Verwerkersovereenkomst voor persoonsgegevens
Versie van 22 oktober 2026. Artikel 28 van verordening (EU) 2016/679 (AVG).
Deze Nederlandse versie wordt ter informatie aangeboden. Bij verschillen heeft de Franse versie voorrang. Lees de Franse versie.
Voor ondernemingen gevestigd in België of Frankrijk.
1. Partijen en aanvaarding
Deze overeenkomst verbindt de handelaar die klant is (de “Verwerkingsverantwoordelijke”) en Girlden LTD, een vennootschap ingeschreven in Engeland en Wales onder nummer 14837617, zetel: 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Verenigd Koninkrijk, die de dienst BoostImpact exploiteert (de “Verwerker”). Ze maakt deel uit van het dienstencontract en heeft voorrang op de algemene verkoopvoorwaarden voor alles wat persoonsgegevens betreft. De Verwerkingsverantwoordelijke aanvaardt ze, schriftelijk in elektronische vorm, door op de online betaalpagina (Stripe) het vakje voor de aanvaarding van de algemene verkoopvoorwaarden aan te vinken voor hij zijn bestelling bevestigt: die voorwaarden omvatten ze (artikel 2).
2. Voorwerp, duur, aard en doeleinden
Voorwerp. De Verwerker verwerkt, in naam van de Verwerkingsverantwoordelijke, de persoonsgegevens die nodig zijn voor de dienst die in de algemene verkoopvoorwaarden wordt beschreven.
Duur. De duur van het dienstencontract, daarna de tijd voor de teruggave of de verwijdering waarin artikel 10 voorziet.
Aard van de verwerkingen. Verzameling via het importeren van een bestand en via de reviewpagina, registratie, bewaring, raadpleging, opstellen van voorstellen voor antwoorden, verzending van e-mails, publicatie na goedkeuring of volgens de instellingen van de Verwerkingsverantwoordelijke, verwijdering.
Doeleinden.
- de klanten van de Verwerkingsverantwoordelijke een reviewaanvraag en hooguit één herinnering sturen, en hun uitschrijving respecteren;
- de berichten die op zijn reviewpagina worden achtergelaten ontvangen en aan de Verwerkingsverantwoordelijke bezorgen;
- de Google-reviews en de reacties op de sociale netwerken van de Verwerkingsverantwoordelijke lezen, de antwoorden voorstellen en publiceren;
- video's maken op basis van reviews die de Verwerkingsverantwoordelijke kiest;
- posts maken op basis van de foto's van de Verwerkingsverantwoordelijke.
3. Gegevens en betrokkenen
| Betrokkenen | Gegevens | Bewaring |
|---|---|---|
| Klanten van de Verwerkingsverantwoordelijke aan wie een review wordt gevraagd | Voornaam, e-mail, datum van het bezoek, bevestiging van hun akkoord; verzending, opening van de pagina, klik naar Google | Verwijderd 120 dagen na het bezoek of de aanvraag |
| Uitgeschreven personen | E-mail, reden | Duur van het contract, om de uitschrijving te respecteren |
| Auteurs van Google-reviews | Tekst, score, voornaam en initiaal, identificatie van de review | Tekst, score en auteur verwijderd na 30 dagen; identificatie bewaard |
| Auteurs van reacties op de netwerken van de Verwerkingsverantwoordelijke | Tekst, getoonde naam, identificatie | Tekst en auteur verwijderd na 30 dagen |
| Personen die de Verwerkingsverantwoordelijke via zijn reviewpagina schrijven | Score, bericht en voornaam, optioneel | Termijn vast te leggen door de Verwerkingsverantwoordelijke; zo niet: 12 maanden na ontvangst |
| Personen die zichtbaar zijn op de foto's van de Verwerkingsverantwoordelijke | Beeld | Duur van het contract, daarna 30 dagen |
Er worden geen gevoelige gegevens in de zin van artikel 9 van de AVG gevraagd.
4. Verplichtingen en rechten van de Verwerkingsverantwoordelijke
- Hij bepaalt de doeleinden en zorgt voor een rechtsgrond voor elke verwerking; voor reviewaanvragen verkrijgt hij vooraf het akkoord van zijn klanten, bewaart hij het bewijs ervan en bevestigt hij het bij elke import.
- Hij informeert zijn klanten over de verwerking (model in artikel 13).
- Hij bezorgt juiste gegevens, beperkt tot wat nodig is.
- Hij kan op elk moment instructies geven, informatie vragen of een audit vragen onder de voorwaarden van artikel 9.
5. Instructies
De Verwerker verwerkt de gegevens alleen op gedocumenteerde instructie van de Verwerkingsverantwoordelijke. Gelden als instructies: de algemene verkoopvoorwaarden, deze overeenkomst, de instellingen van de klantenzone en de goedkeuringen van de Verwerkingsverantwoordelijke, en zijn schriftelijke verzoeken. Hetzelfde geldt voor elke doorgifte naar een land buiten de Europese Unie, behalve als het recht dat op de Verwerker van toepassing is hem daartoe verplicht; hij brengt de Verwerkingsverantwoordelijke daarvan dan vóór de verwerking op de hoogte, tenzij dat recht het verbiedt.
De Verwerker brengt de Verwerkingsverantwoordelijke onmiddellijk op de hoogte als volgens hem een instructie een inbreuk vormt op de AVG of op een andere regel inzake gegevensbescherming.
6. Vertrouwelijkheid
De personen die gemachtigd zijn om de gegevens te verwerken, zijn tot vertrouwelijkheid gehouden, door een schriftelijke verbintenis of door een passende wettelijke verplichting.
7. Beveiliging
De Verwerker neemt de maatregelen die artikel 32 van de AVG vereist, met name:
- elke zaak ziet alleen haar eigen gegevens, een regel die de database zelf toepast;
- inloggen op de klantenzone met een e-mailadres en een persoonlijk wachtwoord, gekozen via een link die per e-mail wordt verstuurd; willekeurige goedkeuringslinks, voor eenmalig gebruik, 7 dagen geldig;
- toegangssleutels tot de diensten bewaard op de servers, nooit in de pagina's;
- versleutelde uitwisselingen (https); gegevens van de klantenzone gehost in een Europese regio;
- automatische verwijderingen volgens de termijnen van artikel 3;
- logboek van de verrichtingen per zaak.
8. Subverwerkers
De Verwerkingsverantwoordelijke geeft toestemming voor het gebruik van de subverwerkers die in het privacybeleid staan, onder “Ontvangers en verwerkers”. De Verwerker brengt de Verwerkingsverantwoordelijke minstens 30 dagen vooraf per e-mail op de hoogte van elke toevoeging of vervanging; de Verwerkingsverantwoordelijke kan zich daartegen verzetten door vóór die datum kosteloos op te zeggen.
De Verwerker legt elke subverwerker verplichtingen inzake gegevensbescherming op die gelijkwaardig zijn aan die van deze overeenkomst, en blijft tegenover de Verwerkingsverantwoordelijke volledig aansprakelijk voor de uitvoering ervan.
9. Bijstand, informatie en audit
- Rechten van de betrokkenen. De Verwerker bezorgt de Verwerkingsverantwoordelijke binnen 5 werkdagen elk verzoek dat hij van een betrokkene ontvangt, en helpt hem erop te antwoorden. Een uitschrijving voor een reviewaanvraag wordt rechtstreeks en onmiddellijk verwerkt.
- Datalek. De Verwerker meldt elke inbreuk in verband met persoonsgegevens zo snel mogelijk aan de Verwerkingsverantwoordelijke nadat hij er kennis van heeft genomen, met de informatie waarover hij beschikt, zodat de Verwerkingsverantwoordelijke zijn eigen verplichtingen kan nakomen.
- Andere verplichtingen. Hij helpt de Verwerkingsverantwoordelijke de verplichtingen van de artikelen 32 tot 36 van de AVG na te komen (beveiliging, inbreuken, gegevensbeschermingseffectbeoordeling, voorafgaande raadpleging), rekening houdend met de aard van de verwerking en de informatie waarover hij beschikt.
- Bewijs en audit. Hij stelt de Verwerkingsverantwoordelijke de informatie ter beschikking die nodig is om aan te tonen dat deze overeenkomst wordt nageleefd, en laat een audit toe, uitgevoerd door de Verwerkingsverantwoordelijke of door een auditor met geheimhoudingsplicht, hooguit één keer per jaar, met een voorafgaande kennisgeving van 30 dagen, op kosten van de Verwerkingsverantwoordelijke.
10. Einde van de overeenkomst
Aan het einde van de dienst bezorgt de Verwerker, naar keuze van de Verwerkingsverantwoordelijke uitgedrukt binnen 30 dagen, de gegevens terug in een gangbaar formaat en verwijdert ze daarna, of verwijdert ze meteen. Zonder antwoord binnen die termijn verwijdert hij ze. De back-ups van de database worden na 7 dagen gewist; de andere back-ups van de dienstverleners worden volgens hun eigen cyclus gewist. De Verwerker bewaart alleen wat de wet hem oplegt.
11. Doorgiften buiten de Europese Unie
De Verwerker is gevestigd in het Verenigd Koninkrijk. Sommige subverwerkers zijn buiten de Europese Unie gevestigd; de waarborgen die van toepassing zijn, staan voor elk van hen in het privacybeleid. Waarborg die geldt voor de doorgifte van gegevens uit de Unie naar de Verwerker in het Verenigd Koninkrijk: adequaatheidsbesluit van de Europese Commissie voor het Verenigd Koninkrijk, vernieuwd in december 2025, geldig tot 27 december 2031.
12. Aansprakelijkheid en duur
De aansprakelijkheid van de partijen volgt de algemene verkoopvoorwaarden. Deze overeenkomst duurt zolang het dienstencontract en, voor artikel 10, tot de volledige verwijdering van de gegevens.
13. Model van informatie voor uw klanten
Tekst die de Verwerkingsverantwoordelijke aan de kassa of op zijn formulier kan tonen, aan te passen:
“Door ons uw e-mailadres te geven, gaat u ermee akkoord dat wij u één enkele vraag om een review van uw bezoek sturen, en hooguit één herinnering. Deze e-mail wordt in onze naam verstuurd door onze dienstverlener. U kunt zich uitschrijven via de link in de e-mail. Uw voornaam en uw e-mailadres worden 120 dagen na uw bezoek verwijderd. Om uw rechten uit te oefenen, kunt u terecht bij [naam en contactgegevens van de zaak].”