Verwerkersovereenkomst (artikel 28 AVG)

Verwerkingsverantwoordelijke: de vereniging, stichting, onderneming of andere organisatie die een omgeving in de Dienst aanmaakt en gebruikt. Degene die de organisatie registreert, verklaart bevoegd te zijn deze overeenkomst namens haar aan te gaan.

Verwerker: SimpliEd, gevestigd te 8262 VG Kampen, Nederland, KvK 97463140, bereikbaar via info@eventrooster.nl, handelend onder de naam Eventrooster.

Deze overeenkomst regelt de verwerking van persoonsgegevens door de Verwerker ten behoeve van de uitvoering van de overeenkomst inzake de Dienst. Zij geldt zolang de Verwerkingsverantwoordelijke de Dienst gebruikt en eindigt wanneer de Verwerker geen persoonsgegevens meer namens haar verwerkt, behoudens wat een wettelijke bewaarplicht voorschrijft.

Bij tegenstrijdigheid tussen deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor, waar het de verwerking van persoonsgegevens betreft.

Doel en aard: het leveren, beheren en ondersteunen van de Dienst — het plannen van diensten, het in- en uitschrijven van vrijwilligers, het bijhouden van wachtlijsten en aanwezigheid, communicatie met vrijwilligers, en de administratie die daarbij hoort — alsmede beveiliging, misbruikpreventie, foutopsporing en het naleven van wettelijke verplichtingen die op de Verwerker rusten.

Categorieën betrokkenen: vrijwilligers, coördinatoren, organisatoren, bestuurders en andere personen van wie de Verwerkingsverantwoordelijke gegevens in de Dienst opneemt.

Categorieën persoonsgegevens:

• identificatie- en contactgegevens: naam, e-mailadres, telefoonnummer;
• account- en gebruiksgegevens: rol, status, moment van laatste aanmelding, een hash van het wachtwoord en van sessie- en linktokens;
• gegevens van een noodcontact (naam en telefoonnummer), voor zover de Verwerkingsverantwoordelijke daarom vraagt;
• rooster- en dienstgegevens: inschrijvingen, indelingen, wachtlijstplaatsen, in- en uitchecktijden, groep en onderdeel;
• labels en de daarbij horende geldigheidsdata, en de bewijsstukken die een betrokkene zelf uploadt (PDF of afbeelding, maximaal 5 MB);
• berichten tussen de betrokkene en de organisatie binnen de Dienst;
• per evenement, en uitsluitend als de Verwerkingsverantwoordelijke die vraag zelf aanzet: shirtmaat en dieetwensen (zie artikel 4);
• afleveradressen en sleutels van pushmeldingen, als een betrokkene die zelf aanzet;
• technische gegevens: IP-adres en browsergegevens in het logboek van gevoelige handelingen, en in de tijdelijke telling van inlogpogingen.

De Verwerker verwerkt uitsluitend op gedocumenteerde instructie van de Verwerkingsverantwoordelijke. Het gebruik van de functies van de Dienst geldt als zo'n instructie. Verplicht een wettelijke bepaling de Verwerker tot iets anders, dan informeert hij de Verwerkingsverantwoordelijke daar vooraf over, tenzij de wet dat verbiedt.

De Dienst kan om dieetwensen vragen. Dat zijn gezondheidsgegevens in de zin van artikel 9 AVG. Daarvoor gelden aanvullende afspraken, die in de software zijn vastgelegd en niet per klant instelbaar zijn:

• de vraag staat standaard uit en moet per evenement bewust worden aangezet;
• het antwoord hangt aan dat evenement en gaat niet mee naar een volgende editie;
• het wordt automatisch gewist, 30 dagen na de einddatum van het evenement;
• de betrokkene kan het zelf verwijderen;
• het is alleen zichtbaar voor wie binnen de organisatie recht op catering-inzage heeft.

De Verwerkingsverantwoordelijke die deze vraag aanzet, staat ervoor in dat zij daarvoor een geldige grondslag heeft in de zin van artikel 9 lid 2 AVG — in de praktijk uitdrukkelijke toestemming van de betrokkene — en dat zij de antwoorden niet gebruikt voor een ander doel. Exporteert zij die gegevens uit de Dienst, dan geldt de bewaartermijn daarbuiten niet meer en is zij zelf verantwoordelijk voor het tijdig verwijderen.

De Verwerkingsverantwoordelijke verwerkt geen strafrechtelijke gegevens in de Dienst. Een Verklaring Omtrent het Gedrag mag als label worden vastgelegd (behaald, geldigheidsdatum); de Dienst is niet bedoeld voor het vastleggen van de inhoud van een screening.

De Verwerkingsverantwoordelijke geeft algemene toestemming voor het inschakelen van subverwerkers. De Verwerker legt aan elke subverwerker dezelfde verplichtingen op als in deze overeenkomst, zoals artikel 28 lid 4 AVG vereist. Op dit moment zijn dat:

Wil de Verwerker een subverwerker toevoegen of vervangen, dan meldt hij dat ten minste dertig dagen vooraf per e-mail. De Verwerkingsverantwoordelijke kan daar binnen die termijn op redelijke gronden bezwaar tegen maken; komen partijen er niet uit, dan mag zij het gebruik van de Dienst beëindigen zonder kosten voor de resterende periode.

Er zijn geen subverwerkers voor analyse, foutrapportage of advertenties. De Verwerker gebruikt die diensten niet.

De Verwerker verplicht zich tot geheimhouding en zorgt dat iedereen die onder zijn verantwoordelijkheid toegang tot de persoonsgegevens heeft, aan diezelfde geheimhouding gebonden is. Toegang wordt beperkt tot wie die voor zijn werk nodig heeft.

Meekijken bij ondersteuning. Om een storing te verhelpen of een vraag te beantwoorden kan een platformbeheerder van de Verwerker tijdelijk in de omgeving van de Verwerkingsverantwoordelijke meekijken. Dat gebeurt alleen voor zover nodig, en wordt vastgelegd in het logboek dat de Verwerkingsverantwoordelijke kan inzien.

De Verwerker treft passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG, rekening houdend met de stand van de techniek, de uitvoeringskosten, en de aard, omvang, context en doeleinden van de verwerking. Daaronder in elk geval:

• versleutelde verbindingen (HTTPS) voor al het verkeer;
• wachtwoorden uitsluitend opgeslagen als bcrypt-hash;
• sessietokens, inloglinks en agenda-abonnementen opgeslagen als hash, zodat de opgeslagen waarde zelf geen toegang geeft;
• scheiding tussen klanten die door de database zelf wordt afgedwongen (Row Level Security), bovenop het filter in de applicatie;
• één centrale rechtenlaag waar elke handeling doorheen gaat, met vijf rollen en toegang beperkt tot wat nodig is;
• een logboek van gevoelige handelingen, inclusief meekijken door de Verwerker;
• snelheidsbegrenzing op inlogpogingen en op het aanvragen van een inloglink;
• controle van geüploade bestanden op werkelijke bestandssoort en op grootte;
• automatische back-ups van de database binnen dezelfde EU-omgeving.

Verzoeken van betrokkenen (inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar) worden in de eerste plaats bij de Verwerkingsverantwoordelijke ingediend. Komt een verzoek bij de Verwerker binnen, dan geeft hij het door en beantwoordt hij het niet zelf, tenzij de Verwerkingsverantwoordelijke daar opdracht toe geeft.

De Verwerker ondersteunt de Verwerkingsverantwoordelijke bij het afhandelen van zulke verzoeken, waar mogelijk met de functies die de Dienst daarvoor heeft: profielgegevens aanpassen, gegevens exporteren, en een vrijwilliger met alles wat aan hem hangt verwijderen.

De Verwerker informeert de Verwerkingsverantwoordelijke zonder onredelijke vertraging, en uiterlijk binnen 48 uur na ontdekking, over een inbreuk op de beveiliging die tot verlies of onrechtmatige verwerking van persoonsgegevens heeft geleid. Daarbij verstrekt hij de informatie die nodig is om te beoordelen of gemeld moet worden, en om die melding te doen.

De melding bij de Autoriteit Persoonsgegevens en, waar vereist, aan de betrokkenen, is en blijft de verantwoordelijkheid van de Verwerkingsverantwoordelijke. De Verwerker doet die melding niet namens haar.

Na het einde van de dienstverlening verwijdert de Verwerker de persoonsgegevens, of geeft hij ze terug als de Verwerkingsverantwoordelijke daarom vraagt, tenzij een wettelijke bewaarplicht anders vereist. De Verwerkingsverantwoordelijke kan haar gegevens zelf exporteren zolang haar omgeving bestaat, en doet er verstandig aan dat te doen vóór zij om verwijdering vraagt.

Een aantal termijnen loopt al tijdens de dienstverlening automatisch af: dieetwensen na 30 dagen, bewijsstukken 30 dagen na het verlopen van het label, het logboek na 365 dagen. De volledige lijst staat in het privacybeleid.

In back-ups kunnen verwijderde gegevens nog aanwezig zijn tot de betreffende back-up zelf vervalt. Ze worden dan niet meer actief verwerkt en alleen teruggezet bij een calamiteit.

De persoonsgegevens worden opgeslagen en verwerkt binnen de Europese Economische Ruimte: de applicatie, de database en de back-ups staan in Frankfurt (Duitsland), en de e-mail- en betaalpartij verwerken binnen de EU/EER.

Uitzondering: pushmeldingen. Zet een betrokkene zelf meldingen aan, dan wordt de melding afgeleverd via de pushdienst van zijn browser of besturingssysteem, die zich buiten de EER kan bevinden. Het gaat daarbij om het afleveradres van het apparaat; de inhoud is versleuteld met sleutels die alleen dat apparaat kan lezen. Voor zo'n doorgifte geldt een grondslag en waarborgen conform hoofdstuk V AVG, met de versleuteling als aanvullende maatregel.

Buiten deze overeenkomst. Neemt een betrokkene zijn rooster op in een agenda van Google, Apple of Microsoft, dan haalt die partij het rooster rechtstreeks bij de Dienst op. Dat is een keuze van de betrokkene zelf en geen subverwerking door de Verwerker.

Wordt verwerking in een ander derde land noodzakelijk, dan gebeurt dat uitsluitend met een geldige grondslag en passende waarborgen conform hoofdstuk V AVG, en wordt de Verwerkingsverantwoordelijke daarover vooraf geïnformeerd.

De Verwerker stelt de informatie beschikbaar die nodig is om naleving van artikel 28 AVG aan te tonen, en werkt mee aan audits door de Verwerkingsverantwoordelijke of een door haar aangewezen onafhankelijke controleur.

Voorwaarden daarbij: de audit wordt ten minste dertig dagen vooraf aangekondigd, vindt hoogstens eenmaal per jaar plaats (tenzij er een concrete aanleiding is, zoals een datalek), verstoort de bedrijfsvoering niet onnodig, en de controleur is aan geheimhouding gebonden. De kosten komen voor rekening van de Verwerkingsverantwoordelijke, tenzij uit de audit blijkt dat de Verwerker deze overeenkomst wezenlijk niet naleeft.

De Verwerker verleent daarnaast redelijke medewerking aan een gegevensbeschermingseffectbeoordeling (DPIA) en aan een voorafgaande raadpleging als bedoeld in de artikelen 35 en 36 AVG, voor zover die de Dienst betreft.

De aansprakelijkheid tussen partijen volgt uit de algemene voorwaarden. Niets in deze overeenkomst beperkt aansprakelijkheid die op grond van de AVG of ander dwingend recht niet mag worden beperkt, waaronder de aansprakelijkheid jegens betrokkenen op grond van artikel 82 AVG.

Deze overeenkomst komt tot stand doordat de Verwerkingsverantwoordelijke bij het aanmelden van haar organisatie akkoord gaat met de algemene voorwaarden, waarvan deze bijlage integraal onderdeel uitmaakt. Een aparte ondertekening is niet nodig; op verzoek verstrekt de Verwerker een ondertekend exemplaar.

Wijzigt de Verwerker deze overeenkomst wezenlijk, dan informeert hij de Verwerkingsverantwoordelijke daar vooraf over per e-mail of in de Dienst. Op deze overeenkomst is Nederlands recht van toepassing.