Verwerkersovereenkomst

Partijen

1. BullNice B.V., Torenlaan 5B, 1402 AT Bussum, KvK 84835850, btw-nummer NL863401259B01, handelend onder de naam Joep(“Joep” of “Verwerker”), en
2. de onderneming die Joep gebruikt voor haar zaak, zoals vastgelegd in het account in Mijn Joep (“Klant” of “Verwerkingsverantwoordelijke”).

Artikel 1: Onderwerp en duur

1.1 Joep verwerkt persoonsgegevens in opdracht van de Klant voor het leveren van de dienst Joep: een telefoonassistent die voor de zaak van de Klant telefonische bestellingen of reserveringen aanneemt, de klant of gast van de Klant een bevestiging stuurt en vragen beantwoordt (de “Dienst”).

1.2 Deze overeenkomst geldt zolang de Klant de Dienst afneemt, en daarna zolang Joep nog persoonsgegevens van de Klant onder zich heeft (artikel 11).

1.3 Verder zijn de algemene voorwaarden van BullNice B.V. en de NLdigital Voorwaarden 2025 van toepassing. Bij strijd over de verwerking van persoonsgegevens gaat deze overeenkomst voor.

Artikel 2: Aard en doel van de verwerking

Joep verwerkt persoonsgegevens uitsluitend voor deze doelen, en voor niets anders:

Joep gebruikt de persoonsgegevens van bellers en gasten niet voor eigen doelen, niet voor marketing en niet om modellen te trainen.

Artikel 3: Betrokkenen en persoonsgegevens

3.1 Betrokkenen: de bellers, klanten en gasten van de zaak van de Klant, en in voorkomende gevallen medewerkers van de Klant die met Joep bellen.

3.2 Persoonsgegevens per onderdeel:

3.3 Bijzondere persoonsgegevens. Een beller of gast kan allergieën, dieetwensen of een beperking noemen. Dat zijn gegevens over gezondheid (artikel 9 AVG). Joep verwerkt die alleen als de Klant daarom vraagt in zijn instellingen of instructies, alleen als onderdeel van de bestelling of reservering, en nooit voor iets anders. De Klant is er als verwerkingsverantwoordelijke voor verantwoordelijk dat hij deze gegevens mag verwerken.

3.4 Wat Joep niet verwerkt: bank- of kaartgegevens van bellers (die gaan rechtstreeks naar Mollie, in het Mollie-account van de Klant), en gegevens die niet nodig zijn voor de bestelling of reservering.

3.5 Gegevens van de Klant zelf (accountgegevens, factuurgegevens, gebruik van Mijn Joep) verwerkt Joep als verwerkingsverantwoordelijke. Daarvoor geldt de privacyverklaring, niet deze overeenkomst.

Artikel 4: Instructies van de Klant

4.1 Joep verwerkt persoonsgegevens alleen op gedocumenteerde instructie van de Klant. Als instructie gelden: deze overeenkomst, de algemene voorwaarden, en de instellingen die de Klant in Mijn Joep maakt (zoals openingstijden, menukaart, bezorggebied, wel of geen betaallink, doorverbinden, toon en taal, en de bewaartermijn van bestellingen).

4.2 Wil de Klant iets anders, dan geeft hij dat schriftelijk door via support@joep.ai. Joep laat de Klant weten als een instructie volgens Joep in strijd is met de AVG of andere wetgeving.

Artikel 5: Verplichtingen van Joep

Joep:

1. verwerkt de persoonsgegevens alleen volgens artikel 4, ook waar het gaat om doorgifte naar landen buiten de EER;
2. zorgt dat iedereen die bij Joep toegang heeft tot persoonsgegevens, aan geheimhouding gebonden is, op grond van een overeenkomst of de wet;
3. neemt de beveiligingsmaatregelen uit bijlage 2 en houdt die bij de stand van de techniek;
4. schakelt sub-verwerkers alleen in volgens artikel 7;
5. helpt de Klant, voor zover dat redelijkerwijs kan, bij verzoeken van betrokkenen (artikel 10);
6. helpt de Klant bij zijn verplichtingen rond beveiliging, het melden van datalekken en een gegevensbeschermingseffectbeoordeling (artikelen 32 tot en met 36 AVG), gelet op de aard van de verwerking en de informatie waarover Joep beschikt;
7. verwijdert of geeft terug volgens artikel 11;
8. stelt de Klant alle informatie ter beschikking die nodig is om aan te tonen dat aan artikel 28 AVG wordt voldaan, en werkt mee aan audits volgens artikel 12.

Artikel 6: Beveiliging

6.1 Joep treft passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies en onrechtmatige verwerking. De maatregelen op het moment van deze versie staan in bijlage 2.

6.2 Joep mag de maatregelen aanpassen zolang het beschermingsniveau niet lager wordt. Op verzoek geeft Joep de actuele lijst.

Artikel 7: Sub-verwerkers

7.1 De Klant geeft Joep algemene toestemming om de sub-verwerkers uit bijlage 1 in te schakelen. Joep legt aan elke sub-verwerker schriftelijk dezelfde verplichtingen op als in deze overeenkomst, in het bijzonder rond beveiliging en instructies.

7.2 Wil Joep een sub-verwerker toevoegen of vervangen, dan meldt Joep dat minimaal 30 dagen vooraf per e-mail aan het accountadres van de Klant en werkt Joep bijlage 1 op deze pagina bij. Maakt de Klant binnen die 30 dagen gemotiveerd bezwaar, dan zoeken partijen een oplossing; lukt dat niet, dan kan de Klant de Dienst opzeggen tegen het moment waarop de wijziging ingaat, zonder kosten.

7.3 Joep blijft tegenover de Klant aansprakelijk voor het handelen van zijn sub-verwerkers.

Artikel 8: Doorgifte buiten de EER

8.1 Joep slaat de persoonsgegevens van de Klant op binnen de EER (bijlage 1).

8.2 Voor onderdelen van de Dienst worden persoonsgegevens verwerkt door sub-verwerkers in de Verenigde Staten (bijlage 1). Die doorgifte vindt plaats op grond van het EU-VS Data Privacy Framework waar de ontvanger daarvoor is gecertificeerd, en anders op grond van de Standaardcontractbepalingen van de Europese Commissie (Besluit (EU) 2021/914), met aanvullende maatregelen waar nodig.

Artikel 9: Datalekken

9.1 Joep meldt een inbreuk in verband met persoonsgegevens van de Klant zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking aan het accountadres van de Klant, zodat de Klant zijn eigen termijn van 72 uur richting de Autoriteit Persoonsgegevens kan halen.

9.2 De melding bevat wat op dat moment bekend is: de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen, en een contactpersoon. Wat nog niet bekend is, volgt zodra het bekend is.

9.3 Joep meldt een inbreuk niet zelf aan de toezichthouder of aan betrokkenen, tenzij de Klant daarom vraagt of de wet Joep daartoe verplicht.

Artikel 10: Rechten van betrokkenen

10.1 Ontvangt Joep een verzoek van een beller of gast (inzage, correctie, verwijdering, bezwaar, overdraagbaarheid), dan stuurt Joep dat binnen 2 werkdagen door aan de Klant en beantwoordt Joep het niet zelf, behalve om de betrokkene naar de Klant te verwijzen.

10.2 Op verzoek van de Klant verwijdert of verstrekt Joep de gegevens van een betrokkene binnen 10 werkdagen. Bestellingen, reserveringen en terugbelverzoeken kan de Klant ook zelf inzien in Mijn Joep en in de Joep-app.

Artikel 11: Bewaren, verwijderen en teruggeven

11.1 Tijdens de Dienst bewaart Joep:

11.2 De Joep-app op de kassa-pc van de Klant bewaart een kopie van de bestellingen op die pc, versleuteld, gedurende de termijn die de Klant in de app instelt. Die kopie staat op apparatuur van de Klant en valt onder het beheer van de Klant.

11.3 Na het einde van de Dienst verwijdert Joep alle persoonsgegevens van de Klant binnen 30 dagen, tenzij een wettelijke bewaarplicht zich daartegen verzet. Wil de Klant vóór die verwijdering een export van bestellingen en reserveringen, dan vraagt hij die binnen die 30 dagen aan via support@joep.ai en levert Joep die in een gangbaar bestandsformaat.

Artikel 12: Informatie en audit

12.1 Joep beantwoordt redelijke vragen van de Klant over de naleving van deze overeenkomst en verstrekt op verzoek de beschrijving van de beveiligingsmaatregelen en de actuele lijst van sub-verwerkers.

12.2 Heeft de Klant daarna gegronde reden om aan de naleving te twijfelen, dan mag hij, of een door hem aangewezen onafhankelijke auditor die aan geheimhouding gebonden is, maximaal één keer per jaar een audit laten uitvoeren, met een aankondiging van minimaal 30 dagen, tijdens kantooruren, zonder de dienstverlening aan andere klanten te verstoren. De kosten zijn voor de Klant, tenzij de audit een wezenlijke tekortkoming van Joep aantoont.

Artikel 13: Aansprakelijkheid en boetes

13.1 Voor aansprakelijkheid geldt de regeling in de algemene voorwaarden en de NLdigital Voorwaarden 2025, ook voor schade en boetes die voortvloeien uit deze overeenkomst.

13.2 Iedere partij is verantwoordelijk voor de boetes die de toezichthouder haar oplegt voor haar eigen tekortkomingen.

Artikel 14: Slotbepalingen

14.1 Wijzigingen in deze overeenkomst worden als nieuwe versie gepubliceerd op deze pagina en ter acceptatie voorgelegd in Mijn Joep. Tot acceptatie geldt de versie waarmee de Klant het laatst akkoord ging.

14.2 Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement waar BullNice B.V. gevestigd is.

14.3 Vragen over deze overeenkomst: support@joep.ai. Een getekend exemplaar of maatwerk, bijvoorbeeld voor een keten, is op aanvraag mogelijk.

Bijlage 1: Sub-verwerkers

Sub-verwerkers die persoonsgegevens van bellers en gasten van de Klant verwerken voor de Dienst. Diensten die alleen gegevens van de Klant zelf verwerken (facturatie, agenda, websiteanalytics) staan in de privacyverklaring.

Interne meldingen van Joep aan de Klant en aan BullNice (terugbelverzoeken, storingen) lopen via de eigen automatisering van BullNice op servers van OVHcloud in Frankrijk. Zij bevatten bij een terugbelverzoek de naam en het telefoonnummer van de beller, en bij een mislukte WhatsApp-bevestiging het telefoonnummer van de klant, zodat de zaak alsnog kan bellen.

Bijlage 2: Beveiligingsmaatregelen

Zoals in de code en de inrichting van Joep op het moment van deze versie.

Versleuteling in doorvoer

• Alle verbindingen naar joep.ai, app.joep.ai en Mijn Joep lopen over TLS, met HSTS (twee jaar, inclusief subdomeinen).
• De verbinding tussen de API en de database is versleuteld en controleert het certificaat van de databaseaanbieder.
• De Joep-app op de kassa-pc praat alleen met de API over TLS, en alleen met het adres waarmee hij is gekoppeld.

Versleuteling in rust

• Wachtwoorden van accounts worden opgeslagen als scrypt-hash; nooit leesbaar.
• Tokens van sessies, wachtwoordresets en koppelcodes worden alleen als SHA-256-hash opgeslagen.
• Toegangstokens voor de Mollie-koppeling van de Klant en de geheime sleutels van tweestapsverificatie zijn versleuteld met AES-256; de sleutel staat niet in de database.
• Op de kassa-pc bewaart de Joep-app bestellingen en het koppeltoken versleuteld met Windows DPAPI, gebonden aan de Windows-gebruiker.
• Back-ups van de database blijven binnen de EU.

Toegang

• Per zaak één klantaccount. De beheeromgeving van BullNice is alleen bereikbaar voor beheerders, met tweestapsverificatie.
• Elke kassa-pc heeft een eigen token, dat de Klant zelf kan intrekken in Mijn Joep; het aantal apparaten per zaak is begrensd.
• De spraakassistent kan de API alleen aanroepen met een geheim dat per omgeving wordt uitgegeven, en alleen voor de zaak bij wie de oproep hoort.
• Een bestelling, reservering of terugbelverzoek is alleen zichtbaar voor de zaak waarvoor hij is aangenomen; dit wordt met geautomatiseerde tests bewaakt.

Dataminimalisatie en logging

• Joep vraagt alleen wat nodig is voor de bestelling of reservering.
• Logbestanden bevatten geen persoonsgegevens van bellers: telefoonnummers en adressen worden niet gelogd, foutmeldingen worden ontdaan van persoonsgegevens, en bestellingen worden in logs alleen met hun nummer aangeduid.
• Bestellingen en terugbelverzoeken worden na de door de Klant ingestelde termijn (standaard 90 dagen) automatisch verwijderd.

Scheiding en organisatie

• Productie en staging zijn gescheiden omgevingen met eigen databases, sleutels en tools; testgegevens komen niet in productie en andersom.
• Betaalgegevens van bellers verlopen nooit via Joep; die verwerkt Mollie in het account van de Klant.
• Wijzigingen worden getest voordat ze naar productie gaan; de code ligt in een versiebeheersysteem met geschiedenis. Sub-verwerkers worden beoordeeld voordat ze worden ingeschakeld.

Bijlage 3: Wijzigingsgeschiedenis