Deze verwerkersovereenkomst ("Overeenkomst") hoort bij elk abonnement op Review Regelaar en geldt vanaf het moment dat de Klant akkoord geeft bij aanmelding of betaling.
Partijen
Verwerkingsverantwoordelijke ("Klant"): de onderneming die een abonnement afsluit bij Review Regelaar, met de gegevens zoals opgegeven bij aanmelding.
Verwerker ("Review Regelaar"): Review Regelaar, eenmanszaak, gevestigd aan Zandersbuurt 19, 1813 SW Alkmaar, ingeschreven bij de KvK onder nummer [KvK-nummer], vertegenwoordigd door T. Eijk, e-mail: [e-mailadres].
Overwegingen
1. Review Regelaar levert een dienst waarmee de Klant automatisch reviewverzoeken verstuurt aan zijn eigen klanten via WhatsApp en e-mail, en reacties op Google-reviews laat opstellen en plaatsen ("de Dienst").
2. Bij het leveren van de Dienst verwerkt Review Regelaar persoonsgegevens namens de Klant. De Klant bepaalt doel en middelen en is verwerkingsverantwoordelijke in de zin van artikel 4 lid 7 AVG. Review Regelaar is verwerker in de zin van artikel 4 lid 8 AVG.
3. Partijen leggen in deze Overeenkomst de afspraken vast die artikel 28 lid 3 AVG vereist.
4. Deze Overeenkomst vormt een onlosmakelijk onderdeel van de algemene voorwaarden van Review Regelaar ("Hoofdovereenkomst"). Bij strijd tussen beide gaat deze Overeenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.
5. Voor gegevens van de Klant zelf (contactpersonen, facturatie) en voor eigen marketing is Review Regelaar zelf verwerkingsverantwoordelijke. Die verwerking valt buiten deze Overeenkomst en staat beschreven in de privacyverklaring.
1. Definities
Begrippen als persoonsgegevens, verwerking, betrokkene, verwerkingsverantwoordelijke, verwerker, subverwerker en inbreuk in verband met persoonsgegevens ("Datalek") hebben de betekenis uit de Algemene Verordening Gegevensbescherming ("AVG").
1.1 Eindklant: een klant of relatie van de Klant aan wie via de Dienst een reviewverzoek wordt verstuurd.
1.2 Reviewer: een persoon die een review plaatst op het Google Bedrijfsprofiel van de Klant.
1.3 Subverwerker: een derde die Review Regelaar inschakelt en die persoonsgegevens verwerkt voor de Dienst.
1.4 Instructie: een opdracht van de Klant over de verwerking, via deze Overeenkomst, de instellingen van de Dienst of schriftelijk (e-mail volstaat).
2. Onderwerp en instructies
2.1 Review Regelaar verwerkt persoonsgegevens uitsluitend namens de Klant en alleen voor de doelen in Bijlage 1.
2.2 Review Regelaar verwerkt alleen op basis van schriftelijke Instructies van de Klant. Het inrichten van de Dienst in overleg met de Klant (welke kanalen, welk moment van versturen, welke berichttekst) geldt als Instructie.
2.3 Review Regelaar gebruikt de persoonsgegevens niet voor eigen doelen. Wel mag Review Regelaar geanonimiseerde, niet tot personen herleidbare statistieken gebruiken om de Dienst te verbeteren.
2.4 Is een Instructie naar het oordeel van Review Regelaar in strijd met de AVG of andere wetgeving, dan meldt Review Regelaar dat direct aan de Klant. Review Regelaar mag de uitvoering opschorten tot de Klant de Instructie heeft aangepast.
2.5 Moet Review Regelaar op grond van een wettelijke plicht gegevens verstrekken, dan informeert Review Regelaar de Klant vooraf, tenzij de wet dat verbiedt.
3. Verplichtingen van Review Regelaar
3.1 Review Regelaar verwerkt de persoonsgegevens behoorlijk, zorgvuldig en in overeenstemming met de AVG.
3.2 Review Regelaar houdt de persoonsgegevens geheim. Iedereen die onder gezag van Review Regelaar toegang krijgt, is gebonden aan een schriftelijke geheimhoudingsplicht.
3.3 Review Regelaar beperkt de verwerking tot wat nodig is voor de Dienst. Gesprekslogging in het CRM wordt zo ingericht dat alleen wordt bewaard wat nodig is voor het versturen van reviewverzoeken en het afhandelen van reacties.
3.4 Review Regelaar helpt de Klant, voor zover redelijk en binnen de mogelijkheden van de Dienst, bij het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG (beveiliging, Datalekken, gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging).
3.5 Review Regelaar houdt een register bij van de verwerkingen die zij namens de Klant uitvoert (artikel 30 lid 2 AVG).
4. Verplichtingen van de Klant
4.1 De Klant staat ervoor in dat hij een geldige grondslag heeft (artikel 6 AVG) om de persoonsgegevens van Eindklanten aan Review Regelaar te verstrekken en om Eindklanten via WhatsApp en e-mail een reviewverzoek te laten sturen.
4.2 De Klant informeert zijn Eindklanten in zijn eigen privacyverklaring dat hij voor reviewverzoeken een externe dienstverlener inschakelt.
4.3 De Klant verstrekt alleen de gegevens uit Bijlage 1. De Klant levert geen bijzondere persoonsgegevens (zoals gezondheidsgegevens), geen strafrechtelijke gegevens en geen gegevens van personen jonger dan 16 jaar aan.
4.4 Maakt een Eindklant bezwaar of geeft hij aan geen berichten meer te willen ontvangen, dan geeft de Klant dat door aan Review Regelaar, of verwerkt de Klant dit zelf in de Dienst. Afmeldingen die via de Dienst binnenkomen, verwerkt Review Regelaar automatisch.
4.5 Berichten worden verstuurd vanaf het WhatsApp-nummer en het Google Bedrijfsprofiel van de Klant. De Klant is zelf verantwoordelijk voor zijn overeenkomsten met Meta (WhatsApp) en Google en voor het naleven van hun voorwaarden, waaronder het reviewbeleid van Google.
4.6 De Klant blijft verantwoordelijk voor de inhoud van reacties op reviews die namens hem worden geplaatst, ook als die met hulp van AI zijn opgesteld. De Klant kan de instellingen op elk moment laten aanpassen, bijvoorbeeld zodat reacties eerst ter goedkeuring worden voorgelegd.
4.7 De Klant vrijwaart Review Regelaar voor aanspraken van derden, waaronder Eindklanten en toezichthouders, die het gevolg zijn van het niet nakomen van dit artikel.
5. Subverwerkers
5.1 De Klant geeft Review Regelaar algemene toestemming om de Subverwerkers uit Bijlage 2 in te schakelen.
5.2 Review Regelaar meldt een nieuwe of vervangende Subverwerker minimaal 30 dagen vooraf per e-mail aan de Klant. De Klant kan binnen die termijn op redelijke gronden bezwaar maken.
5.3 Komen partijen bij bezwaar niet tot een oplossing, dan mag de Klant het abonnement tegen de ingangsdatum van de wijziging opzeggen, zonder verdere kosten.
5.4 Review Regelaar legt aan elke Subverwerker ten minste dezelfde gegevensbeschermingsverplichtingen op als in deze Overeenkomst, via een verwerkersovereenkomst of de standaardvoorwaarden van die Subverwerker.
5.5 Review Regelaar blijft tegenover de Klant aansprakelijk voor de nakoming door haar Subverwerkers, binnen de grenzen van artikel 12.
6. Doorgifte buiten de EER
6.1 Review Regelaar geeft persoonsgegevens alleen door naar landen buiten de Europese Economische Ruimte als daarvoor een geldige basis bestaat volgens hoofdstuk V AVG.
6.2 Dat is in ieder geval zo als de ontvanger is gecertificeerd onder het EU-U.S. Data Privacy Framework, of als met de ontvanger de standaardcontractbepalingen van de Europese Commissie zijn gesloten.
6.3 De Klant geeft toestemming voor de doorgiftes die in Bijlage 2 staan vermeld, inclusief de daar genoemde basis.
7. Beveiliging
7.1 Review Regelaar neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies en onrechtmatige verwerking (artikel 32 AVG). De maatregelen staan in Bijlage 3.
7.2 Review Regelaar mag de maatregelen aanpassen, zolang het beveiligingsniveau niet daalt.
7.3 De Klant is zelf verantwoordelijk voor de beveiliging van zijn eigen accounts, apparaten en inloggegevens, waaronder het WhatsApp-nummer en het Google-account die aan de Dienst zijn gekoppeld.
8. Datalekken
8.1 Review Regelaar meldt een Datalek zonder onredelijke vertraging aan de Klant, en uiterlijk binnen 48 uur nadat zij het heeft ontdekt. Zo kan de Klant binnen 72 uur melden bij de Autoriteit Persoonsgegevens.
8.2 De melding bevat, voor zover bekend: wat er is gebeurd, welke gegevens en hoeveel betrokkenen het raakt, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. Ontbrekende informatie volgt zo snel mogelijk.
8.3 De Klant beslist of het Datalek wordt gemeld bij de Autoriteit Persoonsgegevens en de betrokkenen. Review Regelaar meldt niet zelf, tenzij de wet dat verplicht.
8.4 Review Regelaar documenteert alle Datalekken die de Klant raken.
9. Rechten van betrokkenen en audit
9.1 Krijgt Review Regelaar rechtstreeks een verzoek van een betrokkene (inzage, correctie, verwijdering, bezwaar), dan stuurt zij dat binnen 5 werkdagen door naar de Klant. De Klant handelt het verzoek af.
9.2 Review Regelaar helpt de Klant bij het afhandelen van zulke verzoeken, voor zover de Dienst dat toelaat. Eenvoudige verzoeken, zoals het verwijderen of exporteren van een contact, voert Review Regelaar kosteloos uit.
9.3 Review Regelaar stelt de Klant op verzoek alle informatie beschikbaar die nodig is om naleving van deze Overeenkomst aan te tonen.
9.4 De Klant mag maximaal eenmaal per jaar een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht, na minimaal 14 dagen aankondiging. De kosten van de audit zijn voor de Klant, tenzij blijkt dat Review Regelaar deze Overeenkomst wezenlijk heeft geschonden.
10. Bewaartermijnen
10.1 Contactgegevens van Eindklanten en de datum van het laatste reviewverzoek worden bewaard zolang het abonnement loopt. Zo voorkomt de Dienst dat een Eindklant dubbel wordt benaderd. Een contact waarmee 24 maanden geen contact is geweest, wordt automatisch verwijderd.
10.2 De inhoud van berichten en gesprekken in het CRM wordt maximaal 12 maanden bewaard.
10.3 Afmeldingen van Eindklanten worden bewaard zolang het abonnement loopt, zodat zij geen berichten meer ontvangen.
10.4 De Klant kan per Instructie kortere termijnen afspreken.
11. Duur en beëindiging
11.1 Deze Overeenkomst loopt zolang Review Regelaar persoonsgegevens verwerkt voor de Klant en eindigt automatisch met de Hoofdovereenkomst.
11.2 Na het einde van het abonnement kan de Klant binnen 30 dagen een export van zijn contactgegevens opvragen (CSV).
11.3 Uiterlijk 60 dagen na het einde verwijdert Review Regelaar alle persoonsgegevens van de Klant, inclusief het subaccount in het CRM, tenzij een wettelijke plicht langer bewaren vereist. Op verzoek bevestigt Review Regelaar de verwijdering schriftelijk.
11.4 Back-ups bij Subverwerkers worden verwijderd volgens hun vaste cyclus.
11.5 Verplichtingen die naar hun aard doorlopen, zoals geheimhouding, blijven ook na het einde gelden.
12. Aansprakelijkheid
12.1 Voor de aansprakelijkheid van Review Regelaar geldt de beperking uit de algemene voorwaarden: maximaal het bedrag dat de Klant in de 3 maanden voor de schadeveroorzakende gebeurtenis heeft betaald. Indirecte schade is uitgesloten.
12.2 Deze beperking geldt niet bij opzet of bewuste roekeloosheid van Review Regelaar.
12.3 Een boete of last die een toezichthouder aan een partij oplegt, blijft voor rekening van die partij, tenzij die het rechtstreekse gevolg is van een toerekenbare tekortkoming van de andere partij.
12.4 De rechten van betrokkenen op grond van artikel 82 AVG worden door dit artikel niet beperkt. Dit artikel regelt alleen de verdeling tussen partijen.
13. Slotbepalingen
13.1 Review Regelaar mag deze Overeenkomst aanpassen als wetgeving of de Dienst daarom vraagt. Wijzigingen worden minimaal 30 dagen vooraf per e-mail gemeld.
13.2 Is een bepaling nietig of vernietigbaar, dan blijven de overige bepalingen gelden. Partijen vervangen de bepaling dan door een geldige bepaling die zoveel mogelijk aansluit.
13.3 Op deze Overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter van de Rechtbank Noord-Holland.
13.4 Akkoord via de website, het betaalproces of e-mail geldt als schriftelijke aanvaarding in de zin van artikel 28 lid 9 AVG.
Bijlage 1. Specificatie van de verwerking
Doelen: versturen van reviewverzoeken via WhatsApp en e-mail; personaliseren van het verzoek met een afbeelding met de voornaam; afhandelen van antwoorden en afmeldingen; opstellen en plaatsen van reacties op Google-reviews; tonen van statistieken in het dashboard.
Categorieën betrokkenen: Eindklanten van de Klant; Reviewers op het Google Bedrijfsprofiel van de Klant.
Gegevens Eindklanten: voornaam, achternaam, telefoonnummer, e-mailadres, inhoud van berichten en gesprekken, datum en status van verzonden verzoeken, afmeldstatus.
Gegevens Reviewers: openbare Google-naam, profielfoto, inhoud van de review, sterrenscore, datum.
Bijzondere persoonsgegevens: geen.
Aard van de verwerking: ontvangen, opslaan, ordenen, versturen, automatisch verwerken (workflows en AI-gegenereerde reacties), verwijderen.
Bron van de gegevens: aangeleverd door de Klant via formulier, handmatige invoer, bestandsimport of koppeling met een systeem van de Klant; reviews via de koppeling met het Google Bedrijfsprofiel.
Duur: zolang het abonnement loopt, met de termijnen uit artikel 10 en 11.
Bijlage 2. Subverwerkers
HighLevel Inc. (GoHighLevel / LeadConnector)
Functie: CRM, workflows, e-mail, koppeling Google Bedrijfsprofiel, AI-reacties
Gegevens: alle gegevens uit Bijlage 1
Locatie: Verenigde Staten
Basis doorgifte: EU-U.S. Data Privacy Framework en standaardcontractbepalingen in de verwerkersovereenkomst van HighLevel
De sub-subverwerkers van HighLevel staan op gohighlevel.com/sub-processors.
WAGHL
Functie: koppeling van het WhatsApp-nummer van de Klant met het CRM
Gegevens: naam, telefoonnummer, berichtinhoud
Locatie: Verenigde Staten
Basis doorgifte: [invullen of: niet van toepassing, verwerking binnen de EER]
Nifty Images
Functie: genereren van een gepersonaliseerde afbeelding
Gegevens: alleen voornaam
Locatie: Verenigde Staten
Basis doorgifte: [invullen of: niet van toepassing, verwerking binnen de EER]
Meta (WhatsApp) en Google zijn geen Subverwerkers van Review Regelaar. Berichten en reacties lopen via het WhatsApp-nummer en het Google-account van de Klant, onder de eigen overeenkomsten van de Klant met die partijen.
Bijlage 3. Beveiligingsmaatregelen
1. Elke Klant heeft een eigen, afgescheiden subaccount in het CRM.
2. Alle accounts van Review Regelaar bij Subverwerkers zijn beveiligd met een uniek, sterk wachtwoord en tweestapsverificatie.
3. Toegang is beperkt tot de eigenaar van Review Regelaar. Nieuwe medewerkers krijgen alleen toegang tot wat zij nodig hebben, na ondertekening van een geheimhoudingsverklaring.
4. Gegevens worden versleuteld verstuurd (HTTPS/TLS) en versleuteld opgeslagen bij de Subverwerkers.
5. Persoonsgegevens worden niet lokaal opgeslagen of via onbeveiligde kanalen gedeeld. Importbestanden worden na verwerking verwijderd.
6. In afbeeldingslinks wordt alleen de voornaam gebruikt, geen andere persoonsgegevens.
7. Apparaten waarop wordt gewerkt, zijn beveiligd met een schermvergrendeling, versleuteling en actuele updates.
8. Datalekken worden vastgelegd in een intern register, met oorzaak, gevolgen en genomen maatregelen.
