Verwerkersovereenkomst (VWO)

1. Partijen

Deze verwerkersovereenkomst ("VWO") is van toepassing op de verwerking van persoonsgegevens door WayTime("Verwerker"; KVK: 42046423, BTW: NL005454357B38, gevestigd te Van Dongenstraat 1, 8107AD Broekland, Nederland) in opdracht van de organisatie die gebruikmaakt van de dienst ("Verwerkingsverantwoordelijke").

2. Onderwerp en duur van de verwerking

• Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van de dienstverlening van WayTime.
• De duur van de verwerking is gelijk aan de looptijd van de hoofdovereenkomst (abonnement).
• Na beëindiging van de hoofdovereenkomst worden gegevens automatisch verwijderd of geanonimiseerd binnen maximaal 3 maanden.

3. Aard en doel van de verwerking

De verwerking omvat onder meer:

• Synchronisatie van agenda-afspraken vanuit Microsoft 365/Outlook.
• Plannen en bewaren van afspraken die Verwerkingsverantwoordelijke in WayTime zelf aanmaakt (WayTime Service), ook voor medewerkers zonder Microsoft-account. Bij medewerkers zonder Microsoft-koppeling is WayTime de enige plek waar deze afspraken staan.
• Visualisatie van afspraken en locaties binnen het dashboard van Verwerkingsverantwoordelijke.
• Plannen van afspraken en berekenen van reistijden, en het laten boeken van afspraken door klanten via boekingslinks van Verwerkingsverantwoordelijke.
• Opslag van account- en autorisatiegegevens voor zover noodzakelijk voor toegang, synchronisatie en beveiliging binnen de dienst van Verwerkingsverantwoordelijke.
• Onderhoud, monitoring en beveiliging voor zover deze rechtstreeks samenhangen met de verwerking namens Verwerkingsverantwoordelijke.

4. Categorieën persoonsgegevens en betrokkenen

Afhankelijk van het gebruik kan Verwerker de volgende gegevens verwerken:

• Betrokkenen: Medewerkers, teamleden en beheerders van Verwerkingsverantwoordelijke, en klanten en contactpersonen van Verwerkingsverantwoordelijke die in afspraken voorkomen of via een boekingslink zelf een afspraak maken.
• Gegevens van medewerkers: Naam, zakelijk e-mailadres, rol, user ID, startadres, werktijden en instellingen zoals de zichtbaarheid op de kaart.
• Agendagegevens: Onderwerp, de eerste regels van de beschrijving, datum/tijd, locatie en afgeleide coördinaten. Bij afspraken die in WayTime zelf worden gepland: de volledige omschrijving die de planner invult. Deze velden kunnen gegevens van klanten van Verwerkingsverantwoordelijke bevatten, zoals naam en adres. Van afspraken die als privé zijn gemarkeerd worden alleen de tijden verwerkt.
• Gegevens via boekingslinks: Naam, e-mailadres, (optioneel) telefoonnummer, adres van de afspraak en een eventuele opmerking van de klant die boekt.
• Planningsgegevens: Locaties (waypoints) die Verwerkingsverantwoordelijke op de kaart zet.
• Technische gegevens: Versleutelde OAuth-tokens, gehashte inlogcodes en systeemlogs voor zover noodzakelijk voor beveiliging, synchronisatie en beschikbaarheid van de dienst.
• Bijzondere persoonsgegevens: De dienst is daar niet voor bedoeld. Verwerkingsverantwoordelijke zorgt dat afspraken en boekingen geen bijzondere persoonsgegevens (zoals gezondheidsgegevens) of strafrechtelijke gegevens bevatten, tenzij Verwerkingsverantwoordelijke daarvoor zelf een wettelijke grondslag heeft.

5. Verplichtingen Verwerker

• Verwerker verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van Verwerkingsverantwoordelijke.
• Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte als een instructie naar zijn oordeel in strijd is met de AVG of andere regels over gegevensbescherming (Art. 28 lid 3 AVG).
• Verwerker waarborgt dat medewerkers met toegang tot persoonsgegevens gebonden zijn aan geheimhouding.
• Verwerker neemt passende technische en organisatorische maatregelen ter beveiliging van persoonsgegevens.
• Verwerker verwerkt niet méér persoonsgegevens dan noodzakelijk voor het afgesproken doel (dataminimalisatie).

6. Beveiligingsmaatregelen

Verwerker treft onder meer de volgende maatregelen:

• Transportbeveiliging via HTTPS/TLS.
• Versleutelde opslag van gevoelige authenticatiegegevens (zoals OAuth-tokens).
• Logische scheiding van data per organisatie (multi-tenancy).
• Toegangsbeperking op basis van rollen en need-to-know-principe.
• Monitoring en logging ten behoeve van beschikbaarheid en beveiliging.

7. Subverwerkers

Verwerkingsverantwoordelijke verleent algemene toestemming voor inzet van de onderstaande subverwerkers. Verwerker stelt Verwerkingsverantwoordelijke ten minste 30 dagen vooraf schriftelijk op de hoogte van wijzigingen (toevoeging of vervanging). Verwerkingsverantwoordelijke kan binnen die termijn gemotiveerd bezwaar maken. Komen partijen er dan niet samen uit, dan mag Verwerkingsverantwoordelijke de hoofdovereenkomst kosteloos opzeggen tegen de datum waarop de nieuwe subverwerker wordt ingezet.

Diensten waarvoor WayTime optreedt als zelfstandig verwerkingsverantwoordelijke — zoals betalingsverwerking en de afhandeling van supportvragen via de supportchat — vallen buiten de reikwijdte van deze VWO. Op dergelijke verwerkingen zijn de privacyverklaring van WayTime en de toepasselijke overeenkomsten met de betreffende dienstaanbieder van toepassing.

Voor de supportchat gebruikt WayTime OpenAI (VS, via SCC's) voor triage, taalherkenning en conceptantwoorden. Omdat support onder de eigen verantwoordelijkheid van WayTime valt, is OpenAI geen subverwerker onder deze VWO. OpenAI wordt niet gebruikt voor algemene monitoring van medewerkers of commerciële profilering. Deel in de supportchat daarom geen gegevens van klanten of medewerkers die niet nodig zijn voor de vraag.

• Verwerker legt aan subverwerkers dezelfde verplichtingen op als in deze VWO (Art. 28 lid 4 AVG).
• Verwerker blijft volledig aansprakelijk jegens Verwerkingsverantwoordelijke voor nakoming door subverwerkers.

8. Doorgifte buiten de EER

Verwerker geeft persoonsgegevens alleen door aan landen buiten de EU/EER indien voldaan is aan Hoofdstuk V AVG. De volgorde van toe te passen mechanismen is:

1. Adequaatheidsbesluit van de Europese Commissie — bijv. het EU-US Data Privacy Framework (DPF, juli 2023) voor gecertificeerde Amerikaanse partijen. Verwerker controleert de geldigheid van certificeringen periodiek.
2. Standard Contractual Clauses (SCC's) conform Commissiebesluit 2021/914 — van toepassing indien een provider niet gecertificeerd is onder een adequaatheidsbesluit.
3. Transfer Impact Assessment (TIA) — wordt uitgevoerd indien er twijfel bestaat over de effectiviteit van de toegepaste waarborg, met name bij landen met vergaande overheidstoegang tot data.

Voor doorgifte naar Zwitserland (o.a. MapTiler) geldt een adequaatheidsbesluit van de Europese Commissie. Voor doorgifte naar de VS gebruiken wij, waar nodig, SCC's met aanvullende waarborgen.

9. Datalekken en incidenten

• Verwerker meldt een (vermoedelijk) datalek zo spoedig mogelijk, uiterlijk binnen 48 uur na ontdekking schriftelijk aan Verwerkingsverantwoordelijke.
• De melding bevat, voor zover beschikbaar: de aard van het datalek, categorieën en aantal betrokkenen en persoonsgegevens, waarschijnlijke gevolgen en genomen/voorgestelde maatregelen.
• Verwerkingsverantwoordelijke is verantwoordelijk voor de wettelijke melding aan de Autoriteit Persoonsgegevens (AP) binnen 72 uur na kennisneming (Art. 33 AVG) en voor eventuele melding aan betrokkenen (Art. 34 AVG).
• Verwerker ondersteunt Verwerkingsverantwoordelijke bij meldplichten aan toezichthouders en betrokkenen en documenteert alle incidenten ten behoeve van de verantwoordingsplicht (Art. 5 lid 2 AVG).
• Datalekken meld je via info@waytime.nl.

10. Verwijdering en teruggave van gegevens

• Na afloop van de dienstverlening kiest Verwerkingsverantwoordelijke of Verwerker de persoonsgegevens teruggeeft of verwijdert (Art. 28 lid 3 sub g AVG). Wil Verwerkingsverantwoordelijke de gegevens terug, dan vraagt hij dat uiterlijk 30 dagen na het einde van de hoofdovereenkomst aan via info@waytime.nl; Verwerker levert de gegevens dan binnen 30 dagen in een gangbaar, machineleesbaar formaat en verwijdert ze daarna.
• Zonder verzoek tot teruggave verwijdert Verwerker de persoonsgegevens automatisch binnen maximaal 3 maanden na afloop van de dienstverlening. Gegevens die WayTime als zelfstandig verwerkingsverantwoordelijke bewaart, zoals supporttickets (1 jaar) en factuurgegevens (7 jaar, fiscale bewaarplicht), vallen hier niet onder; zie de privacyverklaring.
• Verwerker kan een beperkte bewaartermijn hanteren voor back-ups en hersteldoeleinden, maximaal 3 maanden, met passende beveiliging.
• Afspraken worden uiterlijk 3 maanden na het einde van de afspraak automatisch verwijderd; technische logs na 3 maanden. Dit geldt ook voor afspraken die alleen in WayTime staan; Wat langer bewaard moet worden, legt Verwerkingsverantwoordelijke zelf vast.
• Na het einde van de dienstverlening haalt Verwerker geen agenda-data meer op.

11. Rechten van betrokkenen

Verwerker ondersteunt Verwerkingsverantwoordelijke, voor zover redelijkerwijs mogelijk, bij het voldoen aan verzoeken van betrokkenen (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar).

12. Audit en informatieplicht

Verwerker stelt op verzoek informatie beschikbaar die nodig is om naleving van deze VWO aan te tonen. Audits vinden plaats op redelijke grond, met redelijke aankondiging, zonder verstoring van bedrijfsvoering en met inachtneming van vertrouwelijkheid en beveiliging.

13. DPIA (Gegevensbeschermingseffectbeoordeling)

• Bij verwerkingen met een hoog risico voor de rechten en vrijheden van betrokkenen is Verwerkingsverantwoordelijke verplicht een Data Protection Impact Assessment (DPIA) uit te voeren conform Art. 35 AVG. Dit geldt onder meer bij grootschalige of systematische verwerking van locatiegegevens.
• Verwerker verleent de benodigde medewerking aan de uitvoering van een DPIA en aan een eventuele voorafgaande raadpleging van de Autoriteit Persoonsgegevens (Art. 36 AVG), waaronder het verstrekken van informatie over verwerkingsprocessen en beveiligingsmaatregelen.

14. Functionaris voor Gegevensbescherming (FG / DPO)

Verwerkingsverantwoordelijke beoordeelt of de aanstelling van een Functionaris voor Gegevensbescherming (FG) verplicht is op grond van Art. 37 AVG, bijvoorbeeld bij grootschalige of systematische verwerking van persoonsgegevens.

Contactgegevens FG Verwerkingsverantwoordelijke (indien van toepassing): door Verwerkingsverantwoordelijke in te vullen bij aanvang van de overeenkomst.