Verwerkersovereenkomst

Deze verwerkersovereenkomst legt vast hoe TicketPa persoonsgegevens verwerkt voor de bedrijven die TicketPa gebruiken, zoals artikel 28 van de Algemene verordening gegevensbescherming (AVG) vereist. Ze maakt deel uit van onze algemene voorwaarden, en je aanvaardt ze wanneer je de voorwaarden aanvaardt.

Tussen wie deze overeenkomst is gesloten

• Jij, het bedrijf dat TicketPa gebruikt, als verwerkingsverantwoordelijke.
• TicketPa, beheerd door de houder van het bewijs van zelfstandige activiteit nr. 777726, Vilnius, Litouwen, als verwerker.

Deze overeenkomst geldt voor de persoonsgegevens van je gasten en andere personen die we voor je verwerken terwijl we TicketPa leveren ("gastgegevens"). Bijlage 1 beschrijft die gegevens en wat we ermee doen. Voor de persoonsgegevens van jou en je teamleden geldt in plaats daarvan onze privacyverklaring, omdat wij voor die gegevens de verwerkingsverantwoordelijke zijn.

Als deze verwerkersovereenkomst en de algemene voorwaarden elkaar tegenspreken over persoonsgegevens, geldt deze verwerkersovereenkomst.

Wat we met gastgegevens doen

We verwerken gastgegevens alleen om TicketPa aan je te leveren, en alleen op basis van je vastgelegde instructies. Je instructies zijn de algemene voorwaarden en deze verwerkersovereenkomst, en de manier waarop je TicketPa instelt en gebruikt: je instellingen, wat jij en je team in de app doen, en wat je ons schriftelijk vraagt.

Als we denken dat een instructie in strijd is met het gegevensbeschermingsrecht, laten we je dat weten. Als het EU-recht of het Litouwse recht ons verplicht gastgegevens op een andere manier te verwerken, laten we je dat eerst weten, tenzij die wetgeving dat verbiedt.

Geheimhouding

Iedereen aan onze kant die toegang heeft tot gastgegevens, heeft een geheimhoudingsplicht en mag die gegevens alleen gebruiken zoals deze verwerkersovereenkomst toestaat.

Beveiliging

We beschermen gastgegevens met de technische en organisatorische maatregelen in bijlage 2, en we houden die afgestemd op de risico's naarmate TicketPa verandert. We mogen de maatregelen bijwerken, zolang ze daardoor niet minder bescherming bieden.

Subverwerkers

Je geeft ons toestemming om subverwerkers in te schakelen, de dienstverleners die in bijlage 3 staan, om ons te helpen TicketPa te leveren. We leggen elk van hen in een contract verplichtingen voor gegevensbescherming op die minstens zo streng zijn als die van ons in deze verwerkersovereenkomst, en we blijven tegenover jou verantwoordelijk voor hun werk.

Minstens 30 dagen voordat we een subverwerker toevoegen of vervangen, sturen we de eigenaren van je bedrijf een e-mail en werken we bijlage 3 bij. Heb je redelijke gronden op het gebied van gegevensbescherming om bezwaar te maken, laat het ons dan binnen die termijn weten. Kunnen we je bezwaar niet oplossen, dan kun je je account vóór de wijziging sluiten, en betalen we de bedragen terug die je vooraf hebt betaald voor de tijd na het sluiten.

Hulp aan jou

We helpen je, voor zover dat redelijkerwijs kan en rekening houdend met wat TicketPa doet:

• bij verzoeken van je gasten om hun rechten onder de AVG uit te oefenen. Als een gast ons schrijft, sturen we het verzoek naar je door en beantwoorden we het niet zelf, tenzij je ons daarom vraagt. Veel verzoeken kun je zelf in TicketPa afhandelen; voor de rest, zoals het verwijderen van de gegevens van een gast, schrijf je ons en doen we het voor je.
• bij je andere verplichtingen op grond van de artikelen 32 tot en met 36 AVG, zoals beveiliging, effectbeoordelingen voor gegevensbescherming en het raadplegen van een toezichthoudende autoriteit.

Inbreuken in verband met persoonsgegevens (datalekken)

Als we op de hoogte raken van een inbreuk op de beveiliging die gastgegevens treft, laten we je dat zonder onredelijke vertraging weten, en uiterlijk binnen 48 uur. We vertellen je wat we erover weten: wat er is gebeurd, welke soorten gegevens en ongeveer hoeveel mensen erbij betrokken zijn, de waarschijnlijke gevolgen en wat we eraan doen, en we houden je op de hoogte naarmate we meer weten. We nemen redelijke maatregelen om de inbreuk in te dammen en de gevolgen ervan te beperken.

Als je stopt met TicketPa

Voordat je account wordt gesloten, kun je je boekingen downloaden, bijvoorbeeld het CSV-bestand met boekingen onder Rapporten. Binnen 90 dagen nadat je bedrijf op TicketPa is gesloten, verwijderen we de gastgegevens, tenzij het EU-recht of het Litouwse recht ons verplicht een deel ervan te bewaren. Kopieën in onze back-ups worden daarna binnen 30 dagen automatisch verwijderd. Op verzoek bevestigen we de verwijdering schriftelijk.

Informatie en audits

We geven je de informatie die je nodig hebt om aan te tonen dat we ons aan deze verwerkersovereenkomst houden. Jij, of een onafhankelijke auditor die je zelf kiest en die een geheimhoudingsplicht heeft, mag één keer per jaar een audit uitvoeren om te controleren of we ons eraan houden, of vaker na een inbreuk of als een toezichthoudende autoriteit daarom vraagt. Laat het ons minstens 30 dagen van tevoren weten. Audits vinden plaats op jouw kosten, tijdens kantooruren en zonder toegang tot gegevens van andere bedrijven.

Doorgifte buiten de Europese Economische Ruimte

We geven gastgegevens alleen door buiten de Europese Economische Ruimte met de waarborgen die hoofdstuk V van de AVG vereist, zoals een adequaatheidsbesluit van de Europese Commissie of standaardcontractbepalingen. Hostinger slaat gastgegevens op in de Europese Unie, en onze back-ups bij Cloudflare worden daar ook bewaard. Verzoeken aan TicketPa lopen echter via het wereldwijde netwerk van Cloudflare, meestal via het datacenter dat het dichtst bij de persoon ligt die TicketPa gebruikt, en dat kan buiten de Europese Economische Ruimte liggen. Cloudflare, een Amerikaans bedrijf, is gecertificeerd onder het EU-VS-kader voor gegevensbescherming (EU-US Data Privacy Framework), en zijn contract met ons bevat de standaardcontractbepalingen.

Je verantwoordelijkheden

Jij bent verantwoordelijk voor:

• een rechtmatige grondslag hebben voor de gastgegevens die je verzamelt en de e-mails die je ervoor kiest te sturen, zoals verzoeken om een review;
• je gasten in je eigen privacyverklaring vertellen hoe je hun gegevens gebruikt;
• ons alleen rechtmatige instructies geven;
• gasten niet vragen om bijzondere categorieën van persoonsgegevens, zoals gezondheidsgegevens, tenzij je die echt nodig hebt en er een rechtmatige grondslag voor hebt;
• via hun rollen bepalen wie in je team gastgegevens kan zien.

Aansprakelijkheid en looptijd

De aansprakelijkheid van elke partij onder deze verwerkersovereenkomst richt zich naar de algemene voorwaarden, voor zover het gegevensbeschermingsrecht dat toestaat. Deze verwerkersovereenkomst geldt zolang we gastgegevens voor je verwerken, ook nadat je account is gesloten, totdat de gastgegevens zijn verwijderd.

Bijlage 1: Beschrijving van de verwerking

Bijlage 2: Beveiligingsmaatregelen

• Versleuteling tijdens transport: elke pagina en elk verzoek wordt via HTTPS geleverd.
• Bescherming tegen aanvallen: al het verkeer naar TicketPa loopt via Cloudflare, dat aanvallen zoals een vloed van verzoeken eruit filtert voordat ze de servers bereiken. De verbinding van Cloudflare naar de servers is ook versleuteld.
• Accounts: wachtwoorden worden alleen als veilige hashes opgeslagen, tweestapsverificatie is voor elk account beschikbaar, en het aantal inlogpogingen is begrensd.
• Versleuteling van geheimen in opslag: geheimen voor tweestapsverificatie, herstelcodes en geheimen van betaalsessies zijn versleuteld in de database.
• Scheiding tussen bedrijven: elk record hoort bij één bedrijf, en TicketPa controleert bij elk verzoek of de ingelogde persoon lid is van dat bedrijf. Geautomatiseerde tests controleren dat het ene bedrijf niet bij de gegevens van een ander bedrijf kan komen.
• Rollen binnen je bedrijf: eigenaren, managers en begeleiders zien verschillende dingen. Begeleiders zien geen rapporten of betalingsinstellingen.
• Onze eigen toegang: alleen de mensen die TicketPa beheren, hebben toegang tot de servers en het beheerpaneel. Voor inloggen op de servers is een SSH-sleutel nodig, omdat wachtwoorden zijn uitgeschakeld, en een adres waarvan de inlogpogingen steeds mislukken, wordt automatisch geblokkeerd.
• Hosting: de servers staan in een datacenter in de Europese Unie, achter een firewall die alleen de verbindingen toestaat die TicketPa nodig heeft. Beveiligingsupdates voor het besturingssysteem worden automatisch geïnstalleerd.
• Back-ups: van de database wordt elke 6 uur een back-up gemaakt naar afgeschermde, versleutelde opslag in de Europese Unie, gescheiden van de servers. Elke back-up wordt na 30 dagen automatisch verwijderd. Van geüploade foto's en logo's wordt dagelijks een back-up gemaakt op dezelfde plek; die back-ups worden 7 dagen bewaard.
• Betalingen: kaartgegevens worden alleen verwerkt door Stripe, dat gecertificeerd is volgens PCI DSS. TicketPa slaat betalings-ID's en bedragen op, nooit kaartnummers.
• Dataminimalisatie: geüploade foto's en logo's worden opnieuw gecodeerd, waardoor verborgen gegevens zoals de gps-locatie verdwijnen; gegevens van Stripe-gebeurtenissen en mislukte achtergrondtaken, die gegevens van gasten kunnen bevatten, worden na 30 dagen verwijderd; verlopen uitnodigingen worden verwijderd.

Bijlage 3: Subverwerkers

Diensten die je zelf koppelt. Als je onlinebetalingen aanzet, gaan de betaalgegevens van je gasten naar je eigen Stripe-account, onder je overeenkomst met Stripe. Stripe is daarvoor niet onze subverwerker.

Vragen over deze verwerkersovereenkomst: hello@ticketpa.com.