Verwerkersovereenkomst

Jouw gegevens, onze zorg.

De afspraken tussen jou als klant en U-Horeca over de persoonsgegevens die je in onze apps verwerkt, zoals die van je medewerkers.

Laatst bijgewerkt: 7 november 2026

Gebruik je UH Team, UH Lijsten, UH Recepten of UH Administratie, dan verwerk je daarin persoonsgegevens, bijvoorbeeld van je medewerkers. Jij bent daarvoor verantwoordelijk; U-Horeca verwerkt ze voor jou. De AVG vraagt dat we daarover afspraken maken. Die staan hieronder.

Artikel 1 – Partijen en wanneer deze overeenkomst geldt

Deze verwerkersovereenkomst is gesloten tussen:

de klant: het bedrijf of de zelfstandige die een of meer apps van U-Horeca gebruikt (UH Team, UH Lijsten, UH Recepten of UH Administratie), hierna “de klant” of “de verwerkingsverantwoordelijke”; en
U-Horeca, een handelsnaam van UH Online, hierna “U-Horeca” of “de verwerker”:

U-Horeca (voorheen UH Hospitality), een handelsnaam van UH Online
Grevenbichtstraat 106
5043 MD Tilburg
KvK 18074993 · btw NL00176.06.35.B84
E-mail: contact@u-horeca.com
Telefoon: 085 301 6119

1.2 Deze overeenkomst hoort bij de algemene voorwaarden en geldt zodra de klant een app gaat gebruiken, ook tijdens een gratis proefperiode. Door een app in gebruik te nemen gaat de klant met deze overeenkomst akkoord.

1.3 Deze overeenkomst gaat over de persoonsgegevens die de klant in de apps invoert of laat invoeren, bijvoorbeeld van zijn medewerkers. Voor de gegevens die U-Horeca voor zichzelf verwerkt, zoals bij de bemiddeling van personeel, het account en de facturen voor het abonnement, is U-Horeca zelf verantwoordelijk; daarvoor geldt de privacyverklaring.

Artikel 2 – Begrippen

Begrippen als persoonsgegevens, verwerken, verwerkingsverantwoordelijke, verwerker, subverwerker, betrokkene en inbreuk in verband met persoonsgegevens (datalek) hebben de betekenis die de Algemene verordening gegevensbescherming (AVG) eraan geeft.

Artikel 3 – Onderwerp en instructies

3.1 U-Horeca verwerkt de persoonsgegevens alleen om de apps te leveren zoals beschreven in bijlage 1, en alleen volgens de schriftelijke instructies van de klant. Het gebruik van de apps door de klant (bijvoorbeeld een medewerker toevoegen, een rooster publiceren of gegevens verwijderen) geldt als instructie.

3.2 U-Horeca gebruikt de persoonsgegevens niet voor eigen doeleinden, verkoopt ze niet en geeft ze niet aan derden, behalve aan subverwerkers volgens artikel 6 of als de wet daartoe verplicht. In dat laatste geval laat U-Horeca het de klant vooraf weten, tenzij de wet dat verbiedt.

3.3 Vindt U-Horeca dat een instructie in strijd is met de AVG, dan meldt zij dat direct aan de klant.

Artikel 4 – Verantwoordelijkheden van de klant

De klant bepaalt waarvoor en hoe de persoonsgegevens worden verwerkt en zorgt dat hij daarvoor een geldige grondslag heeft.
De klant informeert zijn medewerkers en andere betrokkenen over het gebruik van de apps, bijvoorbeeld in zijn eigen privacyverklaring of personeelsregeling.
De klant voert geen bijzondere persoonsgegevens in, zoals gegevens over gezondheid, en geen burgerservicenummer (BSN) of kopie van een identiteitsbewijs. Bij een ziekmelding in UH Team wordt bewust geen reden of medische informatie gevraagd; de klant zet die ook niet in een opmerking.
De klant bepaalt wie toegang heeft (bijvoorbeeld planners, leidinggevenden en het keukenteam), houdt rechten actueel en trekt toegang in als iemand uit dienst gaat.
De klant zorgt dat de gegevens die hij invoert juist zijn, en houdt zijn inloggegevens geheim.

Artikel 5 – Verplichtingen van U-Horeca

U-Horeca zorgt dat alleen medewerkers toegang hebben die dat nodig hebben voor hun werk, en dat zij tot geheimhouding verplicht zijn.
U-Horeca neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen; zie bijlage 2.
U-Horeca helpt de klant, voor zover redelijk, bij het nakomen van zijn eigen verplichtingen, zoals verzoeken van betrokkenen, een gegevensbeschermingseffectbeoordeling (DPIA) en een melding aan de Autoriteit Persoonsgegevens.
U-Horeca verwerkt de persoonsgegevens binnen de Europese Economische Ruimte (EER).

Artikel 6 – Subverwerkers

6.1 De klant geeft U-Horeca algemene toestemming om subverwerkers in te schakelen. U-Horeca legt hun dezelfde verplichtingen op als in deze overeenkomst en blijft tegenover de klant verantwoordelijk voor hen.

6.2 Op dit moment:

Hosting en e-mail verzorgt U-Horeca zelf, onder de handelsnamen UH Online en loopID, op servers in Nederland. Daarvoor gaan geen gegevens naar een andere partij.
AI-functies van UH Recepten (recept laten maken, bespaartips): alleen als de klant ze gebruikt, gaan de wens van de gebruiker en de ingrediënten met hoeveelheden en prijzen naar de AI-dienst die U-Horeca heeft ingesteld. Daarbij worden geen persoonsgegevens meegestuurd. De klant gebruikt deze functies niet om persoonsgegevens in te voeren.

6.3 Schakelt U-Horeca een nieuwe subverwerker in die persoonsgegevens van de klant verwerkt, dan meldt zij dat minstens 30 dagen vooraf. De klant kan daartegen met redenen bezwaar maken. Komen we er samen niet uit, dan kan de klant het abonnement opzeggen tegen de datum waarop de wijziging ingaat.

Artikel 7 – Rechten van betrokkenen

7.1 Een medewerker of andere betrokkene die zijn rechten wil uitoefenen (inzage, correctie, verwijdering, beperking, bezwaar of overdraagbaarheid), richt zich tot de klant. Komt zo’n verzoek bij U-Horeca binnen, dan stuurt zij het door naar de klant.

7.2 De klant kan de meeste gegevens zelf in de apps inzien, aanpassen, exporteren (bijvoorbeeld de uren-export en de lijsten als CSV) en verwijderen. Lukt dat niet, dan helpt U-Horeca.

Artikel 8 – Datalekken

8.1 Ontdekt U-Horeca een datalek dat persoonsgegevens van de klant raakt, dan meldt zij dat zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking aan de klant, via het e-mailadres van het account.

8.2 U-Horeca geeft daarbij, voor zover bekend: wat er is gebeurd, welke gegevens en hoeveel betrokkenen het raakt, de waarschijnlijke gevolgen en welke maatregelen zij heeft genomen of voorstelt. Ontbrekende informatie volgt zo snel mogelijk.

8.3 De klant beslist of hij het datalek meldt aan de Autoriteit Persoonsgegevens en aan de betrokkenen. U-Horeca doet dat niet namens de klant, tenzij de klant daarom vraagt.

Artikel 9 – Informatie en controle

U-Horeca geeft de klant op verzoek de informatie die nodig is om te laten zien dat zij zich aan deze overeenkomst houdt. Een audit door een onafhankelijke deskundige is mogelijk na overleg, maximaal één keer per jaar en met een redelijke termijn vooraf, tenzij er aanwijzingen zijn voor een ernstige tekortkoming. De kosten van een audit zijn voor de klant, tenzij blijkt dat U-Horeca deze overeenkomst op een wezenlijk punt niet nakomt.

Artikel 10 – Duur en einde

10.1 Deze overeenkomst loopt zolang de klant een app gebruikt en eindigt automatisch als het abonnement eindigt.

10.2 Na het einde kan de klant zijn gegevens nog bekijken en downloaden zolang U-Horeca ze bewaart. Op verzoek van de klant verwijdert U-Horeca de persoonsgegevens, of geeft zij ze in een gangbaar bestandsformaat terug, tenzij de wet bewaren verplicht. Zonder verzoek verwijdert U-Horeca de gegevens uiterlijk 12 maanden na het einde van het abonnement.

10.3 Kopieën in back-ups verdwijnen volgens de normale back-upcyclus en worden tot dan niet meer gebruikt.

10.4 Verplichtingen die naar hun aard doorlopen, zoals geheimhouding en het melden van datalekken, blijven gelden na het einde van deze overeenkomst.

Artikel 11 – Aansprakelijkheid

Voor de aansprakelijkheid van partijen geldt wat daarover in de algemene voorwaarden staat, voor zover de AVG dat toelaat.

Artikel 12 – Wijzigingen en toepasselijk recht

12.1 U-Horeca kan deze overeenkomst aanpassen, bijvoorbeeld als de apps of de wet veranderen. Wezenlijke wijzigingen kondigt zij minstens 30 dagen vooraf aan. Is de klant het er niet mee eens, dan kan hij het abonnement opzeggen tegen de ingangsdatum.

12.2 Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter van de Rechtbank Zeeland-West-Brabant.

12.3 Wil de klant een ondertekende versie van deze overeenkomst? Mail dan naar contact@u-horeca.com.

Bijlage 1 – Welke gegevens, van wie en waarvoor

UH Team (rooster, uren, verlof en prikklok)

Betrokkenen: medewerkers, planners en leidinggevenden van de klant.
Persoonsgegevens: naam, e-mailadres, telefoonnummer, functie, afdeling(en), contracturen, personeelsnummer (als de klant dat invult), rechten, profielfoto (als de medewerker die zelf toevoegt), diensten en rooster, beschikbaarheid, ruilverzoeken, verlof en ziekmeldingen (alleen de dagen, zonder reden), gewerkte uren en kloktijden, pincode voor de prikklok (alleen versleuteld en als code die niet terug te rekenen is), berichten en meldingen in de app.
Doel: roosters maken en delen, beschikbaarheid, verlof en ziekte bijhouden, uren registreren en exporteren, in- en uitklokken.
Bewaartermijn: zolang de klant de app gebruikt; de klant kan medewerkers en hun gegevens zelf verwijderen. Daarna volgens artikel 10.

UH Lijsten (HACCP en MEP)

Betrokkenen: medewerkers van de klant die lijsten invullen, en ingeklokte zzp’ers.
Persoonsgegevens: naam of initialen van wie een lijst invulde, datum en tijdstip, ingevulde waarden en opmerkingen.
Doel: HACCP- en MEP-lijsten bijhouden en kunnen laten zien bij een controle.
Bewaartermijn: standaard 12 maanden na het invullen (instelbaar tussen 3 en 120 maanden), daarna automatisch verwijderd.

UH Recepten

Betrokkenen: medewerkers van de klant in het keukenteam.
Persoonsgegevens: naam, e-mailadres, functie, rechten (bekijken of bewerken) en of iemand zijn uitnodiging heeft aangenomen. De recepten, ingrediënten, foto’s van gerechten en verkopen zelf zijn bedrijfsgegevens; foto’s worden opgeslagen zonder locatiegegevens. Zet geen herkenbare personen op foto’s.
Doel: recepten delen met het keukenteam en bepalen wie ze mag bewerken.
Bewaartermijn: zolang de klant de app gebruikt; een verwijderde medewerker verliest direct de toegang. Daarna volgens artikel 10.

UH Administratie (voor zzp’ers)

Betrokkenen: klanten en relaties van de zzp’er, en zijn boekhouder als hij die uitnodigt.
Persoonsgegevens: namen, adressen, e-mailadressen en andere gegevens op facturen, offertes, herinneringen, bonnen en bankafschriften.
Doel: de administratie van de zzp’er bijhouden, facturen versturen en de btw-aangifte voorbereiden.
Bewaartermijn: facturen, bonnen en bankafschriften 7 jaar na afloop van het jaar (fiscale bewaarplicht), daarna automatisch verwijderd; overige gegevens zolang de zzp’er de administratie gebruikt.

Bijlage 2 – Beveiligingsmaatregelen

Een versleutelde verbinding (https) voor alle apps.
Per bedrijf gescheiden gegevens: iedereen ziet alleen de gegevens van zijn eigen bedrijf, en binnen het bedrijf alleen wat bij zijn rol en rechten hoort. Dat wordt op de server gecontroleerd, niet alleen in het scherm.
Wachtwoorden worden alleen versleuteld opgeslagen. Pincodes voor de prikklok worden versleuteld opgeslagen en met een code die niet terug te rekenen is gecontroleerd; na te veel foute pogingen wordt de tablet tijdelijk geblokkeerd.
Uitnodigings-, agenda-, tablet- en deellinks bevatten een geheime code waarvan alleen een versleutelde versie wordt bewaard; ze zijn in te trekken en uitnodigingen verlopen na 14 dagen.
Foto’s en bestanden staan afgeschermd buiten de openbare website en zijn alleen te zien voor wie toegang heeft; locatie- en cameragegevens worden bij het uploaden verwijderd.
Formulieren zijn beveiligd tegen vervalste verzoeken en invoer wordt gecontroleerd.
Hosting op servers in Nederland, met beveiligingsupdates en back-ups.
Alleen medewerkers van U-Horeca die het nodig hebben, hebben toegang tot de systemen; zij zijn tot geheimhouding verplicht.