1. Partijen en rollen
Deze verwerkersovereenkomst geldt tussen:
- Verwerkingsverantwoordelijke: Penterra, Stadskanaal, KvK 42145718, BTW-id NL102801046B01 (programma KnoalPas / knoalpas.nl) — hierna “KnoalPas”;
- Verwerker: de deelnemende zaak die via de KnoalPas-app of scantelfoon persoonsgegevens verwerkt in het kader van sparen, inwisselen of knoalbonnen — hierna “de Zaak”.
Door akkoord te gaan met de deelnemersvoorwaarden bij aanmelding, accepteert de Zaak ook deze verwerkersovereenkomst. Zij vormt een bijlage bij die voorwaarden.
De Zaak blijft zelf verwerkingsverantwoordelijke voor haar eigen kassa-, klant- en boekhoudgegevens buiten de KnoalPas-app.
2. Onderwerp
De Zaak verwerkt persoonsgegevens uitsluitend voor zover nodig om KnoalPas-scans en -mutaties uit te voeren: vaststellen dat een pas of knoalbon geldig is, het uitvoeren van spaar-/inwisselacties, en het tonen van de voor die actie benodigde bevestiging.
3. Gegevenscategorieën
- pasnummer / publieke token (geen volledige chipsleutel naar de Zaak);
- puntenmutatie en bedragen die bij de scan horen;
- status van een knoalbon bij verkoop of inwisseling;
- geen volledige klantdossiers: de Zaak ziet geen wachtwoorden en geen volledige accountgeschiedenis van andere zaken.
Betrokkenen zijn in beginsel pasgebruikers (consumenten) van KnoalPas in Stadskanaal.
4. Instructies en verboden
De Zaak verwerkt alleen volgens de instructies van KnoalPas (de app-flows en deze overeenkomst). De Zaak mag gegevens uit de KnoalPas-app niet gebruiken voor eigen marketing, niet doorverkopen, en niet langer bewaren dan nodig voor de scanhandeling of wettelijke plicht van de Zaak zelf.
5. Beveiliging
De Zaak zorgt er in redelijkheid voor dat:
- alleen bevoegd personeel de scantelfoon / zaak-login gebruikt;
- wachtwoorden en sessies niet worden gedeeld;
- apparaten met toegang tot KnoalPas adequaat zijn beveiligd;
- verlies of diefstal van een scantelfoon of inlog zo snel mogelijk wordt gemeld.
KnoalPas beveiligt de centrale systemen (HTTPS, gehashte wachtwoorden, toegangsbeheer) zoals beschreven in de privacyverklaring.
6. Subverwerkers van KnoalPas
KnoalPas mag subverwerkers inschakelen voor hosting, database (Penterra Data), e-mail en back-ups, zoals genoemd in de privacyverklaring. Bij een wezenlijke wijziging van subverwerkers informeert KnoalPas via knoalpas.nl of per e-mail.
De Zaak schakelt geen eigen subverwerkers in voor KnoalPas-gegevens zonder voorafgaande schriftelijke toestemming van KnoalPas.
7. Datalekprocedure
Vermoedt of ontdekt de Zaak een datalek of beveiligingsincident met betrekking tot KnoalPas-gegevens (bijv. gestolen scantelfoon met open sessie, onbevoegde login), dan meldt de Zaak dit onverwijld — en waar mogelijk binnen 24 uur — aan KnoalPas via info@knoalpas.nl of knoalpas.nl, met de bekende feiten: aard, omvang, getroffen gegevens en genomen maatregelen.
KnoalPas beoordeelt of melding aan de Autoriteit Persoonsgegevens en/of betrokkenen nodig is en coördineert die melding als verantwoordelijke.
8. Bewaartermijnen
Centraal bij KnoalPas gelden de termijnen uit de privacyverklaring (o.a. transacties 7 jaar, auditlogs 12 maanden, back-ups 30 dagen). De Zaak bewaart geen kopieën van KnoalPas-klantdata buiten wat de app toont, tenzij de Zaak dat voor haar eigen administratie wettelijk moet.
9. Assistentie en audit
De Zaak verleent redelijke medewerking aan AVG-verzoeken van betrokkenen die via KnoalPas binnenkomen en aan redelijke controles door KnoalPas op naleving van deze overeenkomst.
10. Duur en einde
Deze overeenkomst loopt zolang de Zaak deelnemer is. Bij einde van de deelname stopt de Zaak met verwerken via KnoalPas. Openstaande facturen blijven verschuldigd volgens de deelnemersvoorwaarden (IBAN NL67 BUNQ 2210 2341 66).
11. Recht
Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in Nederland.