Dit is een vertaling, uitsluitend ter informatie. Alleen de Duitse versie is juridisch bindend. Deutsch

Verwerkersovereenkomst

overeenkomstig art. 28 AVG · Versie 2026-10 · Oktober 2026

Concept – vóór de lancering juridisch laten controleren.

tussen de studio die Pioqor gebruikt (verwerkingsverantwoordelijke, “studio”) en Bheppo GmbH (Pioqor), Kleine Reichenstraße 5, 20457 Hamburg, Duitsland (verwerker, “wij”).

Deze overeenkomst komt tot stand door bevestiging bij de registratie of in de app en maakt deel uit van de gebruiksovereenkomst volgens onze algemene voorwaarden. Tijdstip en versie van de bevestiging worden opgeslagen. Daarmee is voldaan aan de vormvereiste van art. 28 lid 9 AVG (elektronische vorm).

§ 1 Onderwerp en duur

1. Wij verwerken persoonsgegevens in opdracht van de studio om Pioqor als software te leveren (hosting, opslag, technische verwerking, support).
2. De overeenkomst geldt voor de duur van de gebruiksovereenkomst, inclusief de proefperiode, en daarna zolang wij gegevens van de studio verwerken.

§ 2 Aard en doel van de verwerking, gegevens en betrokkenen

1. Aard en doel: verzamelen, opslaan, ordenen, weergeven, wijzigen, verstrekken (bijvoorbeeld het versturen van inlogmails) en wissen van gegevens, uitsluitend om de functies van Pioqor aan de studio te leveren.
2. Categorieën betrokkenen: klanten van de studio (inclusief geïnteresseerden en wettelijke vertegenwoordigers), medewerkers, artiesten en gastartiesten, personen op door de studio geüploade contactlijsten.
3. Soorten gegevens:
   • Stam- en contactgegevens: naam, telefoonnummer, e-mailadres, taal, geboortedatum
   • Afspraak- en dienstgegevens: afspraken, diensten, notities, cadeaubonnen
   • Betaal- en boekhoudgegevens binnen de studio: bedragen, aanbetalingen, betaalwijzen, afrekeningen met artiesten
   • Toestemmings- en aanmeldformulieren inclusief gezondheidsgegevens (bijzondere categorieën volgens art. 9 AVG), als de studio daarnaar vraagt
   • Communicatiegegevens: contact- en reclametoestemmingen, campagnestatus
   • Gebruikersgegevens van medewerkers: naam, e-mail, rol, werktijden, materiaalopnames
   • Technische gegevens: tijdstempels, loggegevens

§ 3 Instructies

1. Wij verwerken de gegevens alleen op gedocumenteerde instructie van de studio. De instructies volgen uit deze overeenkomst, de algemene voorwaarden en het gebruik van de functies van Pioqor. Verdere instructies geeft de studio schriftelijk aan [email protected].
2. Is een verwerking wettelijk verplicht, dan melden wij dat vooraf aan de studio, tenzij de wet dat verbiedt.
3. Vinden wij een instructie onrechtmatig, dan wijzen wij de studio daar onverwijld op en mogen wij de uitvoering opschorten tot bevestiging.

§ 4 Vertrouwelijkheid

Alle personen die bij ons toegang hebben tot de gegevens zijn tot geheimhouding verplicht of vallen onder een wettelijke geheimhoudingsplicht. Wij openen gegevens van de studio alleen voor zover dat nodig is voor de werking, het oplossen van fouten of op verzoek van de studio (support).

§ 5 Beveiliging van de verwerking

Wij nemen de technische en organisatorische maatregelen van art. 32 AVG die in bijlage 1 zijn beschreven. Wij mogen ze verder ontwikkelen zolang het beschermingsniveau niet daalt.

§ 6 Subverwerkers

1. De studio geeft algemene toestemming voor het inschakelen van subverwerkers. De bij het sluiten van de overeenkomst ingezette subverwerkers staan in bijlage 2 en gelden als goedgekeurd.
2. Wij informeren de studio ten minste 30 dagen vooraf schriftelijk of in de app over voorgenomen wijzigingen. De studio kan om een gewichtige reden op het gebied van gegevensbescherming bezwaar maken. Kunnen wij het bezwaar niet wegnemen, dan kan de studio de overeenkomst opzeggen per de datum van de wijziging.
3. Wij verplichten subverwerkers contractueel tot gegevensbeschermingsverplichtingen die overeenkomen met deze overeenkomst.
4. Verwerking buiten de EU / EER of door aanbieders gevestigd in derde landen vindt alleen plaats als aan de voorwaarden van art. 44 e.v. AVG is voldaan, bijvoorbeeld via een adequaatheidsbesluit (EU-VS Data Privacy Framework) of EU-modelcontractbepalingen.

§ 7 Ondersteuning van de studio

1. Wij ondersteunen de studio met passende maatregelen bij het beantwoorden van verzoeken van betrokkenen (art. 15 tot 22 AVG). Veel rechten kan de studio rechtstreeks in Pioqor uitvoeren, bijvoorbeeld gegevens inzien, corrigeren of wissen. Bereikt een verzoek ons rechtstreeks, dan sturen wij het door naar de studio.
2. Wij ondersteunen de studio bij zijn verplichtingen uit art. 32 tot 36 AVG (beveiliging, melding van datalekken, gegevensbeschermingseffectbeoordeling, voorafgaande raadpleging).

§ 8 Datalekken

Wij informeren de studio onverwijld, zo mogelijk binnen 24 uur, nadat wij kennis hebben gekregen van een inbreuk op de beveiliging van zijn persoonsgegevens. De melding bevat, voor zover bekend, de gegevens van art. 33 lid 3 AVG. Wij nemen onverwijld maatregelen om de inbreuk te verhelpen en de gevolgen te beperken.

§ 9 Wissen en teruggave

1. Na het einde van de overeenkomst kan de studio binnen 30 dagen een kopie van zijn gegevens opvragen in een gangbaar, machineleesbaar formaat.
2. Daarna wissen wij alle gegevens van de studio uiterlijk binnen nog eens 60 dagen, tenzij een wettelijke bewaarplicht bestaat. Gegevens in back-ups worden in de normale back-upcyclus overschreven.
3. Op verzoek bevestigen wij het wissen schriftelijk.

§ 10 Bewijs en audits

Op verzoek stellen wij de studio de informatie ter beschikking die nodig is om naleving van deze overeenkomst aan te tonen, in het bijzonder de actuele beschrijving van de maatregelen en de certificeringen van onze subverwerkers. Audits ter plaatse zijn mogelijk na tijdige aankondiging, tijdens gebruikelijke openingstijden en zonder de bedrijfsvoering te verstoren; de daaruit voortvloeiende inspanning kan redelijkerwijs in rekening worden gebracht.

§ 11 Aansprakelijkheid en slotbepalingen

1. Voor de aansprakelijkheid geldt art. 82 AVG. Verder gelden de aansprakelijkheidsregels van de algemene voorwaarden.
2. Bij tegenstrijdigheden tussen deze overeenkomst en andere afspraken gaat deze overeenkomst voor in zaken van gegevensbescherming.
3. Duits recht is van toepassing. De contracttaal is Duits; vertalingen dienen alleen ter informatie.

Bijlage 1 – Technische en organisatorische maatregelen

Vertrouwelijkheid

• Datacenters van de subverwerkers met toegangscontrole en certificeringen (onder meer ISO 27001 / SOC 2); wij beheren geen eigen servers.
• Toegang tot Pioqor alleen met een persoonlijk account; wachtwoorden worden uitsluitend als hash opgeslagen.
• Rollen- en rechtenmodel in de app (admin, manager, artiest, gast); artiesten zien alleen wat hun rol toestaat.
• Strikte scheiding tussen studio’s: elke databasequery is via beveiligingsregels op rijniveau (Row Level Security) beperkt tot de eigen studio.
• Beheertoegang tot database, hosting en betaaldienst alleen voor de directie van de aanbieder, met tweestapsverificatie.

Integriteit

• Versleutelde overdracht van alle gegevens (TLS / HTTPS).
• Versleuteling van opgeslagen gegevens bij de hostingprovider (AES-256).
• Openbare formulieren (bijvoorbeeld zelfaanmelding) werken alleen via strikt beperkte functies met gebruikslimieten en hebben geen leestoegang tot andere gegevens.
• Softwarewijzigingen worden vóór uitrol getest; databasewijzigingen worden geversioneerd.

Beschikbaarheid en veerkracht

• Dagelijkse automatische back-up van de database.
• Levering van de app via een wereldwijd gespreid netwerk met bescherming tegen overbelastingsaanvallen.

Evaluatieprocedure

• Regelmatige controle van de maatregelen en subverwerkers, ten minste jaarlijks.
• Privacyvriendelijke standaardinstellingen: geen tracking- of reclamecookies, geen analysetools, lettertypen en bibliotheken vanaf onze eigen server.

Bijlage 2 – Subverwerkers

Stripe is geen subverwerker voor de gegevens van de klanten van de studio: via Stripe lopen alleen de betaling en factuur van het Pioqor-abonnement, en Stripe treedt daarbij op als zelfstandige verwerkingsverantwoordelijke.