Verwerkersovereenkomst

Wie is wie

Jij bent de verwerkingsverantwoordelijke. De gegevens van je gasten en je medewerkers zijn van jou. Jij bepaalt waarvoor ze worden gebruikt en hoe lang ze blijven staan.

Verwerker: Morris Horeca B.V., gevestigd aan de Jachtlaan 6, 6713 KM Ede, ingeschreven bij de Kamer van Koophandel onder nummer 42153997, hierna “Morris”. Wij bewaren en bewerken die gegevens in jouw opdracht en doen er niets mee wat jij niet hebt gevraagd.

Deze overeenkomst geldt zolang je Morris gebruikt. Ze eindigt als het contract eindigt, met de nazorg die onderaan staat beschreven.

Waar het over gaat

Morris verwerkt in jouw opdracht:

Wie	Welke gegevens	Waarvoor
Je medewerkers	Naam, contactgegevens, geboortedatum, burgerservicenummer, bankrekeningnummer, functie en contract, loon, roosters, gewerkte uren, verlof, ziekmeldingen, ondertekende documenten, gespreksverslagen; bij zelf uitklokken de uitkomst van de controle op de zaak en, als die niet lukte, de afstand tot de zaak en de opgegeven reden	Personeelsadministratie, roosteren, urenregistratie, loonaangifte
Je gasten	Naam, e-mailadres, telefoonnummer, reserveringen, opmerkingen zoals allergieën, bezoekgeschiedenis, bestellingen en betalingen, spaarpunten, reviews, toestemming voor post	Reserveren, bedienen, afrekenen, en post die jij verstuurt
Wie jou mailt of belt	De inhoud van berichten en gesprekken, met afzender- en contactgegevens	Post sorteren en beantwoorden, telefonisch reserveringen aannemen

Bij zelf uitklokken meet Morris alleen op het moment van uitklokken, één keer en nooit op de achtergrond. Jij kiest of de controle op de locatie van de telefoon, op het wifi-netwerk of op een van beide gebeurt. De locatie zelf en de naam van het wifi-netwerk gebruikt Morris alleen om te beoordelen of de medewerker op de zaak is; ze worden niet bewaard en niet gelogd. Bij een controle op alleen wifi gaat de locatie niet naar Morris. De afstand tot de zaak wist Morris zodra jij of je leiding de uren beoordeelt, en uiterlijk 30 dagen na de dienst.

Wat Morris belooft

1. Alleen in jouw opdracht

Wij verwerken de gegevens uitsluitend voor het leveren van de dienst, en volgens jouw instructies. Wij gebruiken ze niet voor eigen doeleinden, verkopen ze niet, en trainen er geen modellen mee. Vinden wij dat een instructie in strijd is met de wet, dan zeggen we dat en voeren we hem niet uit.

2. Geheimhouding

Iedereen bij ons die bij de gegevens kan, is tot geheimhouding verplicht. Toegang krijgt alleen wie het voor zijn werk nodig heeft.

3. Beveiliging

Wij nemen passende maatregelen, waaronder:

• Wachtwoorden worden nooit als leesbare tekst bewaard
• Elk bedrijf heeft een eigen ruimte in de database; toegang wordt per bedrijf en per gebruiker gecontroleerd
• Toegang tot beheerschermen vereist een geldige sessie en de juiste rechten
• Rechten worden per medewerker en per module ingesteld
• Kassagegevens worden vastgelegd op een manier waarbij achteraf wijzigen zichtbaar blijft
• Al het verkeer met de servers is versleuteld
• Er worden regelmatig reservekopieën gemaakt

4. Andere partijen die wij inschakelen

Om de dienst te leveren schakelen wij deze partijen in. Voor subverwerkers leggen wij de verplichtingen uit deze overeenkomst vast in een verwerkersovereenkomst.

Partij	Waarvoor
Anthropic	Recepten en documenten inlezen bij ingeschakelde AI-functies
Mollie en CCV	Betalingen en koppeling met betaalapparaten bij ingeschakelde betaalfuncties
OpenAI	Samenvatten van post, concept-antwoorden, de telefonische gastvrouw en de reserveringsassistent op WhatsApp (als die aanstaat)
Nmbrs	Salarisadministratie en loonaangifte
DocuSeal	Contracten laten ondertekenen
Guestplan	Reserveringen, als je dat systeem gebruikt
Telnyx	De telefoonverbinding
Brevo en TransIP	Versturen en ophalen van e-mail
Meta / WhatsApp	Versturen van bevestigingen, wijzigingen, annuleringen en het aanbod van een vrijgekomen tafel aan de wachtlijst (met de claimtijd en claimlink) namens het restaurant volgens het ingestelde verzendkanaal en met respect voor afmeldingen; Meta ontvangt daarvoor het telefoonnummer en de berichtinhoud en geeft afleverstatussen terug aan Morris voor het restaurant. Stuurt een gast zelf een bericht om te reserveren, dan ontvangt Morris dat via Meta en beantwoordt de assistent het namens het restaurant. Het restaurant is verantwoordelijk voor geldige contactafspraken en vereiste informatie en toestemmingen
PDOK	Adres controleren op postcode en huisnummer
TransIP	Hosting van de Morris-servers

Je geeft hiermee toestemming voor deze partijen. Willen wij er een toevoegen of vervangen, dan laten we dat vooraf weten. Heb je bezwaar, dan kun je binnen dertig dagen opzeggen zonder kosten voor de resterende looptijd.

Externe diensten kunnen gegevens buiten de Europese Economische Ruimte verwerken. Doorgifte mag alleen plaatsvinden met een geldige grondslag en de vereiste waarborgen. Per ingeschakelde dienst leggen wij de verwerkingslocatie en doorgiftegrondslag vast en verstrekken wij die informatie op verzoek.

5. Als een gast of medewerker iets vraagt

Krijgen wij een verzoek van iemand om zijn gegevens in te zien, te corrigeren of te laten verwijderen, dan sturen wij dat naar jou door en beantwoorden wij het niet zelf. Jij bent de eigenaar van die gegevens. Wij helpen je het verzoek uit te voeren en rekenen daar niets voor.

6. Als er iets misgaat

Ontdekken wij een datalek dat jouw gegevens raakt, dan melden wij dat zonder onnodige vertraging en uiterlijk binnen 24 uur na ontdekking bij jou. We vertellen wat er is gebeurd, welke gegevens het betreft, wat de gevolgen kunnen zijn en wat we eraan doen. De melding aan de Autoriteit Persoonsgegevens doe jij; wij leveren wat je daarvoor nodig hebt.

7. Meekijken en controleren

Wij geven je de informatie die je nodig hebt om te zien dat we ons aan deze afspraken houden. Wil je een audit laten doen, dan werken we daaraan mee. Je kondigt dat minstens twee weken van tevoren aan, en de kosten zijn voor jou tenzij er iets wordt gevonden dat niet klopt.

8. Als je stopt

Bij het einde van het contract krijg je je gegevens in een bruikbaar bestandsformaat. Daarna verwijderen wij ze binnen zestig dagen van onze servers, inclusief de reservekopieën zodra die volgens hun eigen cyclus aflopen. Gegevens waarvoor een wettelijke bewaarplicht geldt, houden wij aan tot die termijn is verstreken; die blijven afgeschermd staan en worden voor niets anders gebruikt.

Hoe lang gegevens blijven staan

Welke gegevens bewaard moeten blijven en voor hoe lang, hangt af van hun doel, de wet en het beleid van het restaurant. We stemmen bewaartermijnen en opschoning met je af:

• Fiscale loonadministratie: zeven jaar voor de basisgegevens waarop de fiscale bewaarplicht van toepassing is
• Overige personeelsgegevens en contracten: volgens de toepasselijke bewaartermijn en het beleid van het restaurant; niet voor alle stukken geldt dezelfde termijn
• Afstand tot de zaak bij zelf uitklokken: gewist zodra de uren beoordeeld zijn, en uiterlijk 30 dagen na de dienst; de uren, de uitkomst van de controle en de reden blijven staan
• Meldingen in het beheer (de meldingenlijst van de leiding, met bijvoorbeeld een ziekmelding, of bij een mogelijke no-show de naam en het telefoonnummer van de gast): een afgehandelde melding wordt 30 dagen na het afhandelen helemaal verwijderd. Een melding die nog openstaat, blijft staan tot iemand hem afhandelt. De melding bij een terugbelverzoek blijft staan zolang dat verzoek in Telefonie staat
• Kassagegevens: voor fiscale basisgegevens geldt de wettelijke bewaarplicht; de inrichting stemmen we daarop af
• Reserveringen en gastgegevens: zolang ze nodig zijn voor het afgesproken doel; verwijdering of anonimisering volgens het bewaarbeleid van het restaurant
• Registratie van geopende mailings: negentig dagen, daarna blijven alleen de aantallen over
• Technische WhatsApp-terugmeldingen: meldingen zonder bekende berichtkoppeling worden na zeven dagen sinds ontvangst opgeruimd; afgehandelde meldingen na dertig dagen sinds ontvangst. Een bekende, nog niet verwerkbare melding blijft beschikbaar voor verwerking. De centrale technische registratie bevat geen gastnaam, gasttelefoonnummer of berichtinhoud. Deze termijnen gelden niet voor reserveringen en de berichtregistratie in de restaurantomgeving; daarvoor geldt het bewaarbeleid van het restaurant
• WhatsApp-gesprekken met de reserveringsassistent: berichten, telefoonnummer en antwoorden staan in de omgeving van het restaurant en worden dertig dagen na het laatste bericht van de gast gewist; de centrale, niet terug te rekenen code van het nummer blijft tot 24 uur na het laatste bericht van de gast bewaard

Aansprakelijkheid en voorrang

Voor aansprakelijkheid geldt wat in de algemene voorwaarden staat. Spreekt deze overeenkomst die voorwaarden op enig punt tegen, dan gaat wat hier staat vóór, maar alleen waar het over persoonsgegevens gaat.

Wijzigingen

Wij kunnen deze overeenkomst aanpassen als de wet of de dienst daarom vraagt. Een wijziging melden we minstens dertig dagen van tevoren. Ben je het er niet mee eens, dan mag je binnen die termijn opzeggen.

Contact

Morris · info@morris-horeca.nl

Zie ook de privacyverklaring.