Artikel 1: Partijen en rollen
Deze overeenkomst wordt aangegaan tussen Rika Bakery, gevestigd te Westzaan, Nederland (KvK-nummer 98917617), handelend onder de naam BakeryPulse (hierna: "Verwerker"), en de klant die een abonnement op de Dienst heeft afgesloten (hierna: "Verwerkingsverantwoordelijke").
De Verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking van persoonsgegevens die hij in de Dienst invoert. De Verwerker verwerkt deze gegevens uitsluitend in opdracht van de Verwerkingsverantwoordelijke.
Artikel 2: Onderwerp en duur
Deze overeenkomst heeft betrekking op de verwerking van persoonsgegevens in het kader van het gebruik van de BakeryPulse-applicatie (de "Dienst"). De overeenkomst geldt zolang de Verwerkingsverantwoordelijke een actief account heeft en eindigt automatisch bij beëindiging van het abonnement, onverminderd de verplichtingen uit artikel 9.
Artikel 3: Aard en doel van de verwerking
De Verwerker verwerkt persoonsgegevens uitsluitend voor het leveren van de functionaliteit van de Dienst: het opslaan, tonen, berekenen en rapporteren van bedrijfsgegevens van de bakkerij van de Verwerkingsverantwoordelijke. De Verwerker gebruikt de gegevens niet voor eigen doeleinden, verkoopt ze niet en gebruikt ze niet voor het trainen van AI-modellen.
Artikel 4: Soorten persoonsgegevens en categorieën betrokkenen
| Categorie betrokkenen | Soorten persoonsgegevens |
|---|---|
| Medewerkers van de Verwerkingsverantwoordelijke | Naam, functie, contracturen, loonkosten |
| Gebruikers van de Dienst (uitgenodigd door de Verwerkingsverantwoordelijke) | Naam, e-mailadres, rol, inloggegevens (versleuteld) |
De Dienst is niet bedoeld voor het verwerken van bijzondere categorieën persoonsgegevens (zoals gezondheids- of strafrechtelijke gegevens). De Verwerkingsverantwoordelijke ziet erop toe dat dergelijke gegevens niet worden ingevoerd.
Artikel 5: Verplichtingen van de Verwerker
- Verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Verwerkingsverantwoordelijke, zoals vastgelegd in deze overeenkomst;
- Waarborgt dat personen die toegang hebben tot de gegevens tot vertrouwelijkheid verplicht zijn;
- Neemt passende technische en organisatorische beveiligingsmaatregelen (artikel 6);
- Ondersteunt de Verwerkingsverantwoordelijke bij het beantwoorden van verzoeken van betrokkenen (artikel 8);
- Stelt alle informatie ter beschikking die nodig is om naleving van artikel 28 AVG aan te tonen en werkt mee aan audits (artikel 10);
- Meldt datalekken zonder onredelijke vertraging (artikel 7).
Artikel 6: Beveiliging
De Verwerker treft onder meer de volgende maatregelen:
- Versleutelde verbindingen (TLS/HTTPS) voor alle datatransport;
- Versleutelde opslag van gegevens en wachtwoorden (bcrypt);
- Toegangsbeperking per bakkerij via row-level security: gebruikers zien uitsluitend gegevens van hun eigen bedrijf;
- Rolgebaseerde toegangsrechten binnen het account van de Verwerkingsverantwoordelijke;
- Hosting in EU-datacenters (Frankfurt, Duitsland).
Artikel 7: Datalekken
De Verwerker informeert de Verwerkingsverantwoordelijke zonder onredelijke vertraging, en uiterlijk binnen 48 uur na ontdekking, over een inbreuk in verband met persoonsgegevens (datalek). De melding bevat, voor zover bekend, de aard van de inbreuk, de betrokken gegevens, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. De beoordeling of het datalek gemeld moet worden aan de Autoriteit Persoonsgegevens en/of betrokkenen ligt bij de Verwerkingsverantwoordelijke.
Artikel 8: Rechten van betrokkenen
De Verwerker verleent redelijke medewerking aan de Verwerkingsverantwoordelijke bij het vervullen van diens plicht om verzoeken van betrokkenen te beantwoorden (inzage, rectificatie, verwijdering, beperking, dataportabiliteit). Veel van deze verzoeken kan de Verwerkingsverantwoordelijke zelf afhandelen: gegevens van medewerkers zijn in de Dienst direct in te zien, aan te passen en te verwijderen, en het volledige account inclusief alle gegevens kan via de instellingen worden geëxporteerd en gewist.
Artikel 9: Teruggave en verwijdering
Bij beëindiging van het abonnement kan de Verwerkingsverantwoordelijke tot het einde van de betaalde periode zijn gegevens exporteren via de Dienst. Na beëindiging van het account worden alle persoonsgegevens verwijderd; kopieën in back-ups worden uiterlijk binnen 30 dagen daarna overschreven of gewist, tenzij een wettelijke bewaarplicht zich daartegen verzet.
Artikel 10: Audits
De Verwerkingsverantwoordelijke heeft het recht om maximaal éénmaal per jaar, na redelijke aankondiging van minimaal 30 dagen, de naleving van deze overeenkomst te (laten) controleren. De Verwerker mag hiertoe eerst relevante certificeringen of auditrapporten van zijn subverwerkers overleggen. De kosten van een audit zijn voor rekening van de Verwerkingsverantwoordelijke.
Artikel 11: Subverwerkers
De Verwerkingsverantwoordelijke geeft algemene toestemming voor het inschakelen van de onderstaande subverwerkers. De Verwerker legt aan subverwerkers dezelfde verplichtingen op als in deze overeenkomst en blijft volledig aansprakelijk voor hun nakoming. Wijzigingen in subverwerkers worden minimaal 30 dagen vooraf aangekondigd via e-mail; de Verwerkingsverantwoordelijke kan bij gegrond bezwaar het abonnement beëindigen.
| Subverwerker | Doel | Locatie |
|---|---|---|
| Supabase Inc. | Database, authenticatie en hosting | EU (Frankfurt, Duitsland) |
| Stripe Inc. | Betalingsverwerking en facturatie | VS (SCC's) |
| Anthropic PBC | AI-inzichten en productiesuggesties (tijdelijke verwerking, geen training) | VS (SCC's) |
| Resend Inc. | Verzenden van transactionele e-mails | VS (SCC's) |
Artikel 12: Doorgifte buiten de EU
Persoonsgegevens worden primair opgeslagen en verwerkt binnen de EU. Voor zover subverwerkers gegevens buiten de Europese Economische Ruimte verwerken, gebeurt dit op basis van door de Europese Commissie goedgekeurde Standard Contractual Clauses (SCC's) of een adequaatheidsbesluit.
Artikel 13: Aansprakelijkheid en slotbepalingen
Voor aansprakelijkheid geldt de regeling uit de Algemene Voorwaarden. Op deze overeenkomst is Nederlands recht van toepassing. Bij strijdigheid tussen deze verwerkersovereenkomst en de Algemene Voorwaarden gaat deze verwerkersovereenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.
Artikel 14: Contact
Vragen over deze verwerkersovereenkomst? Neem contact op via:
E-mail: info@bakerypulse.com
Bedrijf: Rika Bakery, gevestigd te Westzaan, Nederland
KvK-nummer: 98917617
Versie 1.0, Vastgesteld: juli 2026