Verwerkersovereenkomst

Partijen en hoe je deze overeenkomst sluit

Deze verwerkersovereenkomst geldt tussen:

• de dispatcher: het taxi- of vervoersbedrijf dat zich op het platform registreert, als verwerkingsverantwoordelijke; en
• Welltransfers: WellTransfers, gevestigd te Loevestein 197, 1082 XH Amsterdam, ingeschreven bij de Kamer van Koophandel onder nummer 97992135, als verwerker.

Je sluit haar bij je registratie als dispatcher in de web-app: je vinkt aan dat je akkoord gaat met deze verwerkersovereenkomst, en wij leggen dat met de datum vast. Zonder dat akkoord kun je de registratie niet indienen. Ze hoort bij de overeenkomst over het gebruik van het platform, waarop onze gebruiksvoorwaarden van toepassing zijn.

Begrippen

• Begrippen als persoonsgegevens, verwerken, verwerkingsverantwoordelijke, verwerker, betrokkene en inbreuk in verband met persoonsgegevens (hierna: datalek) hebben de betekenis uit de Algemene verordening gegevensbescherming (AVG).
• Klantgegevens: de persoonsgegevens die de dispatcher in zijn eigen omgeving op het platform verwerkt of laat verwerken, voor zijn ritten en zijn klanten. Welke dat zijn, staat onder Soorten gegevens en betrokkenen.
• Subverwerker: een partij die Welltransfers inschakelt en die daarbij klantgegevens verwerkt.

Onderwerp, aard en doel

Welltransfers verwerkt klantgegevens in opdracht van de dispatcher, om hem het platform te leveren: ritten aannemen, plannen, aan chauffeurs aanbieden, volgen, afronden en administreren, en zijn opdrachtgevers en hun portaal beheren. Daarvoor doet Welltransfers het volgende met de klantgegevens:

• ze opslaan en bewaren;
• ze tonen aan wie ze voor de rit nodig heeft: de dispatcher en zijn collega-dispatchers, de chauffeurs die hij als lijnhouder aanwijst (alleen met hun lijn aan en binnen de tijden die hij geeft), de opdrachtgever in zijn portaal, de reiziger, de chauffeur aan wie de rit wordt aangeboden of die hem rijdt, en degene aan wie de dispatcher zijn dienst tijdelijk overdraagt;
• prijzen, routes, afstanden en aankomsttijden berekenen. Daarvoor gaan adressen en posities naar de kaartdienst, zonder namen of contactgegevens;
• pushmeldingen en e-mail over een rit versturen;
• een ritfactuur of maandfactuur als pdf opmaken, die de dispatcher zelf verstuurt;
• back-ups maken, en de gegevens wissen zodra hun bewaartermijn voorbij is.

Welltransfers gebruikt klantgegevens niet voor eigen doeleinden zoals marketing en verkoopt ze niet. Wat Welltransfers wel voor zichzelf verwerkt, staat onder Wat hier niet onder valt.

Deze overeenkomst loopt zolang de dispatcher het platform gebruikt, en daarna tot de klantgegevens zijn teruggegeven of gewist zoals beschreven onder Einde.

Soorten gegevens en betrokkenen

Betrokkenen

• reizigers en passagiers van de ritten van de dispatcher, ook wie zonder account voor hen wordt geboekt;
• opdrachtgevers van de dispatcher, zoals hotels en bedrijven, met hun contactpersonen en portaal-logins;
• medewerkers van de dispatcher, zoals collega-dispatchers, voor wat zij in zijn omgeving doen;
• chauffeurs, voor zover ze in de ritadministratie van de dispatcher staan: wie welke rit reed, en wie hij als lijnhouder toegang tot zijn ritten gaf.

Persoonsgegevens

• naam, telefoonnummer en e-mailadres;
• ophaal- en bestemmingsadres, datum en tijd, vluchtnummer, kamernummer, aantal passagiers en bagage, en aanwijzingen voor de chauffeur;
• het verloop van de rit: status, chauffeur, voertuig, en de positie van de chauffeur tijdens de rit;
• prijs, betaalwijze, de referentie van de klant en de factuurgegevens van opdrachtgevers;
• een melding van de klant bij een rit, met de contactgegevens van wie meldde;
• de inloggegevens van portaal-logins: naam en e-mailadres. Een wachtwoord slaan we alleen onleesbaar op.

Het platform is niet bedoeld voor bijzondere persoonsgegevens, zoals gegevens over gezondheid, of voor het burgerservicenummer. De dispatcher legt die niet vast, ook niet in een vrij tekstveld, tenzij het voor de uitvoering van de rit nodig is en hij daar zelf een grondslag voor heeft.

Wat hier niet onder valt

Voor een deel van de gegevens op het platform is Welltransfers zelf verwerkingsverantwoordelijke. Daarvoor geldt ons privacybeleid, niet deze overeenkomst:

• de accounts van wie zich zelf bij het platform aanmeldt (dispatchers, chauffeurs, reizigers en opdrachtgevers), en de beoordeling van aanmeldingen en documenten;
• de gegevens van chauffeurs buiten de ritadministratie van de dispatcher, zoals hun aanmelding, documenten, live locatie, rekening en facturen;
• de rekening, de weekfacturen en de rest van de afrekening, waarin Welltransfers in eigen naam koopt en verkoopt (zie de gebruiksvoorwaarden), met de wettelijke bewaarplicht die daarbij hoort;
• het beheer van het platform: beveiliging, het voorkomen van fraude, het toegangslog, en het afhandelen van betalingen en terugbetalingen.

Alleen op instructie van de dispatcher

Welltransfers verwerkt klantgegevens alleen op schriftelijke instructie van de dispatcher. Die instructie bestaat uit deze overeenkomst, de gebruiksvoorwaarden en wat de dispatcher in het platform doet en instelt, zoals een rit aanmaken, een chauffeur kiezen of een portaal-login aanmaken. Een andere instructie geeft hij per e-mail.

• Gegevens gaan alleen naar een land buiten de Europese Economische Ruimte (EER) zoals onder Subverwerkers staat.
• Verplicht een wet Welltransfers tot een andere verwerking, dan meldt Welltransfers dat de dispatcher vooraf, tenzij die wet dat verbiedt.
• Vindt Welltransfers dat een instructie in strijd is met de AVG of een andere wet over gegevensbescherming, dan laat zij dat de dispatcher meteen weten. Zo'n instructie hoeft zij niet uit te voeren.

Wat de dispatcher regelt

• De dispatcher bepaalt waarvoor de klantgegevens worden verwerkt en staat ervoor in dat dat rechtmatig is: hij heeft er een grondslag voor, informeert zijn klanten, bijvoorbeeld met een eigen privacyverklaring, en voert geen gegevens in die hij niet mag verwerken.
• Hij geeft accounts en lijnhoudertoegang alleen aan wie ze nodig heeft, zet ze uit als iemand vertrekt, en zorgt dat zijn collega-dispatchers en opdrachtgevers hun inloggegevens geheimhouden.
• Vermoedt hij een datalek of misbruik, dan meldt hij dat Welltransfers meteen.

Geheimhouding

Bij Welltransfers krijgt alleen toegang tot klantgegevens wie die nodig heeft om het platform te leveren, te beveiligen of een gebruiker te helpen, en niet meer dan daarvoor nodig is. Wie toegang heeft, is tot geheimhouding verplicht, bij overeenkomst of op grond van de wet. Welltransfers kijkt alleen in klantgegevens voor ondersteuning, een storing, de beveiliging of een betaling.

Beveiliging

Welltransfers neemt passende technische en organisatorische maatregelen om klantgegevens te beschermen (artikel 32 AVG). Dit zijn ze:

• Versleutelde verbindingen. Al het verkeer tussen de apps, de website en onze server loopt via https.
• Eigen server in de EU. De database en de bestanden staan op onze eigen server in Duitsland. De database is niet vanaf internet bereikbaar, en beheer van de server gaat alleen via een versleutelde verbinding met een persoonlijke sleutel, niet met een wachtwoord.
• Toegangsregels per bedrijf in de database. Welke gegevens een gebruiker mag lezen of wijzigen, bepaalt de database zelf (row-level security), niet alleen het scherm. Een dispatcher ziet de gegevens van een ander bedrijf niet, tenzij dat bedrijf zijn dienst tijdelijk aan hem overdraagt. Een opdrachtgever ziet alleen de ritten van zijn eigen organisatie, en een chauffeur alleen de ritten die hem zijn aangeboden, die hij rijdt of die hij zelf uitdeelt, en als lijnhouder de ritten van de dispatcher die hem aanwees, zolang hij die lijn aan heeft staan binnen zijn tijden. We toetsen die regels door als gebruiker met elke rol te proberen wat niet mag.
• Rechten binnen het bedrijf. De hoofd-dispatcher bepaalt per collega-dispatcher wat die mag beheren, en per lijnhouder op welke dagen en tijden die de ritten ziet. Toegang daarbuiten geeft een dispatcher per keer, voor hooguit twaalf uur.
• Tweestapsverificatie. Verplicht voor wie het platform beheert, door elke gebruiker zelf aan te zetten, en door de dispatcher verplicht te stellen voor de portaal-logins van een opdrachtgever. Ook dat dwingt de database af.
• Inloggen. Wachtwoorden slaan we alleen onleesbaar op. Een dispatcher of chauffeur is op één apparaat tegelijk ingelogd, en het aantal pogingen om een account aan te maken of een wachtwoord te herstellen is begrensd.
• Afgeschermde bestanden. Bestanden zoals facturen staan in afgeschermde opslag; een link om er een te openen is persoonlijk en werkt maar een paar minuten.
• Back-ups. Elke dag een back-up van de database en van de hele server, binnen de EU. Aangekondigd: een tweede kopie die versleuteld wordt voordat hij de server verlaat en bij een andere opslagaanbieder in de EU komt te staan. Back-ups bewaren we hooguit 90 dagen, en terugzetten is getest.
• Toegangslog. De webserver legt van elke aanvraag het IP-adres, het tijdstip, de methode, het pad zonder querystring, de statuscode en de duur vast, om misbruik en storingen te kunnen onderzoeken. Na 14 dagen is het weg.
• Foutmeldingen zonder persoonsgegevens. Fouten uit de apps gaan naar een dienst voor foutmeldingen, zonder IP-adres, cookies of andere persoonsgegevens.
• Auditlog. Wat het platformbeheer doet, zoals een correctie, een terugbetaling of het wissen van een account, wordt vastgelegd.
• Wissen volgens de bewaartermijnen. Elke nacht, automatisch, zoals beschreven in het privacybeleid.

Welltransfers houdt deze maatregelen bij en verbetert ze als de techniek of de risico's daarom vragen. Een maatregel mag worden vervangen door een die minstens even goed beschermt.

Subverwerkers

De dispatcher geeft Welltransfers algemene toestemming om subverwerkers in te schakelen. Hiervoor zet zij ze nu in:

• Welke bedrijven het zijn, laat Welltransfers de hoofd-dispatcher op verzoek weten, per e-mail via info@welltransfers.com.
• Welltransfers legt elke subverwerker schriftelijk ten minste dezelfde verplichtingen op als in deze overeenkomst, en blijft tegenover de dispatcher verantwoordelijk voor wat die subverwerker doet.
• Voegt Welltransfers een subverwerker toe of vervangt zij er een, dan meldt zij dat ten minste dertig dagen vooraf per e-mail aan de hoofd-dispatcher, met de naam van de subverwerker, waarvoor en waar. De dispatcher kan binnen die termijn met redenen bezwaar maken. Komen we er samen niet uit, dan mag hij het gebruik van het platform opzeggen tegen de datum van de wijziging.
• Moet een subverwerker eerder worden vervangen, bijvoorbeeld door een storing of een beveiligingsprobleem, dan meldt Welltransfers dat zo snel mogelijk, met hetzelfde recht van bezwaar.
• Verwerkt een subverwerker gegevens buiten de EER, dan staat in de tabel op welke waarborg dat gebeurt: het EU-VS Data Privacy Framework, waarvoor een adequaatheidsbesluit van de Europese Commissie geldt (artikel 45 AVG), of de standaardcontractbepalingen van de Europese Commissie (artikel 46 AVG).

Voor kaarten, routes en betalingen werkt het platform daarnaast met partijen die de gegevens onder eigen verantwoordelijkheid verwerken, volgens hun eigen voorwaarden. Zij zijn geen subverwerker en krijgen alleen wat ze voor hun taak nodig hebben:

Rechten van betrokkenen

• Een klant van de dispatcher die zijn gegevens wil inzien, laten corrigeren of verwijderen, of een ander recht uit de AVG wil gebruiken, richt zich tot de dispatcher. Veel kan de dispatcher zelf in het platform: ritten en opdrachtgevers opzoeken en wijzigen.
• Wat de dispatcher niet zelf kan, doet Welltransfers op zijn verzoek, op tijd om binnen de wettelijke termijn te kunnen antwoorden.
• Krijgt Welltransfers zelf een verzoek over klantgegevens, dan stuurt zij het door naar de dispatcher en beantwoordt zij het niet zelf, tenzij het ook over haar eigen verwerking gaat.

Hulp bij beveiliging, DPIA en de toezichthouder

Welltransfers helpt de dispatcher, met de informatie die zij heeft en voor zover dat redelijk is, bij wat de artikelen 32 tot en met 36 AVG van hem vragen: de beveiliging, het melden van datalekken, een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging van de Autoriteit Persoonsgegevens. Op verzoek beschrijft zij het platform, de gegevensstromen en de maatregelen.

Datalekken

Welltransfers meldt een datalek dat klantgegevens raakt aan de dispatcher, zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat zij het heeft ontdekt. Zij meldt het per e-mail aan het adres van de hoofd-dispatcher en belt als het spoed heeft. De melding bevat, voor zover bekend:

• wat er is gebeurd en wanneer;
• welke soorten gegevens en betrokkenen het raakt, en ongeveer hoeveel;
• de waarschijnlijke gevolgen;
• wat Welltransfers heeft gedaan of voorstelt om het lek te dichten en de gevolgen te beperken;
• bij wie de dispatcher terecht kan voor meer informatie.

Is nog niet alles bekend, dan meldt Welltransfers wat zij weet en vult zij het aan zodra er meer is. Zij neemt meteen maatregelen om het lek te dichten en legt elk datalek met klantgegevens vast: de feiten, de gevolgen en de maatregelen.

Of het lek bij de Autoriteit Persoonsgegevens of bij de betrokkenen gemeld moet worden, beslist de dispatcher als verwerkingsverantwoordelijke. Welltransfers doet dat niet zelf voor hem, tenzij hij daarom vraagt. Een datalek of een vermoeden daarvan meld je bij ons via info@welltransfers.com.

Einde: teruggeven en wissen

• Stopt de dispatcher met het platform, dan krijgt hij op verzoek, tot dertig dagen na het einde, een kopie van zijn ritten en opdrachtgevers in een gangbaar bestand, zoals CSV.
• Daarna wist Welltransfers de klantgegevens zoals beschreven in het privacybeleid onder Bewaartermijnen: contactgegevens van reizigers, passagiers en opdrachtgevers, portaal-logins en notities gaan weg.
• Wat Welltransfers of de dispatcher wettelijk moet bewaren, blijft staan tot die termijn voorbij is. Voor de ritten en de afrekening is dat zeven jaar, op grond van de fiscale bewaarplicht (artikel 52 Algemene wet inzake rijksbelastingen): van een rit de datum, van en naar, afstand, prijs, btw en betaalwijze, en de rekening en facturen. Daarna worden ook die automatisch opgeschoond.
• Gewiste gegevens kunnen nog tot 90 dagen in een back-up staan. Die gebruiken we alleen om na een storing terug te zetten, en ze verlopen vanzelf.
• Op verzoek bevestigt Welltransfers schriftelijk dat het wissen is gebeurd.

Informatie en controle

• Welltransfers stelt de informatie beschikbaar die nodig is om aan te tonen dat zij zich aan artikel 28 AVG en aan deze overeenkomst houdt: deze pagina, het privacybeleid en, op verzoek, een toelichting op de maatregelen.
• De dispatcher mag dat laten controleren door een onafhankelijke deskundige die tot geheimhouding verplicht is: hooguit eens per jaar, en daarnaast na een datalek. Hij kondigt een audit ten minste dertig dagen vooraf aan. Een audit mag de dienst niet verstoren en geeft geen inzage in gegevens van andere gebruikers.
• De dispatcher draagt de kosten van een audit. Blijkt dat Welltransfers deze overeenkomst op een wezenlijk punt niet nakomt, dan draagt Welltransfers die kosten en herstelt zij het tekort zo snel mogelijk.
• Controleert de Autoriteit Persoonsgegevens, dan werkt Welltransfers daaraan mee.

Aansprakelijkheid

Voor de aansprakelijkheid tussen de dispatcher en Welltransfers geldt het artikel Aansprakelijkheid uit de gebruiksvoorwaarden, ook voor schade door een schending van deze overeenkomst of de AVG, voor zover de wet dat toelaat. Tegenover betrokkenen en de toezichthouder is ieder aansprakelijk zoals de artikelen 82 en 83 AVG bepalen.

Duur, wijzigingen en toepasselijk recht

• Deze overeenkomst eindigt vanzelf als het gebruik van het platform eindigt. Wat naar zijn aard doorloopt, zoals geheimhouding, wissen en aansprakelijkheid, blijft ook daarna gelden.
• Welltransfers kan deze overeenkomst aanpassen, bijvoorbeeld bij nieuwe wetgeving. Een wijziging die de dispatcher raakt, meldt zij ten minste dertig dagen vooraf; voor subverwerkers geldt wat daarover hierboven staat. Gaat de dispatcher niet akkoord, dan mag hij het gebruik van het platform opzeggen voordat de wijziging ingaat. De actuele versie staat altijd op deze pagina, met de datum bovenaan.
• Spreken deze overeenkomst en de gebruiksvoorwaarden elkaar tegen, dan gaat deze overeenkomst voor, voor zover het om persoonsgegevens gaat.
• Op deze overeenkomst is Nederlands recht van toepassing. Voor geschillen geldt wat de gebruiksvoorwaarden onder Toepasselijk recht en geschillen bepalen.