Verwerkersovereenkomst

Artikel 1. Definities

Begrippen uit de AVG (persoonsgegevens, verwerking, betrokkene, verwerkingsverantwoordelijke, verwerker, inbreuk in verband met persoonsgegevens, toezichthoudende autoriteit) hebben in deze overeenkomst dezelfde betekenis als in de AVG. Daarnaast gelden de volgende begrippen.

AVG Verordening (EU) 2016/679, de Algemene verordening gegevensbescherming, en de Nederlandse Uitvoeringswet AVG.

Platform De online clubsoftware van Loyal2Sports, inclusief alle modules, het ouderportaal, de publieke clubpagina's en de koppelingen die de vereniging activeert.

Omgeving De eigen, afgescheiden database en instellingen van één vereniging binnen het platform.

Clubgegevens Alle persoonsgegevens die de vereniging of haar beheerders, leden, klanten, sponsoren, vrijwilligers, leerlingen of ouders in de omgeving invoeren of die daar door gebruik ontstaan.

Beheerder Een persoon die namens de vereniging met een eigen account inlogt in de omgeving.

Subverwerker Een partij die Loyal2Sports inschakelt om clubgegevens te verwerken, zoals genoemd in Bijlage 2.

Hoofdovereenkomst De overeenkomst waaronder de vereniging het platform gebruikt, inclusief de algemene voorwaarden van Loyal2Sports.

Datalek Een inbreuk op de beveiliging die per ongeluk of onrechtmatig leidt tot vernietiging, verlies, wijziging, ongeoorloofde verstrekking van of toegang tot clubgegevens.

Artikel 2. Onderwerp, duur en rangorde

1. Deze overeenkomst regelt hoe Loyal2Sports clubgegevens verwerkt voor de vereniging bij het leveren van het platform.
2. Zij gaat in op de datum van ondertekening, of eerder als de vereniging het platform al gebruikt, en loopt zolang de hoofdovereenkomst loopt. Artikel 13 (teruggave en verwijdering) en artikel 10 (geheimhouding) blijven ook daarna gelden.
3. Deze overeenkomst maakt onlosmakelijk deel uit van de hoofdovereenkomst. Spreekt deze overeenkomst iets anders af dan de algemene voorwaarden, dan gaat deze overeenkomst voor, maar alleen voor het verwerken van persoonsgegevens.
4. Spreekt de vereniging met Loyal2Sports iets anders af dan hier staat, dan gaat die afspraak voor, mits schriftelijk vastgelegd en door beide partijen bevestigd.
5. De aard, het doel, de categorieën betrokkenen en de soorten persoonsgegevens staan in Bijlage 1.

Artikel 3. Alleen op instructie

1. Loyal2Sports verwerkt clubgegevens alleen zoals de vereniging opdraagt. Die opdracht zit in het gebruik van het platform zelf: wat de vereniging invoert, instelt, activeert en publiceert. Daarnaast kan de vereniging schriftelijk aanvullende instructies geven.
2. Loyal2Sports gebruikt clubgegevens nooit voor eigen doeleinden. Zij verkoopt ze niet, verhuurt ze niet en gebruikt ze niet om iemand te profileren of te volgen.
3. Loyal2Sports mag wel geanonimiseerde en samengevoegde gebruiksgegevens inzetten om het platform te verbeteren, zoals afgesproken in artikel 8 van de algemene voorwaarden. Daaruit is nooit een persoon of een individuele vereniging te herleiden.
4. Vindt Loyal2Sports dat een instructie in strijd is met de AVG of andere privacywetgeving, dan meldt zij dat direct aan de vereniging en voert zij de instructie niet uit zolang die niet is aangepast.
5. Verplicht een wet van de Europese Unie of een lidstaat Loyal2Sports om clubgegevens buiten de instructie om te verwerken, dan meldt zij dat vooraf aan de vereniging, tenzij diezelfde wet dat melden verbiedt.

Artikel 4. Verplichtingen van Loyal2Sports

1. Loyal2Sports verwerkt clubgegevens uitsluitend binnen de Europese Unie, behalve in de twee gevallen uit artikel 7 die de vereniging zelf activeert.
2. Loyal2Sports houdt de omgeving van de vereniging fysiek gescheiden van die van andere verenigingen, met een eigen database per vereniging.
3. Loyal2Sports kijkt niet in clubgegevens, behalve wanneer de vereniging om hulp vraagt of wanneer een storing moet worden opgelost. Dat gebeurt door een mens, wordt vastgelegd en gebeurt nooit ongevraagd.
4. Loyal2Sports neemt de beveiligingsmaatregelen uit artikel 6 en Bijlage 3 en schakelt alleen subverwerkers in volgens artikel 7.
5. Loyal2Sports helpt de vereniging bij verzoeken van betrokkenen (artikel 8), bij datalekken (artikel 9) en bij een gegevensbeschermingseffectbeoordeling of een vraag van een toezichthouder (artikel 11).
6. Loyal2Sports houdt een register bij van de verwerkingen die zij voor de vereniging uitvoert, voor zover de AVG dat van een verwerker eist, en geeft de vereniging alle informatie die zij redelijkerwijs nodig heeft om aan te tonen dat deze overeenkomst wordt nageleefd.
7. Loyal2Sports verwijdert of retourneert clubgegevens aan het einde van de overeenkomst volgens artikel 13.

Artikel 5. Verplichtingen van de vereniging

1. De vereniging zorgt dat zij de clubgegevens mag verwerken op een geldige grondslag, dat zij de betrokkenen daarover informeert, bijvoorbeeld in haar eigen privacyverklaring, en dat zij waar nodig toestemming heeft.
2. Bij gegevens van kinderen zorgt de vereniging voor toestemming van een ouder of voogd waar de wet die eist. Dit geldt in het bijzonder voor jeugdleden, voor de onderwijsomgeving en voor de koppeling tussen ouder en kind in het ouderportaal.
3. De vereniging is en blijft verantwoordelijk voor wat zij via gekoppelde kanalen publiceert, zoals berichten en beeldmateriaal op haar Facebook-pagina of Instagram-account, en voor de rechten op dat materiaal.
4. De vereniging blijft verantwoordelijk voor de gegevens die zij uit haar bondsadministratie (Sportlink, Lisa) importeert of daarheen exporteert. De bond en de bondssoftware zijn geen subverwerkers van Loyal2Sports.
5. De vereniging gaat zorgvuldig om met inloggegevens, zet tweestapsverificatie aan waar Loyal2Sports die aanbiedt, trekt accounts in van beheerders die de vereniging verlaten en meldt direct een vermoeden van onbevoegde toegang.
6. De vereniging bepaalt zelf welke clubgegevens weg mogen en wanneer, en gebruikt daarvoor de middelen in het platform of vraagt Loyal2Sports om verwijdering (zie Bijlage 1 over bewaartermijnen).
7. De vereniging beoordeelt zelf of een datalek bij de Autoriteit Persoonsgegevens en bij betrokkenen moet worden gemeld en doet die melding zelf (artikel 9).
8. De vereniging vrijwaart Loyal2Sports voor claims van betrokkenen of derden die voortkomen uit clubgegevens die de vereniging in strijd met de wet heeft verwerkt, zoals geregeld in artikel 11 van de algemene voorwaarden.

Artikel 6. Beveiliging

1. Loyal2Sports neemt passende technische en organisatorische maatregelen om clubgegevens te beschermen tegen verlies en tegen elke vorm van onrechtmatige verwerking, rekening houdend met de stand van de techniek, de kosten, de aard van de gegevens en de risico's voor betrokkenen (artikel 32 AVG).
2. De maatregelen die Loyal2Sports op de datum van deze overeenkomst treft, staan in Bijlage 3.
3. Die maatregelen zijn geen momentopname. Loyal2Sports past ze aan als de techniek of het risico daarom vraagt en mag een maatregel vervangen door een andere die minstens zo goed beschermt. Een verlaging van het beschermingsniveau meldt zij vooraf aan de vereniging.
4. Loyal2Sports garandeert geen ononderbroken beschikbaarheid. Voor beschikbaarheid, onderhoud en back-ups geldt artikel 4 van de algemene voorwaarden: dagelijkse back-ups, veertien dagen bewaard, bedoeld voor herstel na een storing.
5. De vereniging is verantwoordelijk voor de beveiliging aan haar eigen kant: apparaten, accounts, wachtwoorden en het gedrag van haar beheerders.

Artikel 7. Subverwerkers en doorgifte buiten de EER

1. De vereniging geeft Loyal2Sports een algemene toestemming om subverwerkers in te schakelen. Welke dat op de datum van deze overeenkomst zijn, en waarvoor, staat in Bijlage 2.
2. Wil Loyal2Sports een subverwerker toevoegen of vervangen, dan meldt zij dat ten minste dertig dagen van tevoren per e-mail aan de contactpersoon van de vereniging.
3. Heeft de vereniging een gegrond bezwaar, dan gaan partijen in gesprek. Komen zij er niet uit, dan mag de vereniging de hoofdovereenkomst opzeggen tegen de datum waarop de wijziging ingaat, zonder kosten en met terugbetaling van wat vooruit is betaald voor de periode daarna.
4. Loyal2Sports legt elke subverwerker schriftelijk dezelfde verplichtingen op als zij in deze overeenkomst aangaat en blijft tegenover de vereniging volledig verantwoordelijk voor wat een subverwerker doet of nalaat.
5. De servers en databases van het platform staan binnen de Europese Unie. Alleen in de twee volgende gevallen gaan er gegevens buiten de Europese Economische Ruimte, en alleen als de vereniging die onderdelen zelf activeert.
6. Koppelt de vereniging haar Facebook-pagina of Instagram-account, dan gaan de berichten die zij publiceert naar Meta, samen met de verwijzing naar die pagina of dat account. Loyal2Sports stuurt geen ledengegevens naar Meta.
7. Zet iemand meldingen aan in het ouderportaal, dan gaat een apparaatadres naar de pushdienst van Google, Apple of Mozilla. De inhoud van de melding is door Loyal2Sports versleuteld en voor die dienst niet leesbaar.
8. Voor deze doorgiften gelden de standaardcontractbepalingen van de Europese Commissie en, voor Meta, daarnaast het EU-VS-privacyraamwerk. Wil de vereniging geen enkele doorgifte buiten de EER, dan gebruikt zij deze twee onderdelen niet en vindt er geen doorgifte plaats.
9. Koppelingen die de vereniging zelf legt naar haar eigen leveranciers, zoals haar boekhoudpakket of haar bondsadministratie, vallen niet onder dit artikel. Daar is de vereniging zelf verantwoordelijke en sluit zij zelf de nodige afspraken.

Artikel 8. Rechten van betrokkenen

1. Een betrokkene die inzage, correctie, verwijdering, beperking, bezwaar of overdracht wil, richt zich tot de vereniging. Zij is de verantwoordelijke en zij beslist.
2. Loyal2Sports helpt de vereniging daarbij met de middelen die het platform biedt: opzoeken, aanpassen, exporteren en verwijderen kan de vereniging grotendeels zelf. Lukt iets niet zelf, dan doet Loyal2Sports het op haar verzoek binnen tien werkdagen.
3. Komt een verzoek van een betrokkene rechtstreeks bij Loyal2Sports binnen, dan handelt zij het niet zelf af. Zij stuurt het binnen vijf werkdagen door naar de vereniging en laat de verzoeker weten dat zij dat heeft gedaan.
4. Voor de gegevens waarvoor Loyal2Sports zelf verantwoordelijke is (contactpersonen en beheerders van de vereniging, facturatie, eigen logboeken) geldt de privacyverklaring op loyal2sports.nl en handelt Loyal2Sports verzoeken zelf af.

Artikel 9. Datalekken

1. Ontdekt Loyal2Sports een datalek waarbij clubgegevens betrokken zijn, dan meldt zij dat aan de contactpersoon van de vereniging zonder onredelijke vertraging en in elk geval binnen 24 uur nadat zij ervan wist.
2. De melding bevat ten minste: wat er is gebeurd, welke categorieën gegevens en ongeveer hoeveel betrokkenen het betreft, wat de waarschijnlijke gevolgen zijn, en welke maatregelen Loyal2Sports heeft genomen of voorstelt. Is nog niet alles bekend, dan meldt Loyal2Sports wat zij wel weet en vult zij aan zodra er meer bekend is.
3. De vereniging beslist zelf of zij het lek meldt bij de Autoriteit Persoonsgegevens (binnen 72 uur) en bij de betrokkenen. Dat is haar plicht, niet die van Loyal2Sports. Loyal2Sports levert de informatie die zij daarvoor nodig heeft.
4. Loyal2Sports meldt een lek nooit uit eigen beweging aan een toezichthouder namens de vereniging en doet geen mededelingen naar buiten over een incident bij de vereniging zonder overleg met haar.
5. Loyal2Sports houdt een intern register bij van datalekken, inclusief de feiten, de gevolgen en de genomen maatregelen, en geeft de vereniging daar op verzoek inzage in voor zover het haar omgeving betreft.
6. Beide partijen werken samen om de gevolgen van een datalek te beperken en herhaling te voorkomen.

Artikel 10. Geheimhouding

1. Iedereen bij Loyal2Sports die bij clubgegevens kan, is tot geheimhouding verplicht. Dat is schriftelijk vastgelegd en blijft gelden nadat iemand bij Loyal2Sports weggaat.
2. Toegang tot de omgeving van de vereniging krijgt alleen wie die toegang voor zijn werk nodig heeft, en alleen zolang dat nodig is.
3. Loyal2Sports houdt alles geheim wat zij over de vereniging en haar leden te weten komt, behalve voor zover het openbaar is of de wet bekendmaking eist. Deze plicht blijft bestaan na afloop van deze overeenkomst, zoals ook artikel 13 van de algemene voorwaarden bepaalt.

Artikel 11. Controle en bijstand

1. De vereniging mag controleren of Loyal2Sports zich aan deze overeenkomst houdt. Loyal2Sports geeft daarvoor de informatie die de vereniging redelijkerwijs nodig heeft, waaronder een actuele versie van Bijlage 2 en Bijlage 3.
2. Wil de vereniging een controle ter plaatse of door een onafhankelijke deskundige, dan kondigt zij die ten minste dertig dagen van tevoren aan, hoogstens één keer per jaar, tenzij er een concrete aanleiding is zoals een datalek of een verzoek van een toezichthouder. De deskundige tekent geheimhouding en de controle mag de dienstverlening aan andere verenigingen niet raken.
3. De kosten van een controle zijn voor de vereniging, tenzij eruit blijkt dat Loyal2Sports zich niet aan deze overeenkomst hield.
4. Moet de vereniging een gegevensbeschermingseffectbeoordeling (DPIA) doen, of wil een toezichthouder informatie, dan helpt Loyal2Sports met wat zij weet over hoe het platform werkt en hoe het is beveiligd.

Artikel 12. Aansprakelijkheid

1. Voor aansprakelijkheid onder deze overeenkomst geldt de regeling uit artikel 10 van de algemene voorwaarden: aansprakelijkheid alleen voor directe schade door een toerekenbare tekortkoming, na ingebrekestelling, beperkt tot het bedrag dat de vereniging in de twaalf maanden vóór de schade aan Loyal2Sports betaalde, met een maximum van tienduizend euro per gebeurtenis en per jaar.
2. Een boete die een toezichthouder aan de vereniging oplegt komt voor haar rekening, behalve voor zover die het gevolg is van een tekortkoming van Loyal2Sports.
3. De beperkingen gelden niet bij opzet of bewuste roekeloosheid van de leiding van Loyal2Sports, en evenmin voor zover de wet ze niet toestaat.
4. Elke partij is zelf aansprakelijk voor de boetes en schade die voortvloeien uit haar eigen niet-naleving van de AVG, overeenkomstig artikel 82 AVG.

Artikel 13. Einde van de overeenkomst: teruggave en verwijdering

1. Loopt de hoofdovereenkomst af, dan blijft de omgeving nog dertig dagen benaderbaar zodat de vereniging haar gegevens kan uitdraaien. Wil zij een export in een bepaald formaat, dan vraagt zij dat binnen die dertig dagen aan.
2. Daarna verwijdert Loyal2Sports de clubgegevens en de omgeving, en binnen negentig dagen ook de back-ups waarin zij voorkomen. Loyal2Sports bevestigt die verwijdering schriftelijk als de vereniging daarom vraagt.
3. Moet Loyal2Sports iets langer bewaren omdat de wet dat eist, bijvoorbeeld facturen voor de fiscale bewaarplicht van zeven jaar, dan bewaart zij alleen dat, alleen zolang het moet, en gebruikt zij het nergens anders voor.
4. Toegangsbewijzen van gekoppelde diensten (zoals Facebook en Instagram) worden bij het einde gewist. De vereniging kan die koppelingen ook zelf eerder verbreken in Clubinstellingen.

Artikel 14. Slotbepalingen

1. Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement waar Loyal2Sports is gevestigd, nadat partijen eerst hebben geprobeerd er samen uit te komen.
2. Loyal2Sports mag deze overeenkomst en haar bijlagen aanpassen als de wet, de techniek of de dienst daarom vraagt. Een wijziging meldt zij ten minste dertig dagen van tevoren per e-mail aan de contactpersoon van de vereniging. Is de wijziging in het nadeel van de vereniging, dan mag zij de hoofdovereenkomst opzeggen tegen de datum waarop de wijziging ingaat.
3. De actuele versie van deze overeenkomst staat op loyal2sports.nl/verwerkersovereenkomst/. Bij verschil tussen de getekende versie en de online versie geldt de getekende versie, tenzij de vereniging schriftelijk met een nieuwere versie heeft ingestemd.
4. Is een bepaling van deze overeenkomst ongeldig, dan blijven de overige bepalingen gelden en vervangen partijen de ongeldige bepaling door een geldige die het doel zo dicht mogelijk benadert.