Verwerkersovereenkomst

Deze verwerkersovereenkomst geldt zodra een restaurant Rezzer gebruikt en vormt onderdeel van de overeenkomst tussen het restaurant en Surlinio B.V.

1. Partijen en rollen

Het restaurant dat Rezzer afneemt is de Verwerkingsverantwoordelijke. Surlinio B.V., Theresiastraat 142–144, 2593 AT Den Haag, KvK 60691611, is de Verwerker. Partijen verwerken persoonsgegevens overeenkomstig de AVG en andere toepasselijke privacywetgeving.

2. Onderwerp, aard, doel en duur

Surlinio verwerkt persoonsgegevens uitsluitend om Rezzer te hosten, beveiligen en ondersteunen en om namens het restaurant reserveringen, gastprofielen, tafelplanning, wachtlijsten, catering, communicatie en gekoppelde betaalstatussen te verwerken. De verwerking duurt zolang de hoofdovereenkomst loopt en daarna zolang dit nodig is voor teruggave, verwijdering, back-ups of een wettelijke verplichting.

3. Betrokkenen en gegevens

• Gasten: naam, e-mail, telefoon, reserveringsgegevens, voorkeuren, opmerkingen, bezoekhistorie en betaalstatus of betaalreferentie.
• Contactpersonen voor catering: contact- en bedrijfsgegevens, aanvragen, bestellingen en notities.
• Medewerkers: naam, zakelijk e-mailadres, rol, restaurantkoppeling en beveiligde accountgegevens.

Het restaurant instrueert gebruikers om geen bijzondere persoonsgegevens of andere gegevens in vrije tekstvelden te zetten die niet noodzakelijk zijn voor de dienstverlening.

4. Instructies en gebruik

Surlinio verwerkt de gegevens alleen op gedocumenteerde instructie van het restaurant, waaronder de instellingen en handelingen binnen Rezzer. Als een instructie volgens Surlinio in strijd is met privacywetgeving, meldt Surlinio dit voordat de instructie wordt uitgevoerd, tenzij de wet dit verbiedt.

5. Geheimhouding en toegang

Alle personen die namens Surlinio toegang hebben tot persoonsgegevens zijn tot geheimhouding verplicht. Toegang wordt beperkt tot bevoegde personen die deze voor beheer, beveiliging of ondersteuning nodig hebben.

6. Beveiliging

Surlinio past passende technische en organisatorische maatregelen toe, waaronder versleuteld transport via HTTPS in productie, rollen en toegangscontrole, gehashte wachtwoorden, CSRF-bescherming, beveiligde sessies, eenmalige accounttokens, afgeschermde configuratie, logging en gecontroleerde back-ups. Maatregelen worden aangepast wanneer risico’s of de stand van de techniek daartoe aanleiding geven.

7. Datalekken

Surlinio meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging aan het restaurant en verstrekt de beschikbare informatie die nodig is om het incident te beoordelen en, waar nodig, aan de Autoriteit Persoonsgegevens en betrokkenen te melden. Surlinio neemt redelijke maatregelen om gevolgen te beperken en herhaling te voorkomen.

8. Rechten van betrokkenen en ondersteuning

Surlinio helpt het restaurant, voor zover redelijk en technisch mogelijk, bij verzoeken om inzage, correctie, verwijdering, beperking, overdracht en bezwaar. Surlinio ondersteunt eveneens bij beveiligingsverplichtingen, gegevensbeschermingseffectbeoordelingen en overleg met toezichthouders.

9. Subverwerkers

Het restaurant geeft algemene toestemming voor subverwerkers die noodzakelijk zijn voor hosting, e-mailbezorging, back-ups en technisch beheer. Surlinio informeert het restaurant vooraf over wezenlijke wijzigingen, zodat het restaurant gemotiveerd bezwaar kan maken. Met subverwerkers worden minimaal gelijkwaardige privacy- en beveiligingsafspraken gemaakt. Bij gebruik van gekoppelde betaaldiensten sluit het restaurant daarnaast rechtstreeks afspraken met de betreffende betaalprovider. Een actuele lijst van ingezette subverwerkers is opvraagbaar via support@surlinio.com.

10. Doorgifte buiten de EER

Surlinio geeft persoonsgegevens niet buiten de Europese Economische Ruimte door zonder een geldige doorgiftegrondslag en passende waarborgen. Het restaurant wordt geïnformeerd wanneer een relevante subverwerker zo’n doorgifte gebruikt.

11. Einde van de dienstverlening

Na beëindiging kan het restaurant de beschikbare gegevens exporteren. Op verzoek verwijdert of retourneert Surlinio de in opdracht verwerkte persoonsgegevens, tenzij wettelijke bewaring verplicht is. Resterende kopieën in de normale back-upcyclus worden uiterlijk na 30 dagen overschreven of verwijderd.

12. Controle en audit

Surlinio verstrekt informatie die redelijkerwijs nodig is om naleving aan te tonen. Het restaurant kan maximaal eenmaal per jaar, of vaker na een aantoonbaar beveiligingsincident, op eigen kosten een audit laten uitvoeren met redelijke voorafgaande aankondiging en zonder de beveiliging of dienstverlening aan anderen te schaden.

13. Aansprakelijkheid en rangorde

De aansprakelijkheidsafspraken uit de hoofdovereenkomst en gebruiksvoorwaarden zijn van toepassing. Bij strijd over de verwerking van persoonsgegevens gaat deze verwerkersovereenkomst voor.

14. Contact en recht

Vragen kunnen naar support@surlinio.com. Nederlands recht is van toepassing. Geschillen worden in eerste instantie voorgelegd aan de bevoegde rechter van de Rechtbank Den Haag.