Verwerkersovereenkomst
1. Onderwerp
De verwerker verwerkt persoonsgegevens in opdracht van de club om de club de functies van Logbook te laten gebruiken: ledenbeheer, planning van activiteiten, trainingen en lessen, beschikbaarheden en bevoegdheden van instructeurs, inschrijvingen, het aftekenen van logs, uitnodigingen, het verzamelen van gegevens van leden en het opvolgen van aanvragen van geïnteresseerden. De details staan in bijlage 1.
2. Duur
De overeenkomst loopt zolang de club Logbook gebruikt. Na beëindiging gelden artikel 10 en de verplichtingen die naar hun aard blijven bestaan.
3. Instructies
De verwerker verwerkt de persoonsgegevens uitsluitend op basis van de schriftelijke instructies van de club. De configuratie en het gebruik van Logbook door de beheerders van de club gelden als zulke instructies. Is de verwerker van oordeel dat een instructie in strijd is met de AVG of andere regelgeving, dan meldt hij dit onmiddellijk. De verwerker verwerkt geen gegevens voor eigen doeleinden, behalve voor zover nodig om de dienst te beveiligen en te verbeteren op een manier die geen invloed heeft op de betrokkenen, of wanneer een wettelijke verplichting hem daartoe dwingt (in dat geval licht hij de club vooraf in, tenzij de wet dat verbiedt).
4. Verplichtingen van de club
- De club zorgt voor een geldige rechtsgrond voor elke verwerking en informeert haar leden, studenten en geïnteresseerden over de verwerking (bv. via de privacyverklaring van de club).
- De club vraagt via eigen clubvragen of vrije velden geen bijzondere categorieën van persoonsgegevens (zoals gezondheidsgegevens) op, tenzij zij daarvoor zelf een rechtsgrond en uitzondering heeft (art. 9 AVG) en het strikt noodzakelijk is.
- De club beperkt de toegang tot beheerdersrollen tot personen die die toegang nodig hebben, en verwijdert de rechten van wie de club verlaat.
- De club nodigt enkel personen uit die verwacht kunnen worden een uitnodiging te ontvangen, en gebruikt infomails enkel om vragen van geïnteresseerden te beantwoorden.
- Voor jeugdleden zorgt de club voor de nodige toestemming van ouders of voogden.
5. Vertrouwelijkheid
Personen die onder het gezag van de verwerker toegang hebben tot de persoonsgegevens, zijn tot geheimhouding verplicht en krijgen enkel toegang voor zover dat nodig is voor de uitvoering van deze overeenkomst (bv. ondersteuning of het oplossen van storingen).
6. Beveiliging
De verwerker neemt passende technische en organisatorische maatregelen overeenkomstig artikel 32 AVG, zoals beschreven in bijlage 3, en past ze aan de stand van de techniek aan.
7. Subverwerkers
De club geeft algemene toestemming voor de inschakeling van de subverwerkers in bijlage 2. De verwerker informeert de club ten minste 30 dagen vooraf over een voorgenomen toevoeging of vervanging (via de app of per e-mail aan de beheerders). De club kan binnen die termijn gemotiveerd bezwaar maken; komt er geen oplossing, dan kan de club de overeenkomst beëindigen. De verwerker legt elke subverwerker dezelfde verplichtingen op en blijft volledig aansprakelijk voor diens nakoming. Doorgifte buiten de EER gebeurt enkel met passende waarborgen (hoofdstuk V AVG).
8. Bijstand
- Rechten van betrokkenen. De verwerker helpt de club om verzoeken van betrokkenen te beantwoorden. De meeste verzoeken kan de club zelf afhandelen in Logbook (gegevens inzien, aanpassen, aanvragen verwijderen, lidmaatschap beëindigen). Een verzoek dat rechtstreeks bij de verwerker binnenkomt, wordt onverwijld aan de club doorgestuurd.
- Datalekken. De verwerker meldt een inbreuk in verband met persoonsgegevens van de club zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat hij er kennis van kreeg, met de informatie die nodig is om aan artikel 33 en 34 AVG te voldoen, en neemt maatregelen om de gevolgen te beperken.
- DPIA en voorafgaande raadpleging. De verwerker verstrekt de informatie die de club redelijkerwijs nodig heeft.
9. Informatie en audit
De verwerker stelt de informatie ter beschikking die nodig is om de naleving van deze overeenkomst aan te tonen en werkt mee aan redelijke audits door de club of een door haar aangestelde, onafhankelijke en tot geheimhouding verplichte auditor, na een redelijke aankondiging en hoogstens één keer per jaar, tenzij een datalek of een toezichthouder een bijkomende audit vereist. De kosten zijn voor de club.
10. Einde van de verwerking
Bij beëindiging (bv. wanneer de club wordt verwijderd) wist de verwerker de persoonsgegevens die hij voor de club verwerkt, tenzij een wettelijke bewaarplicht geldt. De club kan vooraf een export maken van haar gegevens. Kopieën in back-ups verdwijnen binnen de rotatietermijn van de back-ups. Gegevens die een lid in zijn eigen persoonlijke logboek bewaart, vallen onder de verantwoordelijkheid van de verwerker en het lid zelf, niet van de club.
11. Aansprakelijkheid en toepasselijk recht
De aansprakelijkheid van partijen is geregeld volgens artikel 82 AVG en de gebruiksvoorwaarden. Op deze overeenkomst is het Belgisch recht van toepassing; bevoegd zijn de rechtbanken van [in te vullen: bevoegde rechtbank].
Bijlage 1 — Beschrijving van de verwerking
| Categorieën van betrokkenen | Leden, studenten, instructeurs en beheerders van de club; personen die uitgenodigd worden; geïnteresseerden die via de infopagina van de club contact opnemen. |
|---|---|
| Categorieën van gegevens | Identificatie- en contactgegevens (naam, e-mail, telefoon, adres, geboortedatum), noodcontact, lidmaatschap en ledentypes, bevoegdheden en geldigheid, beschikbaarheden, inschrijvingen en lesopdrachten, aan de club gekoppelde logs en aftekeningen, antwoorden op clubvragen, uitnodigingen, aanvragen met bericht, interesse en bron, meldingen, technische gegevens. |
| Aard van de verwerking | Opslaan, ordenen, raadplegen, tonen aan bevoegde gebruikers, versturen van e-mails en pushberichten, exporteren, wissen. |
| Bewaartermijnen | Account en persoonlijke logboeken: tot je je account of de gegevens zelf verwijdert. Account dat nooit bevestigd werd: 30 dagen. Persoonsgegevens bij een club (telefoon, adres, noodcontact, clubvragen): zolang je lid bent, en 12 maanden na je vertrek. Aanvragen via een infopagina: 12 maanden na het laatste contact. Uitnodigingen: 90 dagen na verlopen of intrekken, 12 maanden na aanvaarding. Meldingen in de app: 12 maanden. Geüploade importbestanden: worden niet bewaard; enkel de gegevens die je importeert. Een niet-afgeronde import wordt na 2 dagen gewist. Pushabonnementen: tot je pushberichten uitschakelt of het toestel ze niet meer aanvaardt. |
Bijlage 2 — Subverwerkers
| Subverwerker | Doel | Locatie |
|---|---|---|
| Railway Corporation | Hosting van de applicatie, database en bestanden | [in te vullen: land van hosting] |
| Resend, Inc. | Versturen van e-mails (bevestiging, uitnodigingen, meldingen, infomails) | Verenigde Staten — doorgifte op basis van de EU-standaardcontractbepalingen (en het EU-VS Data Privacy Framework indien gecertificeerd) |
| Pushdienst van je browser (Google, Apple, Mozilla of Microsoft) | Afleveren van pushberichten; de inhoud wordt end-to-end versleuteld verstuurd | Afhankelijk van je browser; kan buiten de EER zijn |
| OpenStreetMap Foundation | Kaarttegels, enkel wanneer je zelf op “Kaart tonen” klikt | Verenigd Koninkrijk (adequaatheidsbesluit van de Europese Commissie) |
Bijlage 3 — Technische en organisatorische maatregelen
- Versleutelde verbindingen (HTTPS/TLS), beveiligde cookies, bescherming tegen CSRF en clickjacking.
- Wachtwoorden enkel opgeslagen als gezouten hash (PBKDF2); e-mailbevestiging en wachtwoordherstel met eenmalige, ondertekende links.
- Toegangscontrole op rolniveau per club (lid, instructeur, beheerder); logs enkel zichtbaar voor de eigenaar en, als die ze aan de club koppelt, voor beheerders en instructeurs van die club; tekeningen enkel via een afgeschermde route.
- Minimale gegevensverzameling; geen trackers, analysediensten of externe lettertypes; kaarten van derden enkel op verzoek van de gebruiker.
- Bescherming tegen spam en misbruik (honeypot, beperking van het aantal aanvragen per IP-adres).
- Automatische verwijdering volgens de bewaartermijnen in bijlage 1.
- Inhoud van pushberichten end-to-end versleuteld.
- Regelmatige back-ups bij de hostingprovider; beperkte toegang tot productieomgeving en back-ups; tijdige installatie van beveiligingsupdates.
- Procedure voor de behandeling en melding van datalekken.