Deze pagina is alleen in het Nederlands beschikbaar. De Nederlandse versie is juridisch bindend.

Verwerkersovereenkomst

Versie 1.0 · ingangsdatum 28 september 2026

Partijen

• Verwerker: JM Limoncello B.V., handelend onder de naam Citroentje, Atoomweg 1, 3542 AA Utrecht, KvK-nummer 93261764, e-mail hallo@citroentje.app.
• Verwerkingsverantwoordelijke: de Klant, dat wil zeggen de onderneming die het Abonnement voor Citroentje afsluit.

Deze overeenkomst is een verwerkersovereenkomst in de zin van artikel 28 van de Algemene verordening gegevensbescherming (AVG). Zij maakt deel uit van het Abonnement en komt tot stand doordat Klant bij aanmelding akkoord gaat; datum en tijdstip daarvan worden vastgelegd. Begrippen met een hoofdletter hebben de betekenis uit de algemene voorwaarden, tenzij hieronder anders staat.

Artikel 1. Begrippen

• AVG: Verordening (EU) 2016/679.
• Persoonsgegevens, verwerken, betrokkene, datalek: zoals in de AVG.
• Subverwerker: een derde die Verwerker inschakelt en die daarbij persoonsgegevens van Klant verwerkt.
• Dienst, Abonnement, Beheerder, Rolcode: zoals in de algemene voorwaarden.

Artikel 2. Onderwerp en duur

1. Verwerker verwerkt persoonsgegevens in opdracht van Klant, uitsluitend om de Dienst te leveren. Bijlage 1 beschrijft welke gegevens dat zijn en van wie.
2. Deze overeenkomst geldt zolang het Abonnement loopt en zolang Verwerker nog persoonsgegevens van Klant heeft (artikel 11).

Artikel 3. Instructies

1. Verwerker verwerkt persoonsgegevens alleen op gedocumenteerde instructie van Klant, ook als het gaat om doorgifte naar een land buiten de EER, tenzij een wettelijke plicht anders vereist. Het Abonnement, deze overeenkomst en het gebruik van de Dienst door Klant gelden als instructie.
2. Verwerker gebruikt de persoonsgegevens niet voor eigen doeleinden en niet voor het trainen van AI-modellen.
3. Meent Verwerker dat een instructie in strijd is met de AVG, dan meldt hij dat direct aan Klant.

Artikel 4. Verplichtingen van Klant

1. Klant is verwerkingsverantwoordelijke. Klant bepaalt welke persoonsgegevens hij in de Dienst laat verwerken en zorgt voor een geldige grondslag en voor informatie aan zijn medewerkers.
2. Klant informeert medewerkers die met een Rolcode inloggen dat hun naam, apparaatomschrijving en inlogtijdstippen worden vastgelegd. Een tekst daarvoor staat in de privacyverklaring van Citroentje.
3. Klant legt in de Dienst geen bijzondere categorieën persoonsgegevens en geen gegevens over strafrechtelijke veroordelingen vast.
4. Klant beheert zijn apparatenlijst, verwijdert apparaten van vertrokken medewerkers en ververst Rolcodes waar dat nodig is.

Artikel 5. Geheimhouding

Verwerker zorgt dat iedereen die namens hem toegang heeft tot de persoonsgegevens aan geheimhouding is gebonden en de gegevens alleen verwerkt voor de Dienst.

Artikel 6. Beveiliging

1. Verwerker neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen, rekening houdend met het risico. De maatregelen staan in Bijlage 2.
2. Verwerker evalueert de maatregelen regelmatig en past ze aan waar dat nodig is. Verwerker verlaagt het beveiligingsniveau niet wezenlijk.
3. Klant beoordeelt zelf of de maatregelen passen bij de gegevens die hij laat verwerken.

Artikel 7. Subverwerkers

1. Klant geeft Verwerker algemene schriftelijke toestemming om Subverwerkers in te schakelen. De Subverwerkers op de datum van deze overeenkomst staan in het overzicht op https://citroentje.app/subverwerkers.
2. Verwerker meldt een voorgenomen wijziging, zoals een nieuwe of vervangende Subverwerker, minstens 30 dagen vooraf per e-mail aan de Beheerder. Klant kan binnen 14 dagen na die melding gemotiveerd bezwaar maken.
3. Komen partijen er niet uit, dan kan Klant het Abonnement opzeggen per de ingangsdatum van de wijziging.
4. Verwerker legt Subverwerkers dezelfde verplichtingen op als in deze overeenkomst en blijft tegenover Klant verantwoordelijk voor hun naleving.

Artikel 8. Doorgifte buiten de EER

1. Verwerker verwerkt persoonsgegevens in beginsel binnen de Europese Economische Ruimte (EER).
2. Doorgifte naar een land buiten de EER vindt alleen plaats met een geldige grondslag: een adequaatheidsbesluit van de Europese Commissie, waaronder het EU-VS Data Privacy Framework voor deelnemende partijen, of standaardcontractbepalingen. Het overzicht van Subverwerkers vermeldt waar dat speelt.

Artikel 9. Bijstand aan Klant

1. Verwerker helpt Klant, rekening houdend met de aard van de verwerking, om verzoeken van betrokkenen te beantwoorden: inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar. Ontvangt Verwerker zo'n verzoek rechtstreeks, dan stuurt hij dat zonder onredelijke vertraging door aan Klant en beantwoordt hij het niet zelf, tenzij Klant daarom vraagt.
2. Verwerker helpt Klant bij de verplichtingen rond beveiliging, melding van datalekken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging, voor zover Verwerker daarvoor de informatie heeft.
3. Bijstand die redelijkerwijs niet bij de Dienst hoort, mag Verwerker na overleg vooraf tegen een redelijk tarief in rekening brengen.

Artikel 10. Datalekken

1. Verwerker meldt een datalek dat persoonsgegevens van Klant betreft onverwijld en in elk geval binnen 48 uur nadat hij het heeft ontdekt, per e-mail aan de Beheerder.
2. De melding bevat, voor zover bekend: de aard van het lek, de betrokken categorieën en een indicatie van het aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen en een contactpersoon.
3. Verwerker houdt Klant op de hoogte en helpt bij de melding aan de Autoriteit Persoonsgegevens en aan betrokkenen. Klant beoordeelt of melden nodig is en doet dat zelf. Verwerker meldt niet namens Klant, tenzij de wet dat verlangt.
4. Verwerker documenteert alle datalekken, ook als ze niet gemeld hoeven te worden.

Artikel 11. Einde van de verwerking

1. Bij het einde van het Abonnement kan Klant zijn gegevens exporteren zoals beschreven in artikel 11 van de algemene voorwaarden.
2. Uiterlijk 30 dagen na het einde van het Abonnement verwijdert Verwerker de persoonsgegevens definitief, tenzij de wet bewaring vereist. Verwerker bevestigt dat op verzoek schriftelijk. Kopieën in back-ups verdwijnen volgens de bewaarcyclus van die back-ups.

Artikel 12. Controle

1. Verwerker stelt Klant op verzoek de informatie ter beschikking die nodig is om aan te tonen dat hij deze overeenkomst naleeft.
2. Klant mag maximaal één keer per jaar, en bij een concreet vermoeden van een datalek of overtreding, zelf controleren of laten controleren of Verwerker deze overeenkomst naleeft. Klant kondigt dat minstens 30 dagen vooraf schriftelijk aan. De controle verstoort de bedrijfsvoering van Verwerker en de gegevens van andere klanten niet. Verwerker kan Klant eerst vragen een schriftelijke toelichting te accepteren.
3. De kosten van de controle zijn voor Klant, tenzij de controle een wezenlijke tekortkoming van Verwerker aantoont.

Artikel 13. Aansprakelijkheid

Voor aansprakelijkheid tussen partijen geldt artikel 17 van de algemene voorwaarden. Dit laat de rechten van betrokkenen onverlet.

Artikel 14. Slotbepalingen

1. Bij strijd tussen deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor, voor zover het persoonsgegevens betreft.
2. Wijzigingen van deze overeenkomst gaan volgens artikel 9 van de algemene voorwaarden.
3. Op deze overeenkomst is Nederlands recht van toepassing. De rechtbank Midden-Nederland, locatie Utrecht, is bij uitsluiting bevoegd.
4. Vragen over privacy en verzoeken kunnen worden gestuurd naar hallo@citroentje.app.

Bijlage 1. Beschrijving van de verwerking

Bijlage 2. Beveiligingsmaatregelen

1. Versleutelde verbinding (HTTPS) tussen apparaten en de Dienst.
2. Beheerders loggen in met e-mailadres en wachtwoord. Wachtwoorden worden alleen in gehashte vorm bewaard.
3. Medewerkers loggen in met een Rolcode. Elk apparaat krijgt daarbij een eigen, willekeurig apparaat-token. Beheerders zien alle apparaten, kunnen apparaten verwijderen, de Rolcode verversen en alle apparaten van een rol uitloggen. Het aantal mislukte inlogpogingen met een Rolcode is beperkt tot 12 per 15 minuten; geslaagde logins tellen niet mee.
4. Rechten per rol. Beheer- en bewerkrechten zijn beperkt tot bepaalde rollen. Met de keukencode kunnen medewerkers recepten toevoegen en foto's maken; met de bedieningscode kan alleen de kaart worden bekeken, zonder recepten.
5. De gegevens van elk restaurant zijn op databaseniveau van elkaar gescheiden (row level security). Een gebruiker of apparaat leest alleen de gegevens van het eigen restaurant.
6. Schrijfacties van apparaten lopen via serverfuncties die het apparaat-token aan de serverkant controleren.
7. Sleutels en geheimen staan niet in de broncode, maar in beveiligde omgevingsvariabelen.
8. Datalekken worden gemeld volgens artikel 10.
9. Toegang tot productiegegevens is beperkt tot Verwerker.

Bijlage 3. Subverwerkers

Het actuele overzicht staat op https://citroentje.app/subverwerkers.