1. Partijen en rollen
De klant is de verwerkingsverantwoordelijke voor de persoonsgegevens van de gasten en bepaalt waarvoor en hoe ze worden verwerkt. [A PREENCHER: denominação social], met fiscaal identificatienummer [A PREENCHER: NIF] en gevestigd te [A PREENCHER: morada da sede] ([A PREENCHER: país da sede]), is de verwerker en verwerkt deze gegevens voor rekening van de klant.
De overeenkomst wordt aanvaard op het moment dat de klant zijn Pro-organisatie aanmaakt, en die aanvaarding wordt vastgelegd. Wie een ondertekend exemplaar wenst, kan dit aanvragen via privacy@seatalia.com.
2. Onderwerp, duur en aard van de verwerking
Het onderwerp is het verlenen van de Seatalia-dienst: het opslaan, ordenen, plaatsen, exporteren en tonen van de gegevens van gasten (inclusief de QR-pagina en de RSVP). De duur is die van het Pro-abonnement, plus de tijd die nodig is om de gegevens terug te geven of te verwijderen.
3. Soorten gegevens en betrokkenen
De betrokkenen zijn de gasten en plus-ones van de evenementen van de klant, en de gebruikers van zijn organisatie. De verwerkte gegevens kunnen zijn:
- voornaam, achternaam, gezelschap, groep en tafel;
- volwassene, kind of baby en leeftijd of leeftijdscategorie;
- gerecht, dieet- of allergielabels en dieetnotities, die gezondheidsgegevens kunnen zijn (artikel 9);
- e-mailadres en telefoonnummer, als de RSVP erom vraagt of als de klant ze invoert;
- e-mailadres en naam van de gebruikers van de organisatie.
4. Wat Seatalia zich verbindt te doen
Als verwerker verbindt Seatalia zich ertoe:
- de gegevens alleen te verwerken volgens de gedocumenteerde instructies van de klant (deze overeenkomst en zijn gebruik van de dienst) en hem te waarschuwen als zij van mening is dat een instructie de AVG schendt;
- ervoor te zorgen dat de personen die gemachtigd zijn om de gegevens te verwerken, gebonden zijn aan vertrouwelijkheid;
- de beveiligingsmaatregelen van artikel 32 toe te passen, zoals hieronder beschreven;
- alleen andere verwerkers in te schakelen met de algemene toestemming van de klant, en hun gelijkwaardige verplichtingen op te leggen. De lijst is gepubliceerd en wij kondigen wijzigingen 30 dagen van tevoren aan, waarna de klant bezwaar kan maken;
- de klant te helpen bij het beantwoorden van verzoeken van betrokkenen, met de CSV-exporttools en de verwijderfuncties van de dienst;
- de klant te helpen bij het nakomen van de verplichtingen van de artikelen 32 tot en met 36 (beveiliging, inbreuken op persoonsgegevens, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging);
- de klant van elke inbreuk op persoonsgegevens op de hoogte te stellen zonder onredelijke vertraging en, indien mogelijk, binnen 48 uur nadat wij ervan op de hoogte zijn geraakt;
- aan het einde van de dienst de gegevens terug te geven (export) of te verwijderen, wat automatisch gebeurt 90 dagen na de datum van elk evenement, onverminderd wettelijke bewaarplichten. Verwijderde gegevens verdwijnen binnen 30 dagen uit de back-ups;
- de klant de informatie ter beschikking te stellen die nodig is om de naleving aan te tonen en redelijke audits toe te staan, met voorafgaande kennisgeving;
- geen gegevens door te geven buiten de Europese Economische Ruimte zonder passende waarborgen, zoals de modelcontractbepalingen.
5. Wat de klant zich verbindt te doen
De klant verbindt zich ertoe:
- een rechtsgrond te hebben om de gegevens van de gasten te verwerken en hen over de verwerking te informeren;
- alleen de gegevens in te voeren die hij nodig heeft, en diëten en allergieën alleen te registreren als ze nodig zijn voor de catering;
- te beslissen of hij de QR-pagina en de RSVP activeert en voor hoe lang;
- zijn instructies schriftelijk te geven en de betrokkenen te beantwoorden;
- ervoor te zorgen dat zijn gebruikers de dienst gebruiken overeenkomstig de voorwaarden.
6. Evenementen aangemaakt via de link van de locatie
Wanneer een stel zijn evenement aanmaakt via de link van een locatie, behoudt het stel zijn account en zijn evenement. De locatie heeft pas toegang tot de tafelschikking nadat het stel de koppeling heeft geaccepteerd. De gegevens die de locatie ontvangt, worden door haar verwerkt als verwerkingsverantwoordelijke, overeenkomstig deze overeenkomst.
7. Beveiligingsmaatregelen
Wij passen onder meer de volgende technische en organisatorische maatregelen toe:
- hosting in de EU en versleutelde verbinding (TLS);
- versleuteling in rust op schijf en in back-ups, en versleuteling per veld van dieetnotities;
- inloggen zonder wachtwoord, via links voor eenmalig gebruik met een geldigheid van 15 minuten;
- deellinks, QR-links en RSVP-links met lange willekeurige codes en limieten op verzoeken;
- QR-pagina die alleen de voornaam en de tafel toont, nooit diëten, en zonder trackers;
- interne toegang tot de gegevens van gasten uitsluitend op verzoek van de klant en met vastlegging;
- back-ups met een bewaartermijn van 30 dagen en een foutenlogboek zonder persoonsgegevens.
8. Aansprakelijkheid
De aansprakelijkheid van elke partij jegens de betrokkenen wordt beheerst door artikel 82 AVG. Tussen de partijen gelden de beperkingen van de gebruiksvoorwaarden, voor zover de wet dat toestaat.
9. Duur en toepasselijk recht
Deze overeenkomst geldt zolang de klant de dienst gebruikt en de verplichtingen inzake verwijdering en vertrouwelijkheid blijven daarna bestaan. Zij wordt beheerst door: [A PREENCHER: lei aplicável e tribunal competente].
10. Contact
Om rechten uit te oefenen of een ondertekend exemplaar aan te vragen: privacy@seatalia.com.