Privacyverklaring & Verwerkersovereenkomst

1. Wie zijn wij?

Puls is een software-as-a-service-platform voor horecaondernemers, ontwikkeld en beheerd door Puls (hierna "Puls", "wij" of "ons"). Ons platform stelt ondernemers in staat dagelijks inzicht te krijgen in omzet, loonkosten, inkoopfacturen en personeelsprestaties.

Vragen over privacy? Stuur een e-mail naar privacy@usepuls.nl.

2. Verwerkingsverantwoordelijke vs. verwerker

De AVG maakt onderscheid tussen twee rollen:

• Verwerkingsverantwoordelijke. Bepaalt het doel en de middelen van de verwerking. In de context van Puls bent u (de horecaondernemer) de verwerkingsverantwoordelijke voor de persoonsgegevens van uw medewerkers en gasten.
• Verwerker. Verwerkt gegevens in opdracht van de verantwoordelijke. Puls treedt op als verwerker: wij slaan uw data op en tonen die uitsluitend aan u en de door u aangewezen gebruikers.

Omdat wij persoonsgegevens van uw medewerkers verwerken (namen, omzetcijfers per medewerker, gewerkte uren) is een verwerkersovereenkomst (VWO) verplicht. Die vindt u verderop op deze pagina (sectie 8).

3. Welke gegevens verwerken wij?

Puls verwerkt twee categorieën gegevens:

A. Bedrijfsgegevens (geen persoonsgegevens)

• Dagomzet, transactieaantallen, inkoopfacturen
• Weersdata (openbare data van Buienradar / Open-Meteo)
• Inflatiecijfers (CBS / Eurostat)
• Agenda-evenementen die u zelf invoert

B. Persoonsgegevens van medewerkers

C. Gegevens die wij expliciet niet verwerken

• BSN-nummers of andere wettelijke identificatoren
• Bankrekeningnummers of salarisgegevens
• Gezondheidsgegevens of bijzondere categorieën persoonsgegevens
• Gastgegevens (kassatransacties bevatten geen klant-ID)

4. Grondslagen voor verwerking

Wij verwerken persoonsgegevens uitsluitend op basis van:

• Uitvoering van een overeenkomst. De dashboarddienst die u bij ons afneemt (AVG art. 6 lid 1 sub b).
• Gerechtvaardigd belang. Operationele analyse van uw eigen bedrijf; het belang van de ondernemer weegt zwaarder dan het privacybelang van de medewerker bij bedrijfsmatige prestatieregistratie (AVG art. 6 lid 1 sub f).

5. Technische beveiligingsmaatregelen

Wij nemen de volgende maatregelen om uw data te beschermen:

• 🔑 Bcrypt-wachtwoord-hashing (work-factor 12): wachtwoorden worden nooit als leesbare tekst opgeslagen.
• 🔐 TLS 1.2/1.3 voor alle communicatie tussen browser, server en externe koppelingen.
• 🔒 Versleutelde opslag: de database staat op een server met versleutelde schijf (Hetzner LUKS).
• 💾 Versleutelde back-ups: de dagelijkse off-site kopie wordt versleuteld opgeslagen (AES256) bij Backblaze B2 in de EU.
• 🏢 Klant-isolatie: elke zaak heeft een aparte database; cross-tenantlekken zijn structureel onmogelijk.
• 🛡️ Brute-force-beveiliging: na 5 mislukte inlogpogingen in 15 minuten blokkeert het systeem automatisch.
• 🔐 Optionele tweefactorauthenticatie (TOTP) via Google Authenticator, Authy of 1Password.
• 📁 Bestandspermissies: de database is alleen toegankelijk voor de service-gebruiker (chmod 640).
• 🔑 SSH-sleutels: servercommunicatie via publieke-sleutelcryptografie, geen wachtwoord-SSH.

6. Sub-verwerkers

Wij maken gebruik van de volgende externe diensten die in contact kunnen komen met uw data:

SCCs = Standard Contractual Clauses (goedgekeurd door de Europese Commissie voor doorgifte buiten de EU). De Anthropic-koppeling is volledig optioneel en verwerkt uitsluitend tekst van PDF-inkoopfacturen, geen namen of persoonsgegevens.

Web3Forms verwerkt contactformulier-inzendingen uitsluitend ter bezorging. Gegevens worden maximaal 30 dagen bewaard. Zie web3forms.com/privacy.

7. Uw rechten onder de AVG

Als verwerkingsverantwoordelijke heeft u (en uw medewerkers via u) de volgende rechten:

Verzoeken kunt u indienen via privacy@usepuls.nl. Wij reageren binnen 4 weken. U heeft ook het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens.

8. Verwerkersovereenkomst

Conform artikel 28 AVG leggen verwerkingsverantwoordelijke (u) en verwerker (Puls) de volgende afspraken vast:

8.0 Onderwerp en duur

Deze verwerkersovereenkomst hoort bij de overeenkomst voor het gebruik van Puls en loopt even lang: hij begint bij de aanmelding en eindigt als die overeenkomst eindigt. Onderwerp, aard en doel van de verwerking, de soorten persoonsgegevens en de categorieën betrokkenen staan in secties 2 en 3.

8.1 Opdracht en instructies

Puls verwerkt persoonsgegevens uitsluitend op schriftelijke instructie van de verwerkingsverantwoordelijke en voor de doeleinden omschreven in sectie 3 van deze verklaring. Puls zal geen gegevens voor eigen doeleinden gebruiken. Is Puls van mening dat een instructie in strijd is met de AVG of andere privacywetgeving, dan meldt Puls dat direct aan de verwerkingsverantwoordelijke.

8.2 Geheimhouding

Alle personen die namens Puls toegang hebben tot persoonsgegevens zijn gehouden aan geheimhouding. Dit geldt ook na beëindiging van de overeenkomst.

8.3 Beveiliging

Puls treft de technische en organisatorische maatregelen beschreven in sectie 5 van deze verklaring. Wij voeren jaarlijks een interne beveiligingsreview uit.

8.4 Sub-verwerkers

Puls schakelt alleen sub-verwerkers in met toestemming van de verwerkingsverantwoordelijke (verleend bij acceptatie van deze overeenkomst) en sluit met die sub-verwerkers gelijkwaardige verwerkersovereenkomsten af. De actuele lijst van sub-verwerkers staat in sectie 6. Wil Puls een sub-verwerker toevoegen of vervangen, dan meldt Puls dat minimaal 30 dagen vooraf per e-mail; binnen die termijn kunt u met redenen bezwaar maken. Komen we er niet uit, dan kunt u de overeenkomst kosteloos beëindigen voordat de wijziging ingaat.

8.4a Doorgifte buiten de EER

Puls verwerkt en bewaart persoonsgegevens binnen de Europese Economische Ruimte. Doorgifte naar een land daarbuiten gebeurt alleen op uw instructie, of als een sub-verwerker uit sectie 6 dat met passende waarborgen doet (zoals de standaardcontractbepalingen van de Europese Commissie).

8.5 Datalekken

Bij een beveiligingsincident dat persoonsgegevens betreft, informeert Puls de verwerkingsverantwoordelijke binnen 24 uur na ontdekking via het bij ons bekende e-mailadres. U bent vervolgens verplicht dit, indien meldplichtig, zelf te melden aan de Autoriteit Persoonsgegevens (binnen 72 uur).

8.5a Bijstand

Puls helpt u, voor zover redelijk en met de middelen die het dashboard heeft, bij het afhandelen van verzoeken van betrokkenen (inzage, correctie, verwijdering, beperking, overdraagbaarheid, bezwaar) en bij uw verplichtingen rond beveiliging, het melden van datalekken, een gegevensbeschermingseffectbeoordeling (DPIA) en een eventuele voorafgaande raadpleging van de Autoriteit Persoonsgegevens. Een verzoek dat rechtstreeks bij Puls binnenkomt, sturen wij zonder inhoudelijke reactie door naar u.

8.6 Bewaartermijn en verwijdering

Gegevens worden bewaard zolang uw account actief is, met een maximum van 2 jaar na de laatste transactiedatum. Na beëindiging van de overeenkomst worden alle persoonsgegevens binnen 30 dagen definitief verwijderd of geanonimiseerd, tenzij een wettelijke bewaarverplichting anders vereist. Vóór die verwijdering kunt u een volledige export van uw gegevens opvragen; die leveren wij in een gangbaar formaat (CSV of Excel). Op verzoek bevestigen wij de verwijdering schriftelijk.

8.7 Audit-rechten

De verwerkingsverantwoordelijke heeft het recht Puls te auditen op naleving van deze overeenkomst, maximaal eenmaal per jaar en na 30 dagen schriftelijke vooraankondiging. Puls stelt alle informatie beschikbaar die nodig is om naleving van artikel 28 AVG aan te tonen en verleent medewerking aan redelijke informatieverzoeken.

8.8 Toepasselijk recht en forumkeuze

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in Amsterdam.

9. Wijzigingen in deze verklaring

Wij behouden ons het recht voor deze privacyverklaring te wijzigen. Bij materiële wijzigingen informeren wij u minimaal 30 dagen van tevoren via e-mail. De actuele versie staat altijd op deze pagina.

Bijlage A: informatie voor medewerkers

Kopieer en plak onderstaande tekst in uw personeelshandboek, arbeidsovereenkomst of bedrijfsintranet om te voldoen aan uw informatieplicht (AVG art. 13/14).