Deze verwerkersovereenkomst (de "Verwerkersovereenkomst") geldt tussen:
Xinori BV, met zetel te Kenislei 74, 2930 Brasschaat, België, ingeschreven in de Kruispuntbank van Ondernemingen onder ondernemingsnummer 1037.001.066, RPR Antwerpen, afdeling Antwerpen (hierna "Xinori" of de "Verwerker"),
en
elke onderneming die een account aanmaakt op het platform van Xinori en deze Verwerkersovereenkomst aanvaardt in het onboardingproces of via een latere aanvaarding in het platform (hierna de "Klant" of de "Verwerkingsverantwoordelijke").
Hierna samen de "Partijen" en elk afzonderlijk een "Partij".
De Klant aanvaardt deze Verwerkersovereenkomst door het daartoe voorziene vakje aan te vinken. Wie dat doet, verklaart bevoegd te zijn om de Klant te verbinden. De aanvaarding geldt als schriftelijke overeenkomst in de zin van artikel 28, lid 9, van de AVG. De geldende versie is op elk ogenblik raadpleegbaar op https://xinori.com/dpa.
Gebruikt de Klant het platform ook voor andere ondernemingen, zoals verbonden vennootschappen die elk een of meer zaken uitbaten, dan aanvaardt hij deze Verwerkersovereenkomst ook namens hen en verklaart hij daartoe bevoegd te zijn. Elk van hen geldt als Verwerkingsverantwoordelijke voor de Persoonsgegevens die Xinori voor haar verwerkt. De Klant treedt op als centraal aanspreekpunt en kan namens hen instructies geven en rechten uitoefenen.
Overwegende dat:
1.1. Termen die in de AVG zijn gedefinieerd, zoals persoonsgegevens, verwerking, betrokkene, verwerkingsverantwoordelijke, verwerker en inbreuk in verband met persoonsgegevens, hebben in deze Verwerkersovereenkomst dezelfde betekenis. Daarnaast betekent:
AVG: Verordening (EU) 2016/679 (Algemene Verordening Gegevensbescherming), samen met de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens en elke andere toepasselijke regelgeving inzake gegevensbescherming.
AI-verordening: Verordening (EU) 2024/1689 tot vaststelling van geharmoniseerde regels betreffende artificiële intelligentie, zoals gewijzigd.
AI-toepassing: een AI-systeem in de zin van artikel 3, punt 1, van de AI-verordening, met inbegrip van (generatieve) taalmodellen en toepassingen die daarop zijn gebaseerd, ongeacht of het door Xinori is ontwikkeld of door een derde wordt geleverd.
Platform: het platform van Xinori en de modules die de Klant gebruikt, waaronder Reserve, Campaigns en Audit, en de functionaliteiten voor klantenbeheer, menu, stock en personeelsplanning.
Persoonsgegevens: de persoonsgegevens die Xinori in opdracht van de Klant verwerkt, zoals beschreven in Bijlage A, met inbegrip van persoonsgegevens in de invoer (prompts) en uitvoer van AI-toepassingen.
Subverwerker: een derde die Xinori inschakelt en die daarbij Persoonsgegevens verwerkt.
Diensten: de terbeschikkingstelling van het Platform en de aanverwante diensten (onboarding, support, onderhoud) door Xinori.
Hoofdovereenkomst: de Algemene Voorwaarden van Xinori en elke bestelling, offerte of abonnement van de Klant daaronder.
1.2. Deze Verwerkersovereenkomst maakt deel uit van de Hoofdovereenkomst. Voor alles wat de verwerking van Persoonsgegevens betreft, heeft zij voorrang op de Hoofdovereenkomst. De aansprakelijkheid van Partijen in verband met de verwerking van Persoonsgegevens wordt uitsluitend geregeld in artikel 13; toepasselijk recht en bevoegde rechtbank in artikel 16. Voor al het overige, waaronder overmacht, geldt de Hoofdovereenkomst.
1.3. Deze Verwerkersovereenkomst geldt niet voor de gegevens die Xinori als verwerkingsverantwoordelijke verwerkt in het kader van haar eigen relatie met de Klant, zoals de contact- en facturatiegegevens van de Klant, de accountgegevens van de gebruikers voor het beheer van hun toegang, en de beveiliging van het Platform. Daarvoor geldt de privacyverklaring van Xinori, raadpleegbaar op https://xinori.com/privacy.
2.1. Xinori verwerkt de Persoonsgegevens uitsluitend in opdracht van de Klant, voor de levering van de Diensten en volgens de gedocumenteerde instructies van de Klant. De Hoofdovereenkomst, deze Verwerkersovereenkomst en de instellingen en functies die de Klant in het Platform gebruikt, gelden als instructies. Bijkomende instructies worden schriftelijk gegeven; e-mail volstaat.
2.2. Xinori verwerkt de Persoonsgegevens niet voor eigen doeleinden. Zij verkoopt ze niet en gebruikt ze niet om gasten van de Klant zelf te contacteren. Xinori mag gegevens van de Klant wel anonimiseren en aggregeren, en de aldus verkregen gegevens, die niet herleidbaar zijn tot personen of tot de Klant, gebruiken voor statistiek, sectorbenchmarks, de verbetering van het Platform en de ontwikkeling en training van haar producten, waaronder AI-modellen, ook na het einde van de Hoofdovereenkomst. Zij maakt die gegevens niet als zodanig bekend aan derden. Geanonimiseerde gegevens zijn geen Persoonsgegevens meer. Xinori mag daarnaast technische gebruiks- en prestatiegegevens van het Platform die niet tot personen herleidbaar zijn, zoals foutmeldingen en laadtijden, gebruiken voor het beheer en de verbetering van het Platform.
2.3. Is Xinori op grond van het Unierecht of het recht van een lidstaat verplicht om Persoonsgegevens anders te verwerken, dan brengt zij de Klant vooraf op de hoogte, tenzij die wetgeving dat verbiedt. Ontvangt Xinori of een Subverwerker een verzoek of bevel van een overheidsinstantie tot verstrekking van of toegang tot Persoonsgegevens, dan controleert Xinori de grondslag ervan en de identiteit van de verzoeker, brengt zij de Klant voor zover wettelijk toegestaan vooraf op de hoogte, en verstrekt zij niet meer dan waartoe zij wettelijk verplicht is.
2.4. Xinori brengt de Klant onmiddellijk op de hoogte wanneer een instructie naar haar oordeel in strijd is met de AVG. Xinori mag de uitvoering van die instructie opschorten tot de Klant ze bevestigt of aanpast.
3.1. De Klant bepaalt de doeleinden en middelen van de verwerking en staat in voor de rechtsgrond ervan. Hij voert enkel Persoonsgegevens in die nodig zijn voor zijn doeleinden.
3.2. De Klant informeert de betrokkenen (in het bijzonder zijn gasten en medewerkers) over de verwerking, zoals vereist door de artikelen 13 en 14 van de AVG.
3.3. De Klant verstuurt via het Platform (onder meer via Campaigns) enkel marketingberichten naar betrokkenen die daarvoor een geldige toestemming gaven of op wie een wettelijke uitzondering van toepassing is, en respecteert elke afmelding.
3.4. De Klant voert in vrije tekstvelden (zoals opmerkingen bij een reservatie of bij een medewerker) geen gevoelige gegevens in die niet nodig zijn. De Klant registreert geen medische redenen van afwezigheid van medewerkers in de personeelsplanning.
3.5. De Klant beheert de toegangen van zijn gebruikers tot het Platform, kent enkel de nodige rechten toe en trekt toegangen in van gebruikers die ze niet langer nodig hebben.
3.6. Activeert de Klant een koppeling met een toepassing van een derde (zoals een kassasysteem, boekhoudpakket of reservatiekanaal), dan geeft hij Xinori daarmee de instructie om de betrokken Persoonsgegevens met die derde uit te wisselen. Die derde is geen Subverwerker van Xinori; de Klant maakt daarover zelf afspraken met die derde.
4.1. Xinori beperkt de toegang tot de Persoonsgegevens tot de personen die ze nodig hebben voor de levering van de Diensten.
4.2. Xinori zorgt ervoor dat iedereen die onder haar gezag toegang heeft tot de Persoonsgegevens, gebonden is door een vertrouwelijkheidsverplichting of onder een passende wettelijke geheimhoudingsplicht valt.
5.1. Xinori neemt passende technische en organisatorische maatregelen om de Persoonsgegevens te beveiligen overeenkomstig artikel 32 van de AVG, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, omvang, context en doeleinden van de verwerking, en met de risico's voor de betrokkenen.
5.2. De maatregelen omvatten ten minste de maatregelen die in Bijlage C worden beschreven. Xinori mag ze aanpassen aan de evolutie van de techniek en de risico's, op voorwaarde dat het algemene beschermingsniveau niet daalt.
6.1. De Klant geeft Xinori een algemene toestemming om Subverwerkers in te schakelen. De Subverwerkers vermeld in Bijlage B op het ogenblik van de aanvaarding zijn daarmee aanvaard.
6.2. Xinori brengt de Klant minstens dertig (30) kalenderdagen vooraf op de hoogte wanneer zij een nieuwe Subverwerker wil inschakelen of een bestaande wil vervangen, met vermelding van de dienst en de locatie van verwerking, per e-mail aan het contactadres van de Klant of via een melding in het Platform. De Klant kan daartegen binnen die termijn schriftelijk en gemotiveerd bezwaar maken; hij onthoudt zijn toestemming niet op onredelijke gronden. Bij bezwaar overleggen Partijen te goeder trouw over een oplossing. Vinden zij geen oplossing, dan kan de Klant het abonnement op de betrokken module(s) opzeggen tegen de datum waarop de nieuwe Subverwerker wordt ingeschakeld, zonder schadevergoeding. Zonder bezwaar binnen de termijn geldt de Subverwerker als aanvaard.
6.3. Xinori legt elke Subverwerker via een overeenkomst in wezen dezelfde verplichtingen inzake gegevensbescherming op als die van deze Verwerkersovereenkomst, in het bijzonder wat betreft passende technische en organisatorische maatregelen. Voor Subverwerkers die standaardvoorwaarden hanteren, zoals grote cloudaanbieders, volstaan voorwaarden die voldoen aan artikel 28, leden 3 en 4, van de AVG en een gelijkwaardig beschermingsniveau bieden. Xinori stelt die voorwaarden op verzoek ter beschikking.
6.4. Xinori blijft tegenover de Klant aansprakelijk voor de nakoming van de verplichtingen van haar Subverwerkers, binnen de grenzen van artikel 13.
7.1. Xinori en haar Subverwerkers verwerken en bewaren de Persoonsgegevens uitsluitend binnen de Europese Economische Ruimte (EER). Toegang op afstand door de ondersteuningsdiensten van de Subverwerkers vermeld in Bijlage B, op basis van hun standaardvoorwaarden en een passend doorgiftemechanisme overeenkomstig artikel 7.2, is toegestaan.
7.2. Onverminderd artikel 7.1 geeft Xinori geen Persoonsgegevens door naar een land buiten de EER zonder de Klant daarvan vooraf in kennis te stellen volgens artikel 6.2. Een doorgifte, met inbegrip van toegang op afstand vanuit zo'n land, gebeurt bovendien enkel wanneer een passend beschermingsniveau is gewaarborgd, zoals een adequaatheidsbesluit van de Europese Commissie (waaronder het EU-VS Data Privacy Framework voor gecertificeerde ontvangers) of de standaardcontractbepalingen van de Europese Commissie (Uitvoeringsbesluit (EU) 2021/914).
8.1. Het Platform laat de Klant toe om Persoonsgegevens zelf te raadplegen, te verbeteren, te exporteren en te verwijderen. Daarmee kan de Klant in de regel zelf antwoorden op verzoeken van betrokkenen. Waar dat niet volstaat, staat Xinori de Klant redelijkerwijs bij. Ontvangt Xinori zelf een verzoek van een betrokkene, dan bezorgt zij het zonder onnodige vertraging aan de Klant en beantwoordt zij het niet zelf, tenzij de Klant haar daartoe opdracht geeft.
8.2. Xinori staat de Klant bij in het nakomen van zijn verplichtingen inzake beveiliging, melding van inbreuken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van de toezichthoudende autoriteit (artikelen 32 tot 36 van de AVG), rekening houdend met de aard van de verwerking en de informatie waarover zij beschikt.
8.3. Bijstand die verder gaat dan wat standaard in het Platform beschikbaar is, kan Xinori aanrekenen aan haar dan geldende tarieven, na voorafgaande melding aan de Klant.
9.1. Xinori meldt een inbreuk in verband met Persoonsgegevens aan de Klant zonder onnodige vertraging, en zo mogelijk binnen achtenveertig (48) uur nadat zij er kennis van heeft gekregen. Onsuccesvolle pogingen of activiteiten die de beveiliging niet aantasten, zoals geblokkeerde aanmeldpogingen, port scans en phishingberichten, zijn geen inbreuk en worden niet gemeld.
9.2. De melding bevat, voor zover op dat ogenblik bekend: de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en gegevensrecords, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen en een contactpunt. Informatie die nog niet beschikbaar is, bezorgt Xinori zodra ze beschikbaar wordt.
9.3. Xinori neemt onverwijld redelijke maatregelen om de inbreuk te beperken en verleent de Klant redelijke bijstand bij de melding aan de toezichthoudende autoriteit en aan de betrokkenen. Die meldingen zelf doet de Klant, tenzij Partijen anders overeenkomen.
9.4. Xinori documenteert elke inbreuk, met inbegrip van de feiten, de gevolgen en de genomen maatregelen, en stelt de documentatie over inbreuken die de Klant betreffen op verzoek ter beschikking.
10.1. Xinori stelt de Klant op verzoek de informatie ter beschikking die nodig is om de naleving van deze Verwerkersovereenkomst aan te tonen, zoals een beschrijving van de maatregelen en de certificaten of auditrapporten van haar Subverwerkers.
10.2. Volstaat die informatie redelijkerwijs niet, dan kan de Klant een documentaire audit laten uitvoeren door een onafhankelijke auditor, uitsluitend om na te gaan of Xinori deze Verwerkersovereenkomst naleeft. Een inspectie ter plaatse is enkel mogelijk wanneer een toezichthoudende autoriteit dat vereist. De Klant kondigt een audit minstens dertig (30) kalenderdagen vooraf schriftelijk aan, met vermelding van de identiteit van de auditor, die over aantoonbare deskundigheid inzake gegevensbescherming beschikt, door vertrouwelijkheid gebonden is en geen concurrent van Xinori is. Een audit vindt niet meer dan één keer per kalenderjaar plaats, beperkt zich tot de gegevens van de Klant en verstoort de bedrijfsvoering van Xinori niet onredelijk.
10.3. De kosten van de audit zijn ten laste van de Klant. Xinori mag een redelijke vergoeding vragen voor de tijd die zij eraan besteedt. De Klant bezorgt Xinori kosteloos het auditrapport, behandelt het als vertrouwelijk en maakt het niet openbaar, behalve aan een toezichthoudende autoriteit of wanneer de wet dat vereist.
11.1. Deze Verwerkersovereenkomst geldt zolang Xinori Persoonsgegevens verwerkt in opdracht van de Klant.
11.2. Tot dertig (30) kalenderdagen na het einde van de Diensten kan de Klant de Persoonsgegevens exporteren via de exportfuncties van het Platform. Daarna verwijdert of anonimiseert Xinori de Persoonsgegevens, uiterlijk negentig (90) kalenderdagen na het einde van de Diensten, tenzij het Unierecht of het recht van een lidstaat bewaring verplicht. De verwijdering omvat ook tijdelijke bestanden, logbestanden en gegevens in AI-toepassingen, zoals vectorindexen en embeddings. Kopieën in back-ups worden verwijderd volgens de gewone back-upcyclus beschreven in Bijlage C, en blijven tot dan beveiligd en vertrouwelijk.
11.3. Xinori ziet erop toe dat haar Subverwerkers de Persoonsgegevens eveneens verwijderen, en bevestigt de verwijdering op verzoek van de Klant schriftelijk.
11.4. Verplichtingen die naar hun aard bestemd zijn om na het einde van deze Verwerkersovereenkomst voort te duren, waaronder vertrouwelijkheid, beveiliging tot de verwijdering en artikel 2.2, blijven na het einde van kracht.
12.1. Xinori zet in het Platform AI-toepassingen in, onder meer om voorstellen, teksten en analyses te genereren. Xinori gebruikt daarvoor uitsluitend AI-toepassingen van de Subverwerkers vermeld in Bijlage B, of AI-toepassingen die zij zelf binnen haar omgeving in de EER uitvoert.
12.2. Xinori draagt ervoor zorg dat:
(a) AI-toepassingen van derden worden afgenomen onder zakelijke voorwaarden waarbij de aanbieder invoer en uitvoer niet gebruikt voor de training of verbetering van zijn modellen en niet langer bewaart dan nodig voor de dienst;
(b) aan AI-toepassingen niet meer Persoonsgegevens worden aangeboden dan voor het doel nodig is, waar mogelijk gepseudonimiseerd;
(c) bijzondere categorieën van persoonsgegevens niet aan AI-toepassingen van derden worden aangeboden;
(d) de toegang tot AI-toepassingen en hun configuratie beperkt is tot bevoegde personen.
12.3. Xinori gebruikt Persoonsgegevens niet voor de training of verfijning van AI-modellen. Het gebruik van geanonimiseerde gegevens volgens artikel 2.2 blijft toegestaan.
12.4. AI-toepassingen in het Platform nemen geen besluiten over betrokkenen die rechtsgevolgen hebben of hen anderszins in aanmerkelijke mate treffen, zoals de beoordeling van medewerkers, zonder betekenisvolle menselijke tussenkomst. Xinori ontwerpt het Platform zo dat gebruikers van de Klant voorstellen van AI-toepassingen kunnen beoordelen, aanpassen en afwijzen. Dit belet niet dat het Platform planningen, herinneringen, controles en berekeningen automatisch voorbereidt of uitvoert, zolang gebruikers van de Klant die kunnen controleren en bijsturen.
12.5. Xinori bezorgt de Klant op verzoek de informatie over de werking van de AI-toepassingen in het Platform die hij redelijkerwijs nodig heeft voor zijn eigen verplichtingen onder de AVG en de AI-verordening, zoals de informatie aan zijn medewerkers en een eventuele gegevensbeschermingseffectbeoordeling.
13.1. Xinori is tegenover de Klant enkel aansprakelijk voor schade die het rechtstreekse gevolg is van een aan Xinori toerekenbare tekortkoming in de nakoming van haar verplichtingen als verwerker onder deze Verwerkersovereenkomst of de AVG, of van een verwerking in strijd met de rechtmatige instructies van de Klant.
13.2. Xinori is in geen geval aansprakelijk voor:
(a) indirecte schade of gevolgschade, waaronder gederfde winst, omzetverlies, gemiste besparingen, verlies van cliënteel, reputatieschade en schade door bedrijfsonderbreking;
(b) administratieve geldboetes en dwangsommen die aan de Klant worden opgelegd;
(c) schade die het gevolg is van gegevens die de Klant of zijn gebruikers invoeren, van instellingen die de Klant kiest, van het gebruik van koppelingen met derden (artikel 3.6), of van een tekortkoming van de Klant in zijn eigen verplichtingen, waaronder die van artikel 3;
(d) schade door overmacht, zoals bepaald in de Hoofdovereenkomst.
13.3. De totale aansprakelijkheid van Xinori onder deze Verwerkersovereenkomst en de Hoofdovereenkomst samen, ongeacht de grondslag van de vordering, is per kalenderjaar beperkt tot het bedrag dat de Klant voor de betrokken Diensten heeft betaald in de twaalf (12) maanden voorafgaand aan het schadeverwekkende feit. Een reeks samenhangende feiten met dezelfde oorzaak geldt als één schadegeval.
13.4. De beperkingen en uitsluitingen van dit artikel gelden niet bij bedrog, opzet of grove fout van Xinori, noch voor zover dwingend recht ze verbiedt.
13.5. Elke Partij vrijwaart de andere Partij voor aanspraken van betrokkenen en derden, met inbegrip van redelijke kosten van verdediging, voor zover die het gevolg zijn van een aan haar toerekenbare tekortkoming in haar eigen verplichtingen onder deze Verwerkersovereenkomst of de AVG. De vrijwaring door Xinori geldt binnen de grenzen van dit artikel. Worden beide Partijen voor dezelfde schade aangesproken, dan draagt elk van hen die schade in onderlinge verhouding naar rata van haar eigen aandeel in de schade, overeenkomstig artikel 82, lid 5, van de AVG.
13.6. Een vordering tegen Xinori moet, op straffe van verval, schriftelijk worden ingesteld binnen twaalf (12) maanden nadat de Klant kennis kreeg of redelijkerwijs kennis kon krijgen van de schade.
14.1. Xinori kan deze Verwerkersovereenkomst en haar bijlagen wijzigen, onder meer om ze af te stemmen op nieuwe modules, Subverwerkers of regelgeving. Een wijziging van Bijlage B volgt de regeling van artikel 6.2.
14.2. Xinori meldt andere wijzigingen minstens dertig (30) kalenderdagen vooraf via het Platform of per e-mail. Een wijziging die het beschermingsniveau van de Persoonsgegevens verlaagt, is enkel mogelijk wanneer de wet ze oplegt. Maakt de Klant geen bezwaar binnen die termijn of blijft hij het Platform gebruiken na de inwerkingtreding, dan geldt de nieuwe versie als aanvaard. Xinori kan de Klant vragen de nieuwe versie opnieuw aan te vinken.
Vragen en meldingen over de verwerking van Persoonsgegevens richt de Klant aan Xinori via privacy@xinori.com. Xinori richt meldingen aan de Klant aan het e-mailadres van de hoofdgebruiker van het account, of aan een ander adres dat de Klant daarvoor in het Platform opgeeft.
16.1. Op deze Verwerkersovereenkomst zijn het recht en de bevoegde rechtbank van toepassing die in de Hoofdovereenkomst zijn bepaald. Bij gebrek daaraan is Belgisch recht van toepassing en zijn uitsluitend de rechtbanken van het arrondissement Antwerpen, afdeling Antwerpen, bevoegd.
16.2. Is een bepaling van deze Verwerkersovereenkomst nietig of niet afdwingbaar, dan blijven de overige bepalingen van kracht en wordt die bepaling vervangen door een geldige bepaling die zo veel mogelijk aansluit bij de strekking ervan.
| Onderdeel | Omschrijving |
|---|---|
| Onderwerp en doel | Terbeschikkingstelling van het Platform als dienst (SaaS) voor de operationele werking van een horecazaak, met inbegrip van hosting, onderhoud en support, telkens in opdracht van de Klant. |
| Aard van de verwerking | Verzameling (via het Platform en koppelingen), opslag, hosting, back-up, raadpleging, structurering, wijziging, analyse, verzending (bevestigingen, herinneringen, campagnes), verwerking door AI-toepassingen (zoals het opstellen van voorstellen, teksten en analyses), uitwisseling via koppelingen die de Klant activeert, en verwijdering van gegevens, voor zover nodig voor de Diensten. |
| Duur | Zolang de Diensten lopen, verlengd met de periode voor export en verwijdering (artikel 11). |
| Bewaartermijn | Bepaald door de Klant via de instellingen en het gebruik van het Platform; na het einde van de Diensten volgens artikel 11. |
| Ontvangers | Medewerkers van Xinori die bij de Diensten betrokken zijn, Subverwerkers volgens Bijlage B, en door de Klant aangewezen ontvangers via koppelingen (artikel 3.6). |
Categorieën van betrokkenen en persoonsgegevens, per functionaliteit
| Functionaliteit | Betrokkenen | Persoonsgegevens |
|---|---|---|
| Reserve (reservaties) | Gasten en hun contactpersonen | Naam, e-mailadres, telefoonnummer, taal; datum, uur, aantal personen, tafel; opmerkingen bij de reservatie; status (bevestigd, geannuleerd, no-show) |
| Klantenbestand (gastprofielen) | Gasten | Bovenstaande gegevens, aangevuld met bezoekhistoriek, voorkeuren, tags en interne notities van de Klant, bedrijfsnaam bij zakelijke reservaties |
| Campaigns | Gasten en andere contacten van de Klant | Naam, e-mailadres, taal, opt-in- en afmeldstatus, segmenten, verzendgegevens en interactie (ontvangen, geopend, geklikt) |
| Personeelsplanning | Medewerkers, flexijobbers, studenten en andere personen die voor de Klant werken | Naam, contactgegevens, functie, statuut, uurroosters, beschikbaarheden, gewerkte uren, afwezigheden (zonder medische reden) |
| Menu en stock | Contactpersonen van leveranciers; medewerkers die registraties uitvoeren | Naam en contactgegevens van leverancierscontacten; naam van de gebruiker die een registratie uitvoert |
| Alle modules, waaronder Audit | Gebruikers van het Platform aan de zijde van de Klant | Naam, e-mailadres, rol, logins en activiteitenlogs, IP-adres |
| AI-toepassingen | Alle bovenstaande betrokkenen, voor zover nodig | Invoer en uitvoer van AI-toepassingen, beperkt volgens artikel 12.2 |
Bijzondere categorieën (artikel 9 AVG): het Platform is niet bedoeld voor bijzondere categorieën van persoonsgegevens en de Klant voert er geen in (artikel 3.4). Het Platform verwerkt geen rijksregisternummers.
| Subverwerker | Dienst | Locatie van verwerking |
|---|---|---|
| Google Cloud EMEA Ltd (Google Cloud Platform) | Hosting van het Platform en de PostgreSQL-database, back-ups | EER |
| Twilio (SendGrid) | Verzending van e-mails vanuit het Platform (bevestigingen, herinneringen, Campaigns) | EER (EU-dataresidentie) |
| Google Cloud EMEA Ltd (Gemini) | AI-functionaliteiten van het Platform | EER |
| Anthropic Ireland, Limited (Claude) | AI-functionaliteiten van het Platform | EER |
| OpenAI Ireland Ltd (GPT) | AI-functionaliteiten van het Platform | EER |
De gebruikte AI-provider hangt af van de taak. Voor toegang op afstand door de ondersteuningsdiensten van deze Subverwerkers geldt artikel 7.1. Toepassingen van derden die de Klant zelf koppelt, zijn geen Subverwerkers (artikel 3.6).
| Domein | Maatregel |
|---|---|
| Scheiding van klantgegevens | Logische scheiding van de gegevens van elke Klant in de database; gebruikers zien enkel de gegevens van de vestiging(en) waartoe ze toegang hebben. |
| Toegangsbeheer | Rolgebaseerde toegangsrechten in het Platform, beheerd door de Klant. Toegang door medewerkers van Xinori enkel voor support, onderhoud of beveiliging, op basis van rollen en rechten (least privilege), en onmiddellijk ingetrokken bij vertrek. |
| Authenticatie | Persoonlijke accounts; tweestapsverificatie (2FA) verplicht voor de beheerdersaccounts van Xinori en beschikbaar voor alle gebruikers van de Klant. |
| Encryptie | Versleuteling van gegevens tijdens transport (TLS 1.2 of hoger) en in rust (AES-256 of gelijkwaardig), met sleutelbeheer via de cloudaanbieder. |
| Hosting | Gehost op Google Cloud Platform binnen de EER, met PostgreSQL-database. |
| Back-ups | Dagelijkse versleutelde back-ups in Google Cloud, binnen de EER, bewaard gedurende zeven (7) dagen. |
| Logging en monitoring | Logging van aanmeldingen en belangrijke handelingen; monitoring van beschikbaarheid en foutmeldingen. |
| Omgevingen | Aparte ontwikkel- en productieomgeving; geen echte Persoonsgegevens in ontwikkel- of testomgevingen. |
| AI-toepassingen | Maatregelen volgens artikel 12: zakelijke voorwaarden zonder training en met minimale bewaring, verwerking binnen de EER, minimalisatie en waar mogelijk pseudonimisering van invoer, toegangsbeperking. |
| Personeel | Vertrouwelijkheidsverplichting voor alle medewerkers en onderaannemers. |
| Incidentbeheer | Opvolging, registratie en melding van inbreuken overeenkomstig artikel 9. |
| Leveranciers | Selectie van Subverwerkers op basis van hun beveiligingsniveau; overeenkomsten overeenkomstig artikel 6.3. |