Verwerkersovereenkomst

Versie 1.3 · bijgewerkt 8-10-2026

Bijlage bij de overeenkomst tussen Noren (demoversie, geen echt bedrijf) ("wij") en de accommodatie ("jij").

Van Noren (demoversie, geen echt bedrijf), Voorbeeldstraat 1, 1000 AA, Amsterdam, KvK 00000000, btw NL000000000B00.

Deze bijlage regelt wat er gebeurt met de persoonsgegevens die wij namens jou verwerken. Jij bent de verwerkingsverantwoordelijke: het zijn jouw gasten en jouw afspraken met hen. Wij zijn de verwerker: wij doen wat jij opdraagt en niets daarbuiten.

1. Waar het over gaat

Onderdeel	Afspraak
Onderwerp	Het draaien van het reserveringssysteem waarop jouw accommodatie boekt, communiceert en zijn wettelijke meldingen doet
Duur	Zolang de overeenkomst loopt, plus de bewaartermijnen in artikel 7
Aard van de verwerking	Opslaan, ordenen, raadplegen, doorgeven aan de partijen in artikel 5, en verwijderen
Doel	Reserveringen afhandelen, gasten informeren, betalingen mogelijk maken, de meldplicht voor logiesverstrekkers uitvoeren, en, als jij dat aanzet, post namens jou versturen aan gasten die daar toestemming voor gaven

2. Welke gegevens

Van gasten: naam, e-mailadres, telefoonnummer, aankomst- en vertrekdatum, kamer, aantal personen, bedrag en betaalstatus, opmerkingen die de gast zelf achterlaat, en de taal waarin hij aangesproken wil worden.

Van gasten die online inchecken (alleen bij Spaanse accommodaties): geboortedatum, geboorteplaats, nationaliteit, soort en nummer van het identiteitsdocument, geldigheidsdatum, en eventueel een foto van dat document. Deze gegevens zijn wettelijk verplicht op grond van Real Decreto 933/2021 en worden aangeleverd bij het meldsysteem van het Spaanse ministerie van Binnenlandse Zaken.

Als jij post namens jou aanzet: of een gast toestemming gaf, wanneer, en waar hij dat deed (de boekingsmodule of het check-informulier), plus het moment waarop hij zich weer afmeldde. Dat laatste is geen administratie om de administratie: zonder dat spoor kun jij niet aantonen dat er toestemming was.

Van jou en je medewerkers: naam, e-mailadres, rol, en wat er in het systeem gedaan is.

Wij vragen nooit om bijzondere persoonsgegevens in de zin van artikel 9 AVG. Zet ze dus ook niet in het opmerkingenveld.

3. Wat wij wel en niet doen

Wij verwerken uitsluitend op jouw instructie. Deze overeenkomst plus het gebruik van het systeem is die instructie.
Wij gebruiken de gegevens van jouw gasten nooit voor onszelf: geen eigen marketing, geen doorverkoop, geen profielen over accommodaties heen.
Post namens jou. Zet je het versturen van berichten aan, dan versturen wij die namens jou en alleen aan gasten die daar toestemming voor gaven. Jij bent en blijft daarvoor de verwerkingsverantwoordelijke: jij bepaalt wie wat krijgt en jij bent aanspreekbaar op de toestemming. Wij leveren de techniek, houden bij wanneer en waar een gast ja zei, en zorgen dat afmelden in één klik werkt en blijft werken. Wij versturen nooit iets namens onszelf aan jouw gasten.
Iedereen bij ons die toegang heeft, is tot geheimhouding verplicht.
Meekijken in jouw omgeving voor ondersteuning kan alleen met een vastgelegde reden, en dat wordt geregistreerd in een logboek dat jij kunt opvragen.

4. Beveiliging

Wat er nu staat, in gewone woorden:

Alles staat versleuteld tijdens transport (TLS 1.2 of 1.3) en de opslag is versleuteld op schijf.
Documentnummers van gasten worden apart versleuteld met een sleutel die niet in de database staat (AES-256-GCM).
Foto's van identiteitsdocumenten worden versleuteld opgeslagen en verwijderd zodra de wettelijke melding geaccepteerd is.
Elke accommodatie is in de database van elke andere gescheiden door row level security, en dat wordt bij elke wijziging automatisch getest.
Toegang tot productie is beperkt tot de beheerder, met tweefactorauthenticatie.
Elke dag een back-up naar Europese opslag, en de herstelproef draait als test mee (pnpm verify:backup). Een ongeteste back-up telt niet.
Wij houden bij wie wat wanneer deed. Een spoor van wie er meekeek bewaren we een jaar; wat er aan een afspraak of een instelling veranderde, bewaren we langer; zie artikel 7.

5. Wie er nog meer bij kan (subverwerkers)

Je geeft toestemming voor deze partijen. De eerste twee draaien nu; de andere zijn gepland en gaan pas meedoen als het onderdeel waarvoor ze nodig zijn live gaat. Komt er een partij bij, of gaat een geplande partij meedoen, dan melden we dat minstens dertig dagen van tevoren, en mag je bezwaar maken.

Partij	Waarvoor	Waar	Stand
Vercel Inc.	Hosting van de website en het systeem	Frankfurt (Duitsland)	in gebruik
Supabase Inc.	Database	Frankfurt (Duitsland)	in gebruik
Hetzner Online GmbH	Servers en database, in plaats van Vercel en Supabase	Duitsland	gepland
Cloudflare, Inc.	Opslag van documentfoto's en back-ups	EU-regio	gepland
Amazon Web Services (SES)	Verzenden van e-mail aan gasten	Ierland	gepland
Mollie B.V.	Betalingen van gasten	Nederland	gepland
Beds24	Koppeling met Booking.com en Airbnb	Duitsland	gepland

De gegevens staan binnen de Europese Economische Ruimte. Vercel Inc. en Supabase Inc. zijn Amerikaanse bedrijven; zij bewaren de gegevens in Frankfurt, en Vercel levert de pagina's via een wereldwijd netwerk van servers. Voor zover een van beiden daarbij gegevens buiten de EER verwerkt, gebeurt dat op grond van de standaardcontractbepalingen van de Europese Commissie. Komt er een andere doorgifte buiten de EER bij, dan alleen op diezelfde grond en pas nadat we het je gemeld hebben.

Wat je zelf koppelt. Koppel je in het systeem je eigen WhatsApp Business-account, dan wisselen wij op jouw instructie berichten uit met Meta Platforms Ireland Ltd. (Dublin, Ierland), dat de WhatsApp Business Cloud API levert: het telefoonnummer van de gast en de berichten tussen jou en de gast. Dat gebeurt alleen bij accommodaties die die koppeling zelf aanzetten, en alleen zolang die aan staat. Voor die verwerking sluit jij zelf een overeenkomst met Meta, en daarop gelden de voorwaarden van Meta; Meta kan daarbij gegevens buiten de EER verwerken. Meta is dus geen subverwerker van ons. Zet je de koppeling uit, dan geven we niets meer door; de berichten die al in het systeem staan, blijven onder deze overeenkomst vallen.

6. Als er iets misgaat

Ontdekken wij een datalek, dan melden we dat binnen 24 uur bij jou, met wat we weten: wat er gebeurd is, welke gegevens het betreft, hoeveel mensen, wat we eraan doen. Jij beslist of er een melding naar de toezichthouder gaat: het zijn jouw gasten. Wij helpen met de informatie die je daarvoor nodig hebt.

7. Bewaren en weggooien

Gegevens	Termijn	Waarom
Reserveringen en facturen	7 jaar	Fiscale bewaarplicht
Gastregistratie (documentnummers)	3 jaar	Real Decreto 933/2021
Foto's van documenten	tot de melding geaccepteerd is	Langer bewaren mag niet
Logboek van wie waarnaar keek	1 jaar	Na een jaar is dat spoor niets meer waard
Logboek van wat er veranderde aan een afspraak of instelling	duur van de overeenkomst + 7 jaar	Anders is een afspraak van drie jaar terug niet meer na te rekenen
Toestemming voor post, en het intrekken daarvan	tot je die intrekt, en daarna 3 jaar als bewijs	Zonder dat bewijs kun je niet aantonen dat er toestemming was
Al het andere	tot het einde van de overeenkomst	n.v.t.

Aan het einde van de overeenkomst krijg je binnen dertig dagen een volledige export in een leesbaar formaat. Daarna verwijderen we alles, behalve wat we wettelijk moeten bewaren; wat blijft staan, staat in de tabel hierboven.

8. Rechten van gasten

Vraagt een gast bij jou om inzage, correctie of verwijdering, dan helpen wij je binnen vijf werkdagen aan de gegevens en voeren we de verwijdering uit, behalve waar de wet ons verplicht te bewaren. Vraagt een gast het rechtstreeks aan ons, dan sturen we hem naar jou door en laten we jou dat weten.

9. Controle

Je mag één keer per jaar controleren of wij ons hieraan houden. Wij beantwoorden vragen schriftelijk en laten desgevraagd zien hoe iets werkt. Wil je een externe audit, dan mag dat op eigen kosten, mits aangekondigd en zonder dat andere klanten er iets van merken.

Deze tekst is opgesteld voor dit product en nog niet door een jurist beoordeeld. De andere stukken staan in het overzicht.