Verwerkersovereenkomst

Versie van 1 november 2026

Als salon ben je verantwoordelijk voor de gegevens van je klanten. Velto verwerkt die gegevens alleen in jouw opdracht. Deze overeenkomst legt vast hoe, zoals artikel 28 van de Algemene Verordening Gegevensbescherming (AVG) vereist.

1. Partijen

• Verwerkingsverantwoordelijke: de salon die een Velto-account heeft ("de salon").
• Verwerker: Goessens Jelle, handelend onder de naam Velto, Stapelstraat 36, 3800 Sint-Truiden, KBO 0792.817.622 ("Velto").

Deze overeenkomst maakt deel uit van de algemene voorwaarden en geldt vanaf het moment dat de salon een account aanmaakt en die voorwaarden aanvaardt. Begrippen als "persoonsgegevens", "verwerking", "betrokkene", "subverwerker" en "inbreuk in verband met persoonsgegevens" hebben de betekenis uit de AVG.

2. Voorwerp en duur

Velto verwerkt persoonsgegevens voor de salon om de dienst te leveren zoals beschreven in de algemene voorwaarden. De aard en het doel van de verwerking, de soorten gegevens en de categorieën van betrokkenen staan in bijlage 1. De overeenkomst loopt zolang Velto persoonsgegevens voor de salon verwerkt.

3. Verwerking alleen volgens instructies

• Velto verwerkt de gegevens alleen op basis van schriftelijke instructies van de salon. De algemene voorwaarden, deze overeenkomst en de instellingen die de salon in het dashboard kiest (bijvoorbeeld welke automatische berichten aanstaan), gelden als die instructies.
• Velto gebruikt de gegevens nooit voor eigen doeleinden, verkoopt ze niet en deelt ze niet met anderen dan de subverwerkers uit bijlage 3.
• Moet Velto gegevens verwerken omdat een wet dat oplegt, dan meldt Velto dat vooraf aan de salon, tenzij die wet dat verbiedt.
• Vindt Velto dat een instructie in strijd is met de AVG, dan verwittigt Velto de salon meteen.

4. Verplichtingen van de salon

De salon zorgt ervoor dat hij een rechtsgrond heeft voor de gegevens die hij via Velto laat verwerken, informeert zijn klanten over die verwerking (de boekingspagina verwijst daarvoor naar onze uitleg voor klanten), vraagt toestemming voor commerciële berichten waar dat nodig is, en voert geen bijzondere categorieën van gegevens in (zoals gezondheidsgegevens) als dat niet strikt nodig is.

5. Vertrouwelijkheid

Velto zorgt ervoor dat iedereen die bij Velto toegang heeft tot de gegevens, zich tot geheimhouding heeft verbonden of wettelijk tot geheimhouding verplicht is, en alleen toegang krijgt voor zover dat nodig is om de dienst te leveren of een probleem op te lossen.

6. Beveiliging

Velto neemt passende technische en organisatorische maatregelen om de gegevens te beschermen tegen verlies en onrechtmatige verwerking, rekening houdend met de stand van de techniek en de risico's. De maatregelen staan in bijlage 2. Velto mag ze aanpassen, op voorwaarde dat het beschermingsniveau niet daalt.

7. Subverwerkers

• De salon geeft Velto een algemene toestemming om de subverwerkers uit bijlage 3 in te schakelen.
• Velto meldt een nieuwe of vervangende subverwerker minstens 30 dagen vooraf per e-mail. De salon kan binnen die termijn gemotiveerd bezwaar maken. Vinden we geen oplossing, dan mag de salon de overeenkomst kosteloos beëindigen.
• Velto legt elke subverwerker minstens dezelfde verplichtingen op als in deze overeenkomst, en blijft tegenover de salon aansprakelijk voor die subverwerkers.

8. Doorgifte buiten de EER

Velto bewaart de gegevens zoveel mogelijk binnen de Europese Economische Ruimte. Gebeurt een doorgifte naar een land buiten de EER, zoals de Verenigde Staten, dan alleen met een passende waarborg zoals een adequaatheidsbesluit (bijvoorbeeld het EU-VS Data Privacy Framework) of de standaardcontractbepalingen van de Europese Commissie.

9. Hulp bij rechten van betrokkenen

Velto helpt de salon, met passende technische en organisatorische maatregelen, om verzoeken van klanten te beantwoorden (zoals inzage, verbetering, verwijdering, beperking, overdraagbaarheid en bezwaar). Krijgt Velto zelf zo'n verzoek, dan bezorgt Velto het zonder onnodige vertraging aan de salon en antwoordt Velto niet zelf inhoudelijk, tenzij de salon dat vraagt.

10. Inbreuken (datalekken)

• Velto meldt een inbreuk in verband met persoonsgegevens van de salon zonder onnodige vertraging, en uiterlijk binnen 48 uur nadat Velto ze ontdekte.
• De melding beschrijft, voor zover bekend: wat er gebeurde, welke gegevens en hoeveel betrokkenen het raakt, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. Informatie die later bekend wordt, bezorgt Velto zodra ze beschikbaar is.
• De salon beslist of hij de inbreuk meldt aan de Gegevensbeschermingsautoriteit en aan betrokkenen. Velto helpt daarbij.

11. Andere bijstand

Velto helpt de salon, rekening houdend met de informatie waarover Velto beschikt, bij een gegevensbeschermingseffectbeoordeling en bij voorafgaande raadpleging van de toezichthouder, als dat nodig is.

12. Einde: teruggeven en wissen

De salon kan zijn gegevens op elk moment zelf exporteren via het dashboard, in een gangbaar formaat (CSV, te openen in Excel). Na het einde van de dienstverlening kan dat nog gedurende 30 dagen. Daarna wist Velto alle persoonsgegevens van de salon, tenzij een wet bewaring oplegt. Kopieën in back-ups van onze hostingpartner worden binnen 90 dagen automatisch overschreven. Op vraag bevestigt Velto de verwijdering schriftelijk.

13. Informatie en audit

Velto stelt alle informatie ter beschikking die nodig is om aan te tonen dat deze overeenkomst wordt nageleefd. De salon mag, na een redelijke aankondiging van minstens 30 dagen en maximaal één keer per jaar (behalve na een inbreuk), een audit laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding verplicht is. De kosten zijn voor de salon. Velto mag in plaats daarvan rapporten of certificaten van subverwerkers voorleggen, als die volstaan.

14. Aansprakelijkheid en recht

De aansprakelijkheid van partijen is geregeld zoals in de algemene voorwaarden, onverminderd de dwingende regels van artikel 82 AVG. Bij tegenstrijdigheid tussen deze overeenkomst en de algemene voorwaarden, gaat deze overeenkomst voor wat de bescherming van persoonsgegevens betreft. Belgisch recht is van toepassing; de rechtbanken van het gerechtelijk arrondissement Limburg zijn bevoegd.

Bijlage 1 – Beschrijving van de verwerking

Bijlage 2 – Beveiligingsmaatregelen

• Versleuteling: alle verbindingen via HTTPS/TLS; de database is versleuteld opgeslagen bij de hostingpartner.
• Scheiding tussen salons: elke rij in de database hoort bij één salon. Wie welke gegevens mag zien, wordt in de database zelf afgedwongen (row-level security), zodat een salon nooit gegevens van een andere salon kan zien, ook niet bij een fout in de app.
• Toegang: inloggen met een persoonlijke, eenmalige link per e-mail, zonder bewaarde wachtwoorden; rollen binnen de salon (eigenaar, manager, medewerker) met minimale rechten; beheerderstoegang bij Velto beperkt tot wat nodig is.
• Geheimen: sleutels voor WhatsApp en de database staan alleen op de server, nooit in de browser; de WhatsApp-sleutels zijn ook voor de salon niet leesbaar.
• Integriteit: berichten van Meta worden gecontroleerd met een digitale handtekening; dubbele boekingen worden in de database zelf verhinderd; elke boeking wordt op de server opnieuw gecontroleerd.
• Misbruik: beperking van het aantal aanvragen per bezoeker, filters tegen automatische formulieren, en controle van de websites die de boekingsmodule mogen gebruiken.
• Organisatorisch: geheimhouding voor iedereen met toegang; updates van software en afhankelijkheden; een procedure om inbreuken binnen 48 uur te melden.

Bijlage 3 – Subverwerkers