Verwerkersovereenkomst

Laatst bijgewerkt: 11 oktober 2026

Deze overeenkomst maakt deel uit van de gebruiksvoorwaarden en geldt tussen de zaak (“verwerkingsverantwoordelijke”) en Loyi, [bedrijfsnaam of je volledige naam], [straat, postcode, gemeente], België, [ondernemingsnummer] (“verwerker”). Ze regelt de persoonsgegevens die Loyi verwerkt voor het spaarprogramma van de zaak, zoals artikel 28 van de AVG vereist.

1. Onderwerp, duur, aard en doel

Loyi laat het digitale spaarprogramma van de zaak werken: het bewaart de kaarten van klanten, registreert stempels en ingewisselde beloningen, toont het dashboard, de klantenlijst en de inzichten van de zaak, en toont de opvolgberichten van de zaak op de kaarten van haar klanten. De overeenkomst loopt zolang de zaak een Loyi-account heeft.

2. Betrokken gegevens en personen

• Personen: de klanten van de zaak die stempels sparen.
• Gegevens: gepseudonimiseerde klant-ID's, kaarten, stempels, verdiende en gebruikte beloningen, en datum en uur van elke tik. Loyi verwerkt voor de zaak geen namen, e-mailadressen of telefoonnummers van klanten. Geen bijzondere categorieën van gegevens.

3. Instructies

Loyi verwerkt deze gegevens alleen om de dienst te leveren zoals beschreven in de voorwaarden en in de app, en volgens de gedocumenteerde instructies van de zaak, namelijk haar instellingen en handelingen in Loyi. Vindt Loyi dat een instructie de wet schendt, dan laat het dat de zaak weten. Loyi gebruikt de gegevens niet voor eigen doeleinden, behalve om de dienst veilig te houden en fraude te voorkomen, zoals uitgelegd in het privacybeleid.

4. Vertrouwelijkheid en beveiliging

Alleen wie het nodig heeft om Loyi te laten werken, heeft toegang, en is tot geheimhouding verplicht. Loyi neemt passende technische en organisatorische maatregelen (artikel 32), onder meer: gepseudonimiseerde klant-ID's, versleutelde verbindingen, databankregels die elke wijziging controleren, toegang beperkt tot de eigen gegevens van elke zaak, opslag in de EU (België) en automatische verwijdering van de geschiedenis van stempels en beloningen na 2 jaar.

5. Subverwerkers

De zaak geeft algemene toestemming voor deze subverwerkers:

• Google Ireland Ltd (Firebase): databank, hosting en inloggen. Databank in België (europe-west1); inloggegevens kunnen in de Verenigde Staten worden verwerkt onder het EU-VS-kader voor gegevensbescherming of de modelcontractbepalingen van de Europese Commissie.
• Cloudflare, Inc.: de kleine server van Loyi, die tikken op beveiligde Loyi-tags controleert (de eenmalige code van de tag en de anonieme ID van de klant). Hij draait op het netwerk van Cloudflare, onder de verwerkersovereenkomst van Cloudflare met de modelcontractbepalingen van de Europese Commissie.

Loyi verwittigt zaken minstens 30 dagen voor het een subverwerker toevoegt of vervangt per e-mail. Een zaak die bezwaar heeft, kan haar abonnement voor de wijziging stopzetten. Loyi legt elke subverwerker dezelfde verplichtingen inzake gegevensbescherming op.

6. Hulp bij de rechten van klanten en verplichtingen

Klanten kunnen hun eigen gegevens zelf inkijken, downloaden en verwijderen in Loyi. Waar nodig helpt Loyi de zaak om verzoeken van klanten te beantwoorden en haar verplichtingen na te komen inzake beveiliging, datalekken en effectbeoordelingen (artikelen 32 tot 36), rekening houdend met de aard van de verwerking.

7. Datalekken

Loyi verwittigt de zaak zonder onredelijke vertraging, en waar mogelijk binnen 48 uur nadat het een datalek met gegevens van haar klanten ontdekt, met de informatie die de zaak nodig heeft om de Gegevensbeschermingsautoriteit en zo nodig haar klanten in te lichten.

8. Einde van de overeenkomst

Als de zaak haar account verwijdert, verwijdert Loyi meteen de gegevens van haar spaarprogramma; de zaak kan vooraf een kopie downloaden via Account & privacy → Mijn gegevens downloaden. Back-ups bij de hostingprovider worden binnen hun normale cyclus overschreven.

9. Audits

Loyi geeft de zaak de informatie die ze nodig heeft om aan te tonen dat deze overeenkomst wordt nageleefd, en staat redelijke audits toe, minstens 30 dagen vooraf schriftelijk aangekondigd, op kosten van de zaak en hoogstens één keer per jaar, tenzij een datalek het vereist.

10. Aansprakelijkheid en recht

De regels over aansprakelijkheid en het toepasselijk recht uit de gebruiksvoorwaarden gelden. Verschillen deze overeenkomst en de voorwaarden over gegevensbescherming, dan heeft deze overeenkomst voorrang.