Data Processing Agreement (DPA) conform artikel 28 AVG
Versie 1.0 — Laatst bijgewerkt: 10 maart 2026
Deze Verwerkersovereenkomst (“Overeenkomst”) is gesloten tussen:
De Gebruiker (het bedrijf) dat een Account heeft aangemaakt op het HotsaCity-platform en persoonsgegevens van zijn eigen klanten, medewerkers en/of contactpersonen verwerkt via het Platform.
Hierna aangeduid als: “Verwerkingsverantwoordelijke” of “Gebruiker”
Hierna aangeduid als: “Verwerker” of “HotsaCity”
Gezamenlijk aangeduid als “Partijen”. Deze Verwerkersovereenkomst maakt integraal onderdeel uit van de Algemene Voorwaarden van HotsaCity. Door het accepteren van de Algemene Voorwaarden accepteert de Gebruiker tevens deze Verwerkersovereenkomst.
In aanvulling op de definities in de Algemene Voorwaarden gelden de volgende definities:
| Term | Definitie |
|---|---|
| Persoonsgegevens | Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (“Betrokkene”), zoals bedoeld in artikel 4 lid 1 AVG. |
| Verwerking | Elke bewerking of elk geheel van bewerkingen met betrekking tot Persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden, beschikbaar stellen, aligneren, combineren, afschermen, wissen of vernietigen van gegevens (Art. 4 lid 2 AVG). |
| Betrokkene | De geïdentificeerde of identificeerbare natuurlijke persoon op wie de Persoonsgegevens betrekking hebben, in het bijzonder klanten, medewerkers en contactpersonen van de Verwerkingsverantwoordelijke. |
| Datalek | Een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte Persoonsgegevens (Art. 4 lid 12 AVG). |
| Sub-verwerker | Een derde partij die door de Verwerker wordt ingeschakeld om namens de Verwerkingsverantwoordelijke Persoonsgegevens te verwerken. |
| AVG | De Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016). |
| Bijzondere Persoonsgegevens | Persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, lidmaatschap van een vakbond blijken, alsook genetische gegevens, biometrische gegevens, gegevens over gezondheid of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid (Art. 9 AVG). |
3.1. Deze Verwerkersovereenkomst heeft betrekking op de verwerking van Persoonsgegevens door HotsaCity (Verwerker) ten behoeve van de Gebruiker (Verwerkingsverantwoordelijke) in het kader van de dienstverlening via het HotsaCity-platform.
3.2. Deze Overeenkomst treedt in werking op het moment dat de Gebruiker een Account aanmaakt op het Platform en de Algemene Voorwaarden accepteert.
3.3. De duur van deze Overeenkomst is gelijk aan de duur van de Overeenkomst voor het gebruik van het Platform. Na beëindiging van de hoofdovereenkomst blijven de bepalingen van deze Verwerkersovereenkomst van kracht voor zover dit noodzakelijk is voor de afwikkeling van de verwerking, waaronder de verwijdering van gegevens.
4.1. HotsaCity verwerkt Persoonsgegevens uitsluitend ten behoeve van de volgende doeleinden:
4.2. De verwerking omvat het verzamelen, opslaan, structureren, raadplegen, gebruiken, verstrekken (aan de Gebruiker), bijwerken, verwijderen en vernietigen van Persoonsgegevens, uitsluitend voor zover noodzakelijk voor de in lid 1 genoemde doeleinden.
In het kader van de dienstverlening verwerkt HotsaCity de volgende soorten Persoonsgegevens namens de Verwerkingsverantwoordelijke:
Uitsluitend van toepassing wanneer de Gebruiker een zorgverlener is die het platform gebruikt voor het boeken van zorgafspraken.
De Persoonsgegevens die worden verwerkt hebben betrekking op de volgende categorieën Betrokkenen:
HotsaCity verbindt zich als Verwerker tot de volgende verplichtingen:
HotsaCity verwerkt Persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Verwerkingsverantwoordelijke (Art. 28 lid 3 sub a AVG), waaronder de instructies in deze Overeenkomst en de Algemene Voorwaarden, tenzij HotsaCity op grond van Unierecht of lidstatelijk recht verplicht is tot verwerking. In dat geval stelt HotsaCity de Verwerkingsverantwoordelijke vóór de verwerking in kennis, tenzij dit wettelijk verboden is.
HotsaCity waarborgt dat alle personen die gemachtigd zijn om Persoonsgegevens te verwerken, zich tot geheimhouding hebben verbonden of onder een passende wettelijke geheimhoudingsplicht vallen (Art. 28 lid 3 sub b AVG). Deze geheimhoudingsplicht blijft ook na beëindiging van de arbeidsrelatie van kracht.
HotsaCity neemt passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen (Art. 28 lid 3 sub c, jo. Art. 32 AVG), waaronder:
HotsaCity schakelt de volgende Sub-verwerkers in voor de verwerking van Persoonsgegevens (Art. 28 lid 2 AVG). De Verwerkingsverantwoordelijke verleent hierbij een algemene schriftelijke machtiging voor het inschakelen van Sub-verwerkers:
| Sub-verwerker | Dienst | Gegevens | Locatie |
|---|---|---|---|
| Mollie B.V. | Betalingsverwerking | Transactiegegevens | Nederland (EER) |
| Hostinger International Ltd. | Serverhosting | Alle gegevens (opslag) | EU (EER) |
| Resend, Inc. | E-mailverzending | E-mailadres, naam | VS (DPF/SCCs) |
| Nmbrs (optioneel) | Loonadministratie | Medewerkersgegevens | Nederland (EER) |
HotsaCity sluit met alle Sub-verwerkers een verwerkersovereenkomst die ten minste dezelfde verplichtingen oplegt als deze Overeenkomst. HotsaCity informeert de Verwerkingsverantwoordelijke over voorgenomen wijzigingen in Sub-verwerkers, met een redelijke kennisgevingstermijn van minimaal 14 dagen, zodat de Verwerkingsverantwoordelijke bezwaar kan maken.
HotsaCity staat de Verwerkingsverantwoordelijke bij, door middel van passende technische en organisatorische maatregelen, bij het nakomen van diens plicht om verzoeken van Betrokkenen te beantwoorden met betrekking tot de uitoefening van hun rechten onder hoofdstuk III van de AVG (Art. 28 lid 3 sub e AVG). Dit omvat verzoeken tot inzage, rectificatie, wissing, beperking, portabiliteit en bezwaar. Het Platform biedt hiervoor waar mogelijk self-service functionaliteit.
HotsaCity staat de Verwerkingsverantwoordelijke bij, rekening houdend met de aard van de verwerking en de beschikbare informatie, bij het nakomen van diens verplichtingen onder artikelen 32 t/m 36 AVG (Art. 28 lid 3 sub f AVG), waaronder: beveiliging (Art. 32), melding van Datalekken aan de toezichthouder (Art. 33) en aan Betrokkenen (Art. 34), gegevensbeschermingseffectbeoordelingen (Art. 35) en voorafgaande raadpleging (Art. 36).
Na beëindiging van de Overeenkomst zal HotsaCity, naar keuze van de Verwerkingsverantwoordelijke, alle Persoonsgegevens verwijderen of teruggeven aan de Verwerkingsverantwoordelijke, en bestaande kopieën verwijderen (Art. 28 lid 3 sub g AVG). De Verwerkingsverantwoordelijke heeft 30 dagen na beëindiging om gegevens te exporteren. Daarna worden de gegevens definitief verwijderd, tenzij opslag wettelijk verplicht is (bijv. fiscale bewaarplicht van 7 jaar).
HotsaCity stelt alle informatie ter beschikking die nodig is om de nakoming van de in artikel 28 AVG neergelegde verplichtingen aan te tonen, en maakt audits, waaronder inspecties, door de Verwerkingsverantwoordelijke of een door de Verwerkingsverantwoordelijke gemachtigde auditor mogelijk en draagt eraan bij (Art. 28 lid 3 sub h AVG).
Audits worden uitgevoerd met een redelijke kennisgevingstermijn van minimaal 14 dagen, gedurende kantooruren en met inachtneming van geheimhoudingsverplichtingen. De kosten van een audit worden gedragen door de Verwerkingsverantwoordelijke, tenzij de audit een materiële niet-nakoming aan het licht brengt.
8.1. Melding: In geval van een Datalek stelt HotsaCity de Verwerkingsverantwoordelijke hiervan zonder onredelijke vertraging en in ieder geval binnen 48 uur na ontdekking op de hoogte (Art. 33 lid 2 AVG). De melding geschiedt via e-mail aan het bij HotsaCity bekende e-mailadres van de Verwerkingsverantwoordelijke.
8.2. Inhoud melding: De melding omvat ten minste:
8.3. Bijstand: HotsaCity verleent de Verwerkingsverantwoordelijke alle redelijke bijstand bij het nakomen van diens meldplicht jegens de Autoriteit Persoonsgegevens (Art. 33 AVG) en, indien van toepassing, jegens de Betrokkenen (Art. 34 AVG).
8.4. Registratie: HotsaCity houdt een register bij van alle Datalekken, inclusief de feiten omtrent het Datalek, de gevolgen en de genomen corrigerende maatregelen. Dit register wordt op verzoek beschikbaar gesteld aan de Verwerkingsverantwoordelijke.
8.5. Mitigatie: HotsaCity neemt onmiddellijk alle redelijke maatregelen om de gevolgen van een Datalek te beperken en herhaling te voorkomen.
9.1. HotsaCity verwerkt en slaat Persoonsgegevens primair op binnen de Europese Economische Ruimte (EER). De servers van HotsaCity bevinden zich in de EU.
9.2. Doorgifte van Persoonsgegevens naar landen buiten de EER vindt uitsluitend plaats indien een van de volgende waarborgen van toepassing is:
9.3. Op dit moment vindt doorgifte buiten de EER uitsluitend plaats naar Resend, Inc. in de VS, waarvoor het EU-VS Data Privacy Framework (adequaatheidsbesluit) en/of standaard contractbepalingen van toepassing zijn.
9.4. HotsaCity zal geen Persoonsgegevens doorgeven naar derde landen zonder voorafgaande informatie aan de Verwerkingsverantwoordelijke en het treffen van passende waarborgen.
10.1. De aansprakelijkheid van HotsaCity als Verwerker is beperkt conform de bepalingen in de Algemene Voorwaarden, tenzij dwingendrechtelijke bepalingen uit de AVG anders voorschrijven.
10.2. HotsaCity is aansprakelijk voor schade die is veroorzaakt door verwerking die in strijd is met de specifiek tot verwerkers gerichte verplichtingen uit de AVG, of waarbij buiten of in strijd met de rechtmatige instructies van de Verwerkingsverantwoordelijke is gehandeld (Art. 82 lid 2 AVG).
10.3. HotsaCity is vrijgesteld van aansprakelijkheid indien zij aantoont dat zij op geen enkele wijze verantwoordelijk is voor het schadeveroorzakende feit (Art. 82 lid 3 AVG).
10.4. De Verwerkingsverantwoordelijke vrijwaart HotsaCity tegen claims van derden die voortvloeien uit het niet-naleven door de Verwerkingsverantwoordelijke van diens verplichtingen onder de AVG of deze Overeenkomst.
11.1. Deze Verwerkersovereenkomst is van kracht zolang HotsaCity Persoonsgegevens verwerkt namens de Verwerkingsverantwoordelijke.
11.2. Bij beëindiging van de hoofdovereenkomst (Algemene Voorwaarden) eindigt ook deze Verwerkersovereenkomst, met inachtneming van de bepalingen over gegevensverwijdering (artikel 7.7).
11.3. Bepalingen die naar hun aard bestemd zijn om na beëindiging voort te duren, blijven van kracht, waaronder maar niet beperkt tot de bepalingen over geheimhouding, aansprakelijkheid en gegevensverwijdering.
11.4. De Verwerkingsverantwoordelijke kan deze Verwerkersovereenkomst beëindigen indien HotsaCity wezenlijk tekortschiet in de nakoming van haar verplichtingen onder deze Overeenkomst of de AVG en dit niet herstelt binnen een redelijke termijn van 30 dagen na schriftelijke kennisgeving.
12.1. De Verwerkingsverantwoordelijke garandeert dat de verwerking van Persoonsgegevens geschiedt in overeenstemming met de AVG en overige toepasselijke privacywetgeving.
12.2. De Verwerkingsverantwoordelijke is verantwoordelijk voor de rechtmatigheid van de verwerking, het vaststellen van de doeleinden en middelen, het informeren van Betrokkenen en het verkrijgen van eventueel benodigde toestemming.
12.3. De Verwerkingsverantwoordelijke geeft HotsaCity tijdig en volledig alle instructies en informatie die nodig zijn voor een correcte uitvoering van deze Overeenkomst.
12.4. De Verwerkingsverantwoordelijke draagt er zorg voor dat Bijzondere Persoonsgegevens uitsluitend worden verwerkt wanneer een geldige grondslag onder artikel 9 AVG aanwezig is en de benodigde aanvullende maatregelen zijn getroffen.
13.1. In geval van tegenstrijdigheid tussen deze Verwerkersovereenkomst en de Algemene Voorwaarden prevaleren de bepalingen van deze Verwerkersovereenkomst voor zover het de verwerking van Persoonsgegevens betreft.
13.2. Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter conform de bepalingen in de Algemene Voorwaarden.
13.3. HotsaCity mag deze Verwerkersovereenkomst eenzijdig wijzigen wanneer dit noodzakelijk is om te voldoen aan gewijzigde wetgeving, rechtspraak of richtlijnen van de Autoriteit Persoonsgegevens. Wijzigingen worden minimaal 30 dagen voor inwerkingtreding gecommuniceerd aan de Verwerkingsverantwoordelijke.
13.4. Indien een bepaling van deze Overeenkomst nietig of vernietigbaar is, tast dit de geldigheid van de overige bepalingen niet aan.
Voor vragen over deze Verwerkersovereenkomst kunt u contact opnemen met:
Versie 1.0 — Laatst bijgewerkt: 10 maart 2026
Deze Verwerkersovereenkomst is opgesteld conform artikel 28 van de Algemene Verordening Gegevensbescherming (EU) 2016/679 en de Uitvoeringswet AVG.