Verwerkersovereenkomst

Laatst bijgewerkt: augustus 2026

Deze verwerkersovereenkomst ("Overeenkomst") wordt gesloten tussen:

Verwerkingsverantwoordelijke: de klant die gebruikmaakt van het platform Baya van Baya B.V.
Verwerker: Baya B.V., gevestigd te Ambachtweg 11, 5731 AE Mierlo, ingeschreven bij de Kamer van Koophandel onder nummer 42084451.

Deze Overeenkomst maakt integraal onderdeel uit van de hoofdovereenkomst tussen Partijen en regelt de verwerking van persoonsgegevens in de zin van de Algemene Verordening Gegevensbescherming (AVG).

Het AI Bedrijf B.V. is de ontwikkelaar van de Baya-software en verzorgt het technisch beheer daarvan, en treedt daarbij op als subverwerker van Verwerker (Bijlage 2).

Artikel 1 — Onderwerp en duur

1.1 Deze Overeenkomst ziet op de verwerking van persoonsgegevens door Verwerker ten behoeve van Verwerkingsverantwoordelijke in het kader van de levering van Baya: een platform voor het beheer van accommodaties, waaronder boekingsbeheer, kanaalsynchronisatie met boekingsplatforms, gastcommunicatie, betalingen en facturatie, contracten en financiële administratie.

1.2 De categorieën persoonsgegevens en betrokkenen die onder deze Overeenkomst vallen zijn beschreven in Bijlage 1.

1.3 De Overeenkomst geldt zolang Verwerker diensten verricht voor Verwerkingsverantwoordelijke.

Artikel 2 — Rechten en verplichtingen

2.1 Verwerker verwerkt persoonsgegevens uitsluitend in opdracht van Verwerkingsverantwoordelijke en op basis van schriftelijke instructies, en niet voor eigen doeleinden.

2.2 Verwerker garandeert passende technische en organisatorische maatregelen (TOMs) te nemen conform Bijlage 3.

2.3 Verwerker ondersteunt Verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking, bij het nakomen van verplichtingen richting betrokkenen (inzage, correctie, verwijdering, beperking, dataportabiliteit en bezwaar) en bij de verplichtingen uit artikel 32 t/m 36 AVG.

2.4 Personen die onder gezag van Verwerker persoonsgegevens verwerken zijn gebonden aan geheimhouding.

2.5 Verwerker stelt Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om naleving van deze Overeenkomst aan te tonen en maakt audits mogelijk, uit te voeren door of namens Verwerkingsverantwoordelijke, na redelijke aankondiging en maximaal eenmaal per jaar, tenzij een datalek of aanwijzing van de toezichthouder aanleiding geeft tot meer.

Artikel 2a — Specifieke verwerking binnen Baya

2a.1 Verwerker verwerkt gastgegevens (waaronder boekings-, contact- en identiteitsgegevens) uitsluitend voor het uitvoeren van de functies van het platform: verwerken van boekingen, synchronisatie met boekingsplatforms, gastcommunicatie (e-mail/SMS/berichten), betalingen, contracten en facturatie.

2a.2 Boekingsplatforms (OTA's) waarmee Verwerkingsverantwoordelijke een eigen overeenkomst heeft (zoals Airbnb en Booking.com) treden op als zelfstandige verwerkingsverantwoordelijken; de gegevensuitwisseling met deze platforms vindt plaats in opdracht van Verwerkingsverantwoordelijke.

2a.3 Bijzonder gevoelige gegevens, waaronder identiteits- en financiële gegevens, worden versleuteld opgeslagen; een deel daarvan wordt end-to-end versleuteld zodat Verwerker deze inhoudelijk niet kan inzien.

2a.4 Voor zover AI-functies worden gebruikt (zoals automatische vertaling van gastberichten) worden persoonsgegevens daarbij uitsluitend tijdelijk verwerkt om de functie uit te voeren; deze gegevens worden niet gebruikt voor het trainen van modellen voor andere klanten.

2a.5 Verwerker verzendt gastcommunicatie uitsluitend op initiatief of volgens de door Verwerkingsverantwoordelijke ingestelde berichtsjablonen en -triggers.

Artikel 3 — Subverwerkers

3.1 Verwerkingsverantwoordelijke geeft algemene toestemming voor het inschakelen van subverwerkers. Een actuele lijst is opgenomen in Bijlage 2. Verwerker informeert Verwerkingsverantwoordelijke over voorgenomen wijzigingen, waarna Verwerkingsverantwoordelijke binnen 14 dagen bezwaar kan maken.

3.2 Verwerker draagt zorg dat met subverwerkers schriftelijke afspraken worden gemaakt die ten minste gelijkwaardig zijn aan deze Overeenkomst.

3.3 Doorgifte van persoonsgegevens buiten de EER vindt uitsluitend plaats met een passend doorgiftemechanisme (zoals een adequaatheidsbesluit of EU-standaardcontractbepalingen).

Artikel 4 — Beveiliging en datalekken

4.1 Verwerker treft passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen (Bijlage 3).

4.2 Bij een datalek stelt Verwerker Verwerkingsverantwoordelijke zonder onredelijke vertraging, uiterlijk binnen 48 uur na ontdekking, op de hoogte, inclusief aard, omvang, waarschijnlijke gevolgen en getroffen maatregelen. Melding aan de toezichthouder en betrokkenen is de verantwoordelijkheid van Verwerkingsverantwoordelijke.

Artikel 5 — Einde van de overeenkomst

5.1 Na beëindiging van de dienstverlening verwijdert of retourneert Verwerker, naar keuze van Verwerkingsverantwoordelijke, alle persoonsgegevens binnen 30 dagen, tenzij wettelijke verplichtingen langere bewaring vereisen.

5.2 Verwerkingsverantwoordelijke kan hierop toezicht uitoefenen.

Bijlage 1 — Categorieën persoonsgegevens en betrokkenen

Betrokkenen: gasten en huurders van Verwerkingsverantwoordelijke, medewerkers/gebruikers van het platform, eigenaren en leveranciers.

Bijlage 2 — Subverwerkers

Uitsluitend indien door Verwerkingsverantwoordelijke geactiveerd:

Bijlage 3 — Technische en organisatorische maatregelen (TOMs)

• Toegangsbeheer met multifactor-authenticatie.
• Encryptie van data in rust en tijdens transport; end-to-end-encryptie voor bijzonder gevoelige velden (o.a. identiteitsdocumentgegevens en financiële administratie).
• Logging en monitoring van toegang en gebruik.
• Beperking van toegang tot persoonsgegevens tot bevoegde medewerkers (rol- en groepsgebaseerde autorisatie per klantomgeving).
• Netwerkbeveiliging: servertoegang uitsluitend via beveiligde, geautoriseerde verbindingen.
• Regelmatige back-ups en test van herstelprocedures.
• Scheiding van klantomgevingen (multi-tenant-isolatie op workspace- en groepsniveau).
• Contracten met subverwerkers inclusief passende beveiligingsgaranties.

Ondertekening