Verwerkersovereenkomst (DPA)

Versie 1.1

Deze verwerkersovereenkomst ("DPA") vormt onderdeel van de overeenkomst tussen Anchor Labs ("Verwerker", Boekbaar) en de klant die het Boekbaar-platform gebruikt ("Verantwoordelijke", de salon/eigenaar).

1. Rollen en verantwoordelijkheden

Voor klantgegevens die via Boekbaar worden beheerd (boekingen, dossiers, contactgegevens) is de Merchant (Verantwoordelijke) de gegevensverantwoordelijke en treedt Anchor Labs (Boekbaar) op als verwerker voor de SaaS-functionaliteit.

Voor betalingsactiviteiten via Stripe Connect kan Stripe optreden als onafhankelijke verantwoordelijke (bijvoorbeeld voor onboarding, identiteitsverificatie, fraudepreventie en compliance) of als verwerker, afhankelijk van de specifieke betalingsactiviteit en Stripe's rol. Boekbaar verwerkt beperkte betalingsmetadata uitsluitend om de dienst te leveren en is geen verantwoordelijke voor eindklantbetalingen tussen Merchant en eindklant.

2. Definities

• Verantwoordelijke: de ondernemer die Boekbaar gebruikt en bepaalt voor welke doeleinden klantgegevens worden verwerkt.
• Verwerker: Anchor Labs, die het Boekbaar-platform levert en persoonsgegevens verwerkt in opdracht van de Verantwoordelijke.
• Betrokkene: eindklanten van de Verantwoordelijke wiens gegevens in Boekbaar worden vastgelegd.

3. Categorieën gegevens

• Klantnamen
• E-mailadressen
• Telefoonnummers
• Afspraakinformatie (datum, tijd, dienst, medewerker, status)
• Betalingsmetadata via Stripe (status, bedrag, referenties, geen creditcardgegevens bij Boekbaar)
• Stripe Connect onboarding- en verificatiegegevens verwerkt door Stripe als onafhankelijke verantwoordelijke of verwerker
• Behandelnotities en dossiergegevens ingevoerd door de Verantwoordelijke

4. Beveiligingsmaatregelen

Boekbaar treft passende technische en organisatorische maatregelen, waaronder versleutelde verbindingen (TLS), gehashte wachtwoorden, tenant-isolatie per organisatie, toegangscontrole en logging van compliance-acties.

5. Subverwerkers

De Verantwoordelijke machtigt Boekbaar om subverwerkers in te schakelen. Een actuele lijst is beschikbaar op de subverwerkerspagina, waaronder:

• Hostinger: Hosting, database en infrastructuur (applicatiegegevens, klantgegevens, logs; opslag op VPS/infrastructuur)
• Mailjet: Transactionele e-mail en e-mailbezorging (e-mailadres, berichtmetadata en -inhoud)
• Stripe: Betalingen, abonnementen en facturatie (facturatiegegevens, klant- en betalingsmetadata)
• OpenRouter: AI-generatie op verzoek van ondernemer (primair geaggregeerde bedrijfscontext; geen Google/Microsoft API-agendadata; geen onnodige klant-PII)
• Google LLC / Google Ireland Limited: Google Agenda-integratie (OAuth-tokens, refresh tokens, agenda-ID's, eventmetadata voor synchronisatie)
• Microsoft Ireland Operations Limited / Microsoft Corporation: Outlook Agenda / Microsoft Graph-integratie (OAuth-tokens, refresh tokens, agenda-ID's, eventmetadata voor synchronisatie)
• Twilio: SMS-bezorging voor afspraaknotificaties (telefoonnummer, berichtmetadata en berichtinhoud voor transactionele SMS)
• Redis (optioneel, indien geconfigureerd): Caching en rate limiting (technische sleutels, geen inhoudelijke klantdossiers)
• Google Analytics 4 (met toestemming): Website-analytics (geanonimiseerde of geaggregeerde gebruiksstatistieken)

Stripe verwerkt betalingsgegevens als subverwerker of onafhankelijke verantwoordelijke afhankelijk van de betalingsactiviteit. Zie onze betalingsvoorwaarden voor meer informatie.

6. Bewaartermijnen

Gegevens worden bewaard zolang het account actief is. Na verwijdering worden dossiergegevens en foto's verwijderd of geanonimiseerd conform het bewaarbeleid. Facturatie- en betalingsgegevens kunnen tot 7 jaar worden bewaard op grond van wettelijke verplichtingen.

7. Datalekken

Boekbaar informeert de Verantwoordelijke zonder onredelijke vertraging nadat een datalek bekend is geworden, zodat de Verantwoordelijke melding kan doen bij de Autoriteit Persoonsgegevens indien vereist.

8. Rechtsgrond en wetgeving

Deze DPA is opgesteld in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG/GDPR) en toepasselijk Nederlands recht.

9. Contact

Vragen over deze DPA: support@boekbaar.nu