Verwerkersovereenkomst

1. Partijen en rolverdeling

1.1. Welke rol een partij heeft, hangt af van de samenwerkingsvorm (artikel 3) en kan per verwerking verschillen. Bepalend is wie het doel en de middelen van de verwerking vaststelt, niet hoe partijen de verwerking noemen.

1.2. Tomoclaim is zelfstandig verwerkingsverantwoordelijke voor de behandeling van een claim vanaf het moment dat een reiziger Tomoclaim daartoe opdracht geeft. De grondslag, de bewaartermijnen en de correspondentie met de luchtvaartmaatschappij, de nationale handhavingsinstantie en de rechter liggen dan bij Tomoclaim.

1.3. De Partner is zelfstandig verwerkingsverantwoordelijke voor zijn eigen klantrelatie, inclusief de gegevens die hij verzamelt voordat hij een reiziger naar Tomoclaim verwijst.

1.4. Vragen en verzoeken op grond van deze Verwerkersovereenkomst gaan naar privacy@tomoclaim.com. De Partner houdt in het partnerportaal ten minste één contactpersoon actueel.

2. Onderwerp en duur

2.1. Onderwerp is de verwerking van persoonsgegevens die nodig is om reizigers via de Partner een compensatieclaim onder Verordening (EG) nr. 261/2004 of gelijkwaardige regelgeving te laten indienen en afhandelen, en om de Partner over die claims te informeren en met hem af te rekenen.

2.2. De duur van deze Verwerkersovereenkomst vangt aan op de dag waarop de Partner haar aanvaardt en loopt zolang de Partnerovereenkomst loopt, en daarna zolang een partij nog persoonsgegevens voor de ander verwerkt.

2.3. Beëindiging van de Partnerovereenkomst beëindigt deze Verwerkersovereenkomst, onverminderd artikel 13 en de bepalingen die naar hun aard blijven gelden.

3. Aard en doel van de verwerking per samenwerkingsvorm

3.1. Het partnerprogramma kent drie samenwerkingsvormen. Zij verschillen in wie welke gegevens aanraakt, en dus in de rolverdeling:

3.2. Bij Referral verwerkt de Partner geen persoonsgegevens van reizigers namens Tomoclaim. De artikelen 5 tot en met 13 gelden in dat geval uitsluitend voor de verwerkingen die Tomoclaim namens de Partner verricht.

3.3. Bij White-label leggen partijen hierbij de onderlinge verdeling vast van de verplichtingen uit de artikelen 13 en 14 AVG en van de uitoefening van de rechten van betrokkenen. De kern van die regeling wordt op het portaaloppervlak voor betrokkenen beschikbaar gesteld. Tomoclaim is het aanspreekpunt, onverminderd het recht van de betrokkene zich tot elk van beide partijen te wenden.

3.4. Verwerkingen vinden uitsluitend plaats voor de hierboven genoemde doelen. Geen van beide partijen gebruikt de gegevens voor eigen marketing, voor profilering of voor verstrekking aan derden tegen betaling.

4. Categorieën betrokkenen en persoonsgegevens

4.1. Betrokkenen zijn: reizigers die een claim indienen of laten indienen, medereizigers op dezelfde boeking, en de contactpersonen van de Partner die het partnerportaal gebruiken.

4.2. Van reizigers worden de volgende categorieën gegevens verwerkt:

• naam, e-mailadres, telefoonnummer (optioneel) en adres;
• vluchtgegevens: vluchtnummer, vluchtdatum, luchthavens en boekingsreferentie;
• de aard en de duur van de verstoring, met de onderbouwing daarvan;
• instapkaart, boekingsbevestiging en overige claimdocumenten;
• het rekeningnummer (IBAN) en de tenaamstelling waarop de compensatie wordt uitbetaald;
• de handtekening onder de volmacht of de akte van cessie, met tijdstip en versie van het ondertekende document;
• de correspondentie over de claim, inclusief berichten van en aan de luchtvaartmaatschappij.

4.3. Van contactpersonen van de Partner worden verwerkt: naam, zakelijk e-mailadres, rol in het portaal, en inlog- en gebruiksgegevens zoals sessietijdstippen en het IP-adres in de beveiligingslogs.

4.4. Er worden geen bijzondere categorieën van persoonsgegevens als bedoeld in artikel 9 AVG gevraagd. Verstrekt een reiziger ze ongevraagd, bijvoorbeeld een medische verklaring bij een annulering, dan worden ze uitsluitend bewaard voor zover de claim ze nodig heeft en niet verder verwerkt.

4.5. Er vindt geen uitsluitend geautomatiseerde besluitvorming met rechtsgevolg plaats als bedoeld in artikel 22 AVG. De geschiktheidstoets van een claim is een hulpmiddel; het besluit om een claim te vervolgen wordt door een mens genomen.

5. Instructies

5.1. De verwerker verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de verwerkingsverantwoordelijke. Als zodanige instructie gelden deze Verwerkersovereenkomst, de inrichting en het gebruik van het partnerportaal, en instructies die via het portaal of per e-mail aan het contactadres worden gegeven.

5.2. Verwerking op grond van een Unierechtelijke of nationale wettelijke verplichting is toegestaan. De verwerker meldt die verplichting vooraf, tenzij de betreffende wet die melding verbiedt om gewichtige redenen van algemeen belang.

5.3. Meent de verwerker dat een instructie in strijd is met de AVG of met andere gegevensbeschermingsregels, dan meldt hij dat onmiddellijk en mag hij de uitvoering opschorten totdat de instructie is aangepast of schriftelijk bevestigd.

6. Geheimhouding

6.1. Elke partij verplicht de personen die onder haar gezag toegang hebben tot de persoonsgegevens tot geheimhouding, hetzij in de arbeidsovereenkomst, hetzij bij afzonderlijke verklaring.

6.2. Toegang wordt uitsluitend verleend aan personen die de gegevens nodig hebben voor de uitvoering van deze Verwerkersovereenkomst, en wordt ingetrokken zodra die noodzaak vervalt.

6.3. De geheimhouding blijft gelden na beëindiging van deze Verwerkersovereenkomst en na het einde van het dienstverband of de opdracht van de betrokken persoon.

7. Beveiliging

7.1. Beide partijen treffen passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG, afgestemd op de stand van de techniek, de uitvoeringskosten en het risico voor de betrokkenen.

7.2. Tomoclaim treft ten minste de volgende maatregelen:

• versleuteling van gegevens tijdens transport (TLS 1.2 of hoger) en in opslag;
• veldversleuteling van rekeningnummers; in logbestanden, overzichten, e-mail en de dagelijkse financiële digest verschijnen uitsluitend de laatste vier cijfers;
• toegang op basis van rollen volgens het beginsel van minimale rechten; het partnerportaal kent een beheerdersrol, een agentrol en een alleen-lezen financiële rol;
• sessies op HttpOnly-, Secure- en SameSite-cookies; nooit een token in de URL;
• gescheiden omgevingen voor ontwikkeling, acceptatie en productie, waarbij buiten productie uitsluitend synthetische of geanonimiseerde gegevens worden gebruikt;
• logging van toegang tot persoonsgegevens en van statuswijzigingen op een claim, met een vastgestelde bewaartermijn;
• dagelijkse back-ups met periodieke herstelbeproeving;
• periodieke beoordeling van afhankelijkheden op bekende kwetsbaarheden, en een uitrolproces waarin elke wijziging geautomatiseerd wordt getest voordat zij productie bereikt.

7.3. De Partner treft voor de gegevens die hij vóór de verwijzing verzamelt maatregelen die ten minste gelijkwaardig zijn aan 7.2, en beveiligt de toegang tot het partnerportaal met persoonsgebonden accounts en een sterk wachtwoord. Accounts worden niet gedeeld; een vertrekkende medewerker wordt onverwijld verwijderd uit het portaal.

7.4. Partijen beoordelen de maatregelen ten minste jaarlijks en passen ze aan wanneer de stand van de techniek of het risico daartoe aanleiding geeft.

8. Subverwerkers

8.1. De Partner verleent Tomoclaim algemene schriftelijke toestemming om subverwerkers in te schakelen. Tomoclaim legt elke subverwerker ten minste dezelfde verplichtingen op als in deze Verwerkersovereenkomst staan, en blijft jegens de Partner volledig aansprakelijk voor het nakomen daarvan.

8.2. Op de ingangsdatum van deze versie worden de volgende subverwerkers ingezet:

8.3. Tomoclaim kondigt een nieuwe of vervangende subverwerker ten minste dertig dagen vooraf aan via het partnerportaal en het contactadres van de Partner. De Partner kan binnen die termijn op redelijke, gegevensbeschermingsrechtelijke gronden bezwaar maken. Komen partijen er niet uit, dan kan de Partner de Partnerovereenkomst kosteloos opzeggen per de ingangsdatum van de wijziging.

8.4. De actuele lijst staat op deze pagina. Een wijziging in de lijst levert een nieuw versienummer op (artikel 15).

9. Doorgifte buiten de Europese Economische Ruimte

9.1. Persoonsgegevens worden in beginsel binnen de Europese Economische Ruimte verwerkt.

9.2. Voor de doorgifte naar Netlify, Inc. in de Verenigde Staten geldt het EU-VS Data Privacy Framework indien en zolang de ontvanger daarvoor gecertificeerd is, en anders de modelcontractbepalingen van Uitvoeringsbesluit (EU) 2021/914, module drie, aangevuld met een beoordeling van de doorgifte en met aanvullende maatregelen: versleuteling tijdens transport en in opslag, en geen toegang tot de inhoud van claimdossiers.

9.3. Een luchtvaartmaatschappij, toezichthouder of geschillencommissie buiten de Europese Economische Ruimte kan gegevens ontvangen voor zover dat voor de claim noodzakelijk is. Die verstrekking berust op artikel 49 lid 1 onder b en onder e AVG: uitvoering van de overeenkomst met de betrokkene, respectievelijk de instelling of onderbouwing van een rechtsvordering.

9.4. Vervalt een doorgiftegrondslag, dan informeert Tomoclaim de Partner en treft zij binnen een redelijke termijn een alternatieve maatregel of beëindigt zij de doorgifte.

10. Bijstand

10.1. De verwerker verleent de verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking, redelijke bijstand bij het beantwoorden van verzoeken van betrokkenen op grond van hoofdstuk III AVG: inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar.

10.2. Ontvangt een partij een verzoek dat aan de ander is gericht, dan stuurt zij het binnen drie werkdagen door en beantwoordt zij het niet zelf.

10.3. De verwerker verleent bijstand bij een gegevensbeschermingseffectbeoordeling en bij een voorafgaande raadpleging van de toezichthouder, voor zover de daarvoor benodigde informatie redelijkerwijs alleen bij hem beschikbaar is.

10.4. Bijstand is kosteloos voor zover zij voortvloeit uit de normale uitvoering van deze Verwerkersovereenkomst. Voor kennelijk ongegronde of buitensporige, met name herhaalde verzoeken mag een redelijke vergoeding worden gevraagd, na schriftelijke aankondiging vooraf.

11. Melding van inbreuken in verband met persoonsgegevens

11.1. Een partij die een inbreuk in verband met persoonsgegevens vaststelt die de gegevens uit deze Verwerkersovereenkomst raakt, meldt dat onverwijld en in elk geval binnen 48 uur na ontdekking aan de andere partij.

11.2. De melding gaat naar privacy@tomoclaim.com respectievelijk naar het contactadres van de Partner en bevat ten minste: de aard van de inbreuk, de categorieën en het aantal betrokkenen en registraties, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen, en een contactpersoon. Is nog niet alles bekend, dan volgt de rest in stappen, zonder de eerste melding uit te stellen.

11.3. De verwerker meldt nooit zelf aan de toezichthouder of aan betrokkenen namens de verwerkingsverantwoordelijke, tenzij die hem daar schriftelijk om verzoekt.

11.4. Beide partijen houden een register van inbreuken bij en stellen dat op verzoek aan de ander beschikbaar, voor zover het de gezamenlijke verwerkingen betreft.

12. Audit

12.1. De verwerker stelt de verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de naleving van artikel 28 AVG aan te tonen.

12.2. De verwerkingsverantwoordelijke kan ten hoogste eenmaal per kalenderjaar een audit laten uitvoeren, en daarnaast na een inbreuk die zijn gegevens raakt of op verzoek van een toezichthouder.

12.3. Een audit wordt ten minste dertig dagen vooraf aangekondigd, vindt plaats tijdens kantooruren, verstoort de bedrijfsvoering niet onnodig, en wordt uitgevoerd door de verwerkingsverantwoordelijke zelf of door een onafhankelijke auditor die niet met de verwerker concurreert en die een geheimhoudingsverklaring ondertekent.

12.4. De verwerker kan in plaats van een audit ter plaatse een recente rapportage van een onafhankelijke derde of een geldig certificaat overleggen, mits dat de te onderzoeken punten afdekt.

12.5. Elke partij draagt haar eigen kosten. De kosten van een externe auditor komen voor rekening van de verwerkingsverantwoordelijke, tenzij de audit een wezenlijke tekortkoming aantoont.

13. Verwijdering en teruggave

13.1. Bij beëindiging verwijdert de verwerker de persoonsgegevens, of geeft hij ze terug in een gangbaar, machineleesbaar formaat, naar keuze van de verwerkingsverantwoordelijke. Die keuze wordt binnen dertig dagen na beëindiging kenbaar gemaakt; blijft zij uit, dan verwijdert de verwerker.

13.2. Verwijdering vindt plaats binnen negentig dagen, inclusief de back-ups zodra hun reguliere bewaartermijn verstrijkt. Zolang een gegeven alleen nog in een back-up voorkomt, wordt het niet meer actief verwerkt.

13.3. De verwerker mag gegevens bewaren voor zover een wettelijke bewaarplicht dat voorschrijft — in het bijzonder de fiscale bewaarplicht van zeven jaar op facturen en afrekeningen (artikel 52 Algemene wet inzake rijksbelastingen) — en verwerkt ze dan uitsluitend voor dat doel.

13.4. Op verzoek bevestigt de verwerker de verwijdering schriftelijk.

14. Aansprakelijkheid

14.1. De aansprakelijkheid van partijen onder deze Verwerkersovereenkomst wordt beheerst door de aansprakelijkheidsbepaling in de Partnervoorwaarden. Die beperking laat artikel 82 AVG onverlet: zij geldt niet voor de aanspraak van een betrokkene en niet voor een bestuurlijke boete.

14.2. Vergoedt een partij schade of een boete die geheel of gedeeltelijk aan de ander is toe te rekenen, dan heeft zij op de ander verhaal naar rato van ieders aandeel in de schade, overeenkomstig artikel 82 lid 5 AVG.

15. Versie, wijzigingen en toepasselijk recht

15.1. Deze Verwerkersovereenkomst heeft versie 2026-10. Het partnerportaal legt vast welke versie de Partner heeft aanvaard en op welk moment.

15.2. Tomoclaim kan de tekst wijzigen wanneer wet- of regelgeving, de stand van de techniek of de dienstverlening daartoe aanleiding geeft. Een nieuwe versie wordt ten minste dertig dagen vooraf aangekondigd, krijgt een nieuw versienummer en wordt door de Partner in het portaal aanvaard. Een wijziging werkt niet terug.

15.3. Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter te Amsterdam, overeenkomstig de Partnervoorwaarden.