Verwerkersovereenkomst

Tussen de salon ("verwerkingsverantwoordelijke") en OwlyVision, KvK 99821567, Boumaboulevard 602, 9723 ZT Groningen ("verwerker"), als onderdeel van de algemene voorwaarden van Cavely, versie 2026-11-03.

1. Onderwerp en duur. OwlyVision verwerkt persoonsgegevens van klanten en medewerkers van de salon uitsluitend om Cavely te leveren: online boeken, agenda, bevestigings-, herinnerings- en wijzigingsmails, support, back-ups, herstel en export. De verwerking duurt zolang de dienstverlening loopt, plus de termijnen uit artikel 10. Zij omvat het verzamelen, vastleggen, raadplegen, wijzigen, ordenen, beschikbaar stellen aan bevoegde gebruikers, verzenden, beveiligen, herstellen, exporteren en verwijderen van gegevens.
2. Gegevens en betrokkenen. Klanten: naam, e-mailadres, telefoonnummer, opmerkingen, afspraken en behandelingen. Medewerkers: naam, e-mailadres, rol, inlog- en wijzigingslogboek. Cavely is niet bedoeld voor medische dossiers of andere bijzondere persoonsgegevens; de salon instrueert medewerkers en klanten geen medische of andere gevoelige informatie in vrije tekstvelden op te nemen. Omdat gebruikers zelf tekst kunnen invullen, kan OwlyVision niet uitsluiten dat dit toch gebeurt. De salon blijft verantwoordelijk voor een geldige grondslag en, waar nodig, een uitzondering op artikel 9 AVG. De salon bepaalt welke klanten en medewerkers zij in Cavely opneemt en is verantwoordelijk voor haar eigen privacyverklaring.
3. Instructies. OwlyVision verwerkt uitsluitend op gedocumenteerde instructies van de salon: deze overeenkomst en de handelingen die bevoegde gebruikers in Cavely uitvoeren. Dit geldt ook voor doorgiften buiten de EER. Schrijft een op OwlyVision toepasselijke Unierechtelijke of lidstaatrechtelijke verplichting een andere verwerking voor, dan informeert OwlyVision de salon daarover vóór de verwerking, tenzij die kennisgeving op grond van dat recht om gewichtige redenen van algemeen belang is verboden. Acht OwlyVision een instructie in strijd met de AVG, dan meldt zij dat onmiddellijk.
4. Geheimhouding. Iedereen die namens OwlyVision bij de gegevens kan, is tot geheimhouding verplicht en doet dat alleen voor support, storingen of herstel. AI wordt uitsluitend gebruikt voor conceptantwoorden op algemene vragen die geen persoonsgegevens of anderszins herleidbare informatie bevatten. Gegevens van klanten, medewerkers, contactpersonen en afspraken worden niet in AI-diensten ingevoerd; supportverzoeken met zulke gegevens worden zonder AI behandeld.
5. Beveiliging. De maatregelen staan in de bijlage "Technische en organisatorische maatregelen" (versie 2026-11-03, op https://cavely.nl/maatregelen), waaronder: versleutelde verbindingen, wachtwoorden alleen als niet-terug te rekenen hash, tweestapsverificatie die elke gebruiker kan aanzetten, rollen per medewerker die op de server worden afgedwongen, scheiding per salon, een logboek van wijzigingen en exports, misbruikbeperking, versleutelde nachtelijke reservekopieën die elke nacht op herstel worden getest, en een controle van buitenaf elke 15 minuten. OwlyVision houdt de bijlage actueel, met versiegeschiedenis en ingangsdatum. Wijzigingen mogen het afgesproken beschermingsniveau niet wezenlijk verlagen; wijzigingen die het risico voor persoonsgegevens wezenlijk vergroten, meldt OwlyVision vooraf, behalve als direct handelen nodig is om een beveiligingsrisico te beperken.
6. Subverwerkers. De salon geeft algemene schriftelijke toestemming voor de partijen op de actuele subverwerkerslijst: Hostinger International Ltd (hosting; primaire server en database in Frankrijk) en Mailjet SAS (e-mailverzending; volgens Mailjet opslag in datacenters binnen de EU). Met beide geldt de verwerkersovereenkomst die onderdeel is van hun voorwaarden (Hostinger: hostinger.com/legal/data-processing-addendum; Mailjet: sinch.com/legal/data-protection-agreement), met hun eigen gepubliceerde subverwerkerslijsten. Hostinger noemt Anthropic alleen voor zijn optionele AI-hulpmiddelen in het klantpaneel; die gebruiken wij niet en die raken de database van Cavely niet. OwlyVision meldt een voorgenomen toevoeging of vervanging minstens 30 dagen vooraf; de salon kan vóór de ingangsdatum gemotiveerd bezwaar maken op privacy- of beveiligingsgronden. Vinden partijen geen redelijk alternatief, dan kan de salon vóór de wijziging kosteloos opzeggen. OwlyVision legt subverwerkers ten minste dezelfde verplichtingen op en blijft tegenover de salon verantwoordelijk voor hun nakoming. Doorgiften buiten de EER vinden alleen plaats met een geldige grondslag en passende waarborgen (hoofdstuk V AVG); informatie daarover is op verzoek beschikbaar.
7. Inbreuken. OwlyVision informeert de salon zonder onredelijke vertraging nadat zij kennis heeft genomen van een inbreuk in verband met de persoonsgegevens van de salon, en streeft naar een eerste melding binnen 24 uur, ook als nog niet alle feiten bekend zijn. De melding bevat voor zover bekend de aard van de inbreuk, de betrokken gegevens en personen, de mogelijke gevolgen, de genomen maatregelen en een contactpunt. De salon beoordeelt of melding aan de Autoriteit Persoonsgegevens of aan betrokkenen nodig is.
8. Bijstand. OwlyVision helpt de salon, rekening houdend met de aard van de verwerking, bij verzoeken van betrokkenen (hoofdstuk III AVG) - inzage, correctie, export en verwijdering per klant kan de salon zelf in Cavely - en bij de verplichtingen uit artikel 32 tot en met 36 AVG, waaronder incidenten, meldingen, een gegevensbeschermingseffect- beoordeling en voorafgaande raadpleging.
9. Aantonen en audit. OwlyVision verstrekt de informatie die nodig is om naleving van artikel 28 AVG aan te tonen en maakt audits en inspecties door de salon of een door haar gemachtigde onafhankelijke auditor mogelijk, vooraf redelijk afgestemd om de beveiliging en privacy van andere salons te beschermen.
10. Einde. Na het einde kiest de salon of OwlyVision de gegevens teruggeeft (via de export, zie de voorwaarden) of verwijdert. De export blijft 30 dagen beschikbaar, tenzij de salon eerder om verwijdering vraagt; daarna verwijdert OwlyVision de actieve gegevens. Versleutelde reservekopieën worden 30 dagen na hun aanmaak verwijderd; gegevens die alleen nog in een reservekopie staan, worden niet voor gewoon gebruik teruggezet, en is een herstel ooit nodig, dan worden eerdere verwijderingen opnieuw uitgevoerd. Wettelijke bewaarplichten gaan voor, voor zover die echt gelden. De salon geeft haar keuze voor teruggave of verwijdering door via het beheer of schriftelijk aan support@cavely.nl, en kan die wijzigen zolang de verwijdering nog niet heeft plaatsgevonden; OwlyVision bevestigt de ontvangen instructie. Na de verwijdering bevestigt OwlyVision welke gegevens zijn verwijderd en welke nog tijdelijk in beveiligde reservekopieën staan, met de uiterste datum waarop ook die verdwijnen.

Terug naar cavely.nl