Verwerkersovereenkomst (DPA) — Caravel Sites

Versie 1.0. Datum van inwerkingtreding: in herziening

Deze overeenkomst wordt herzien. Punten gemarkeerd met in herziening worden nog bevestigd en kunnen wijzigen voordat de overeenkomst in werking treedt. De Portugese versie heeft voorrang in herziening.

Deze overeenkomst volgt artikel 28, lid 3, van Verordening (EU) 2016/679 (algemene verordening gegevensbescherming, "AVG") en gebruikt als referentie de modelcontractbepalingen tussen verwerkingsverantwoordelijken en verwerkers die de Europese Commissie heeft vastgesteld bij Uitvoeringsbesluit (EU) 2021/915 van de Commissie van 4 juni 2021 (PB L 199 van 7.6.2021, blz. 18). Zij volgt de structuur van de verwerkersovereenkomst van de Caravel-apps (https://caravelsuite.com/nl/legal/dpa/, versie 1.1 van 01/11/2026), aangepast aan de dienst Caravel Sites.

Officiële bronnen:

• AVG — EUR-Lex, CELEX 32016R0679: https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32016R0679
• Uitvoeringsbesluit (EU) 2021/915 — CELEX 32021D0915: https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32021D0915
• Uitvoeringsbesluit (EU) 2021/914 (modelcontractbepalingen voor doorgiften naar derde landen) — CELEX 32021D0914: https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32021D0914
• Portugese wet nr. 58/2019 van 8 augustus (uitvoering van de AVG): https://diariodarepublica.pt/dr/detalhe/lei/58-2019-123815982
• EDPB-richtsnoeren 07/2020 over de begrippen "verwerkingsverantwoordelijke" en "verwerker" in de AVG (versie 2.0, 7 juli 2021): https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_nl

Partijen

1. De Klant — de natuurlijke persoon of rechtspersoon die zich abonneert op de dienst Caravel Sites, geïdentificeerd in zijn account en op zijn factuur ("Verwerkingsverantwoordelijke" of "Klant").
2. Jardim Idílico Unipessoal Lda, handelend onder de naam Caravel Suite, btw-/fiscaal nummer PT518764532, statutaire zetel te Rua da Póvoa, n.º 775, Fração L, Zona Industrial de Amorim, 4495-121 Póvoa de Varzim, Portugal, ingeschreven in het handelsregister onder nr. 518764532, contact caravel@caravelsuite.com ("Verwerker" of "Caravel").

Clausule 1 — Onderwerp en toepassingsgebied

1. Deze overeenkomst regelt de verwerking van persoonsgegevens die Caravel namens de Klant uitvoert bij het verlenen van de dienst Caravel Sites: het bouwen, hosten en onderhouden van de website van de Klant en in het bijzonder het ontvangen, opslaan en aan de Klant bezorgen van de berichten die bezoekers via de contact- en reserveringsaanvraagformulieren van de site versturen, beschikbaar in het dashboard van Caravel Sites.
2. Op grond van artikel 4, punten 7 en 8, en artikel 28 van de AVG is de Klant de verwerkingsverantwoordelijke voor die gegevens en is Caravel de verwerker ervan.
3. Deze overeenkomst is niet van toepassing op — die vallen onder het privacybeleid van caravelsuite.com (https://caravelsuite.com/nl/legal/privacy/) — de gegevens die Caravel als verwerkingsverantwoordelijke verwerkt in haar relatie met de Klant zelf: account, facturering, abonnementsbetalingen (verwerkt door Stripe), ondersteuning en correspondentie.
4. Deze overeenkomst maakt deel uit van de verkoopvoorwaarden van Caravel Sites (Gebruiksvoorwaarden, https://caravelsuite.com/nl/legal/terms/). Bij strijdigheid op het gebied van gegevensbescherming heeft deze overeenkomst voorrang (vgl. clausule 4 van de bijlage bij Uitvoeringsbesluit (EU) 2021/915).
5. Deze overeenkomst wordt elektronisch gesloten, wat artikel 28, lid 9, van de AVG als schriftelijke vorm aanvaardt.

Clausule 2 — Looptijd

1. Deze overeenkomst treedt in werking wanneer de Klant haar aanvaardt (bij de aankoop of bij de registratie van het Caravel Sites-account) en blijft van kracht zolang Caravel namens de Klant persoonsgegevens verwerkt.
2. Zij blijft na het einde van het abonnement van kracht totdat de wissing of teruggave overeenkomstig clausule 10 is voltooid.

Clausule 3 — Aard, doel, categorieën van gegevens en betrokkenen

Volledige beschrijving in Bijlage I. Samengevat:

• Aard: verzameling via de formulieren van de site, vastlegging, opslag, raadpleging door de Klant in het dashboard, kennisgeving per e-mail aan de Klant, back-up, wissing.
• Doel: de Klant in staat stellen contactverzoeken te ontvangen en te beantwoorden en reserveringsaanvragen van bezoekers van zijn site te beheren.
• Betrokkenen: bezoekers van de site van de Klant die een formulier indienen (potentiële klanten, gasten, restaurantbezoekers).
• Gegevens: naam, e-mailadres, telefoonnummer, datum, tijdstip, aantal personen, berichttekst; technische gegevens van de indiening (datum en tijdstip; in herziening).
• Bijzondere categorieën (art. 9 AVG): de dienst vraagt er niet om. Het berichtveld is vrije tekst en een bezoeker kan daarin op eigen initiatief gezondheidsinformatie vermelden (bijv. allergieën of beperkte mobiliteit). De Klant mag geen velden instellen die om zulke gegevens vragen zonder een eigen rechtsgrond op grond van artikel 9, lid 2.

Clausule 4 — Gedocumenteerde instructies

1. Caravel verwerkt de gegevens uitsluitend op basis van gedocumenteerde instructies van de Klant, onder meer met betrekking tot doorgiften naar derde landen, tenzij een op Caravel toepasselijke bepaling van Unierecht of Portugees recht haar tot verwerking verplicht; in dat geval stelt Caravel de Klant daarvan vooraf in kennis, tenzij de wet dat verbiedt (art. 28, lid 3, punt a), AVG; clausule 7.1 van de bijlage bij Besluit 2021/915).
2. Gedocumenteerde instructies zijn: deze overeenkomst; de instellingen van de Klant in het dashboard (formuliervelden, e-mailadres voor kennisgevingen, bewaartermijn); en verzoeken die de Klant per e-mail verstuurt vanaf het aan het account gekoppelde adres.
3. Caravel stelt de Klant onmiddellijk in kennis indien een instructie naar haar mening inbreuk oplevert op de AVG of op andere bepalingen inzake gegevensbescherming (art. 28, lid 3, laatste alinea, AVG).
4. Caravel gebruikt de gegevens niet voor eigen doeleinden — waaronder reclame, profilering, verkoop of het trainen van modellen voor artificiële intelligentie — en combineert ze niet met gegevens van andere klanten. Zou zij dat wel doen, dan wordt zij met betrekking tot die verwerking als verwerkingsverantwoordelijke beschouwd (art. 28, lid 10, AVG).

Clausule 5 — Vertrouwelijkheid

1. Caravel waarborgt dat de tot het verwerken van de gegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting tot vertrouwelijkheid zijn gebonden (art. 28, lid 3, punt b), AVG).
2. De toegang is beperkt tot wat strikt noodzakelijk is om de dienst te verlenen, te onderhouden en te ondersteunen. in herziening

Clausule 6 — Beveiliging van de verwerking (art. 32 AVG)

1. Caravel neemt de in Bijlage II beschreven technische en organisatorische maatregelen, die passend zijn voor het risico, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, de omvang, de context en de verwerkingsdoeleinden (art. 28, lid 3, punt c), en art. 32 AVG).
2. Caravel mag die maatregelen bijwerken, mits het beveiligingsniveau niet wordt verlaagd.
3. Caravel beroept zich niet op certificeringen (zoals ISO/IEC 27001) die zij niet bezit.
4. De Klant is verantwoordelijk voor de bescherming van de inloggegevens van zijn dashboard en van zijn e-mailadres voor kennisgevingen, en voor het niet vragen van meer gegevens in de formulieren dan hij nodig heeft (art. 5, lid 1, punt c), AVG).

Clausule 7 — Subverwerkers

1. De Klant verleent Caravel een algemene toestemming om de in Bijlage III vermelde subverwerkers in te schakelen (art. 28, lid 2, AVG; clausule 7.7, optie 2, van de bijlage bij Besluit 2021/915).
2. Caravel stelt de Klant ten minste 30 dagen van tevoren in herziening per e-mail in kennis van elke voorgenomen toevoeging of vervanging van subverwerkers en houdt de lijst op haar website actueel.
3. De Klant kan binnen die termijn schriftelijk bezwaar maken op redelijke gronden die verband houden met gegevensbescherming. Wordt het bezwaar niet opgelost, dan kan de Klant het abonnement opzeggen voordat de wijziging ingaat, zonder boete, met terugbetaling van het betaalde en niet-gebruikte deel van de lopende periode in herziening.
4. Caravel legt elke subverwerker bij overeenkomst gegevensbeschermingsverplichtingen op die gelijkwaardig zijn aan die in deze overeenkomst, in het bijzonder afdoende garanties inzake beveiliging, en blijft jegens de Klant volledig aansprakelijk voor de nakoming daarvan (art. 28, lid 4, AVG).
5. Bij een beveiligingsnoodgeval of plotselinge stopzetting van een dienstverlener mag Caravel de vervanging met een kortere termijn doorvoeren, waarbij zij de Klant zo spoedig mogelijk informeert en het recht van bezwaar behouden blijft.

Clausule 8 — Bijstand aan de Klant

1. Rechten van betrokkenen (art. 12–22 AVG): rekening houdend met de aard van de verwerking verleent Caravel de Klant door middel van passende technische en organisatorische maatregelen bijstand bij het beantwoorden van verzoeken om inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar (art. 28, lid 3, punt e), AVG; clausule 8 van de bijlage bij Besluit 2021/915). In het dashboard kan de Klant berichten bekijken, exporteren en verwijderen in herziening. Ontvangt Caravel een verzoek rechtstreeks van een betrokkene, dan stuurt zij het onverwijld door naar de Klant en beantwoordt zij het niet, tenzij de Klant haar daartoe instrueert.
2. Andere verplichtingen: Caravel verstrekt de Klant de informatie die redelijkerwijs nodig is om te voldoen aan de artikelen 32 tot en met 36 van de AVG (beveiliging, inbreuken, effectbeoordeling en voorafgaande raadpleging), rekening houdend met de aard van de verwerking en de beschikbare informatie (art. 28, lid 3, punt f), AVG).
3. Caravel houdt een register bij van de verwerkingsactiviteiten die zij namens haar klanten uitvoert (art. 30, lid 2, AVG).

Clausule 9 — Inbreuken in verband met persoonsgegevens

1. Caravel stelt de Klant zonder onredelijke vertraging in kennis nadat zij kennis heeft genomen van een inbreuk in verband met persoonsgegevens die de gegevens van de Klant betreft (art. 33, lid 2, AVG), en in ieder geval uiterlijk binnen 24 uur, per e-mail aan het adres van het account (dezelfde termijn als in de verwerkersovereenkomst van de Caravel-apps).
2. De kennisgeving bevat, voor zover mogelijk en eventueel in fasen: de aard van de inbreuk, de categorieën en het bij benadering aantal betrokkenen en betrokken registers van persoonsgegevens, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen en een contactpunt voor meer informatie (art. 33, lid 3, AVG; clausule 9.2 van de bijlage bij Besluit 2021/915).
3. De melding aan de toezichthoudende autoriteit (in Portugal de CNPD) binnen 72 uur en de mededeling aan betrokkenen (art. 33 en 34 AVG) vallen onder de verantwoordelijkheid van de Klant. Caravel verleent bijstand met de informatie waarover zij beschikt.
4. Referentie: EDPB-richtsnoeren 9/2022 inzake de melding van inbreuken in verband met persoonsgegevens krachtens de AVG (versie 2.0, 28 maart 2023): https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-92022-personal-data-breach-notification-under_nl

Clausule 10 — Bewaring, wissing en teruggave

1. Tijdens het abonnement: formulierberichten worden automatisch verwijderd wanneer zij de door de Klant in het dashboard ingestelde bewaartermijn bereiken, standaard 180 dagen in herziening. De Klant kan ze eerder verwijderen.
2. Aan het einde van het abonnement (opzegging of niet-betaling, overeenkomstig de verkoopvoorwaarden: opschorting 15 dagen na de vervaldatum en wissing 60 dagen later, met voorafgaande kennisgeving) zal Caravel, naar keuze van de Klant, de gegevens teruggeven (export in een gangbaar formaat zoals CSV in herziening) en de rest wissen, tenzij opslag krachtens Unierecht of Portugees recht verplicht is (art. 28, lid 3, punt g), AVG; clausule 10, punt d), van de bijlage bij Besluit 2021/915). Doet de Klant geen verzoek, dan worden de gegevens gewist aan het einde van de in de verkoopvoorwaarden vastgestelde termijn.
3. Gewiste gegevens verdwijnen uit de versleutelde back-ups aan het einde van de bewaarcyclus van de back-ups, tot in herziening weken. Tot dat moment worden de back-ups alleen gebruikt voor herstel na een incident.
4. Caravel bevestigt de wissing op verzoek van de Klant schriftelijk.

Clausule 11 — Aantonen van naleving en audits

1. Caravel stelt de Klant de informatie ter beschikking die nodig is om de naleving van artikel 28 van de AVG aan te tonen (art. 28, lid 3, punt h), AVG; clausule 7.6 van de bijlage bij Besluit 2021/915), in de eerste plaats schriftelijk (antwoorden op vragenlijsten en een actuele beschrijving van de maatregelen van Bijlage II).
2. Is die informatie ontoereikend, of verlangt een toezichthoudende autoriteit dit, dan kan de Klant een audit, met inbegrip van inspecties, uitvoeren of laten uitvoeren door een onafhankelijke auditor die tot vertrouwelijkheid is gehouden, ten hoogste eenmaal per jaar en met een voorafgaande kennisgeving van 30 dagen, behalve bij een inbreuk in verband met persoonsgegevens of een bevel van een autoriteit. Elke partij draagt haar eigen kosten in herziening.
3. Een audit mag geen toegang geven tot gegevens van andere klanten en mag de beveiliging van de dienst niet in gevaar brengen.

Clausule 12 — Internationale doorgiften

1. Formuliergegevens worden gehost op servers in de Europese Unie (in herziening, zie Bijlage III).
2. Caravel geeft de gegevens niet door buiten de Europese Economische Ruimte, behalve wanneer een in Bijlage III vermelde subverwerker dat doet. In dat geval vindt de doorgifte uitsluitend plaats op basis van een adequaatheidsbesluit (art. 45 AVG — bijv. voor de Verenigde Staten het EU-VS-kader voor gegevensbescherming (EU-US Data Privacy Framework), Uitvoeringsbesluit (EU) 2023/1795, voor gecertificeerde entiteiten) of van passende waarborgen, in het bijzonder de modelcontractbepalingen van de Commissie vastgesteld bij Uitvoeringsbesluit (EU) 2021/914 (art. 46, lid 2, punt c), AVG).
3. Caravel informeert de Klant overeenkomstig clausule 7 voordat zij een nieuwe doorgifte invoert.

Clausule 13 — Aansprakelijkheid, voorrang, toepasselijk recht en bevoegde rechter

1. Elke partij is aansprakelijk overeenkomstig artikel 82 van de AVG. Tussen de partijen geldt de aansprakelijkheidsbeperking uit de Gebruiksvoorwaarden (het in de voorgaande 12 maanden betaalde bedrag, behalve bij opzet of grove nalatigheid), voor zover de wet dit toestaat en onverminderd de rechten van betrokkenen in herziening.
2. Bij strijdigheid tussen deze overeenkomst en andere tussen de partijen overeengekomen voorwaarden heeft deze overeenkomst voorrang op het gebied van gegevensbescherming.
3. Toepasselijk recht: Portugees recht, met inbegrip van de AVG en wet nr. 58/2019. Bevoegde rechter: de rechtbanken van het arrondissement Porto, onverminderd dwingende bepalingen.
4. Caravel mag deze overeenkomst bijwerken om wettelijke wijzigingen of wijzigingen in de dienst te weerspiegelen, waarbij zij de Klant 30 dagen van tevoren per e-mail in kennis stelt; wijzigingen die de bescherming van de gegevens verminderen, vereisen de instemming van de Klant.

Bijlage I — Beschrijving van de verwerking

Bijlage II — Technische en organisatorische maatregelen (art. 32 AVG)

Alleen bestaande maatregelen worden vermeld. Punten gemarkeerd met in herziening moeten vóór publicatie op de server van Caravel Sites worden gecontroleerd.

1. Versleuteling tijdens de overdracht: alle sites en het dashboard worden uitsluitend via HTTPS (TLS) aangeboden, met een certificaat voor het domein van de Klant; HTTP wordt omgeleid naar HTTPS.
2. Scheiding per klant: de gegevens van elke Klant worden gescheiden gehouden van die van andere klanten in herziening; elk dashboardaccount ziet alleen de berichten van zijn eigen site.
3. Versleutelde back-ups: automatische back-ups in herziening.
4. Instelbare bewaartermijn en automatische verwijdering: het dashboard verwijdert berichten wanneer zij de door de Klant ingestelde termijn bereiken (standaard 180 dagen).
5. Minimalisering: formulieren vragen alleen de noodzakelijke velden; velden zijn instelbaar; sites gebruiken geen cookies of trackers van derden in herziening.
6. Toegangscontrole: beheerderstoegang tot de server uitsluitend met SSH-sleutel in herziening; firewall; database niet blootgesteld aan het internet in herziening; toegang tot het dashboard met individueel wachtwoord in herziening.
7. Bescherming tegen misbruik van formulieren: in herziening.
8. Logbestanden: serverlogbestanden slaan de inhoud van berichten niet op in herziening; bewaring van logbestanden in herziening.
9. Personen: toegang beperkt tot wie die nodig heeft; verbintenis tot vertrouwelijkheid (clausule 5).
10. Reactie op incidenten: procedure voor analyse, inperking en kennisgeving aan de Klant binnen 24 uur (clausule 9).
11. Updates: systeem en afhankelijkheden worden regelmatig bijgewerkt in herziening.

Bijlage III — Toegestane subverwerkers

Geen subverwerkers in de zin van deze overeenkomst:

• Stripe — verwerkt de abonnementsbetalingen van de Klant aan Caravel. Ontvangt geen gegevens over bezoekers van de site. Valt onder het privacybeleid van caravelsuite.com.
• De domeinregistrar en de eigen e-mailprovider van de Klant — gecontracteerd door de Klant (het domein is op naam van de Klant geregistreerd).