---

1. Partijen

• Verwerkingsverantwoordelijke (“Klant”): de natuurlijke of rechtspersoon die gebruik maakt van SalonSolution.
• Verwerker:
  Schaerlaeken Steven, handelend onder de naam S-Solutions
  Gijmelsesteenweg 437, 3201 Langdorp, België
  Ondernemingsnummer / btw: BE 1031.344.283
  Contact: privacy@salonsolution.be

2. Onderwerp & duur

Deze overeenkomst regelt de verwerking van persoonsgegevens door Verwerker namens Klant in het kader van het leveren van SalonSolution. Ze geldt zolang de Klant de Dienst gebruikt.

3. Doeleinden van de verwerking en instructies

• Beheer van klanten, afspraken, medewerkers en planning.
• Communicatie via e-mail en/of SMS op instructie van de Klant.
• Kassa, rapportering en administratieve functies.
• Beveiliging, logging, support en incidentopvolging.

Verwerker verwerkt de persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Klant, zoals vastgelegd in deze overeenkomst en in de configuratie en het gebruik van de Dienst door de Klant, tenzij een op Verwerker rustende wettelijke verplichting anders vereist. In dat laatste geval stelt Verwerker de Klant vooraf in kennis van die verplichting, tenzij de wet die kennisgeving verbiedt. Verwerker informeert de Klant onmiddellijk indien een instructie naar zijn mening in strijd is met de AVG of andere gegevensbeschermingsregels.

4. Beveiliging en vertrouwelijkheid

• HTTPS/TLS voor alle dataverkeer.
• Technische scheiding per klant (afzonderlijke database per tenant).
• Wachtwoorden gehasht volgens Laravel best practices.
• Rol- en rechtenbeheer (least privilege).

Verwerker waarborgt dat iedere persoon die onder zijn gezag toegang heeft tot de persoonsgegevens van de Klant, gebonden is aan een contractuele of wettelijke vertrouwelijkheidsplicht en de gegevens uitsluitend verwerkt voor zover dat nodig is voor het leveren van de Dienst.

5. Subverwerkers

Verwerker maakt gebruik van onderstaande subverwerkers. Met elk van hen zijn passende contractuele waarborgen afgesloten. Waar verwerking buiten de Europese Economische Ruimte kan plaatsvinden, gebeurt de doorgifte op basis van de standaardcontractbepalingen van de Europese Commissie.

Altijd van toepassing

• Laravel Cloud , hosting van applicatie en database, en back-ups. Binnen de EER (Frankfurt).
• Cloudflare , opslag van bestanden en bijlagen, via de objectopslag van Laravel Cloud. Binnen de EER.
• Postmark , verzending van transactionele en marketing-e-mail. Verwerking mogelijk buiten de EER.
• Stripe , verwerking van abonnementsbetalingen. Verwerking mogelijk buiten de EER.
• Mollie , verwerking van betalingen aan de kassa en online. Binnen de EER.

Enkel wanneer de Klant de betrokken functie gebruikt

• Twilio , verzending van SMS-herinneringen en -berichten. Verwerking mogelijk buiten de EER.
• Google (Firebase Cloud Messaging) , pushberichten naar de mobiele app. Verwerking mogelijk buiten de EER.
• Google Calendar , synchronisatie met een externe agenda, per medewerker in te schakelen. Verwerking mogelijk buiten de EER.
• Google Maps , berekening van reisafstand en reistijd bij afspraken aan huis. Verwerking mogelijk buiten de EER.
• Meta (WhatsApp Business Platform) , ontvangst en verzending van WhatsApp-berichten voor de WhatsApp-receptionist. Verwerking mogelijk buiten de EER.
• Anthropic , verwerking van tekst voor de AI-assistent en AI-ondersteunde marketingteksten. Verwerking mogelijk buiten de EER.
• Mailchimp , beheer van nieuwsbriefinschrijvingen wanneer de Klant zijn account koppelt. Verwerking mogelijk buiten de EER.

Verwerker informeert de Klant vooraf over de toevoeging of vervanging van een subverwerker. De Klant kan daartegen op redelijke gronden bezwaar maken.

6. Bewaartermijnen

De persoonsgegevens die de Klant in de Dienst invoert, worden bewaard zolang de Klant dat wenst. De Klant bepaalt als verwerkingsverantwoordelijke welke gegevens hij bewaart en wanneer hij ze verwijdert.

Voor gegevens die Verwerker zelf genereert gelden vaste termijnen:

• Facturatiegegevens: minstens 7 jaar, op grond van de wettelijke bewaarplicht.
• Audit logs: maximaal 90 dagen.
• Logs van API-verkeer: maximaal 30 dagen.
• Applicatie- en foutlogs: maximaal 14 dagen.
• Databaseback-ups: dagelijks, maximaal 7 dagen bewaard.

7. Einde van de overeenkomst

Na beëindiging blijft het account nog 120 dagen beschikbaar voor heractivering. Gedurende die periode kan de Klant zijn gegevens exporteren via de exportfuncties in de applicatie. Na afloop van die termijn worden de persoonsgegevens verwijderd, met uitzondering van de minimale boekhoudkundige gegevens die Verwerker wettelijk moet bewaren (zoals bedrijfsnaam, btw-nummer en factuurreferenties).

De Klant kan tijdens die periode ook schriftelijk vragen om de gegevens vervroegd te verwijderen. Verwerker voert dat uit binnen 30 dagen na het verzoek.

8. Datalekken

Verwerker stelt de Klant zonder onredelijke vertraging en uiterlijk binnen 48 uur na vaststelling op de hoogte van een inbreuk in verband met persoonsgegevens die de gegevens van de Klant raakt. Die termijn ligt bewust ruim binnen de 72 uur waarover de Klant zelf beschikt om te melden aan de toezichthoudende autoriteit.

De melding bevat, voor zover bekend, de aard van de inbreuk, de betrokken categorieën gegevens, de vermoedelijke gevolgen en de genomen of voorgestelde maatregelen. Ontbrekende informatie wordt zodra ze beschikbaar is nagestuurd. Verwerker verleent de Klant redelijke medewerking bij diens eigen meldingsplicht.

9. Controle en verantwoording

Verwerker stelt de Klant op verzoek alle informatie ter beschikking die nodig is om de naleving van deze overeenkomst aan te tonen. Zo'n verzoek wordt binnen 30 dagen beantwoord.

Rekening houdend met de aard van de verwerking en de informatie waarover hij beschikt, verleent Verwerker de Klant daarnaast redelijke bijstand bij het uitvoeren van gegevensbeschermingseffectbeoordelingen (DPIA's) en bij een eventuele voorafgaande raadpleging van de toezichthoudende autoriteit (art. 35 en 36 AVG).

De Klant heeft daarnaast het recht om ten hoogste eenmaal per jaar een audit te laten uitvoeren, door hemzelf of door een onafhankelijke derde die tot geheimhouding gehouden is. Dat gebeurt na een aankondiging van minstens 30 dagen, tijdens kantooruren, en zonder de dienstverlening aan andere klanten te verstoren. Bij een vastgestelde inbreuk draagt Verwerker de kosten; in de overige gevallen draagt de Klant de redelijke kosten van de audit.

10. Rechten van betrokkenen

Verwerker verleent de Klant redelijke medewerking bij het beantwoorden van verzoeken van betrokkenen over inzage, verbetering, verwijdering, beperking of overdraagbaarheid. Richt een betrokkene zich rechtstreeks tot Verwerker, dan verwijst Verwerker die door naar de Klant en brengt hij de Klant daarvan op de hoogte.

11. Toepasselijk recht

Op deze overeenkomst is Belgisch recht van toepassing. Geschillen behoren tot de bevoegdheid van de rechtbanken van Leuven (België).