Verwerkersovereenkomst
Versie 1-11-2026 · Deze overeenkomst hoort bij het gebruik van BarMaat en geldt zodra een vereniging BarMaat gaat gebruiken (ook tijdens een proefperiode).
Partijen:
- de vereniging die BarMaat gebruikt (verwerkingsverantwoordelijke), en
- BarMaat, [adres], KvK [KvK-nummer] (verwerker).
1. Onderwerp en duur
De verwerker verwerkt persoonsgegevens in opdracht van de vereniging om de dienst BarMaat te leveren: een kassa- en rekeningensysteem met voorraad, inkoop, omzet en toegangsbeheer. De overeenkomst loopt zolang de vereniging BarMaat gebruikt en eindigt met de afspraken in artikel 9.
2. Soorten gegevens en betrokkenen
| Betrokkenen | Gegevens |
|---|---|
| Beheerders en barmedewerkers van de vereniging | Naam, e-mailadres, gehasht wachtwoord, rollen en periodes, inlogmomenten, handelingen in het logboek (met IP-adres) |
| Gasten van de bar | Naam of omschrijving op een rekening, bestelde consumpties, bedragen en betaalmethode |
| Vaste gasten, leveranciers en contactpersonen | Naam en, bij leveranciers, contactgegevens |
Bijzondere persoonsgegevens worden niet verwerkt. De vereniging voert die ook niet in.
3. Verwerking alleen op instructie
De verwerker verwerkt de gegevens alleen voor het leveren van de dienst en volgens de instructies van de vereniging, zoals die blijken uit deze overeenkomst en de instellingen die de vereniging in BarMaat maakt. De verwerker gebruikt de gegevens niet voor eigen doeleinden.
De verwerker bekijkt de gegevens van de vereniging niet, behalve:
- met toestemming van de vereniging: een beheerder kan in BarMaat (Instellingen → Ondersteuning door BarMaat) tijdelijk toegang geven, met een rol en een duur naar keuze. Dat wordt vastgelegd in het logboek van de vereniging, is voor alle beheerders zichtbaar zolang het loopt en kan altijd worden ingetrokken;
- voor zover nodig voor het technisch beheer van de dienst, zoals backups, herstel na een storing en het oplossen van fouten, en dan niet meer dan daarvoor nodig is;
- als een wettelijke verplichting dat vereist. De verwerker informeert de vereniging daarover vooraf, tenzij de wet dat verbiedt.
Platformbeheer ziet in BarMaat alleen gebruikscijfers van de vereniging (aantallen, zoals het aantal bestellingen en mensen met toegang), geen omzet, namen of andere administratie.
4. Geheimhouding
Iedereen die namens de verwerker toegang heeft tot de gegevens, is tot geheimhouding verplicht.
5. Beveiliging (AVG art. 32)
- Versleutelde verbinding (HTTPS); wachtwoorden alleen gehasht, geheime sleutels versleuteld opgeslagen.
- Strikte scheiding tussen verenigingen; toegang per rol, met periodes en een logboek van handelingen.
- Bescherming tegen inbraakpogingen (beperking van inlogpogingen) en tegen misbruik van formulieren.
- Backups naar opslag die de vereniging zelf kiest en/of als zip per e-mail naar haar beheerders, optioneel versleuteld (AES-256), met een instelbare bewaartermijn. Vóór elk herstel een kopie van de huidige gegevens, die na 90 dagen wordt verwijderd.
- Automatische bewaartermijnen: namen van gasten op afgerekende rekeningen worden na de door de vereniging gekozen termijn geanonimiseerd; IP-adressen in het logboek na 90 dagen gewist en logregels na 24 maanden verwijderd.
6. Subverwerkers
De vereniging geeft toestemming voor de inzet van de volgende subverwerkers:
- Hosting: [hostingpartij en land].
De verwerker legt subverwerkers minimaal dezelfde verplichtingen op en meldt een nieuwe subverwerker vooraf; de vereniging kan daartegen bezwaar maken. Backup-opslag en mailservers die de vereniging zelf instelt, vallen onder de verantwoordelijkheid van de vereniging.
7. Rechten van betrokkenen
BarMaat biedt de vereniging en gebruikers zelf de middelen om gegevens in te zien, te exporteren, te corrigeren en te verwijderen. Komt er bij de verwerker een verzoek binnen, dan stuurt de verwerker dat door naar de vereniging en helpt waar nodig.
8. Datalekken
De verwerker meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging, en uiterlijk binnen 48 uur na ontdekking, aan de contactpersoon van de vereniging. De melding bevat wat bekend is over de aard, de gevolgen en de genomen maatregelen, zodat de vereniging zo nodig binnen 72 uur kan melden bij de Autoriteit Persoonsgegevens.
9. Einde van de overeenkomst
Na afloop kan de vereniging alle gegevens exporteren (Backup → Download export). Binnen 30 dagen na het einde verwijdert de verwerker de gegevens, behalve wat wettelijk bewaard moet worden. Kopieën in backups verdwijnen volgens de bewaartermijn van die backups.
10. Informatie en audits
De verwerker geeft de vereniging op verzoek de informatie die nodig is om aan te tonen dat deze overeenkomst wordt nageleefd.
11. Overig
Aansprakelijkheid volgt de algemene voorwaarden van BarMaat. Bij strijdigheid gaat deze verwerkersovereenkomst voor waar het de verwerking van persoonsgegevens betreft. Op deze overeenkomst is Nederlands recht van toepassing.
Wil je een ondertekende versie van deze overeenkomst? Mail naar [e-mail].