Verwerkersovereenkomst CasaFlow

Versie: 27 juni 2026

Aanvaarding en partijen

Deze Overeenkomst wordt aangegaan tussen:

Verwerker:
The Brand Supplier, handelend onder de naam CasaFlow
Chirurgijnstraat 29, 4204 SJ Gorinchem, Nederland
KvK 75500116 · info@casaflow.nl
(hierna: "CasaFlow")

en

Verwerkingsverantwoordelijke: de natuurlijke persoon of rechtspersoon die zich via casaflow.nl registreert en een CasaFlow-account aanmaakt (hierna: "Verhuurder").

De gegevens die u bij de registratie of in uw account opgeeft, zoals uw naam en e-mailadres en (waar van toepassing) uw bedrijfsnaam, adres en KvK- of registratienummer, identificeren u als Verhuurder en maken deel uit van deze Overeenkomst. Door bij de registratie akkoord te gaan en uw account aan te maken, aanvaardt u deze Overeenkomst. CasaFlow legt het moment van aanvaarding en de bij registratie opgegeven gegevens vast in haar administratie. Een afzonderlijk ondertekend exemplaar is op verzoek beschikbaar via info@casaflow.nl.

Inwerkingtreding

Deze Overeenkomst treedt in werking op het moment dat u uw account aanmaakt, en geldt voor alle verwerking van persoonsgegevens die CasaFlow daarna namens u uitvoert. Zolang u nog geen gastgegevens via het platform verwerkt, vinden er nog geen verwerkingen onder deze Overeenkomst plaats; de Overeenkomst regelt die verwerkingen zodra ze beginnen.

Achtergrond

U gebruikt het platform van CasaFlow om directe boekingen van uw vakantiewoning(en) te beheren, inclusief een boekingssite, gastportaal, communicatie, facturatie en, waar van toepassing, de wettelijke reizigersregistratie. Bij het leveren van deze dienst verwerkt CasaFlow persoonsgegevens van uw gasten. U bent daarvoor verwerkingsverantwoordelijke en CasaFlow is uw verwerker.

Artikel 1. Definities

Begrippen als "persoonsgegevens", "verwerking", "verwerkingsverantwoordelijke", "verwerker", "betrokkene", "subverwerker" en "datalek" hebben de betekenis die de Algemene Verordening Gegevensbescherming (AVG) daaraan geeft.

Artikel 2. Onderwerp, aard en duur

1. CasaFlow verwerkt persoonsgegevens uitsluitend ten behoeve van de hierboven beschreven dienst, en uitsluitend in opdracht van Verhuurder.
2. De aard en het doel van de verwerking, de soorten persoonsgegevens en de categorieën betrokkenen staan in Bijlage A.
3. Deze Overeenkomst geldt zolang CasaFlow voor Verhuurder persoonsgegevens verwerkt en eindigt zodra de onderliggende dienstverleningsovereenkomst eindigt, behoudens de verplichtingen die naar hun aard blijven gelden.

Artikel 3. Instructies

1. CasaFlow verwerkt de persoonsgegevens uitsluitend op basis van de gedocumenteerde instructies van Verhuurder, waaronder deze Overeenkomst en het gebruik van de standaard functionaliteit van het platform, tenzij een wettelijke verplichting CasaFlow tot verwerking verplicht. In dat geval meldt CasaFlow dat vooraf, tenzij de wet die melding verbiedt.
2. CasaFlow stelt Verhuurder onmiddellijk op de hoogte als een instructie naar haar oordeel in strijd is met de AVG of andere gegevensbeschermingsregels.
3. CasaFlow gebruikt de persoonsgegevens van gasten niet voor eigen doeleinden.

Artikel 4. Geheimhouding

CasaFlow zorgt ervoor dat de personen die zij voor de verwerking inzet tot geheimhouding zijn verplicht en alleen toegang hebben tot de persoonsgegevens voor zover nodig voor hun taak.

Artikel 5. Beveiliging

1. CasaFlow neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen, rekening houdend met de stand van de techniek en de risico's van de verwerking (artikel 32 AVG). De maatregelen staan in Bijlage C.
2. CasaFlow evalueert deze maatregelen periodiek en past ze waar nodig aan.

Artikel 6. Subverwerkers

1. Verhuurder geeft CasaFlow algemene toestemming om subverwerkers in te schakelen. De actuele subverwerkers staan in Bijlage B.
2. CasaFlow legt aan elke subverwerker dezelfde gegevensbeschermingsverplichtingen op als in deze Overeenkomst.
3. CasaFlow meldt voorgenomen wijzigingen in de lijst van subverwerkers vooraf, zodat Verhuurder daartegen bezwaar kan maken.

Artikel 7. Doorgifte buiten de EER

CasaFlow geeft persoonsgegevens alleen door aan een land buiten de Europese Economische Ruimte als daarvoor een geldige grondslag bestaat onder hoofdstuk V AVG (een adequaatheidsbesluit, het EU-US Data Privacy Framework, of standaardcontractbepalingen). De toepasselijke waarborgen per partij staan in Bijlage B.

Artikel 8. Bijstand bij rechten van betrokkenen

CasaFlow helpt Verhuurder, met passende technische en organisatorische maatregelen, om te voldoen aan verzoeken van betrokkenen (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar). Ontvangt CasaFlow zelf een verzoek van een betrokkene, dan verwijst zij dat door naar Verhuurder en voert zij het niet zelfstandig uit.

Artikel 9. Bijstand bij datalekken, DPIA en beveiliging

1. CasaFlow informeert Verhuurder zonder onredelijke vertraging nadat zij kennis heeft gekregen van een datalek dat de persoonsgegevens van Verhuurder betreft, met de informatie die Verhuurder nodig heeft om aan zijn eigen meldplicht (artikel 33 en 34 AVG) te voldoen.
2. CasaFlow ondersteunt Verhuurder, voor zover redelijk, bij gegevensbeschermingseffectbeoordelingen (DPIA's) en eventuele voorafgaande raadplegingen van de toezichthouder.

Artikel 10. Audits en aantoonbaarheid

1. CasaFlow stelt op verzoek de informatie beschikbaar die nodig is om aan te tonen dat zij aan deze Overeenkomst en aan artikel 28 AVG voldoet.
2. Verhuurder mag, op eigen kosten en na redelijke aankondiging, maximaal eens per jaar (of vaker na een datalek) een audit laten uitvoeren, op een wijze die de dienstverlening zo min mogelijk verstoort.

Artikel 11. Teruggave en verwijdering na afloop

Na het einde van de dienstverlening verwijdert CasaFlow de persoonsgegevens, of geeft deze op verzoek terug, tenzij een wettelijke bewaarplicht (zoals de Spaanse reizigersregistratie of de fiscale bewaarplicht) tot langer bewaren verplicht. In dat geval worden de betreffende gegevens uitsluitend voor die wettelijke verplichting bewaard en daarna verwijderd.

Artikel 12. Aansprakelijkheid

Op de aansprakelijkheid onder deze Overeenkomst is de aansprakelijkheidsregeling uit de onderliggende dienstverleningsovereenkomst van toepassing, voor zover de AVG dat toestaat.

Artikel 13. Wijzigingen

CasaFlow kan deze Overeenkomst aanpassen wanneer wet- of regelgeving of de dienst daartoe aanleiding geeft. Wezenlijke wijzigingen worden vooraf gemeld, zodat Verhuurder die kan beoordelen. De actuele versie is steeds via het account beschikbaar.

Artikel 14. Toepasselijk recht

Op deze Overeenkomst is Nederlands recht van toepassing.

Bijlage A. Details van de verwerking

Bijlage B. Overzicht subverwerkers

Zie het separate document "Bijlage: Overzicht subverwerkers CasaFlow", dat onderdeel uitmaakt van deze Overeenkomst en via het account beschikbaar is. Daarin staan per subverwerker het doel, de categorieën gegevens, de locatie en de doorgiftewaarborg.

Bijlage C. Beveiligingsmaatregelen

• Versleuteling van gevoelige reizigersregistratiegegevens (AES-256-GCM).
• Versleuteld dataverkeer (TLS) en beveiligingsheaders.
• Toegangsbeveiliging met gehashte wachtwoorden en sessietokens; intrekken bij wijziging.
• Strikte scheiding van gegevens per verhuurder (tenant-isolatie).
• Beperking van te veel inlog-/aanvraagpogingen (rate limiting).
• Validatie van uploads en bescherming tegen e-mail-header-injectie.
• Geautomatiseerde, aantoonbaar gelogde verwijdering/anonimisering na de bewaartermijn.
• Hosting en back-ups binnen de EU.