Verwerkersovereenkomst

Artikel 1 — Definities

1. Begrippen als “persoonsgegevens”, “verwerken”, “verwerkingsverantwoordelijke”, “verwerker”, “betrokkene” en “inbreuk in verband met persoonsgegevens” hebben de betekenis die de Algemene verordening gegevensbescherming (AVG) daaraan geeft.
2. “Dienst” betekent het ReviewDrop-platform zoals beschreven in de algemene voorwaarden, inclusief de webapplicatie, de berichtenverzending, de reviewpagina's en de bijbehorende koppelingen.
3. “Overeenkomst” betekent de overeenkomst tussen Klant en ReviewDrop over het gebruik van de Dienst, waarvan deze verwerkersovereenkomst onlosmakelijk deel uitmaakt.

Artikel 2 — Onderwerp en rolverdeling

1. De Klant bepaalt het doel en de middelen van de verwerking en is verwerkingsverantwoordelijke. ReviewDrop verwerkt persoonsgegevens uitsluitend in opdracht van de Klant en is verwerker.
2. De verwerking betreft de in Bijlage 1 omschreven categorieën betrokkenen, soorten persoonsgegevens en doeleinden. ReviewDrop verwerkt de persoonsgegevens niet voor eigen doeleinden, behalve voor zover dat nodig is om de Dienst te leveren, te beveiligen en te verbeteren op geaggregeerd en niet tot personen herleidbaar niveau.
3. De Klant staat ervoor in dat hij een grondslag heeft om zijn klanten via de Dienst te benaderen, dat de aangeleverde gegevens rechtmatig zijn verkregen en dat hij zijn klanten informeert over de verwerking, bijvoorbeeld in zijn privacyverklaring.

Artikel 3 — Instructies

1. ReviewDrop verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Klant. De instellingen die de Klant in de Dienst kiest (kanaal, planning, herinneringen, toon van antwoorden, in- of uitschakelen van functies) gelden als instructie.
2. ReviewDrop informeert de Klant onverwijld als een instructie naar het oordeel van ReviewDrop in strijd is met de AVG of andere wetgeving. ReviewDrop mag de uitvoering van die instructie opschorten tot de Klant de instructie heeft bevestigd of aangepast.
3. ReviewDrop past onafhankelijk van de instructies van de Klant altijd de volgende waarborgen toe, omdat deze uit wetgeving en platformregels voortvloeien: een afmelding van een betrokkene wordt direct en permanent gerespecteerd; een betrokkene ontvangt niet vaker dan de in de Dienst vastgelegde limieten een verzoek; berichten worden alleen binnen de ingestelde tijdvensters verzonden.

Artikel 4 — Geheimhouding

1. ReviewDrop houdt de persoonsgegevens geheim en zorgt ervoor dat alleen personen die de gegevens nodig hebben voor de uitvoering van de Dienst toegang hebben. Deze personen zijn aan geheimhouding gebonden.
2. ReviewDrop verstrekt geen persoonsgegevens aan derden, behalve aan de in Bijlage 2 genoemde subverwerkers of wanneer een wettelijke verplichting daartoe dwingt. In dat laatste geval informeert ReviewDrop de Klant vooraf, tenzij de wet dat verbiedt.

Artikel 5 — Beveiliging

1. ReviewDrop neemt passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies of onrechtmatige verwerking. Deze maatregelen omvatten ten minste: versleuteling van gegevens in transport (TLS) en in rust; strikte scheiding van klantdata per account op databaseniveau (row level security); versleutelde opslag van koppelingsgegevens; toegang tot productiesystemen alleen voor geautoriseerde personen met tweestapsverificatie; logging van toegang en wijzigingen; dagelijkse back-ups binnen de EU.
2. ReviewDrop houdt de maatregelen actueel in het licht van de stand van de techniek en de risico's van de verwerking.

Artikel 6 — Subverwerkers

1. De Klant geeft ReviewDrop algemene toestemming om subverwerkers in te schakelen. De actuele lijst staat in Bijlage 2 en op de website van ReviewDrop.
2. ReviewDrop legt aan elke subverwerker minimaal dezelfde verplichtingen op als in deze verwerkersovereenkomst zijn opgenomen en blijft jegens de Klant volledig aansprakelijk voor het nakomen van die verplichtingen door de subverwerker.
3. ReviewDrop informeert de Klant ten minste 30 dagen vóór het toevoegen of vervangen van een subverwerker, per e-mail of via een melding in de Dienst. De Klant kan binnen die termijn schriftelijk en gemotiveerd bezwaar maken. Komen partijen er niet uit, dan mag de Klant de Overeenkomst opzeggen tegen de datum waarop de wijziging ingaat, zonder dat daar kosten aan verbonden zijn.

Artikel 7 — Doorgifte buiten de EER

1. ReviewDrop slaat persoonsgegevens op binnen de Europese Economische Ruimte. Voor de in Bijlage 2 genoemde subverwerkers die persoonsgegevens buiten de EER verwerken, zorgt ReviewDrop voor een geldig doorgiftemechanisme, zoals een adequaatheidsbesluit (waaronder het EU-VS Data Privacy Framework) of de standaardcontractbepalingen van de Europese Commissie, aangevuld met passende maatregelen.
2. Verzending via WhatsApp en het ophalen van Google-reviews brengen noodzakelijkerwijs verwerking door Meta respectievelijk Google met zich mee. De Klant kiest zelf of hij deze kanalen inschakelt.

Artikel 8 — Rechten van betrokkenen

1. ReviewDrop helpt de Klant, voor zover redelijkerwijs mogelijk, bij het nakomen van verzoeken van betrokkenen (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid, bezwaar). De Dienst biedt de Klant de mogelijkheid om per contact gegevens in te zien, te exporteren en te verwijderen.
2. Ontvangt ReviewDrop rechtstreeks een verzoek van een betrokkene, dan stuurt ReviewDrop dat verzoek onverwijld door aan de Klant en handelt het niet zelfstandig af, met uitzondering van een afmelding: die voert ReviewDrop direct uit, omdat dat een wettelijke verplichting is die geen instructie behoeft.

Artikel 9 — Inbreuken in verband met persoonsgegevens

1. ReviewDrop informeert de Klant zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat ReviewDrop een inbreuk in verband met persoonsgegevens heeft vastgesteld, via het bij ReviewDrop bekende e-mailadres van de Klant.
2. De melding bevat, voor zover bekend, de aard van de inbreuk, de betrokken categorieën gegevens en betrokkenen, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. ReviewDrop vult de melding aan zodra meer informatie beschikbaar is.
3. De Klant beoordeelt zelf of melding aan de Autoriteit Persoonsgegevens of aan betrokkenen nodig is. ReviewDrop ondersteunt de Klant daarbij en meldt niet zelfstandig aan de toezichthouder, tenzij de wet dat van ReviewDrop als verwerker vereist.

Artikel 10 — Ondersteuning, audits en verantwoording

1. ReviewDrop ondersteunt de Klant bij een gegevensbeschermingseffectbeoordeling en bij voorafgaande raadpleging van de toezichthouder, voor zover dat de Dienst betreft.
2. ReviewDrop stelt op verzoek alle informatie ter beschikking die nodig is om aan te tonen dat aan de verplichtingen van artikel 28 AVG wordt voldaan. De Klant mag maximaal één keer per jaar, of vaker na een inbreuk, een audit laten uitvoeren door een onafhankelijke deskundige die aan geheimhouding is gebonden, na een aankondiging van ten minste 30 dagen en tijdens kantooruren. De kosten van een audit draagt de Klant, tenzij de audit ernstige tekortkomingen aan het licht brengt.

Artikel 11 — Bewaartermijnen en teruggave

1. ReviewDrop hanteert de in Bijlage 1 vastgelegde bewaartermijnen en verwijdert of anonimiseert persoonsgegevens automatisch na afloop daarvan.
2. Bij beëindiging van de Overeenkomst stopt ReviewDrop direct met het versturen van berichten. De Klant kan tot 30 dagen na beëindiging zijn contacten en gegevens exporteren in een gangbaar formaat. Daarna verwijdert ReviewDrop alle persoonsgegevens, met uitzondering van gepseudonimiseerde afmeldgegevens en gegevens waarvoor een wettelijke bewaarplicht geldt.

Artikel 12 — Aansprakelijkheid

1. De aansprakelijkheid van partijen voor schade als gevolg van het niet nakomen van deze verwerkersovereenkomst wordt beheerst door de aansprakelijkheidsregeling in de algemene voorwaarden van ReviewDrop.
2. Ieder van partijen is verantwoordelijk voor de boetes die een toezichthouder aan die partij oplegt wegens het eigen tekortschieten.

Artikel 13 — Duur, wijziging en toepasselijk recht

1. Deze verwerkersovereenkomst gaat in op het moment dat de Klant de Overeenkomst aanvaardt en duurt zolang ReviewDrop persoonsgegevens voor de Klant verwerkt.
2. ReviewDrop mag deze verwerkersovereenkomst wijzigen als wetgeving, toezicht of de Dienst daartoe aanleiding geeft. De Klant wordt ten minste 30 dagen vooraf geïnformeerd. De actuele versie en de versiedatum staan altijd in de Dienst.
3. Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement waar ReviewDrop is gevestigd. Bij strijdigheid tussen deze verwerkersovereenkomst en de algemene voorwaarden gaat deze verwerkersovereenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.

Bijlage 1 — Omschrijving van de verwerking

Onderwerp en aard

Het geautomatiseerd versturen van reviewverzoeken aan klanten van de Klant via WhatsApp en e-mail, het tonen van een reviewpagina, het verzamelen van private feedback, het ophalen van openbare Google-reviews en het (optioneel) opstellen van conceptantwoorden daarop.

Doeleinden

• Het uitnodigen van klanten van de Klant om een Google-review achter te laten na een afgeronde transactie.
• Het respecteren van afmeldingen en verzendlimieten (onderdrukking, cooldown).
• Het tonen van statistieken over verzonden verzoeken en ontvangen reviews aan de Klant.
• Het opstellen van conceptantwoorden op openbare reviews namens de Klant, indien de Klant die functie inschakelt.

Categorieën betrokkenen

• Klanten en opdrachtgevers van de Klant (consumenten en zakelijke contactpersonen).
• Medewerkers van de Klant die de dienst gebruiken.

Soorten persoonsgegevens

• Voornaam, telefoonnummer en e-mailadres van klanten van de Klant, zoals aangeleverd via de boekhoudkoppeling, CSV-import of handmatige invoer.
• Verzend- en afleverstatus van berichten, kliks op reviewlinks, afmeldingen.
• Inhoud van private feedback en van antwoorden die een klant van de Klant via WhatsApp terugstuurt.
• Openbare Google-reviews (naam van de reviewer, beoordeling, tekst).
• Naam, e-mailadres en rol van medewerkers van de Klant.

Via de boekhoudkoppeling haalt ReviewDrop uitsluitend voornaam, telefoonnummer en e-mailadres op; factuurbedragen, adressen en betaalgegevens worden niet opgehaald. Vrije tekstvelden (private feedback, antwoorden via WhatsApp) kunnen gegevens bevatten die de betrokkene zelf invult; de Klant gebruikt die uitsluitend om de feedback af te handelen en vraagt er geen bijzondere persoonsgegevens mee uit.

Bewaartermijnen

Persoonsgegevens van klanten van de Klant worden 24 maanden na het laatste contactmoment geanonimiseerd. Afmeldingen worden permanent bewaard in gepseudonimiseerde vorm (hash van telefoonnummer of e-mailadres), zodat een afmelding blijft werken. Bij beëindiging van de overeenkomst worden alle overige persoonsgegevens binnen 30 dagen verwijderd, tenzij een wettelijke bewaarplicht geldt.

Bijlage 2 — Subverwerkers

Zelfstandige verwerkingsverantwoordelijken

Onderstaande partijen zijn geen subverwerker; zij verwerken gegevens voor eigen doeleinden en vallen buiten artikel 4 en 6.

• Mollie — Betalingen van de Klant aan ReviewDrop; verwerkt betaalgegevens van de Klant (niet van diens klanten) als zelfstandig verwerkingsverantwoordelijke.