van uw salon met een code die naar zijn of haar e-mailadres wordt gestuurd, en daar de eigen komende en eerdere afspraken bij u zien, ze annuleren of verzetten volgens dezelfde regels als de link in de bevestigingsmail, en de eigen naam, het telefoonnummer en de taal corrigeren. Het e-mailadres kan de klant daar niet wijzigen, en uw notities krijgt de klant nooit te zien. Export, een ander e-mailadres en verwijdering blijven bij u, zoals hierboven.

Door ons uitgevoerd, op uw instructie, als terugvaloptie: kunt u het zelf niet doen, mail dan [email protected] en wij ronden het verzoek binnen 5 werkdagen af, kosteloos. Er is geen grens aan wat er weg kan: een klantdossier kan volledig worden gewist, inclusief het veld Notities en alles wat daarin staat.

Wat verwijdering in de praktijk betekent. Het dossier gaat uit de live database zodra de verwijdering wordt uitgevoerd. Back-ups houden een kopie tot ze verlopen volgens hun vaste schema — zie §5 — en in die tijd wordt daar niets in opgezocht en wordt er niets selectief uit teruggezet, en bij elke terugzetting wordt de verwijdering opnieuw uitgevoerd. Zo werkt verwijdering in de praktijk in elk systeem dat back-ups bewaart om van een ramp te kunnen herstellen.

Voor accounthouders (u en uw medewerkers) bieden wij inzage in en correctie van de profielgegevens in de applicatie. Een account verwijderen doen wij op dit moment op verzoek.

5. Bewaren en verwijderen

Back-ups, en wat verwijdering werkelijk betekent

Anonimiseren en verwijderen werken op de live database. Ze reiken niet tot in de back-ups, en dat doet geen enkel systeem — een back-up die selectief te bewerken valt, is geen betrouwbare back-up.

Wordt een dossier geanonimiseerd of worden de gegevens van een klant op verzoek gewist, dan staan ze dus nog in de back-ups tot die verlopen. In de tussentijd worden ze buiten gebruik gesteld: back-ups worden niet bevraagd, niet selectief teruggezet, en bestaan uitsluitend om van een ramp te kunnen herstellen. Naar ons begrip is dit onder de AVG een breed gedragen standpunt, en merken zowel het Europees Comité voor gegevensbescherming (EDPB) als de Autoriteit Persoonsgegevens het aan als rechtmatig, mits aan drie voorwaarden is voldaan — en dat is hier het geval:

1. Back-ups verlopen volgens een vast schema in plaats van onbeperkt bewaard te blijven.
2. Niemand bevraagt een back-up om gegevens terug te halen die uit het live systeem zijn verwijderd.
3. Vindt er ooit een terugzetting plaats, dan worden de verwijderingen daarna opnieuw uitgevoerd. Voor de bewaartermijnen gaat dat vanzelf — de ronde loopt dagelijks en over alle salons heen, dus alles wat een terugzetting terugbrengt wordt bij de volgende ronde opnieuw geanonimiseerd. Een verwijdering op verzoek heeft dat vangnet niet: zij wordt op het moment zelf vastgelegd in het verwijderingsregister, en na elke terugzetting aan de hand van dat register opnieuw uitgevoerd. De procedure staat in ons herstelrunbook.

Let op de maandelijkse snapshots. Point-in-time recovery beslaat ongeveer een week, en dat is het getal dat mensen doorgaans voor ogen hebben als ze aan back-ups denken. Maar het schema voor volume-back-ups houdt ook wekelijkse en maandelijkse snapshots, dus de werkelijke staart waarin er nog een kopie bestaat is te meten in maanden, niet in dagen.

Dat verandert niets aan de juridische positie — buiten gebruik is buiten gebruik, hoe lang het venster ook is — maar het verandert wel wat we eerlijk kunnen zeggen tegen iemand die vraagt "wanneer is het echt weg", en daarom staat het hier in plaats van naar het geruststellende getal te worden afgerond.

Inactiviteit wordt per klant gemeten, vanaf de meest recente afspraak van die klant zelf — niet vanaf de activiteit van uw salon. Een klant die drie jaar geleden voor het laatst kwam wordt geanonimiseerd ook al draait u nog gewoon, omdat het doel waarvoor de gegevens zijn verzameld voor hem of haar is geëindigd.

Wij anonimiseren in plaats van te verwijderen. De afspraakregel blijft staan met datum, dienst en bedrag, zodat uw omzethistorie en uw boekhouding intact blijven. Wat verdwijnt is de persoon: naam, e-mailadres, telefoonnummer, notities en taal. Het aantal bezoeken blijft staan, want een getal dat aan niemand hangt identificeert niemand en het houdt uw totalen kloppend. Een review houdt zijn cijfer en zijn tekst, maar verliest de naam waaraan hij was toegeschreven.

Bij het einde van de overeenkomst verwijderen wij de gegevens van uw klanten binnen 30 dagen of geven wij ze terug, behalve waar de wet bewaren verplicht. Auditgegevens over uw account blijven gedurende de termijnen hierboven bewaard als het eigen dossier van Meet Marley als verwerkingsverantwoordelijke — het dossier van wie wat deed — en een verwijderingsverzoek verkort dat niet. De grond is art. 17 lid 3 AVG: het recht op vergetelheid geldt niet waar de verwerking nodig is om aan een wettelijke verplichting te voldoen, of voor het instellen, uitoefenen of onderbouwen van een rechtsvordering. Zie §1.

6. Geheimhouding

Iedereen bij Meet Marley die toegang heeft tot de gegevens van uw klanten is tot geheimhouding gehouden. De toegang is beperkt tot degenen die hem nodig hebben om de dienst te draaien en te ondersteunen.

7. Beveiliging (art. 32)

De technische en organisatorische maatregelen die wij treffen staan in Bijlage II.

8. Subverwerkers

U geeft algemene toestemming voor de subverwerkers in Bijlage III. Wij kondigen het 30 dagen van tevoren aan als er een bij komt of wordt vervangen, en u kunt bezwaar maken; komen wij er over uw bezwaar niet uit, dan kunt u zonder kosten opzeggen voor de rest van de betaalde periode.

9. Datalek

Wij stellen u zonder onredelijke vertraging en in ieder geval binnen 48 uur op de hoogte nadat wij kennis hebben gekregen van een datalek dat de gegevens van uw klanten raakt, met de aard van het lek, de waarschijnlijke gevolgen en de getroffen maatregelen. Het melden bij de Autoriteit Persoonsgegevens en bij uw klanten is uw verantwoordelijkheid als verwerkingsverantwoordelijke; wij geven u wat u daarvoor nodig hebt.

Die 48 uur zijn van ons, niet van de wet. Art. 33 lid 2 AVG verlangt van een verwerker een melding zonder onredelijke vertraging en stelt geen vaste termijn. Achtenveertig uur is een toezegging die wij zelf kiezen, en zij is strenger dan het artikel vraagt — zij bestaat zodat een salon nog een dag overhoudt binnen zijn eigen 72 uur richting de AP. Het is ook een belofte die we moeten kunnen nakomen op zaterdagavond om 23:00 uur met één persoon bereikbaar.

10. Audit

Na redelijke aankondiging, en ten hoogste eenmaal per jaar tenzij zich een datalek heeft voorgedaan, verstrekken wij de informatie die nodig is om de naleving van deze overeenkomst aan te tonen.

11. Toepasselijk recht

Nederlands recht. Geschillen worden voorgelegd aan de bevoegde rechter in Nederland.

Bijlage I — Bijzonderheden van de verwerking

Onderwerp. Het leveren van software voor het maken van afspraken en het runnen van een salon.

Duur. Zolang u een account hebt, plus de bewaartermijnen in §5.

Aard en doel. Afspraken aannemen en beheren; bevestigingen, herinneringen en bonnen versturen; afsprakengeschiedenis vastleggen; geverifieerde reviews verzamelen en publiceren; rapportage en statistiek voor u maken; en uw klanten laten inloggen met een gemailde code om hun eigen afspraken te bekijken en te beheren en hun eigen contactgegevens te corrigeren.

Categorieën betrokkenen. Uw klanten — consumenten die een afspraak boeken — en, voor zover u die invoert, mensen die contact met u opnemen zonder te boeken.

Categorieën persoonsgegevens.

Bijzondere persoonsgegevens. Niet bewust verwerkt. Zie de waarschuwing bij §2 over het veld Notities.

Bijlage II — Technische en organisatorische maatregelen

Elke maatregel hieronder zit vandaag in het product.

Toegangscontrole en authenticatie

• Wachtwoorden gehasht met BCrypt; nooit in leesbare vorm opgeslagen of terug te halen
• Toegangstokens 15 minuten geldig, met rotatie van refresh-tokens en detectie van hergebruik
• Automatische blokkade van het account na vijf mislukte inlogpogingen op rij
• Beperking van het aantal pogingen bij inloggen, openbaar boeken, het insturen van reviews en het aanvragen van codes voor het klantportaal
• Inloggen op het klantportaal met een eenmalige code van 6 cijfers: alleen bewaard als hash met een geheime sleutel, 10 minuten geldig, ongeldig na vijf verkeerde pogingen, en met hetzelfde antwoord of het adres nu van een van uw klanten is of niet. De sessie duurt 2 uur, kan niet worden verlengd, geldt alleen bij uw salon en geeft geen toegang tot Studio
• Superadmintoegang is een apart soort account met eigen inloggegevens en een eigen auditcategorie

Scheiding tussen salons

• Elke query wordt op de datalaag gefilterd op salon, globaal toegepast in plaats van per query
• De ene salon kan nooit bij de gegevens van een andere. Er is geen route, instelling of rol die dat toestaat
• De enige uitzondering is onze eigen supporttoegang, hieronder beschreven. Dat is geen manier voor de ene salon om de andere te zien; het zijn wij, met naam en met logging, die in één salon tegelijk werken

Logging en verantwoording

• Een auditlog waaraan alleen kan worden toegevoegd, afgedwongen door een databasetrigger die DELETE botweg weigert en UPDATE alleen toestaat op de kolommen voor redactie. De garantie zit in de database en niet in applicatiecode, dus zij houdt ook stand tegenover iemand met rechtstreekse databasetoegang
• Bewaarrondes lopen automatisch per categorie

Supporttoegang tot uw salon

Soms werken wij in uw salon — meestal om hem samen met u in te richten, soms om een probleem te zien dat u beschrijft. Wij vertellen liever precies hoe dat werkt dan dat u het moet aannemen.

• Wij zijn het, niet u. Niemand logt in als u of als een van uw medewerkers. De sessie draagt de naam van de persoon bij Marley die hem opende, en die persoon staat bij alles wat de sessie doet: in uw Activiteit-scherm als Marley support, met voornaam en een initiaal — genoeg om te weten bij wie u terechtkunt, zonder de volledige naam en het werkadres van een collega jarenlang in uw administratie te houden. Zolang de sessie duurt toont Studio die persoon een balk met de naam van uw salon, zodat hij niet kan vergeten in wiens salon hij werkt — die balk staat op zijn scherm, niet op het uwe
• Twee niveaus, en het kleinste is de standaard. Een inrichtsessie komt alleen bij de instellingen van uw salon — diensten, prijzen, medewerkers, locaties, openingstijden, huisstijl. Die kan uw afspraken, uw klanten en uw beoordelingen niet openen. Een supportsessie kan dat wel, en gebruiken wij alleen als de vraag daarover gaat
• Vooraf wordt een reden vastgelegd. Zonder reden kan een sessie niet starten, en u ziet die reden ook: het openen van een sessie is zelf een regel in uw Activiteit-scherm, met daarin de reden die de persoon opgaf. Een sessie die wij wilden openen en die geweigerd werd, staat er ook in. U komt dus te weten dát wij binnenkwamen en waarom, niet alleen wat wij eenmaal binnen hebben gewijzigd
• Tweestapsverificatie is verplicht, en de sessie is kortdurend en verloopt vanzelf
• U ziet wat wij wijzigen. Elke wijziging die wij doen verschijnt in uw eigen Activiteit-scherm, gelabeld als Marley support en niet als een van uw teamleden, in het auditlog dat niet kan worden aangepast of verwijderd — zie hierboven. Dat log legt wijzigingen vast en geen weergaven: een sessie die alleen een scherm bekijkt laat daarvan geen eigen regel achter, wat zij wijzigt wel. De sessie zelf staat er altijd in, dus een sessie die u niet verwachtte kunt u zien en bij ons navragen, ook als er binnen die sessie niets is gewijzigd
• Geld en inloggegevens blijven buiten bereik. Een sessie kan uw abonnement niet wijzigen, geen automatische incasso instellen, uw betaalgegevens niet openen, uw salon niet in de openbare gids publiceren en geen pincode voor medewerkers instellen

Integriteit van gegevens en omgang met invoer

• Uploads beperkt tot PNG/JPEG/WebP, waarbij het formaat wordt bepaald door naar de eerste bytes van het bestand te kijken in plaats van te vertrouwen op het opgegeven content type; SVG wordt geweigerd omdat het script kan bevatten
• Maximale uploadgrootte afgedwongen

Opslag en transport

• TLS voor gegevens onderweg; HSTS afgedwongen
• Afgeschermde objectopslag — elk bestand wordt gelezen via een kortlopende presigned URL, en geen enkel object is openbaar leesbaar
• Versleuteling in rust zoals geleverd door Railway en zijn Postgres-dienst
• Back-ups met point-in-time recovery

Doorlopend

• Foutmonitoring met verwerking binnen de EU
• Vastgezette versies van afhankelijkheden tegen kwetsbaarheden (vastgelegd in de centrale pakketconfiguratie van de repository)

In de browser

• Een Content-Security-Policy op elke applicatie, die beperkt van welke bronnen een pagina mag laden en waarheen die gegevens mag sturen
• Strict-Transport-Security, X-Content-Type-Options: nosniff en een referrerbeleid op elke response
• De salon- en beheerapplicatie weigeren bovendien om door andere websites in een frame te worden geladen

Bijlage III — Subverwerkers

Zeven, en deze bijlage is bewust smaller dan de volledige lijst van ontvangers. Zij dekt alleen subverwerkers die worden ingeschakeld voor de gegevens van uw klanten, en dat is waarvoor art. 28 lid 2 AVG uw toestemming verlangt.

Het gegevensoverzicht noemt een achtste ontvanger — de pushdiensten van browsers (Google, Mozilla, Apple) die meldingen bezorgen op de apparaten van salonmedewerkers. Die staan hier niet, omdat zij nooit persoonsgegevens van een klant ontvangen: een pushabonnement hoort bij een van uw medewerkers, is verwerking door Meet Marley als verwerkingsverantwoordelijke zoals beschreven in de privacyverklaring, en bevat geen enkel gegeven over een boeking of een klant. Dáárom verschillen de twee aantallen, en niet door een vergissing.

PostHog staat er juist andersom in. Het werkt voor de eigen productanalyse van Meet Marley, waarvoor wij verwerkingsverantwoordelijke zijn (§1), en niet in uw opdracht. Het staat hier toch, omdat het paginaweergaven ziet van uw boekingspagina's, die uw klanten bezoeken, en een salon die overweegt Meet Marley te gebruiken dat hier moet kunnen zien en niet alleen in de privacyverklaring.

Alle persoonsgegevens van uw klanten worden opgeslagen binnen de Europese Unie. Cloudflare verwerkt verkeer onderweg op zijn wereldwijde edge-netwerk; die doorgifte valt onder de verwerkersvoorwaarden van Cloudflare en de EU-modelcontractbepalingen.