Verwerkersovereenkomst

Laatst bijgewerkt: 13 oktober 2026.

Partijen #

• De Zaak die een account bij Bookable heeft, hierna "de verwerkingsverantwoordelijke", "de Zaak" of "u".
• De Maeyer Silvio, eenmanszaak, met de handelsnaam Bookable, Polderstraat 4, 9190 Stekene, België, ondernemingsnummer en btw BE0742.507.284, info@bookable.be, hierna "Bookable" of "de verwerker".

Aanvaarding en vorm #

A.1. Deze overeenkomst is gesloten op grond van artikel 28 van de Algemene Verordening Gegevensbescherming (AVG). Ze maakt deel uit van de algemene voorwaarden van Bookable.

A.2. De Zaak aanvaardt deze overeenkomst elektronisch: bij het aanmelden met het vakje voor de algemene voorwaarden, waarvan deze overeenkomst deel uitmaakt, en bovendien met een apart vakje voor ze de functies intake, documenten of behandelfiche aanzet. Bookable bewaart per Zaak de versie, het tijdstip en de Gebruiker die aanvaardde (bij het aanmelden ook de taal, een niet omkeerbare code van het IP-adres en een korte beschrijving van de browser). Een nieuwe versie van deze overeenkomst vraagt een nieuwe aanvaarding.

A.3. Artikel 28, lid 9 AVG laat toe dat deze overeenkomst in elektronische vorm bestaat. Partijen aanvaarden de elektronische aanvaarding en de registratie ervan in de app als bewijs.

A.4. Wie aanvaardt namens de Zaak, verklaart dat hij de Zaak mag vertegenwoordigen.

1. Begrippen #

De begrippen uit artikel 4 AVG (zoals persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, betrokkene, inbreuk in verband met persoonsgegevens, gegevens over gezondheid) hebben in deze overeenkomst dezelfde betekenis. "Klant" is een klant van de Zaak. "Gebruiker" is een persoon met toegang tot de beheeromgeving van de Zaak. "Subverwerker" is een andere verwerker die Bookable inschakelt. "Bijlage A" is de beschrijving van de dienst en van de gegevensstromen bij de algemene voorwaarden.

2. Onderwerp, duur en beschrijving #

2.1. Bookable verwerkt persoonsgegevens in opdracht van de Zaak om de dienst Bookable te leveren. Bijlage 1 beschrijft het onderwerp, de duur, de aard en het doel van de verwerking, de soorten persoonsgegevens en de categorieën van betrokkenen, zoals artikel 28, lid 3 AVG vraagt. Bijlage A van de algemene voorwaarden beschrijft elke gegevensstroom stap voor stap.

2.2. Deze overeenkomst loopt zolang Bookable persoonsgegevens voor de Zaak verwerkt, ook na het einde van het abonnement tot de gegevens gewist of teruggegeven zijn volgens artikel 13 en Bijlage 4.

2.3. Voor de gegevens die Bookable voor zijn eigen werking verwerkt (account en Gebruikers van de Zaak, abonnement, facturen, support, beveiliging, de telling van aanmeldingen, en bezoekers en aanvragen van de website bookable.be met hun cookies en statistieken) is Bookable zelf verwerkingsverantwoordelijke. Die vallen onder de privacyverklaring, niet onder deze overeenkomst.

3. Instructies #

3.1. Bookable verwerkt de persoonsgegevens enkel op basis van de gedocumenteerde instructies van de Zaak. Die instructies zijn: deze overeenkomst, de algemene voorwaarden, en de instellingen en handelingen van de Zaak en haar Gebruikers in de app (bijvoorbeeld een functie aanzetten, een bewaartermijn kiezen, een Klant wissen of een export maken).

3.2. Vraagt het recht van de Unie of van een lidstaat Bookable een verwerking die niet in de instructies staat, dan meldt Bookable dat vooraf aan de Zaak, tenzij die wet die melding verbiedt.

3.3. Vindt Bookable dat een instructie in strijd is met de AVG of een andere regel over gegevensbescherming, dan meldt het dat meteen aan de Zaak.

3.4. Bookable gebruikt de persoonsgegevens van Klanten niet voor eigen doeleinden, verkoopt ze niet en gebruikt ze niet voor reclame. Tellingen zonder gegevens van Klanten (zoals het aantal boekingen per Zaak in het overzicht van Bookable) zijn geen persoonsgegevens van Klanten.

4. Verantwoordelijkheid van de Zaak #

4.1. De Zaak is verantwoordelijk voor de naleving van de AVG voor haar verwerking. Zij zorgt voor een rechtsgrond voor elke verwerking (artikel 6 AVG) en voor een uitzondering voor gezondheidsgegevens (artikel 9 AVG, zie artikel 16), informeert haar Klanten (artikel 13 en 14 AVG) met een eigen privacytekst op haar boekingspagina, en kiest de bewaartermijnen die voor haar gelden.

4.2. De Zaak vraagt enkel de gegevens die ze nodig heeft (minimale gegevensverwerking, artikel 5, lid 1, c AVG) en bewaart gezondheidsgegevens en andere gevoelige gegevens enkel in de velden die daarvoor bedoeld zijn (artikel 16).

4.3. De Zaak beheert zelf de toegang van haar Gebruikers en hun rollen, en houdt bij wie toegang heeft tot gezondheidsgegevens als de wet dat vraagt.

4.4. Minderjarigen. Boekt een ouder of voogd voor een kind, dan is de Zaak verantwoordelijk voor de vraag of die persoon daarvoor mag optreden, en voor de toestemming die voor het kind nodig is. De app bewaart voor een kind zo weinig mogelijk (voornaam, geboortedatum, eventueel een tweede ouder).

5. Vertrouwelijkheid #

5.1. Bookable zorgt dat iedereen die toegang heeft tot de persoonsgegevens, gebonden is aan geheimhouding. Vandaag is dat enkel Silvio De Maeyer. Komen er medewerkers of externe helpers bij, dan tekenen zij een geheimhoudingsverklaring voor ze toegang krijgen.

5.1/1. Voor gezondheidsgegevens wijst Bookable als verwerker de categorieën van personen aan die toegang hebben, met hun hoedanigheid, en houdt het die lijst ter beschikking van de Gegevensbeschermingsautoriteit, zoals artikel 9 van de wet van 30 juli 2018 vraagt. Vandaag bevat die lijst één categorie: de beheerder van Bookable (Silvio De Maeyer), voor beheer van de hosting en het oplossen van fouten.

5.2. Toegang tot de gegevens van een Zaak door Bookable gebeurt enkel volgens artikel 12 (meekijken), of als het strikt nodig is om een fout of een beveiligingsincident op te lossen. Elke zo een toegang wordt gelogd.

6. Beveiliging #

6.1. Bookable neemt passende technische en organisatorische maatregelen zoals bedoeld in artikel 32 AVG. Bijlage 2 beschrijft ze, zoals ze vandaag in de code en de configuratie staan.

6.2. Bookable mag de maatregelen aanpassen aan de stand van de techniek, zolang het niveau van beveiliging niet daalt.

7. Subverwerkers #

7.1. De Zaak geeft Bookable een algemene schriftelijke toestemming om subverwerkers in te schakelen. De subverwerkers bij het begin van deze overeenkomst staan in Bijlage 3.

7.2. Melding van een wijziging. Bookable meldt een nieuwe of vervangende subverwerker minstens 30 dagen vooraf per mail aan de eigenaars van de Zaak en in Bijlage 3 van deze overeenkomst op app.bookable.be/verwerkersovereenkomst, met de naam, de dienst, de gegevens en de plaats. Bij een dringende vervanging om de dienst of de veiligheid te verzekeren, kan de termijn korter zijn; Bookable legt dan uit waarom.

7.3. Bezwaar. De Zaak kan binnen die termijn met redenen bezwaar maken per mail aan info@bookable.be. Vinden we samen geen oplossing, dan kan de Zaak het abonnement stoppen voor de wijziging ingaat, zonder kosten en met terugbetaling van het vooraf betaalde deel na die datum.

7.4. Bookable legt elke subverwerker in een overeenkomst dezelfde verplichtingen inzake gegevensbescherming op als in deze overeenkomst, in het bijzonder passende beveiliging. Bookable blijft tegenover de Zaak volledig aansprakelijk voor zijn subverwerkers.

8. Doorgifte buiten de Europese Economische Ruimte #

8.1. De database staat in Frankfurt (Duitsland) en de documenten in de EU-jurisdictie van Cloudflare R2. Bookable geeft persoonsgegevens enkel door buiten de EER, of laat er toegang van buiten de EER toe, met een waarborg uit hoofdstuk V van de AVG: een adequaatheidsbesluit (zoals het besluit over het EU-VS gegevensprivacykader voor gecertificeerde ondernemingen) of standaardcontractbepalingen.

8.2. Bijlage 3 vermeldt per subverwerker de plaats en de waarborg.

9. Bijstand bij de rechten van betrokkenen #

9.1. De app geeft de Zaak zelf de middelen om aan de meeste vragen te voldoen (artikelen 15 tot 22 AVG): een Klant opzoeken en verbeteren, per Klant een export maken (een zip met de gegevens, de intake ontsleuteld en de documenten), een Klant wissen (gevoelige gegevens verwijderd, de rest geanonimiseerd, behalve wat de Zaak voor haar boekhouding moet bewaren) en een toestemming voor gezondheidsgegevens intrekken.

9.2. Krijgt Bookable rechtstreeks een vraag van een Klant, dan stuurt Bookable die binnen 5 werkdagen door naar de Zaak en antwoordt het niet zelf inhoudelijk, tenzij de Zaak dat vraagt.

9.3. Lukt een vraag niet met de middelen in de app, dan helpt Bookable binnen redelijke grenzen en binnen de termijn die de Zaak nodig heeft om binnen een maand te antwoorden (artikel 12, lid 3 AVG).

10. Bijstand bij andere verplichtingen #

Bookable helpt de Zaak, rekening houdend met de aard van de verwerking en de informatie waarover het beschikt, bij haar verplichtingen uit de artikelen 32 tot 36 AVG: beveiliging, het melden van een inbreuk, een gegevensbeschermingseffectbeoordeling en een voorafgaande raadpleging van de toezichthouder. Bookable levert daarvoor op vraag deze overeenkomst, Bijlage A en Bijlage 2.

11. Inbreuken in verband met persoonsgegevens (datalekken) #

11.1. Bookable meldt een inbreuk die de gegevens van de Zaak treft zonder onredelijke vertraging, en uiterlijk binnen 48 uur nadat Bookable ervan kennis kreeg, per mail aan de eigenaars van de Zaak. De Zaak heeft zelf 72 uur om te melden aan de toezichthouder, als dat nodig is (artikel 33, lid 1 AVG).

11.2. De melding bevat, voor zover bekend: wat er gebeurd is en wanneer, welke categorieën en ongeveer hoeveel betrokkenen en gegevens getroffen zijn, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen, en een contactpersoon. Wat nog niet bekend is, volgt zodra het bekend is (artikel 33, lid 3 en 4 AVG).

11.3. De Zaak beslist of ze de inbreuk meldt aan de toezichthouder en aan de betrokkenen (artikel 34 AVG). Bookable meldt niet zelf aan de Klanten van de Zaak, tenzij de Zaak dat vraagt of de wet het vereist. Bookable helpt bij de melding en levert de nodige informatie.

11.4. Bookable houdt een register bij van alle inbreuken, met de feiten, de gevolgen en de maatregelen, ook van inbreuken die niet gemeld moesten worden (artikel 33, lid 5 AVG).

11.5. Bijlage 5 beschrijft de werkwijze van Bookable bij een inbreuk.

12. Meekijken door Bookable #

12.1. Voor support, beveiliging of het oplossen van een fout kan een beheerder van Bookable de beheeromgeving van de Zaak openen. Dat gebeurt enkel zo:

• alleen lezen: elke handeling die iets wijzigt, verzendt of wist, wordt geweigerd;
• met een verplichte reden van minstens 10 tekens;
• via een eenmalige link die 2 minuten geldt, en daarna een sessie van hoogstens 60 minuten;
• niet bij een gestopte Zaak;
• met deze gegevens altijd verborgen: adressen, intake, documenten, hulpvragen, attesten, exports, betalingen per Klant, behandelfiche, gastenregister en pasnummers;
• gelogd bij Bookable en in het auditlog van de Zaak, met de reden, zodat de Zaak in haar activiteit ziet wanneer Bookable meekeek en waarom.

12.2. Meekijken gebeurt op vraag van de Zaak, of zonder vraag enkel bij een beveiligingsincident of een fout die meerdere Zaken treft. In dat laatste geval verwittigt Bookable de Zaak achteraf.

13. Einde: teruggave en wissen #

13.1. De Zaak kan haar gegevens op elk moment exporteren met de exports uit Bijlage A, ook tijdens een pauze.

13.2. Na het einde van de overeenkomst geeft Bookable de gegevens terug door ze beschikbaar te houden voor export gedurende 90 dagen (de termijn die de mails van de app bij de pauze al noemen), en wist het daarna de persoonsgegevens van de Zaak en haar Klanten, ook in de documentenopslag, volgens Bijlage 4.

13.3. Bookable bewaart enkel wat het zelf wettelijk moet bewaren, zoals zijn facturen aan de Zaak. Gegevens met een wettelijke bewaarplicht voor de Zaak (zoals betalingen, attesten of het gastenregister) bewaart Bookable niet langer dan de termijn van 13.2, tenzij partijen dat apart afspreken; de Zaak exporteert ze zelf.

13.4. Op vraag bevestigt Bookable schriftelijk dat de gegevens gewist zijn.

14. Informatie en audits #

14.1. Bookable stelt de informatie ter beschikking die nodig is om aan te tonen dat het deze overeenkomst naleeft, in de eerste plaats met deze overeenkomst, Bijlage A, Bijlage 2 en schriftelijke antwoorden op een redelijke vragenlijst.

14.2. Volstaat dat niet, dan mag de Zaak een audit laten uitvoeren door een onafhankelijke auditor met geheimhoudingsplicht, hoogstens eenmaal per jaar (behalve na een inbreuk of op vraag van een toezichthouder), met 30 dagen voorafgaande melding, op kosten van de Zaak, tijdens de kantooruren, en zonder toegang tot gegevens van andere Zaken of tot geheimen van de beveiliging.

15. Aansprakelijkheid #

De aansprakelijkheid van partijen tegenover elkaar is geregeld in de algemene voorwaarden, onverminderd de aansprakelijkheid die artikel 82 AVG rechtstreeks oplegt tegenover betrokkenen.

16. Gezondheidsgegevens (familie Zorg en gevoelige vragen) #

16.1. Toepassing. Dit artikel geldt als de Zaak de functies intake of documenten aanzet of gevoelige vragen gebruikt. Dat gebeurt vooral in de familie Zorg (kinesitherapie, osteopathie, logopedie, diëtiek en podologie), maar kan ook in andere families als de Zaak gevoelige vragen aanzet. Die functies kunnen pas aan nadat de Zaak deze overeenkomst aanvaard heeft en een bewaartermijn gekozen heeft.

16.2. Bijzondere categorie. Gegevens over gezondheid zijn een bijzondere categorie van persoonsgegevens (artikel 9, lid 1 AVG). De Zaak moet een uitzondering uit artikel 9, lid 2 AVG hebben, bijvoorbeeld de uitdrukkelijke toestemming van de Klant (lid 2, a), of de verwerking voor gezondheidszorg door of onder verantwoordelijkheid van een beroepsbeoefenaar met beroepsgeheim (lid 2, h, samen met lid 3). Voor Zaken in Nederland noemt artikel 30, lid 3, a van de Uitvoeringswet AVG hulpverleners die gezondheidsgegevens verwerken voor een goede behandeling of verzorging, of voor het beheer van hun beroepspraktijk.

16.3. Toestemming in de app. Bij de intake staat een apart, niet aangevinkt vakje voor de toestemming om gezondheidsgegevens te bewaren, met een verwijzing naar de privacytekst van de Zaak. Bookable bewaart het tijdstip en de versie van de toestemmingstekst. Zonder vinkje bewaart Bookable de gevoelige antwoorden niet. Een voorschrift, vaccinatiebewijs of verslag kan enkel met die toestemming opgeladen worden. De Zaak is verantwoordelijk voor de inhoud van haar toestemmingstekst en privacytekst.

16.4. Intrekken. Trekt een Klant de toestemming in, dan doet de Zaak dat in de app. Bookable wist dan de gevoelige antwoorden en documenten van die Klant; de afspraak zelf blijft.

16.5. Bewaartermijn. De Zaak kiest zelf de bewaartermijn voor intake en documenten: 6, 12, 24, 60 of 120 maanden. Er is geen standaard: zonder keuze kan de functie niet aan. Elke nacht wist de app wat vervallen is. Voor medische dossiers kunnen beroepsgebonden termijnen gelden die langer zijn dan wat de app aanbiedt. In Nederland bewaart een hulpverlener het dossier in principe twintig jaar na de laatste wijziging (artikel 7:454, lid 3 BW); in België gelden de wet betreffende de rechten van de patiënt en de wet over de kwaliteitsvolle praktijkvoering; de Zaak bewaart dan zelf een kopie in haar dossier.

16.6. Bijkomende maatregelen. Voor gezondheidsgegevens gelden naast Bijlage 2:

• intakeantwoorden, notities op de behandelfiche en hulpvragen zijn in de app versleuteld met AES-256-GCM, gebonden aan de Zaak en de rij (envelop v2 met aanvullende geauthenticeerde gegevens): naar een andere rij of Zaak gekopieerd zijn ze onleesbaar;
• documenten staan in een aparte, private opslag (Cloudflare R2), zijn versleuteld in rust door de opslagdienst, en kunnen enkel via de server van Bookable gedownload worden door wie er recht op heeft. Ze worden vandaag niet extra versleuteld door de app zelf.
• enkel de eigenaar en de medewerker van de betrokken afspraak zien intake en documenten; de rol alleen lezen en een meekijkende beheerder van Bookable zien ze niet;
• elke inzage van een intake of document komt in het auditlog (wie, wanneer, welke afspraak);
• in mails, in de agenda en in iCal staat nooit de inhoud van een intake; de Zaak kan een neutrale naam voor de behandeling instellen;
• de naam van een traject en de inhoud van een notitie komen nooit in een mail of het auditlog;
• attesten zijn niet apart versleuteld, omdat ze de gewone gegevens van een attest bevatten (naam, datum, dienst, bedrag).

16.7. Belgische en Nederlandse regels. Naast de AVG kunnen onder meer gelden: in België de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens, de wet van 22 augustus 2002 betreffende de rechten van de patiënt, de wet van 22 april 2019 inzake de kwaliteitsvolle praktijkvoering in de gezondheidszorg, en het beroepsgeheim en de deontologie van het beroep; in Nederland de Uitvoeringswet AVG en de regels over de geneeskundige behandelingsovereenkomst in Boek 7 van het Burgerlijk Wetboek.

16.8. Effectbeoordeling. De verwerking van gezondheidsgegevens kan voor de Zaak een gegevensbeschermingseffectbeoordeling vragen (artikel 35 AVG). Bookable levert daarvoor op vraag Bijlage A, Bijlage 1 en Bijlage 2.

16.9. Andere gevoelige gegevens. Het nummer van een rijbewijs, het adres voor een afspraak aan huis, een pasnummer en de versleutelde velden van het gastenregister (geboortedatum, geboorteplaats, nummer van het identiteitsdocument, begeleide minderjarigen) zijn geen bijzondere categorie, maar worden op dezelfde manier versleuteld en nooit in mails, agenda's, logs of iCal opgenomen.

17. Slotbepalingen #

17.1. Bij tegenstrijdigheid tussen deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor wat persoonsgegevens betreft.

17.2. Op deze overeenkomst zijn het recht en de bevoegde rechtbank van de algemene voorwaarden van toepassing.

17.3. Bookable kan deze overeenkomst wijzigen zoals de algemene voorwaarden (hoofdstuk 10). Een wijziging die de bescherming van de gegevens vermindert, gaat niet in zonder nieuwe aanvaarding.

Bijlage 1. Beschrijving van de verwerking #

Onderwerp: het leveren van de dienst Bookable aan de Zaak, zoals beschreven in Bijlage A van de algemene voorwaarden.

Aard van de verwerking: hosten, bewaren, ordenen, tonen, doorzoeken, versleutelen, berichten versturen, betaallinks aanmaken via de Mollie-koppeling van de Zaak, agenda's uitwisselen (iCal), exporteren, anonimiseren, wissen en reservekopieën maken.

Doel: de Zaak laten werken met online boeken, agenda, klantenbeheer, betalingen van voorschotten en volledige bedragen, intake, documenten, behandelfiche, attesten, pakketten en tegoed, cadeaubonnen, wachtlijsten, lessen, verblijven en gastenregister, tickets en berichten aan Klanten.

Categorieën van betrokkenen:

• Klanten van de Zaak, ook ouders of voogden van minderjarige Klanten, en kinderen in een profiel;
• ontvangers van een cadeaubon;
• eigenaars van dieren (trimsalon);
• gasten van logies en de minderjarigen die ze begeleiden (familie Rooms);
• kopers van tickets (familie Tickets);
• leerlingen van een rijschool;
• Gebruikers van de Zaak (eigenaar, medewerkers), voor zover hun gegevens in de gegevens van de Zaak staan (bijvoorbeeld als medewerker van een afspraak of in het auditlog).

Categorieën van persoonsgegevens:

• identiteit en contact: naam, mailadres, telefoonnummer, taal;
• afspraken en verblijven: dienst, moment, medewerker, ruimte, status, bron van de boeking, antwoorden op vragen van de Zaak, aanvaarde voorwaarden, teller voor niet gekomen, adres voor een afspraak aan huis;
• betalingen: bedragen, status, id en betaalmethode bij Mollie, terugbetalingen. Geen kaartnummers of rekeningnummers;
• berichten: inhoud en verzendstatus van mails aan Klanten;
• intake: antwoorden op vragen van de Zaak, mogelijk gezondheidsgegevens, met tijdstip en versie van de toestemming;
• documenten: voorschriften, vaccinatiebewijzen, verslagen, foto's ter inspiratie en andere bestanden;
• behandelfiche en notities, trajecten;
• attesten;
• profielen: kind, tweede ouder, dier;
• rijbewijs: land, soort, categorie, geldig tot, nummer;
• gastenregister: naam, nationaliteit, aankomst en vertrek, geboortedatum, geboorteplaats, nummer van het identiteitsdocument, begeleide minderjarigen;
• tickets, pasnummer, cadeaubonnen (gegevens van de ontvanger), pakketten, beurtenkaarten, betaalplannen en tegoed;
• wachtlijsten en hulpvragen;
• auditlog: wie wat deed in de beheeromgeving.

Bijzondere categorieën: gezondheidsgegevens, enkel als de Zaak intake met gevoelige vragen, documenten of de behandelfiche voor zulke gegevens gebruikt (artikel 16).

Duur: zolang de overeenkomst loopt en daarna zoals in artikel 13 en Bijlage 4. Binnen de overeenkomst gelden de bewaartermijnen die de Zaak instelt (intake, documenten, behandelfiche, gastenregister) en de vaste termijnen uit Bijlage 4. Voor Klanten, boekingen, betalingen, bestellingen, tegoeden, attesten en het auditlog is er vandaag geen automatische termijn: ze blijven tot de Zaak de Klant wist of tot het einde van de overeenkomst.

Locatie: Europese Unie (database in Frankfurt; bestanden in de EU-jurisdictie van Cloudflare R2). Zie Bijlage 3 voor toegang van buiten de EER.

Bijlage 2. Technische en organisatorische maatregelen #

Deze lijst beschrijft de maatregelen die op 13 oktober 2026 in de code en de configuratie staan. Wat nog niet bestaat, staat apart onderaan.

Scheiding tussen Zaken

• Elke tabel met gegevens van een Zaak heeft een kolom met de Zaak en rijbeveiliging (row level security) in Postgres: de app kan per verzoek enkel de rijen van de actieve Zaak lezen en schrijven.
• De app draait met een eigen databaserol zonder eigenaarsrechten en zonder recht om die beveiliging te omzeilen. Migraties gebruiken een aparte rol, die de draaiende app niet kent.
• Verwijzingen tussen tabellen bevatten de Zaak (samengestelde sleutels), zodat een rij nooit naar een rij van een andere Zaak kan wijzen.
• Voor elke tabel met gegevens van een Zaak bestaat een geautomatiseerde test die controleert dat een Zaak de gegevens van een andere Zaak niet kan lezen.

Versleuteling

• Alle verbindingen gebruiken TLS; in productie staat HSTS aan (2 jaar, ook voor subdomeinen).
• De database is versleuteld in rust door de hostingpartner.
• Gevoelige velden worden in de app versleuteld met AES-256-GCM. Envelop v2 bindt elke waarde met aanvullende geauthenticeerde gegevens aan de Zaak en de rij (en waar nodig de tabel en het veld). Dat geldt voor intakeantwoorden, notities en behandelfiche, het adres voor een afspraak aan huis, de weigerreden, hulpvragen, rijbewijsnummers, de versleutelde velden van het gastenregister, pasnummers, de link van een platformagenda, codes van cadeaubonnen en tickets in de wachtrij, en het geheim voor de tweede factor van de beheerders van Bookable. Sleutels staan in de omgeving van de hosting, niet in de code, en kunnen geroteerd worden (een oude sleutel blijft tijdelijk leesbaar).
• De toegangssleutels van de Mollie-koppeling van de Zaak zijn versleuteld (envelop v1, zonder binding; overgang naar v2 gepland).
• Van Google bewaart Bookable geen toegangssleutels: na het inloggen worden ze niet opgeslagen.
• Beheerlinks, agenda-links, links van platformagenda's, codes van cadeaubonnen, QR-codes van tickets en aanbiedingen van de wachtlijst zijn willekeurige codes die enkel als hash (SHA-256) bewaard worden.

Bestanden

• Logo's en foto's staan in een publieke bucket bij Cloudflare R2. Documenten van Klanten staan in een aparte, private bucket met een eigen toegangssleutel die enkel op die bucket werkt.
• Opladen gaat via de server van Bookable, met controle van het type op de eerste bytes (pdf, jpg, png, heic), hoogstens 10 MB per bestand, hoogstens 5 per afspraak en 3 tegelijk. De bestandsnaam van de Klant wordt niet bewaard.
• Downloaden gaat enkel via de server van Bookable, na controle van de rol, met headers die bewaren in een cache en uitvoeren van inhoud verhinderen. Er bestaat geen publieke of blijvende link naar een document.
• Documenten zijn versleuteld in rust door R2, niet extra door de app.

Toegang in de beheeromgeving van een Zaak

• Inloggen met een link per mail (15 minuten geldig) of met Google; geen wachtwoorden. Een sessie duurt hoogstens 30 dagen.
• Rollen eigenaar, medewerker en alleen lezen. De controle zit in de domeinfuncties en de query's, niet enkel in de schermen. Exporteren en Klanten wissen kan enkel de eigenaar. Een medewerker ziet gevoelige gegevens enkel bij zijn eigen afspraken.
• Tellers tegen misbruik op onder meer: inloglinks (3 per mailadres en 10 per IP-adres per 15 minuten), inloggen met Google, mailcodes voor Klanten, aanmelden, boeken, betalen, intake, documenten, wachtlijsten, bonnen, tickets, verblijven, agendafeeds, export per Klant (10 per uur) en Klanten wissen (10 per uur).
• Pagina's van de beheeromgeving kunnen niet in een frame van een andere site getoond worden; enkel het boekingsformulier voor op een eigen website mag dat.

Toegang door Bookable (platform)

• De beheeromgeving van Bookable gebruikt een eigen databaserol die geen tabellen van Zaken kan lezen. Ze werkt enkel via vooraf bepaalde functies die eerst controleren dat de gebruiker een actieve beheerder is, en die enkel overzichten en tellingen zonder gegevens van Klanten geven.
• Inloggen enkel voor beheerders op een lijst, met een link per mail en daarna verplicht een tweede factor (TOTP of passkey), met herstelcodes. Een eigen sessie van hoogstens 8 uur, afgemeld na 30 minuten zonder activiteit. Een volledig inhoudsbeveiligingsbeleid (CSP) op die omgeving.
• Meekijken in een Zaak: zie artikel 12.
• Elke handeling van een beheerder (proef verlengen, pauzeren, stoppen, functies aanzetten, meekijken, een fiche bekijken) komt met een reden in het auditlog van het platform, dat niet gewijzigd of gewist kan worden, en waar het een Zaak raakt ook in haar auditlog.

Auditlog en logs

• Schrijfacties in de beheeromgeving komen in een auditlog met wie, wanneer, wat en de bron (beheer, platform, systeem). Inzage van intake en documenten wordt gelogd. De app kan het auditlog enkel lezen en aanvullen.
• De wachtrij logt bij een fout enkel de naam en de code, geen inhoud.

Gegevensminimalisatie

• Een Klant wissen verwijdert gevoelige gegevens en anonimiseert de rest, ook in oude regels van het auditlog, behalve wat de Zaak voor haar boekhouding moet bewaren.
• Het boekingsformulier bewaart in de browser geen persoonsgegevens; wat de Klant invult, blijft in het geheugen van de pagina.
• Aan Mollie geeft Bookable geen naam of mailadres van de Klant door.
• Een nachtelijke taak om 3 uur wist vervallen intakes, documenten en notities, en tijdelijke gegevens volgens Bijlage 4.

Organisatie

• Geen sleutels in de code; geheimen enkel in de omgeving van de hosting. Enkel Silvio De Maeyer heeft toegang tot het dashboard van de hosting en de leveranciers.
• Tweestapsverificatie op de accounts bij leveranciers.
• Controle van kwetsbaarheden in gebruikte bibliotheken.
• De database staat niet open voor het internet (enkel intern verkeer).

Gepland of nog open

• Een strikt inhoudsbeveiligingsbeleid (CSP) op de pagina's van Zaken en de beheeromgeving van de Zaak; vandaag enkel bescherming tegen tonen in een frame en een strikte CSP op downloads.
• Foutopvolging (Sentry) zonder persoonsgegevens, en een melding bij een storing.
• Een vaste werkwijze voor reservekopieën en herstel, eenmaal getest, en een maandelijkse versleutelde export buiten Render.
• Automatisch wissen van de gegevens van een gestopte Zaak (artikel 13). Tot dan wist Bookable ze zelf na de termijn van artikel 13.2.
• Een bewaartermijn voor het auditlog.
• Een werkwijze en logboek voor toegang tot de database buiten de app.

Bijlage 3. Subverwerkers #

Geen subverwerker van Bookable voor de Zaak:

• Mollie B.V. voor betalingen van Klanten: de Zaak heeft zelf een overeenkomst met Mollie; Bookable geeft Mollie geen naam of mailadres van de Klant door. Mollie is voor die betalingen een partner van de Zaak.
• Google voor het inloggen van Gebruikers: dat is een verwerking van Bookable als verwerkingsverantwoordelijke (privacyverklaring).

Gepland, pas na melding volgens artikel 7.2: Functional Software, Inc. (Sentry) voor foutopvolging; Meta Platforms Ireland Limited (WhatsApp) en een sms-dienst voor berichten; Google en Microsoft voor agendakoppelingen.

Bijlage 4. Bewaren, teruggeven en wissen #

Bijlage 5. Werkwijze bij een inbreuk #

1. Vaststellen. Wie een mogelijke inbreuk opmerkt (Silvio, een melding van een Zaak, Klant of leverancier), meldt het aan info@bookable.be. Bookable noteert meteen het tijdstip van kennisname.
2. Indijken. Bookable neemt meteen maatregelen om de inbreuk te stoppen: sleutels roteren, toegang intrekken, een functie uitzetten, de getroffen Zaak pauzeren als dat nodig is.
3. Onderzoeken. Bookable gaat na welke Zaken, welke gegevens en hoeveel betrokkenen getroffen zijn, met het auditlog, de logs van de hosting en de leveranciers.
4. Melden aan de Zaak. Binnen 48 uur na kennisname, per mail aan de eigenaars van elke getroffen Zaak, met de inhoud van artikel 11.2. Aanvullingen volgen zodra ze bekend zijn.
5. Melden aan de toezichthouder voor eigen gegevens. Treft de inbreuk gegevens waarvoor Bookable zelf verantwoordelijk is (bijvoorbeeld accounts van Gebruikers), dan meldt Bookable binnen 72 uur aan de Gegevensbeschermingsautoriteit, tenzij de inbreuk waarschijnlijk geen risico inhoudt.
6. Bijstand. Bookable helpt de Zaak met haar melding aan de toezichthouder en de betrokkenen.
7. Registreren en leren. Bookable noteert de inbreuk in het register (artikel 11.4) en neemt maatregelen om herhaling te voorkomen.