Verwerkersovereenkomst HorecaMelder

Versie 3 oktober 2026 · Co Lo Network Holding B.V. · AVG artikel 28

Als horecazaak bepaal jij waarom en hoe incidenten worden vastgelegd: jij bent verwerkingsverantwoordelijke. HorecaMelder verwerkt die gegevens namens jou. Deze overeenkomst legt vast welke afspraken daarvoor gelden. Eigenaren accepteren haar bij het bestellen of onder Mijn account.

1. Artikel 1. Partijen en rollen

   1. 1.1Deze verwerkersovereenkomst geldt tussen de klant (de organisatie die HorecaMelder afneemt) als verwerkingsverantwoordelijke en Co Lo Network Holding B.V., KvK 32088644, als verwerker.
   2. 1.2Zij vormt een aanvulling op de algemene voorwaarden van HorecaMelder. Bij strijdigheid over de verwerking van persoonsgegevens gaat deze overeenkomst voor.

2. Artikel 2. Onderwerp, aard en doel

   1. 2.1De verwerker verwerkt persoonsgegevens uitsluitend om de dienst HorecaMelder te leveren: het vastleggen van incidenten, het opstellen en archiveren van verslagen, het dienstlog, het arbeidsongevallen- en ontzeggingenregister, nazorg, documenten en het versturen van alerts en herinneringen.
   2. 2.2De verwerker verwerkt de gegevens alleen op schriftelijke instructie van de klant. De inrichting en het gebruik van de dienst door de klant gelden als die instructie. Volgt uit een wettelijke plicht een andere verwerking, dan meldt de verwerker dat vooraf, tenzij de wet dat verbiedt.

3. Artikel 3. Soorten gegevens en betrokkenen

   1. 3.1Betrokkenen: medewerkers en gebruikers van de klant, gasten en andere personen die bij een incident betrokken zijn, en contactpersonen van de klant.
   2. 3.2Gegevens: naam, e-mailadres en telefoonnummer van gebruikers; meldteksten, signalementen en eventueel namen van betrokkenen; gegevens over (vermoedelijke) strafbare feiten en overlast; aard van letsel bij medewerkers (zonder medische details); certificaten en dienstgegevens van medewerkers.
   3. 3.3De klant zorgt dat zij een grondslag heeft voor deze verwerkingen, dat gegevens over strafbare feiten alleen worden vastgelegd voor zover de Uitvoeringswet AVG dat toestaat, en dat ontzeggingen niet met andere ondernemingen worden gedeeld zonder vergunning van de Autoriteit Persoonsgegevens.

4. Artikel 4. Beveiliging

   1. 4.1De verwerker neemt passende technische en organisatorische maatregelen, waaronder: versleutelde verbindingen (TLS), versleuteling van gevoelige velden in de database (AES-256-GCM), rolgebaseerde toegang, een onveranderlijk logboek met auditregistratie, dagelijkse versleutelde back-ups, beveiligde hosting in de EU en een webapplicatiefirewall.
   2. 4.2De verwerker evalueert deze maatregelen periodiek en past ze aan als de stand van de techniek of de risico's daarom vragen.

5. Artikel 5. Geheimhouding

   1. 5.1Iedereen die bij de verwerker toegang heeft tot persoonsgegevens is tot geheimhouding verplicht. De platformbeheerder heeft geen leestoegang tot meldingen van de klant.

6. Artikel 6. Subverwerkers

   1. 6.1De klant geeft toestemming voor de inzet van de subverwerkers in de lijst hieronder. De verwerker legt hun dezelfde verplichtingen op als in deze overeenkomst.
   2. 6.2De verwerker informeert de klant vooraf over een nieuwe of vervangende subverwerker. De klant kan binnen 14 dagen gemotiveerd bezwaar maken; partijen zoeken dan samen een oplossing, en komen ze er niet uit, dan kan de klant de overeenkomst opzeggen.
   3. 6.3Doorgifte buiten de Europese Economische Ruimte gebeurt alleen met passende waarborgen, zoals de standaardcontractbepalingen van de Europese Commissie of het EU-VS-gegevensprivacykader.

7. Artikel 7. Rechten van betrokkenen

   1. 7.1Krijgt de verwerker een verzoek van een betrokkene (bijvoorbeeld inzage of verwijdering), dan stuurt zij dat door aan de klant. De verwerker helpt de klant om binnen de wettelijke termijn te reageren, onder meer met de exportfuncties in de dienst.

8. Artikel 8. Datalekken

   1. 8.1De verwerker meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging, en uiterlijk binnen 36 uur na ontdekking, aan de klant, met de informatie die de klant nodig heeft om de inbreuk zo nodig binnen 72 uur bij de Autoriteit Persoonsgegevens te melden.
   2. 8.2De verwerker neemt direct maatregelen om de gevolgen te beperken en houdt de klant op de hoogte.

9. Artikel 9. Bijstand, DPIA en audit

   1. 9.1De verwerker helpt de klant, voor zover redelijk, bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij voorafgaande raadpleging van de toezichthouder.
   2. 9.2De verwerker stelt de informatie beschikbaar die nodig is om naleving aan te tonen. De klant kan eenmaal per jaar, op eigen kosten en na redelijke aankondiging, een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht.

10. Artikel 10. Bewaartermijnen en einde

    1. 10.1Persoonsgegevens in meldingen worden na 3 jaar automatisch geanonimiseerd. Ontzeggingen worden 30 dagen na afloop geanonimiseerd en na 6 maanden verwijderd; nazorgnotities worden een jaar na afronding gewist.
    2. 10.2Na het einde van de overeenkomst kan de klant nog 30 dagen verslagen en registers downloaden. Daarna gebruikt de verwerker de gegevens niet meer en worden persoonsgegevens geanonimiseerd volgens de termijnen hierboven, of eerder op schriftelijk verzoek van de klant, tenzij een wettelijke bewaarplicht geldt.
    3. 10.3Back-ups zijn versleuteld met een sleutel die buiten de server wordt bewaard en worden alleen gebruikt om de dienst te herstellen.

11. Artikel 11. Aansprakelijkheid en looptijd

    1. 11.1Voor de aansprakelijkheid geldt de regeling in de algemene voorwaarden, voor zover de AVG daar niet dwingend van afwijkt.
    2. 11.2Deze overeenkomst loopt zolang de verwerker persoonsgegevens voor de klant verwerkt. Op deze overeenkomst is Nederlands recht van toepassing.