Verwerkersovereenkomst (DPA)

Versie: 19 juli 2026 (concept)

Inleiding

Deze verwerkersovereenkomst ('Overeenkomst') regelt de verwerking van persoonsgegevens door FlexBookz – VOF ('FlexBookz', 'Verwerker') in opdracht van de salon of onderneming die gebruikmaakt van het FlexBookz-platform ('Klant', 'Verwerkingsverantwoordelijke'). Deze Overeenkomst vormt een aanvulling op onze Algemene Voorwaarden en is van toepassing op alle verwerking van persoonsgegevens van eindklanten van de Klant via het FlexBookz-platform.

1. Onderwerp en duur van de verwerking

FlexBookz verwerkt persoonsgegevens uitsluitend ten behoeve van het leveren van de boekingssoftware aan de Klant, zoals beschreven in de Algemene Voorwaarden en de Privacyverklaring. De verwerking duurt zolang de Klant een actief account heeft bij FlexBookz en eindigt overeenkomstig sectie 10 (Teruggave en verwijdering van gegevens) na beëindiging van de overeenkomst.

2. Aard en doel van de verwerking

FlexBookz verwerkt persoonsgegevens namens de Klant voor de volgende doeleinden:

• Het beheren van afspraken, boekingen en agenda's
• Het beheren van klantprofielen en klantgeschiedenis
• Het verwerken van betalingen en aanbetalingen via de door de Klant gekozen betaalprovider
• Het versturen van herinneringen, bevestigingen en (indien geactiveerd) marketingcommunicatie namens de Klant
• Het verzamelen van antwoorden op intake-formulieren die de Klant zelf inricht
• Klantenondersteuning en technisch beheer van het platform

3. Categorieën van betrokkenen en persoonsgegevens

De verwerking heeft betrekking op de volgende categorieën betrokkenen:

• Eindklanten van de Klant (de personen die bij de salon een afspraak boeken)
• Medewerkers van de Klant die het FlexBookz-platform gebruiken

De volgende categorieën persoonsgegevens kunnen worden verwerkt:

• Naam, e-mailadres en telefoonnummer
• Afspraak-, boekings- en behandelgeschiedenis
• Betaalstatus en betaalreferenties (geen volledige kaart- of bankgegevens)
• Door de Klant zelf geconfigureerde intake-formuliergegevens
• Vrije tekstvelden zoals klant- of afspraaknotities die medewerkers van de Klant invoeren

Voor sommige branches (bijvoorbeeld tatoeagestudio's, pedicurepraktijken en massagepraktijken) kan de Klant intake-formulieren inrichten die bijzondere persoonsgegevens in de zin van artikel 9 AVG bevatten, zoals gegevens over allergieën, huidaandoeningen of medische voorgeschiedenis. Zie onze aparte pagina over gezondheidsgegevens via intake-formulieren voor meer uitleg hierover.

4. Rollen en verplichtingen

De Klant is verwerkingsverantwoordelijke en is onder meer verantwoordelijk voor:

• Het hebben van een rechtsgrondslag voor alle verwerking van persoonsgegevens van zijn eindklanten
• Het informeren van eindklanten over de verwerking, bijvoorbeeld via een eigen privacyverklaring
• Het verkrijgen van eventueel vereiste uitdrukkelijke toestemming, bijvoorbeeld bij het verwerken van bijzondere persoonsgegevens via intake-formulieren
• Het beheren van gebruikersrechten en toegang binnen zijn eigen account

FlexBookz is verwerker en verplicht zich onder meer tot:

• Het verwerken van persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Klant
• Het waarborgen van vertrouwelijkheid bij medewerkers die toegang hebben tot persoonsgegevens
• Het treffen van passende technische en organisatorische beveiligingsmaatregelen (zie sectie 6)
• Het inschakelen van subverwerkers uitsluitend onder de voorwaarden van sectie 5
• Het bijstaan van de Klant bij verzoeken van betrokkenen (zie sectie 7)
• Het melden van datalekken aan de Klant (zie sectie 8)

5. Subverwerkers

FlexBookz maakt gebruik van de volgende subverwerkers voor de levering van het platform:

• Supabase — Hosting, database en authenticatie (servers binnen de EU)
• Stripe — Betaalverwerking (optioneel, indien door de Klant geactiveerd)
• Mollie — Betaalverwerking (optioneel, indien door de Klant geactiveerd)
• Pay.nl — Betaalverwerking (optioneel, indien door de Klant geactiveerd)
• SumUp — Betaalverwerking, waaronder kaartlezers (optioneel, indien door de Klant geactiveerd)
• Klaviyo — E-mailmarketing en geautomatiseerde communicatie (optioneel, alleen voor eindklanten die hiervoor toestemming hebben gegeven)
• Twilio — Sms-notificaties (optioneel, indien door de Klant geactiveerd)
• Expo, Apple en Google — Afleveren van pushnotificaties in de FlexBookz-app

Deze lijst wordt actueel gehouden naarmate FlexBookz nieuwe subverwerkers inschakelt of vervangt. FlexBookz zal de Klant informeren over materiële wijzigingen in deze lijst, zodat de Klant hiertegen bezwaar kan maken conform de AVG.

6. Technische en organisatorische beveiligingsmaatregelen

FlexBookz treft onder meer de volgende maatregelen om persoonsgegevens te beschermen:

• Row Level Security (RLS) op databaseniveau bij Supabase: elke Klant kan uitsluitend bij de eigen accountgegevens, afgedwongen op basis van rol- en permissiecontroles binnen het platform
• Toegang tot gevoelige functies, zoals intake-formulieren, is beperkt tot medewerkers van de Klant met de juiste rol of permissie binnen het account
• Versleutelde verbindingen (TLS/HTTPS) voor al het gegevensverkeer tussen gebruiker, platform en database
• Opslag bij Supabase, dat versleuteling van gegevens 'at rest' toepast als onderdeel van hun standaardinfrastructuur; dit dient nog te worden bevestigd aan de hand van Supabase's eigen documentatie en verwerkersovereenkomst
• Geen opslag van volledige creditcard- of bankgegevens door FlexBookz zelf; betaalgegevens worden verwerkt door de betaalprovider

7. Bijstand bij rechten van betrokkenen

Voor zover de Klant een verzoek niet zelfstandig binnen het platform kan afhandelen, verleent FlexBookz de Klant redelijke bijstand bij het beantwoorden van verzoeken van betrokkenen, zoals inzage, correctie, verwijdering of dataportabiliteit, zodat de Klant kan voldoen aan zijn verplichtingen als verwerkingsverantwoordelijke.

8. Meldplicht datalekken

FlexBookz stelt de Klant zonder onredelijke vertraging op de hoogte nadat FlexBookz kennis heeft genomen van een beveiligingsincident dat leidt tot een inbreuk in verband met persoonsgegevens die FlexBookz namens de Klant verwerkt, zodat de Klant zelf kan beoordelen of en hoe een melding aan de Autoriteit Persoonsgegevens en/of betrokkenen nodig is. De exacte meldtermijn en het proces worden nader vastgelegd na juridische beoordeling van deze Overeenkomst.

9. Auditrecht

De Klant heeft het recht om, na voorafgaand redelijk overleg, informatie op te vragen waarmee FlexBookz aantoont dat zij aan deze Overeenkomst voldoet. De exacte vorm van dit auditrecht, bijvoorbeeld op basis van vragenlijsten, rapportages of een externe audit, wordt nader uitgewerkt na juridische beoordeling.

10. Teruggave en verwijdering van gegevens

Na beëindiging van de overeenkomst tussen FlexBookz en de Klant worden de persoonsgegevens van de Klant verwijderd binnen de termijn die is vermeld in de Privacyverklaring (in beginsel binnen 30 dagen na opzegging), tenzij een langere bewaartermijn wettelijk verplicht is, bijvoorbeeld voor facturatiegegevens. Op verzoek van de Klant kan FlexBookz, voor zover technisch mogelijk, een export van de gegevens beschikbaar stellen voorafgaand aan verwijdering.

11. Aansprakelijkheid

De aansprakelijkheid van FlexBookz onder deze Overeenkomst is beperkt overeenkomstig de aansprakelijkheidsbepalingen in de Algemene Voorwaarden.

Dit aansprakelijkheidsartikel is generiek opgesteld en vereist nog specifieke juridische input, met name over de verdeling van aansprakelijkheid tussen Klant en FlexBookz bij overtredingen van de AVG.

12. Contact

FlexBookz – Zonnelaan 13, 7771ER Hardenberg, Nederland

legal@flexbookz.com | +31 618994895