Verwerkersovereenkomst

1. Partijen en toepassing

Deze verwerkersovereenkomst geldt tussen de barbershop die BarberShift gebruikt (hierna: de Shop, verwerkingsverantwoordelijke) en BarberShift (verwerker). Zij maakt onlosmakelijk deel uit van de algemene voorwaarden en geldt zodra de Shop BarberShift gebruikt. Dit is één centraal document; er wordt geen aparte kopie per shop opgesteld.

Deze overeenkomst geldt uitsluitend voor verwerkingen waarbij BarberShift daadwerkelijk in opdracht van de Shop handelt. Voor verwerkingen waarvoor BarberShift zelf verwerkingsverantwoordelijke is — accounts van ondernemers en teamleden, abonnement en facturatie, beveiliging en misbruikpreventie, platformbeheer, de openbare Directory en de statistieken daarvan, en platformmoderatie van beoordelingen — geldt de privacyverklaring en niet deze overeenkomst.

2. Onderwerp van de verwerking

BarberShift levert een online afsprakensysteem. In dat kader verwerkt BarberShift persoonsgegevens van klanten van de Shop om de Shop in staat te stellen afspraken te plannen, een klantenadministratie te voeren en met klanten te communiceren over die afspraken.

3. Duur

Deze overeenkomst geldt zolang de Shop een account bij BarberShift heeft en eindigt wanneer de dienstverlening eindigt. Bepalingen die naar hun aard voortduren — waaronder geheimhouding, en verwijdering of teruggave van gegevens — blijven daarna van kracht.

4. Aard en doel van de verwerking

De verwerking bestaat uit het verzamelen, vastleggen, ordenen, opslaan, raadplegen, wijzigen, gebruiken, verstrekken aan de door BarberShift ingeschakelde subverwerkers, en verwijderen van persoonsgegevens ten behoeve van:

• online boekingen en handmatig ingeplande afspraken;
• de klantenkaart, afspraakgeschiedenis en klantinzichten van de Shop;
• interne notities, no-shows en blokkeringen die de Shop vastlegt;
• e-mails aan klanten over afspraken, annuleringen, beoordelingsuitnodigingen en herboekingsherinneringen, inclusief de uitschrijfvoorkeur daarvoor;
• het beschikbaar stellen van deze gegevens aan bevoegde medewerkers van de Shop.

5. Categorieën betrokkenen

• Klanten en potentiële klanten van de Shop die een afspraak maken of door de Shop worden ingevoerd.
• Medewerkers en teamleden van de Shop, voor zover BarberShift hun gegevens in opdracht van de Shop verwerkt binnen de shopomgeving.

6. Categorieën persoonsgegevens

• Naam, telefoonnummer en e-mailadres van klanten, ook in genormaliseerde vorm.
• Afspraakgegevens: behandeling, medewerker, locatie, datum, tijd, duur, status en herkomst van de boeking.
• Opmerkingen van de klant en interne notities van de Shop.
• No-shows, blokkeringen met reden en toelichting, en de klantgeschiedenis.
• Communicatiegegevens: verzonden e-mails, afleverstatus en de voorkeur voor herboekingsherinneringen.
• Beoordelingen die uit een afspraak van de Shop voortkomen, inclusief weergavenaam en tekst.
• Gegevens van teamleden binnen de shopomgeving: naam, contactgegevens, rol, rechten, bio, foto en werktijden.

BarberShift is niet bedoeld voor bijzondere categorieën van persoonsgegevens. De Shop legt zulke gegevens — bijvoorbeeld gezondheidsgegevens in een notitie — niet vast, tenzij dit noodzakelijk en rechtmatig is; de Shop is daar dan zelf verantwoordelijk voor.

Beoordelingen worden binnen de shopomgeving door de Shop beheerd en kunnen door de Shop worden verborgen. De publicatie in de openbare Directory en de platformmoderatie daarvan vallen buiten deze overeenkomst: dat is een eigen verwerking van BarberShift als verwerkingsverantwoordelijke. Voor beoordelingen geldt geen automatische verwijdertermijn.

7. Instructies van de Shop

BarberShift verwerkt de persoonsgegevens uitsluitend op basis van de instructies van de Shop. Het gebruik van de functionaliteit van het platform geldt als instructie. BarberShift gebruikt deze gegevens niet voor eigen doeleinden, verkoopt ze niet en deelt ze niet met andere shops.

Meent BarberShift dat een instructie in strijd is met de AVG of andere wetgeving, dan meldt BarberShift dit aan de Shop. BarberShift mag gegevens verwerken wanneer een wettelijke verplichting daartoe verplicht, en informeert de Shop daarover tenzij die wetgeving dat verbiedt.

8. Geheimhouding

BarberShift verplicht personen die toegang hebben tot de persoonsgegevens tot geheimhouding. Toegang wordt beperkt tot wat nodig is voor het leveren, beveiligen en ondersteunen van de dienst.

9. Beveiliging

BarberShift treft passende technische en organisatorische maatregelen, waaronder versleutelde verbindingen, versleutelde opslag van wachtwoorden door de authenticatiedienst, strikte toegangsregels op databaseniveau die shops van elkaar scheiden, server-side autorisatiecontroles, afgeschermde contactgegevens van teamleden, unieke codes voor publieke links, snelheidslimieten op publieke formulieren en logging van belangrijke handelingen.

De Shop is zelf verantwoordelijk voor het zorgvuldig beheren van accounts, rollen en rechten binnen de eigen shopomgeving.

10. Subverwerkers

De Shop geeft BarberShift algemene toestemming om subverwerkers in te schakelen. BarberShift schakelt op dit moment in:

• Lovable Cloud, met Supabase als onderliggend platform — hosting, database, authenticatie en bestandsopslag.
• Resend — verzending van e-mails aan klanten en gebruikers.
• WhatsApp via Twilio of Meta — uitsluitend wanneer dit kanaal wordt geactiveerd en de Shop het inschakelt; op dit moment uitgeschakeld.

Stripe wordt gebruikt voor het abonnement van de Shop; daarbij treedt BarberShift niet op als verwerker voor de Shop en gaan er geen klantgegevens van de Shop naartoe.

BarberShift legt aan subverwerkers verplichtingen op die in essentie overeenkomen met deze overeenkomst. Wijzigingen in de lijst van subverwerkers worden verwerkt in dit centrale document; de Shop kan zich verzetten tegen een nieuwe subverwerker en heeft dan het recht de dienstverlening te beëindigen.

11. Rechten van betrokkenen

De Shop is het eerste aanspreekpunt voor verzoeken van zijn klanten. BarberShift verleent hierbij redelijke medewerking, onder meer doordat de Shop klantgegevens in het dashboard kan inzien, corrigeren en verwijderen. Ontvangt BarberShift rechtstreeks een verzoek dat de gegevens van een Shop betreft, dan verwijst BarberShift de betrokkene door of stelt de Shop hiervan op de hoogte.

12. Beveiligingsincidenten

BarberShift informeert de Shop zonder onredelijke vertraging nadat BarberShift kennis heeft gekregen van een inbreuk in verband met persoonsgegevens die de gegevens van de Shop raakt, en verstrekt daarbij de informatie waarover BarberShift redelijkerwijs beschikt. De Shop beoordeelt zelf of melding aan de toezichthouder of aan betrokkenen nodig is.

BarberShift hanteert op dit moment geen vaste, kortere meldtermijn dan hierboven omschreven.

13. Gegevensbeschermingseffectbeoordeling en toezichthouder

BarberShift verleent, rekening houdend met de aard van de verwerking en de beschikbare informatie, redelijke medewerking aan een gegevensbeschermingseffectbeoordeling van de Shop en aan voorafgaande raadpleging van of contact met de toezichthouder.

14. Bewaartermijnen, verwijderen en teruggeven na beëindiging

BarberShift bewaart de gegevens die het namens de Shop verwerkt niet langer dan noodzakelijk en past daarbij de technisch vastgestelde bewaartermijnen toe:

• afspraken: identificeerbare gegevens maximaal 2 jaar na de afspraakdatum, daarna anonimisering waarbij uitsluitend niet-identificerende gegevens voor statistiek en rapportage overblijven;
• klantprofielen: verwijdering na 2 jaar zonder relevante activiteit, zodra geen noodzakelijke koppelingen dit nog verhinderen;
• interne notities: maximaal 1 jaar zonder relevante klantactiviteit;
• opgeheven of verlopen blokkeringen: 1 jaar na beëindiging; actieve blokkeringen blijven bestaan;
• verzendlogboek van herboekingsherinneringen: maximaal 1 jaar, met behoud van de meest recente regel per klant;
• notificatie- en verzendlogboek: maximaal 6 maanden, en berichten in de verzendwachtrij 30 dagen na definitieve verwerking;
• activiteitenlogboek van de Shop: maximaal 1 jaar.

De uitschrijfvoorkeur voor herboekingsherinneringen valt hier bewust buiten en blijft bewaard zolang de klantregistratie bestaat, zodat de keuze van de betrokkene gerespecteerd blijft.

Zolang het account van de Shop bestaat, blijven de gegevens beschikbaar in het dashboard. Binnen het platform worden verwijderde items eerst als verwijderd gemarkeerd voordat ze definitief worden gewist.

Het einde van een abonnement is niet hetzelfde als het einde van de dienstverlening en ook niet hetzelfde als definitieve verwijdering. Bij opzegging stoppen de publieke zichtbaarheid en de toegang tot betaalde functies; de gegevens blijven bestaan. Na beëindiging van de dienstverlening verwijdert BarberShift de persoonsgegevens die het namens de Shop verwerkt, of geeft deze aan de Shop terug, na een schriftelijk verzoek via support@barbershift.nl. Er geldt hiervoor geen vaste, geautomatiseerde verwijdertermijn; verwijdering gebeurt handmatig. Uitgezonderd zijn gegevens die BarberShift wettelijk moet bewaren en gegevens die al zijn geanonimiseerd en niet meer naar een persoon herleidbaar zijn. De Shop wordt geadviseerd voorafgaand aan beëindiging zelf een export of afdruk van benodigde gegevens te maken.

15. Audits en informatie

BarberShift stelt op verzoek de informatie beschikbaar die nodig is om aan te tonen dat aan de verplichtingen uit dit document wordt voldaan. Een audit vindt uitsluitend plaats na redelijke aankondiging, maximaal eenmaal per jaar, tijdens kantooruren, met inachtneming van geheimhouding en zonder de dienstverlening of de gegevens van andere shops te raken. De kosten van een audit komen voor rekening van de Shop, tenzij daaruit een wezenlijke tekortkoming van BarberShift blijkt.

16. Verwerking buiten de Europese Economische Ruimte

Subverwerkers kunnen gegevens ook buiten de Europese Economische Ruimte verwerken of daar ondersteuning vanuit leveren. BarberShift doet in dit document geen uitspraak over de exacte verwerkingslocaties en de toepasselijke waarborgen per subverwerker; die informatie wordt op verzoek beschikbaar gesteld via support@barbershift.nl.

17. Aansprakelijkheid en beëindiging

Op deze verwerkersovereenkomst zijn de aansprakelijkheidsbepalingen en het toepasselijk recht uit de algemene voorwaarden van toepassing. Deze overeenkomst eindigt automatisch wanneer de hoofdovereenkomst eindigt. Bij strijdigheid tussen dit document en de algemene voorwaarden gaat dit document voor, voor zover het de verwerking van persoonsgegevens namens de Shop betreft.

Vragen over deze verwerkersovereenkomst? Mail support@barbershift.nl.