Gegevensuitwisseling

Partijen

HBMEO B.V., gevestigd aan de Reguliersgracht 56, 1017 LT Amsterdam, ingeschreven bij de Kamer van Koophandel onder nummer 27188914, organisator van Mastercard Hotelnacht, hierna “HBMEO”;

en

de onderneming die een deelnemend hotel of een deelnemende spot exploiteert en zich voor Mastercard Hotelnacht heeft aangemeld, zoals in het aanmeldformulier vermeld met juridische naam, KvK-nummer, adres, de locaties waarop de aanmelding betrekking heeft en of zij deelneemt met een hotel, een spot of beide, hierna de “Partner”;

hierna samen “Partijen” en afzonderlijk een “Partij”.

Overwegingen

A. HBMEO organiseert Mastercard Hotelnacht en verkoopt in dat kader arrangementen en passe-partouts aan festivalbezoekers.

B. Om boekingen en reserveringen uit te voeren, verstrekt HBMEO persoonsgegevens van festivalbezoekers aan de Partner.

C. De Partner gebruikt die gegevens om de boeking of reservering zelf af te handelen en, als het om een hotel gaat, om aan eigen wettelijke verplichtingen te voldoen. Partijen bepalen elk voor zich het doel en de middelen van hun eigen verwerking.

D. Partijen leggen in deze overeenkomst vast hoe zij met de uitgewisselde gegevens omgaan.

Artikel 1 – Definities

1.1 Begrippen uit de Algemene Verordening Gegevensbescherming (EU) 2016/679 (“AVG”), zoals persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, betrokkene en inbreuk in verband met persoonsgegevens, hebben in deze overeenkomst dezelfde betekenis als in de AVG.

1.2 “Uitgewisselde Gegevens”: de persoonsgegevens die HBMEO aan de Partner verstrekt en die per partnertype zijn omschreven in Bijlage 1.

1.3 “Editie”: de editie van Mastercard Hotelnacht waarvoor de Partner zich volgens het aanmeldformulier heeft aangemeld.

1.4 “Deelnamevoorwaarden”: de deelnamevoorwaarden van Mastercard Hotelnacht in de versie die de Partner bij de aanmelding voor de Editie heeft aanvaard.

Artikel 2 – Onderwerp en rolverdeling

2.1 Deze overeenkomst regelt de verstrekking van de Uitgewisselde Gegevens door HBMEO aan de Partner en de verwerking daarvan door beide Partijen.

2.2 Partijen gaan ervan uit dat ieder van hen voor de eigen verwerking van de Uitgewisselde Gegevens zelfstandig verwerkingsverantwoordelijke is, en dat zij geen gezamenlijk verwerkingsverantwoordelijken zijn in de zin van artikel 26 AVG. De Partner is alleen verwerker van HBMEO als de Partner op verzoek van HBMEO tickets scant volgens Bijlage 2. Voordat Partijen een verwerking wezenlijk wijzigen, beoordelen zij de rolverdeling opnieuw. Blijkt dat zij voor een verwerking gezamenlijk verwerkingsverantwoordelijken zijn, dan maken zij daarover vooraf een regeling volgens artikel 26 AVG.

2.3 Ieder van Partijen is zelf verantwoordelijk voor de naleving van de AVG bij de eigen verwerking.

Artikel 3 – Doelbinding

3.1 De Partner gebruikt de Uitgewisselde Gegevens uitsluitend om:

• de boeking of reservering van de betrokkene voor Mastercard Hotelnacht uit te voeren en daarover met de betrokkene te communiceren;
• te voldoen aan wettelijke verplichtingen die op de Partner rusten, zoals het bijhouden van een nachtregister en de afdracht van toeristenbelasting.

3.2 De Partner gebruikt de Uitgewisselde Gegevens niet voor profilering of voor andere commerciële doeleinden dan eigen direct marketing volgens artikel 3.3. De Partner verstrekt de Uitgewisselde Gegevens niet aan derden, ook niet aan andere ondernemingen binnen de eigen groep, behalve aan eigen verwerkers volgens artikel 10.

3.3 De Partner mag de naam en het contactgegeven van een betrokkene gebruiken voor eigen direct marketing over het eigen hotel of de eigen spot, uitsluitend als de betrokkene daarvoor toestemming heeft gegeven via HBMEO of rechtstreeks bij de Partner, bijvoorbeeld bij de check-in of het bezoek, en alleen via de kanalen waarvoor die toestemming geldt. Toestemming via HBMEO is alleen geldig als de betrokkene die vrijwillig en afzonderlijk heeft gegeven, via een niet vooraf aangevinkt vakje dat geen voorwaarde is voor de boeking of reservering en waarin de exploitant, de naam van het hotel of de spot, het doel en de communicatiekanalen staan. De Partner gebruikt de Uitgewisselde Gegevens niet om betrokkenen per e-mail, telefoon of bericht om toestemming voor marketing te vragen.

3.4 HBMEO geeft toestemming die via HBMEO is gegeven door aan de Partner, met de naam van de betrokkene, het contactgegeven waarvoor de toestemming geldt, de tekst waarmee om toestemming is gevraagd en de datum en het tijdstip van de toestemming. HBMEO blijft verantwoordelijk voor het verkrijgen, vastleggen en doorgeven van de toestemming; de Partner is zelfstandig verantwoordelijk voor het gebruik ervan voor marketing. Trekt een betrokkene de toestemming bij HBMEO in, dan geeft HBMEO dat zonder onredelijke vertraging door aan de Partner. De Partner biedt in elk marketingbericht een eenvoudige manier om af te melden en verwerkt afmeldingen direct.

3.5 HBMEO verstrekt de Uitgewisselde Gegevens uitsluitend voor de doelen in artikel 3.1 en, voor zover de betrokkene daarvoor toestemming gaf, voor marketing door de Partner volgens artikel 3.3.

Artikel 4 – Rechtsgrond en informatie aan betrokkenen

4.1 HBMEO verstrekt Uitgewisselde Gegevens:

• voor zover nodig om de boeking of reservering uit te voeren, omdat dit noodzakelijk is voor de uitvoering van de overeenkomst tussen HBMEO en de koper (artikel 6 lid 1 sub b AVG);
• voor marketing door de Partner, uitsluitend op basis van toestemming van de betrokkene (artikel 6 lid 1 sub a AVG) volgens artikel 3.3.

Voor iedere andere verstrekking stellen Partijen vooraf schriftelijk een grondslag vast.

4.2 De Partner verwerkt de Uitgewisselde Gegevens op de grondslag die in Bijlage 1 per activiteit is vermeld. Waar de Partner zich op een gerechtvaardigd belang beroept, legt de Partner de afweging daarvan vooraf vast. Voor het nachtregister en de toeristenbelasting is de grondslag een wettelijke verplichting (artikel 6 lid 1 sub c AVG).

4.3 HBMEO informeert kopers in de eigen privacyverklaring dat hun gegevens worden verstrekt aan het hotel of de spot waar zij hebben geboekt of gereserveerd, en met welk doel.

4.4 De Partner informeert betrokkenen zelf over de eigen verwerking van de Uitgewisselde Gegevens, voor zover zij die informatie (artikel 14 AVG) nog niet hebben ontvangen. De Partner doet dat uiterlijk bij het eerste contact met de betrokkene, bijvoorbeeld bij de check-in of het bezoek, en in ieder geval binnen een maand na ontvangst van de Uitgewisselde Gegevens.

Artikel 5 – Minimale gegevens en juistheid

5.1 HBMEO verstrekt niet meer gegevens dan nodig zijn voor de doelen in artikel 3.1 en 3.5. Welke gegevens dat per partnertype zijn, staat in Bijlage 1. Iedere Partner krijgt alleen toegang tot de boekingen en reserveringen voor de eigen locaties. Voor marketing gebruikt de Partner uitsluitend de naam, het contactgegeven waarvoor toestemming is gegeven en het bewijs van die toestemming, niet het woonadres, de verblijfsdata of andere boekingsgegevens.

5.2 Mastercard Hotelnacht is alleen toegankelijk voor bezoekers van 18 jaar en ouder. HBMEO gebruikt de geboortedatum van kopers uitsluitend om dat te controleren, verstrekt die niet aan de Partner en bewaart die niet langer dan de overige boekingsgegevens.

5.3 Ontdekt een Partij dat Uitgewisselde Gegevens onjuist of onvolledig zijn, dan meldt zij dat zo snel mogelijk aan de andere Partij.

Artikel 6 – Beveiliging

6.1 Ieder van Partijen neemt passende technische en organisatorische maatregelen om de Uitgewisselde Gegevens te beveiligen, in overeenstemming met artikel 32 AVG.

6.2 Partijen wisselen gegevens uit via de systemen die in Bijlage 1 staan. Alleen als dat niet mogelijk is, worden gegevens op een andere manier gedeeld, en dan uitsluitend beveiligd, bijvoorbeeld via een versleutelde verbinding of een beveiligd bestand. Ook na ontvangst slaat de ontvangende Partij bestanden met Uitgewisselde Gegevens beveiligd op.

6.3 Ieder van Partijen zorgt ervoor dat:

• alleen medewerkers die de gegevens voor hun werk nodig hebben er toegang toe hebben, met een persoonlijk account waar het systeem dat ondersteunt; gedeelde accounts alleen als gecontroleerde uitzondering;
• die medewerkers tot geheimhouding verplicht zijn;
• de gegevens alleen worden verwerkt op apparaten met een toegangscode, actuele software en, waar passend, versleuteling;
• toegang tijdig wordt ingetrokken als een medewerker die niet meer nodig heeft.

Artikel 7 – Bewaartermijnen

7.1 Ieder van Partijen bepaalt zelf de bewaartermijn van de gegevens die zij verwerkt, en bewaart ze niet langer dan nodig is voor het doel waarvoor zij ze heeft verkregen of dan de wet voorschrijft.

7.2 De Partner verwijdert de door HBMEO aangeleverde overzichten en bestanden met Uitgewisselde Gegevens zodra die voor de afhandeling van boekingen en reserveringen niet meer nodig zijn, en uiterlijk 12 maanden na afloop van de Editie, tenzij een wettelijke verplichting langer bewaren vereist. Dit geldt ook voor kopieën en voor gegevens die de Partner uit die overzichten en bestanden in andere systemen heeft overgenomen.

7.3 Artikel 7.2 geldt niet voor de naam en het contactgegeven die de Partner op grond van toestemming voor marketing gebruikt (artikel 3.3). Die bewaart de Partner zolang de toestemming geldt en hij ze daarvoor nodig heeft. Het bewijs van de toestemming en een registratie van afmeldingen bewaart de Partner niet langer dan nodig om de toestemming aan te tonen en afmeldingen te respecteren.

7.4 Artikel 7.2 geldt evenmin voor gegevens die de Partner zelf van de gast verkrijgt doordat de gast daadwerkelijk verblijft of de locatie bezoekt, zoals bij de check-in. Het overnemen van aangeleverde gegevens bij de check-in geldt niet als zelf verkrijgen. Ook voor zelf verkregen gegevens houdt de Partner zich aan doelbinding, minimale gegevensverwerking en passende bewaartermijnen.

Artikel 8 – Inbreuken in verband met persoonsgegevens

8.1 Ieder van Partijen is zelf verantwoordelijk voor het melden van een inbreuk aan de Autoriteit Persoonsgegevens en, waar nodig, aan betrokkenen.

8.2 Treft een inbreuk bij de Partner Uitgewisselde Gegevens, dan meldt de Partner dat aan HBMEO zonder onredelijke vertraging en uiterlijk binnen 24 uur nadat de Partner ervan kennisnam, via info@hotel-night.com en, bij een urgent incident, ook telefonisch via +31 6 2454 1327. Treft een inbreuk bij HBMEO Uitgewisselde Gegevens die de Partner heeft ontvangen, dan informeert HBMEO de Partner zonder onredelijke vertraging.

8.3 De eerste melding bevat de informatie die op dat moment beschikbaar is: wat er is gebeurd, welke gegevens en hoeveel betrokkenen het naar verwachting betreft, en welke maatregelen zijn genomen. De melding wordt aangevuld zodra er meer bekend is.

8.4 Partijen werken samen om de gevolgen te beperken en stemmen communicatie naar betrokkenen en pers vooraf af. Die afstemming vertraagt een wettelijk verplichte melding niet. Voor inbreuken bij het scannen van tickets geldt artikel B2.5 van Bijlage 2.

Artikel 9 – Rechten van betrokkenen

9.1 Ieder van Partijen behandelt zelf verzoeken van betrokkenen over de eigen verwerking, binnen de termijnen van de AVG.

9.2 Ontvangt een Partij een verzoek dat (ook) de verwerking door de andere Partij betreft, dan stuurt zij het binnen vijf werkdagen door en informeert zij de betrokkene daarover.

9.3 Partijen helpen elkaar waar nodig bij het corrigeren, verwijderen of beperken van de verwerking van Uitgewisselde Gegevens. Het doorsturen van een verzoek ontslaat een Partij niet van haar eigen verplichtingen. Bij het doorsturen deelt een Partij alleen wat nodig is, en geen kopie van een identiteitsbewijs.

Artikel 10 – Inschakeling van verwerkers

10.1 Ieder van Partijen mag voor de eigen verwerking als verwerkingsverantwoordelijke verwerkers inschakelen, zoals een boekings- of reserveringssysteem, en sluit met hen een verwerkersovereenkomst volgens artikel 28 AVG. Ieder blijft verantwoordelijk voor de eigen verwerkers. Voor het scannen van tickets geldt artikel B2.7 van Bijlage 2.

Artikel 11 – Doorgifte buiten de EER

11.1 Een Partij geeft Uitgewisselde Gegevens alleen door naar een land buiten de Europese Economische Ruimte, waaronder door hosting of toegang vanuit zo’n land, als daarvoor een geldige grondslag bestaat volgens hoofdstuk V AVG, zoals een adequaatheidsbesluit of de standaardcontractbepalingen van de Europese Commissie met de eventueel benodigde aanvullende maatregelen. Een Partij geeft de andere Partij op verzoek informatie over relevante doorgiften en de gebruikte waarborgen.

Artikel 12 – Aansprakelijkheid

12.1 De aansprakelijkheid van Partijen tegenover betrokkenen volgt uit artikel 82 AVG. Deze overeenkomst beperkt de wettelijke rechten van betrokkenen niet.

12.2 Een Partij die toerekenbaar tekortschiet in de nakoming van deze overeenkomst of van haar verplichtingen onder de AVG, vergoedt de andere Partij de daardoor veroorzaakte schade en redelijke kosten, voor zover deze aan haar kunnen worden toegerekend. Hieronder vallen ook bedragen die de andere Partij daardoor rechtens aan betrokkenen of derden verschuldigd is en, uitsluitend voor zover rechtens toelaatbaar, bestuurlijke boetes.

12.3 Aansprakelijkheid tussen Partijen voor indirecte schade, waaronder gederfde winst, is uitgesloten. Redelijke kosten van incidentonderzoek, schadebeperking, wettelijk vereiste communicatie en juridische bijstand, en de in artikel 12.2 bedoelde verschuldigde vergoedingen aan betrokkenen of derden, worden niet uitgesloten alleen omdat zij als indirecte schade kunnen worden aangemerkt.

12.4 De totale aansprakelijkheid van HBMEO tegenover de Partner uit of in verband met deze overeenkomst is per Editie beperkt tot de totale deelnamefee, exclusief btw, die de Partner voor die Editie volgens het aanmeldformulier verschuldigd is. Voor de aansprakelijkheid van de Partner tegenover HBMEO uit of in verband met deze overeenkomst geldt geen contractueel maximumbedrag.

12.5 De uitsluiting en beperking van aansprakelijkheid gelden niet bij opzet of bewuste roekeloosheid van de aansprakelijke Partij. Zij laten artikel 12.1 en dwingendrechtelijke aansprakelijkheid en regresrechten onverlet.

12.6 Partijen informeren elkaar zonder onredelijke vertraging over relevante aanspraken van derden en werken redelijkerwijs samen bij de behandeling daarvan. Een Partij erkent namens de andere Partij geen aansprakelijkheid en treft namens haar geen schikking zonder haar voorafgaande schriftelijke toestemming.

Artikel 13 – Duur, opschorting en beëindiging

13.1 Deze overeenkomst geldt zolang de Partner deelneemt aan Mastercard Hotelnacht en zolang een Partij Uitgewisselde Gegevens verwerkt.

13.2 Bij een ernstige schending van deze overeenkomst of van de AVG door de Partner kan HBMEO de verstrekking van Uitgewisselde Gegevens en de toegang tot systemen van HBMEO, waaronder de scan-app, direct opschorten totdat de schending is hersteld.

13.3 Bij een ernstige of herhaalde schending van deze overeenkomst of van de AVG door de Partner kan HBMEO deze overeenkomst en de deelname van de Partner met onmiddellijke ingang beëindigen, met inachtneming van de Deelnamevoorwaarden.

13.4 Na afloop of beëindiging van deze overeenkomst blijven gelden:

• de aansprakelijkheid voor eerdere tekortkomingen en bestaande aanspraken (artikel 12);
• de geheimhoudingsverplichtingen;
• de artikelen 3, 6, 7, 8, 9 en 11, zolang een Partij Uitgewisselde Gegevens verwerkt;
• Bijlage 2, totdat de afwikkeling, teruggave en verwijdering volgens artikel B2.9 zijn voltooid.

Artikel 14 – Totstandkoming en rangorde

14.1 De Partner aanvaardt deze overeenkomst door zich via het online aanmeldformulier voor Mastercard Hotelnacht aan te melden en daarbij aan te vinken dat de Partner deze overeenkomst aanvaardt. Degene die de Partner aanmeldt, verklaart daartoe bevoegd te zijn. HBMEO legt vast welke versie van deze overeenkomst en van de Deelnamevoorwaarden is aanvaard, op welke datum en welk tijdstip, door welke onderneming en door welke persoon, en bewaart die versies. De overeenkomst is voor de aanmelding te downloaden.

14.2 Deze overeenkomst geldt naast de Deelnamevoorwaarden. Bij strijdigheid over de verwerking van persoonsgegevens, of over aansprakelijkheid die daarmee samenhangt, gaat deze overeenkomst voor. Andere algemene voorwaarden van een Partij zijn op deze overeenkomst niet van toepassing.

14.3 HBMEO kan deze overeenkomst wijzigen. Voor iedere Editie aanvaardt de Partner bij de aanmelding de dan geldende versie.

14.4 HBMEO kan een wijziging ook tijdens een Editie laten ingaan als de wijziging:

• nodig is om te voldoen aan de wet, een besluit van een toezichthouder of een rechterlijke uitspraak; HBMEO informeert de Partner daarover zo snel mogelijk; of
• de Partner niet benadeelt, zoals een verduidelijking, een ander systeem of contactgegeven, of een maatregel die de bescherming van de gegevens verbetert; HBMEO informeert de Partner daarover ten minste 14 dagen voordat de wijziging ingaat.

Artikel 15 – Toepasselijk recht en geschillen

15.1 Op deze overeenkomst is Nederlands recht van toepassing.

15.2 Geschillen worden voorgelegd aan de bevoegde rechter van de rechtbank Amsterdam, in lijn met de algemene voorwaarden van Mastercard Hotelnacht.

15.3 Deze overeenkomst is opgesteld in het Nederlands en het Engels. Beide versies zijn gelijkwaardig. Bij een verschil tussen beide versies wordt de bepaling uitgelegd naar wat Partijen blijkens beide versies samen hebben bedoeld.

Bijlage 1 – Uitgewisselde Gegevens

De tabel beschrijft per activiteit welke gegevens HBMEO verstrekt, met welk doel en op welke grondslag de Partner ze verwerkt.

Bijlage 2 – Verwerkersbepalingen voor het scannen van tickets

B2.1 Deze bijlage geldt alleen als HBMEO de Partner vraagt tickets (passe-partouts en arrangementen) te scannen bij de toegang tot Mastercard Hotelnacht-events. De Partner doet dat in opdracht van HBMEO met de scan-app van CM.com, waarvoor HBMEO een eventnummer en wachtwoord ter beschikking stelt. Voor deze verwerking is HBMEO verwerkingsverantwoordelijke en de Partner verwerker.

B2.2 Onderwerp, aard, doel en duur: het controleren van de geldigheid van tickets bij de toegang tijdens het festivalweekend. Gegevens: de QR-code van het ticket, die de festivalganger zelf toont (op papier, als PDF of in een wallet), en de uitkomst van de controle: geldig of ongeldig. De scan-app toont geen naam of andere gegevens van de festivalganger. Betrokkenen: festivalbezoekers.

B2.3 De Partner verwerkt deze gegevens uitsluitend op gedocumenteerde instructie van HBMEO, ook wat betreft doorgifte naar een land buiten de Europese Economische Ruimte, en niet voor eigen doeleinden. Is de Partner wettelijk verplicht de gegevens anders te verwerken, dan meldt de Partner dat vooraf aan HBMEO, tenzij de wet dat verbiedt.

B2.4 De Partner waarschuwt HBMEO onmiddellijk als een instructie naar zijn oordeel in strijd is met de AVG of andere regels voor gegevensbescherming.

B2.5 De Partner meldt een inbreuk in verband met deze gegevens aan HBMEO zonder onredelijke vertraging en uiterlijk binnen 24 uur nadat de Partner ervan kennisnam, met de informatie uit artikel 33 lid 3 AVG voor zover beschikbaar, en vult die aan zodra er meer bekend is.

B2.6 De Partner verplicht de medewerkers die scannen tot geheimhouding en neemt passende beveiligingsmaatregelen (artikel 32 AVG). De Partner deelt de inloggegevens van de scan-app alleen met die medewerkers en maakt geen kopieën of foto’s van tickets of QR-codes.

B2.7 De Partner schakelt geen subverwerkers in zonder voorafgaande schriftelijke toestemming van HBMEO. Geeft HBMEO die toestemming, dan legt de Partner de subverwerker schriftelijk dezelfde verplichtingen op als in deze bijlage, en blijft de Partner tegenover HBMEO volledig verantwoordelijk voor de naleving daarvan.

B2.8 De Partner helpt HBMEO, rekening houdend met de aard van de verwerking en de informatie waarover de Partner beschikt, met passende technische en organisatorische maatregelen bij het beantwoorden van verzoeken van betrokkenen en bij het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG, zoals beveiliging, meldingen en een eventuele DPIA.

B2.9 Na afloop van het festivalweekend, of eerder als de deelname of deze overeenkomst eindigt, verwijdert de Partner, naar keuze van HBMEO, alle gegevens uit deze verwerking of geeft ze terug, inclusief eventuele lokale kopieën en tijdelijke opslag op toestellen, tenzij de wet bewaring verplicht. Bij teruggave verwijdert de Partner ook de achterblijvende kopieën. De Partner bevestigt de verwijdering op verzoek van HBMEO schriftelijk. De Partner meldt zich af in de scan-app en HBMEO trekt de toegang in.

B2.10 De Partner geeft HBMEO alle informatie die nodig is om naleving van deze bijlage aan te tonen, en werkt mee aan een audit of inspectie door of namens HBMEO.