Verwerkersovereenkomst

Tussen de schoonheidsprofessional (verwerkingsverantwoordelijke) en Pro Beauty World (verwerker) — AVG artikel 28

Versie 1.1 — laatst bijgewerkt: 2026-08-30

0. Context en rollen

Wanneer een schoonheidsprofessional ("de Professional") pbw.life gebruikt om boekingen aan te nemen, bepaalt de Professional zelf waarom en hoe de persoonsgegevens van de eigen eindklanten worden verwerkt. De Professional is daarmee de verwerkingsverantwoordelijke. pbw.life verwerkt die gegevens uitsluitend in opdracht van de Professional en is daarmee de verwerker. Deze overeenkomst regelt uitsluitend die verwerkersrelatie tussen de Professional en pbw.life.

Over Mollie: Mollie treedt op als zelfstandig verwerkingsverantwoordelijke voor de betaalgegevens die zij verwerkt. pbw.life is geen verwerker van Mollie en Mollie is geen subverwerker van pbw.life voor aanbetalingen; een verwerkersovereenkomst met Mollie is daarom niet nodig en maakt geen deel uit van dit document.

1. Partijen

• Verwerkingsverantwoordelijke: de Professional (ZZP/eenmanszaak of onderneming) met een pbw.life-account. Bedrijfsidentiteit zoals opgegeven bij aanmelding (naam, KvK-nummer).
• Verwerker: Pro Beauty World (pbw.life), eenmanszaak — KvK 42107799, vestigingsadres Ronsseweg 115, 2803 ZS Gouda.

2. Onderwerp en duur

pbw.life verwerkt persoonsgegevens van de eindklanten van de Professional uitsluitend om de boekings-, agenda-, aanbetalings-, notificatie- en administratiefunctionaliteit van het platform te leveren. De overeenkomst geldt zolang het account van de Professional actief is, plus de wettelijke bewaartermijnen beschreven in artikel 9 en hetPrivacybeleid.

3. Aard en doel van de verwerking

• Aannemen en beheren van afspraakboekingen.
• Versturen van bevestigingen, herinneringen en gerelateerde notificaties.
• Innen en administreren van aanbetalingen (uitsluitend de betaalstatus; kaart- en bankgegevens worden door Mollie als zelfstandig verwerkingsverantwoordelijke verwerkt).
• Bijhouden van boekingsgeschiedenis en no-show-registratie voor de Professional.

4. Categorieën betrokkenen en persoonsgegevens

• Betrokkenen: de eindklanten van de Professional.
• Persoonsgegevens: naam, contactgegevens (e-mail, telefoon), bezoekadres (straat, huisnummer, postcode, plaats) bij behandelingen aan huis, afspraakgegevens, aanbetalings-/betaalstatus, no-show-historie en notities die de Professional vastlegt.

Het platform is niet bedoeld voor bijzondere categorieën persoonsgegevens (zoals gezondheidsgegevens). De Professional wordt geïnstrueerd geen bijzondere categorieën gegevens in vrije notitievelden vast te leggen; doet de Professional dat toch, dan gebeurt dat onder de eigen verantwoordelijkheid als verwerkingsverantwoordelijke.

5. Verplichtingen van de verwerker

1. Persoonsgegevens uitsluitend verwerken op basis van de gedocumenteerde instructies van de Professional. De overeenkomst, de platforminstellingen die de Professional zelf configureert en de functionaliteit beschreven in artikel 3 gelden samen als die instructies.
2. Waarborgen dat personen die toegang hebben tot de gegevens aan vertrouwelijkheid zijn gebonden.
3. Passende technische en organisatorische beveiligingsmaatregelen treffen (bijlage A).
4. Subverwerkers uitsluitend inschakelen conform artikel 6.
5. De Professional assisteren bij verzoeken van betrokkenen (inzage, rectificatie, wissing, overdraagbaarheid) en bij datalekmeldingen, DPIA's en voorafgaande raadpleging.
6. De Professional zonder onredelijke vertraging informeren zodra een inbreuk in verband met persoonsgegevens is vastgesteld, met de informatie die de Professional nodig heeft voor de eigen meldplicht.
7. Bij beëindiging van de overeenkomst alle persoonsgegevens wissen of retourneren, naar keuze van de Professional, behalve waar EU- of Nederlands recht bewaring vereist (artikel 9).
8. Informatie beschikbaar stellen die nodig is om naleving aan te tonen, en audits mogelijk maken conform artikel 8.

6. Subverwerkers

De Professional geeft algemene toestemming voor het inschakelen van de subverwerkers in bijlage B. pbw.life legt aan iedere subverwerker gelijkwaardige verplichtingen op als in deze overeenkomst. Voorgenomen wijzigingen (toevoegen of vervangen van een subverwerker) worden ten minste 30 dagen vooraf per e-mail aangekondigd; de Professional kan binnen die termijn schriftelijk bezwaar maken en de overeenkomst beëindigen als het bezwaar niet redelijkerwijs kan worden weggenomen.

7. Internationale doorgiften

Voor de kerndienst vinden geen doorgiften buiten de Europese Economische Ruimte plaats: hosting, opslag en e-mail draaien in Microsoft Azure (regio West-Europa), authenticatie op de EU-omgeving van Auth0 en foutmonitoring op de EU-omgeving van Sentry (Frankfurt). Een toekomstige uitzondering vereist een geldig doorgiftemechanisme (zoals standaardcontractbepalingen) en voorafgaande aankondiging conform artikel 6.

8. Audits en verantwoording

pbw.life stelt op verzoek de informatie beschikbaar die redelijkerwijs nodig is om naleving van deze overeenkomst aan te tonen (waaronder beschikbare certificeringen en rapportages van subverwerkers). De Professional mag maximaal eenmaal per twaalf maanden — of aanvullend na een vastgestelde inbreuk — een audit (laten) uitvoeren, met een schriftelijke aankondiging van ten minste 30 dagen, tijdens kantooruren, zonder onevenredige verstoring van de dienstverlening. Ieder draagt de eigen kosten.

9. Aansprakelijkheid, looptijd en beëindiging

• Deze overeenkomst volgt de looptijd van de Algemene voorwaarden en eindigt van rechtswege wanneer die eindigen.
• Aansprakelijkheid wordt beheerst door de aansprakelijkheidsbepalingen van de Algemene voorwaarden; deze overeenkomst breidt die niet uit en beperkt ze niet.
• Na beëindiging worden persoonsgegevens gewist of geretourneerd conform artikel 5.7. Wettelijke bewaartermijnen gaan voor: persoonsgegevens in boekingen worden na 3 jaar geanonimiseerd en boekingsregels worden na 7 jaar volledig verwijderd (Nederlandse fiscale bewaarplicht); geaggregeerde boekingsstatistieken vervallen na 24 maanden zonder activiteit, of eerder bij een verwijderverzoek. Zie het Privacybeleid voor de volledige bewaartermijnen.

10. Toepasselijk recht

Op deze overeenkomst is Nederlands recht van toepassing. Deze Verwerkersovereenkomst maakt deel uit van deAlgemene voorwaarden en wordt bij onboarding uitdrukkelijk door de Professional aanvaard.

Bijlage A — Technische en organisatorische maatregelen

• Gegevensopslag en -verwerking binnen de EU (Microsoft Azure, West-Europa).
• Versleuteling van gegevens tijdens transport (TLS; onderling serviceverkeer via mTLS) en in rust.
• Authenticatie en toegangsbeheer via Auth0; toegang op basis van least privilege.
• Per-tenant isolatie: een Professional heeft uitsluitend toegang tot de eigen klantgegevens.
• Foutmonitoring (Sentry, EU) met een gedocumenteerde afweging van gerechtvaardigd belang; browserzijdige monitoring uitsluitend met toestemming.
• Gedocumenteerde datalekprocedure en operationele AVG-checklist.

Bijlage B — Subverwerkers

Mollie B.V. (Amsterdam) verwerkt betaalgegevens als zelfstandig verwerkingsverantwoordelijke en is geen subverwerker (zie artikel 0).