Verwerkersovereenkomst

Tussen de schoonheidsprofessional (verwerkingsverantwoordelijke) en Pro Beauty World (verwerker) - AVG artikel 28

Versie 1.4 - laatst bijgewerkt: 2026-10-23

0. Context en rollen

Wanneer een schoonheidsprofessional ("de Professional") pbw.life gebruikt om boekingen aan te nemen, bepaalt de Professional zelf waarom en hoe de persoonsgegevens van de eigen eindklanten worden verwerkt. De Professional is daarmee de verwerkingsverantwoordelijke. pbw.life verwerkt die gegevens uitsluitend in opdracht van de Professional en is daarmee de verwerker. Deze overeenkomst regelt uitsluitend die verwerkersrelatie tussen de Professional en pbw.life.

Wat buiten deze overeenkomst valt: voor een aantal verwerkingen is pbw.life zelf verwerkingsverantwoordelijke en geen verwerker. Dat zijn: de boekingsstatistieken die pbw.life over alle studio's bijhoudt (aantallen no-shows en annuleringen per klant, gebruikt voor de keuze of een aanbetaling wordt gevraagd), de accounts van klanten in de pbw.life-apps, evenementen, de AI-assistent en de accounts van de Professional en het team. Die verwerkingen staan in hetPrivacybeleid.

Over Mollie en Stripe: de Professional kiest of aanbetalingen via Mollie, via Stripe of helemaal niet worden geïnd. Mollie en Stripe treden elk op als zelfstandig verwerkingsverantwoordelijke voor de betaalgegevens die zij verwerken. pbw.life is niet hun verwerker en zij zijn geen subverwerkers van pbw.life voor aanbetalingen; een verwerkersovereenkomst met Mollie of Stripe is daarom niet nodig en maakt geen deel uit van dit document.

1. Partijen

• Verwerkingsverantwoordelijke: de Professional (ZZP/eenmanszaak of onderneming) met een pbw.life-account. Bedrijfsidentiteit zoals opgegeven bij aanmelding (naam, KvK-nummer).
• Verwerker: Pro Beauty World (pbw.life), eenmanszaak - KvK 42107799, vestigingsadres Ronsseweg 115, 2803 ZS Gouda.

2. Onderwerp en duur

pbw.life verwerkt persoonsgegevens van de eindklanten van de Professional uitsluitend om de boekings-, agenda-, aanbetalings-, notificatie- en administratiefunctionaliteit van het platform te leveren. De overeenkomst geldt zolang het account van de Professional actief is, plus de wettelijke bewaartermijnen beschreven in artikel 9 en hetPrivacybeleid.

3. Aard en doel van de verwerking

• Aannemen en beheren van afspraakboekingen.
• Versturen van bevestigingen, herinneringen en gerelateerde notificaties.
• Innen en administreren van aanbetalingen (uitsluitend de betaalstatus; kaart- en bankgegevens worden door Mollie of Stripe, naar keuze van de Professional, als zelfstandig verwerkingsverantwoordelijke verwerkt).
• Bijhouden van boekingsgeschiedenis, no-shows en notities van de Professional bij de eigen afspraken. De boekingsstatistieken over alle studio's vallen hier niet onder (artikel 0).

4. Categorieën betrokkenen en persoonsgegevens

• Betrokkenen: de eindklanten van de Professional.
• Persoonsgegevens: naam, contactgegevens (e-mail, telefoon), bezoekadres (straat, huisnummer, postcode, plaats) bij behandelingen aan huis, afspraakgegevens, aanbetalings-/betaalstatus, no-show-historie en notities die de Professional vastlegt.

Het platform is niet bedoeld voor bijzondere categorieën persoonsgegevens (zoals gezondheidsgegevens). De Professional wordt geïnstrueerd geen bijzondere categorieën gegevens in vrije notitievelden vast te leggen; doet de Professional dat toch, dan gebeurt dat onder de eigen verantwoordelijkheid als verwerkingsverantwoordelijke.

5. Verplichtingen van de verwerker

1. Persoonsgegevens uitsluitend verwerken op basis van de gedocumenteerde instructies van de Professional. De overeenkomst, de platforminstellingen die de Professional zelf configureert en de functionaliteit beschreven in artikel 3 gelden samen als die instructies. Aanvullende instructies geeft de Professional schriftelijk (e-mail volstaat). pbw.life laat het de Professional direct weten als een instructie naar zijn oordeel inbreuk maakt op de AVG of andere regels over gegevensbescherming.
2. Waarborgen dat personen die toegang hebben tot de gegevens aan vertrouwelijkheid zijn gebonden.
3. Passende technische en organisatorische beveiligingsmaatregelen treffen (bijlage A).
4. Subverwerkers uitsluitend inschakelen conform artikel 6.
5. De Professional assisteren bij verzoeken van betrokkenen (inzage, rectificatie, wissing, overdraagbaarheid) en bij datalekmeldingen, DPIA's en voorafgaande raadpleging.
6. De Professional zonder onredelijke vertraging, en uiterlijk binnen 48 uur nadat een inbreuk in verband met persoonsgegevens is vastgesteld, informeren, met de informatie die de Professional nodig heeft voor de eigen meldplicht (aard van de inbreuk, betrokken gegevens en personen, waarschijnlijke gevolgen en genomen maatregelen). Informatie die nog ontbreekt volgt zodra die bekend is.
7. Bij beëindiging van de overeenkomst alle persoonsgegevens wissen of retourneren, naar keuze van de Professional, behalve waar EU- of Nederlands recht bewaring door pbw.life zelf vereist (artikel 9).
8. Informatie beschikbaar stellen die nodig is om naleving aan te tonen, en audits mogelijk maken conform artikel 8.

6. Subverwerkers

De Professional geeft algemene toestemming voor het inschakelen van de subverwerkers in bijlage B. pbw.life legt aan iedere subverwerker gelijkwaardige verplichtingen op als in deze overeenkomst. Voorgenomen wijzigingen (toevoegen of vervangen van een subverwerker) worden ten minste 30 dagen vooraf per e-mail aangekondigd; de Professional kan binnen die termijn schriftelijk bezwaar maken en de overeenkomst beëindigen als het bezwaar niet redelijkerwijs kan worden weggenomen.

7. Internationale doorgiften

Alle gegevens worden opgeslagen in de Europese Economische Ruimte: hosting, opslag en e-mail in Microsoft Azure (regio West-Europa), de database in MongoDB Atlas (Azure, regio West-Europa), authenticatie op de EU-omgeving van Auth0 en foutmonitoring op de EU-omgeving van Sentry (Frankfurt). Een aantal subverwerkers (Microsoft, Okta, MongoDB) heeft een moederbedrijf in de Verenigde Staten. Toegang of verwerking buiten de EER vindt alleen plaats onder de EU-standaardcontractbepalingen (SCC's) of het EU-VS Data Privacy Framework, zoals vastgelegd in de verwerkersovereenkomst met die subverwerker. Een nieuwe doorgifte wordt vooraf aangekondigd conform artikel 6.

8. Audits en verantwoording

pbw.life stelt op verzoek de informatie beschikbaar die redelijkerwijs nodig is om naleving van deze overeenkomst aan te tonen (waaronder beschikbare certificeringen en rapportages van subverwerkers). De Professional mag maximaal eenmaal per twaalf maanden - of aanvullend na een vastgestelde inbreuk - een audit (laten) uitvoeren, met een schriftelijke aankondiging van ten minste 30 dagen, tijdens kantooruren, zonder onevenredige verstoring van de dienstverlening. Ieder draagt de eigen kosten.

9. Aansprakelijkheid, looptijd en beëindiging

• Deze overeenkomst volgt de looptijd van de Algemene voorwaarden en eindigt van rechtswege wanneer die eindigen.
• Aansprakelijkheid wordt beheerst door de aansprakelijkheidsbepalingen van de Algemene voorwaarden; deze overeenkomst breidt die niet uit en beperkt ze niet.
• Na beëindiging worden de persoonsgegevens van de eindklanten van de Professional binnen 30 dagen gewist of geretourneerd conform artikel 5.7. Op verzoek levert pbw.life vooraf een export van de klant- en afspraakgegevens. pbw.life bewaart geen persoonsgegevens op grond van de fiscale bewaarplicht van de Professional; die administratie houdt de Professional zelf bij. Geanonimiseerde boekingsregels (datum, dienst, bedrag, zonder persoonsgegevens) kunnen blijven bestaan.
• Tijdens de looptijd worden persoonsgegevens in boekingen na 3 jaar geanonimiseerd en geanonimiseerde boekingsregels na 7 jaar verwijderd. Zie het Privacybeleid voor de volledige bewaartermijnen.

10. Toepasselijk recht

Op deze overeenkomst is Nederlands recht van toepassing. Deze Verwerkersovereenkomst maakt deel uit van deAlgemene voorwaarden en wordt bij onboarding uitdrukkelijk door de Professional aanvaard.

Bijlage A - Technische en organisatorische maatregelen

• Gegevensopslag en -verwerking binnen de EU (Microsoft Azure, West-Europa).
• Versleuteling van gegevens tijdens transport (TLS voor al het verkeer tussen gebruikers en het platform) en in rust.
• Netwerksegmentatie: intern verkeer tussen services blijft binnen een afgeschermd clusternetwerk, wordt beperkt door netwerkbeleid, en interne endpoints zijn vanaf het internet geblokkeerd.
• Authenticatie en toegangsbeheer via Auth0; toegang op basis van least privilege.
• Per-tenant isolatie: een Professional heeft uitsluitend toegang tot de eigen klantgegevens.
• Foutmonitoring (Sentry, EU) met een gedocumenteerde afweging van gerechtvaardigd belang; browserzijdige monitoring uitsluitend met toestemming.
• Gedocumenteerde datalekprocedure en operationele AVG-checklist.

Bijlage B - Subverwerkers

Mollie B.V. (Amsterdam) en Stripe Payments Europe, Ltd. (Dublin) verwerken betaalgegevens als zelfstandig verwerkingsverantwoordelijke en zijn geen subverwerkers (zie artikel 0).