Privacyverklaring & Verwerkersovereenkomst

1. Wie zijn wij?

Puls is een software-as-a-service-platform voor horecaondernemers, ontwikkeld en beheerd door Puls (hierna "Puls", "wij" of "ons"). Ons platform stelt ondernemers in staat dagelijks inzicht te krijgen in omzet, loonkosten, inkoopfacturen en personeelsprestaties.

Vragen over privacy? Stuur een e-mail naar privacy@usepuls.nl.

2. Verwerkingsverantwoordelijke vs. verwerker

De AVG maakt onderscheid tussen twee rollen:

• Verwerkingsverantwoordelijke — bepaalt het doel en de middelen van de verwerking. In de context van Puls bent u (de horecaondernemer) de verwerkingsverantwoordelijke voor de persoonsgegevens van uw medewerkers en gasten.
• Verwerker — verwerkt gegevens in opdracht van de verantwoordelijke. Puls treedt op als verwerker: wij slaan uw data op en tonen die uitsluitend aan u en de door u aangewezen gebruikers.

Omdat wij persoonsgegevens van uw medewerkers verwerken (namen, omzetcijfers per medewerker, gewerkte uren) is een verwerkersovereenkomst (VWO) verplicht. Die vindt u verderop op deze pagina (sectie 8).

3. Welke gegevens verwerken wij?

Puls verwerkt twee categorieën gegevens:

A. Bedrijfsgegevens (geen persoonsgegevens)

• Dagomzet, transactieaantallen, inkoopfacturen
• Weersdata (openbare data van Buienradar / Open-Meteo)
• Inflatiecijfers (CBS / Eurostat)
• Agenda-evenementen die u zelf invoert

B. Persoonsgegevens van medewerkers

C. Gegevens die wij expliciet niet verwerken

• BSN-nummers of andere wettelijke identificatoren
• Bankrekeningnummers of salarisgegevens
• Gezondheidsgegevens of bijzondere categorieën persoonsgegevens
• Gastgegevens (kassatransacties bevatten geen klant-ID)

4. Grondslagen voor verwerking

Wij verwerken persoonsgegevens uitsluitend op basis van:

• Uitvoering van een overeenkomst — de dashboarddienst die u bij ons afneemt (AVG art. 6 lid 1 sub b).
• Gerechtvaardigd belang — operationele analyse van uw eigen bedrijf; het belang van de ondernemer weegt zwaarder dan het privacybelang van de medewerker bij bedrijfsmatige prestatieregistratie (AVG art. 6 lid 1 sub f).

5. Technische beveiligingsmaatregelen

Wij nemen de volgende maatregelen om uw data te beschermen:

• 🔑 Bcrypt-wachtwoord-hashing (work-factor 12) — wachtwoorden worden nooit als leesbare tekst opgeslagen.
• 🔐 TLS 1.2/1.3 voor alle communicatie tussen browser, server en externe koppelingen.
• 🔒 Versleutelde opslag — de database staat op een server met versleutelde schijf (Hetzner LUKS).
• 💾 Versleutelde back-ups — de dagelijkse off-site kopie wordt versleuteld opgeslagen (AES256) bij Backblaze B2 in de EU.
• 🏢 Klant-isolatie — elke zaak heeft een aparte database; cross-tenantlekken zijn structureel onmogelijk.
• 🛡️ Brute-force-beveiliging — na 5 mislukte inlogpogingen in 15 minuten blokkeert het systeem automatisch.
• 🔐 Optionele tweefactorauthenticatie (TOTP) — Google Authenticator, Authy of 1Password.
• 📁 Bestandspermissies — de database is alleen toegankelijk voor de service-gebruiker (chmod 640).
• 🔑 SSH-sleutels — servercommunicatie via publieke-sleutelcryptografie, geen wachtwoord-SSH.

6. Sub-verwerkers

Wij maken gebruik van de volgende externe diensten die in contact kunnen komen met uw data:

SCCs = Standard Contractual Clauses (goedgekeurd door de Europese Commissie voor doorgifte buiten de EU). De Anthropic-koppeling is volledig optioneel en verwerkt uitsluitend tekst van PDF-inkoopfacturen — geen namen of persoonsgegevens.

Web3Forms verwerkt contactformulier-inzendingen uitsluitend ter bezorging. Gegevens worden maximaal 30 dagen bewaard. Zie web3forms.com/privacy.

7. Uw rechten onder de AVG

Als verwerkingsverantwoordelijke heeft u (en uw medewerkers via u) de volgende rechten:

Verzoeken kunt u indienen via privacy@usepuls.nl. Wij reageren binnen 4 weken. U heeft ook het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens.

8. Verwerkersovereenkomst

Conform artikel 28 AVG leggen verwerkingsverantwoordelijke (u) en verwerker (Puls) de volgende afspraken vast:

8.1 Opdracht en instructies

Puls verwerkt persoonsgegevens uitsluitend op schriftelijke instructie van de verwerkingsverantwoordelijke en voor de doeleinden omschreven in sectie 3 van deze verklaring. Puls zal geen gegevens voor eigen doeleinden gebruiken.

8.2 Geheimhouding

Alle personen die namens Puls toegang hebben tot persoonsgegevens zijn gehouden aan geheimhouding. Dit geldt ook na beëindiging van de overeenkomst.

8.3 Beveiliging

Puls treft de technische en organisatorische maatregelen beschreven in sectie 5 van deze verklaring. Wij voeren jaarlijks een interne beveiligingsreview uit.

8.4 Sub-verwerkers

Puls schakelt alleen sub-verwerkers in met toestemming van de verwerkingsverantwoordelijke (verleend bij acceptatie van deze overeenkomst) en sluit met die sub-verwerkers gelijkwaardige verwerkersovereenkomsten af. De actuele lijst van sub-verwerkers staat in sectie 6.

8.5 Datalekken

Bij een beveiligingsincident dat persoonsgegevens betreft, informeert Puls de verwerkingsverantwoordelijke binnen 24 uur na ontdekking via het bij ons bekende e-mailadres. U bent vervolgens verplicht dit, indien meldplichtig, zelf te melden aan de Autoriteit Persoonsgegevens (binnen 72 uur).

8.6 Bewaartermijn en verwijdering

Gegevens worden bewaard zolang uw account actief is, met een maximum van 2 jaar na de laatste transactiedatum. Na beëindiging van de overeenkomst worden alle persoonsgegevens binnen 30 dagen definitief verwijderd of geanonimiseerd, tenzij een wettelijke bewaarverplichting anders vereist.

8.7 Audit-rechten

De verwerkingsverantwoordelijke heeft het recht Puls te auditen op naleving van deze overeenkomst, maximaal eenmaal per jaar en na 30 dagen schriftelijke vooraankondiging. Puls verleent medewerking aan redelijke informatieverzoeken.

8.8 Toepasselijk recht en forumkeuze

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in Amsterdam.

9. Wijzigingen in deze verklaring

Wij behouden ons het recht voor deze privacyverklaring te wijzigen. Bij materiële wijzigingen informeren wij u minimaal 30 dagen van tevoren via e-mail. De actuele versie staat altijd op deze pagina.

Bijlage A — Informatie voor medewerkers

Kopieer en plak onderstaande tekst in uw personeelshandboek, arbeidsovereenkomst of bedrijfsintranet om te voldoen aan uw informatieplicht (AVG art. 13/14).