Verwerkersovereenkomst

• Verwerkingsverantwoordelijke: de zaak die houder is van het Stampaz-account, met de juridische gegevens die ze in Instellingen opgeeft.
• Verwerker: Miranda Network, S.L., fiscaal nr. (NIF) B-75866194, gevestigd te Carretera TF-643, 21, piso 01, puerta 1 B, 38600 Granadilla de Abona, Santa Cruz de Tenerife (España), contact support@mirandanetwork.es.

De verwerker verwerkt de gegevens alleen om de klantenkaartdienst te leveren: aanmelding van klanten, beheer van stempels, punten en beloningen, uitgifte en bijwerking van de kaarten in Apple Wallet en Google Wallet, verzending van de meldingen waartoe de verwerkingsverantwoordelijke besluit, statistieken en afhandeling van de rechten van klanten.

Handelingen: verzameling, vastlegging, opslag, raadpleging, wijziging, verstrekking aan Apple en Google om de kaart uit te geven, export en verwijdering.

De verwerking duurt zolang de zaak een account bij Stampaz heeft.

• Betrokkenen: klanten van de verwerkingsverantwoordelijke die zich aanmelden voor zijn loyaliteitsprogramma en leden van zijn team die de scanner gebruiken.
• Gegevens: naam; e-mail, telefoon en geboortedatum als de verwerkingsverantwoordelijke erom vraagt; geschiedenis van bezoeken, stempels, punten en beloningen; voorkeur voor aanbiedingen; bewijs van toestemming (datum, tijd en versie van de tekst); technische identificatoren van de kaart.
• Er worden geen bijzondere categorieën gegevens en geen locatiegegevens verwerkt: de melding in de buurt wordt bepaald door de telefoon van de klant.

De verwerkingsverantwoordelijke geeft zijn instructies via de instellingen van zijn dashboard: welke gegevens hij vraagt, welke meldingen hij stuurt, hoelang inactieve klanten worden bewaard (tussen 6 en 60 maanden) en welke juridische informatie aan de klant wordt getoond. Bij aanmelding ziet de klant een eerste informatielaag met de gegevens van de verwerkingsverantwoordelijke, en Stampaz bewaart het bewijs van zijn toestemming.

Als de verwerker van mening is dat een instructie in strijd is met de regelgeving, meldt hij dat aan de verwerkingsverantwoordelijke.

• De gegevens alleen verwerken volgens de gedocumenteerde instructies van de verwerkingsverantwoordelijke en ze niet voor eigen doeleinden gebruiken.
• De vertrouwelijkheid waarborgen van de personen die gemachtigd zijn de gegevens te verwerken.
• De beveiligingsmaatregelen van artikel 32 AVG toepassen: versleuteling tijdens transport, scheiding van gegevens per zaak, toegangscontrole, back-ups en logging van toegang.
• De verwerkingsverantwoordelijke helpen bij het afhandelen van de rechten van betrokkenen. Klanten kunnen via hun kaart hun gegevens corrigeren en downloaden, zich afmelden voor aanbiedingen en alles verwijderen; verzoeken die bij de verwerker binnenkomen, worden onverwijld doorgestuurd naar de verwerkingsverantwoordelijke.
• De verwerkingsverantwoordelijke zonder onredelijke vertraging en in elk geval binnen maximaal 48 uur nadat hij ervan op de hoogte is, informeren over inbreuken in verband met persoonsgegevens, met de beschikbare informatie.
• De verwerkingsverantwoordelijke waar nodig helpen bij gegevensbeschermingseffectbeoordelingen en raadplegingen van de toezichthouder.
• De verwerkingsverantwoordelijke de informatie ter beschikking stellen die nodig is om naleving aan te tonen en redelijke audits mogelijk maken, met 30 dagen vooraankondiging en op kosten van de verwerkingsverantwoordelijke.
• Een register van verwerkingsactiviteiten als verwerker bijhouden.

De verwerkingsverantwoordelijke geeft algemene toestemming voor de volgende subverwerkers:

• Supabase: database, authenticatie en opslag (hosting in de EU).
• Vercel: hosting van de applicatie, uitgevoerd in de regio Frankfurt (Europese Unie).
• Apple en Google: uitgifte en bijwerking van de kaarten in hun Wallets (alleen de inhoud van de kaart: naam, stempels of punten en code).

We melden elke wijziging van subverwerkers minstens 15 dagen vooraf, zodat de verwerkingsverantwoordelijke bezwaar kan maken; maakt hij bezwaar en is er geen alternatief, dan kan hij opzeggen. Elke subverwerker is gebonden aan gelijkwaardige verplichtingen. Doorgiften buiten de EER gebeuren met de waarborgen van hoofdstuk V van de AVG (adequaatheidsbesluiten, zoals het EU-VS-kader voor gegevensbescherming, of standaardcontractbepalingen).

• Zijn juridische gegevens invullen in Instellingen, zijn klanten informeren en over een geldige grondslag beschikken.
• Alleen aanbiedingen sturen aan wie daarmee akkoord ging en geen misbruik maken van meldingen.
• Ervoor zorgen dat zijn personeel de AVG naleeft en de toegang tot de scanner goed beschermt.

Na afloop van het abonnement verwijdert de verwerker automatisch alle gegevens 30 dagen later. Gedurende die termijn kan de verwerkingsverantwoordelijke ze exporteren (JSON). Verwijdert de verwerkingsverantwoordelijke zijn account, dan is de verwijdering onmiddellijk. Alleen gegevens die op grond van een wet moeten worden bewaard, blijven geblokkeerd bewaard.