Deze Verwerkersovereenkomst maakt integraal onderdeel uit van de overeenkomst tussen ZoppaBox en de Vereniging.
Artikel 1 – Rollen
- Voor persoonsgegevens die de Vereniging via ZoppaBox verwerkt voor haar eigen verenigingsactiviteiten is de Vereniging in beginsel verwerkingsverantwoordelijke in de zin van de AVG.
- ZoppaBox verwerkt deze persoonsgegevens namens en in opdracht van de Vereniging en treedt daarbij op als verwerker.
- Voor persoonsgegevens die ZoppaBox voor eigen doeleinden verwerkt, waaronder klantadministratie, facturatie, beveiliging, ondersteuning en bedrijfsvoering, kan ZoppaBox zelfstandig verwerkingsverantwoordelijke zijn.
Artikel 2 – Onderwerp, aard, doel en duur
- ZoppaBox verwerkt persoonsgegevens voor zover noodzakelijk voor het aanbieden, onderhouden, beveiligen en ondersteunen van de door de Vereniging gebruikte functionaliteiten.
- De verwerking kan onder meer bestaan uit verzamelen, vastleggen, ordenen, opslaan, raadplegen, wijzigen, beschikbaar stellen aan geautoriseerde Gebruikers, synchroniseren, beveiligen, exporteren en verwijderen.
- Het doel van de verwerking is het ondersteunen van de organisatie en activiteiten van de Vereniging.
- De verwerking duurt zolang de overeenkomst tussen ZoppaBox en de Vereniging loopt en, voor zover noodzakelijk, gedurende de toepasselijke verwijder- en back-uptermijnen daarna.
Artikel 3 – Betrokkenen
Afhankelijk van het gebruik van ZoppaBox kunnen persoonsgegevens worden verwerkt van onder meer:
- leden en oud-leden;
- bestuursleden en vrijwilligers;
- dirigenten en muzikale leiding;
- docenten en leerlingen;
- ouders en verzorgers;
- gastspelers;
- donateurs en relaties;
- bezoekers en contactpersonen;
- evenementdeelnemers en ticketkopers;
- overige personen die door de Vereniging in ZoppaBox worden geregistreerd.
Artikel 4 – Persoonsgegevens
Afhankelijk van de gebruikte functionaliteiten kunnen onder meer worden verwerkt:
- naam en contactgegevens;
- adresgegevens;
- geboortedatum;
- lidmaatschapsgegevens;
- instrument, groep, sectie, team of commissie;
- aanwezigheid en beschikbaarheid;
- rollen en autorisaties;
- les- en planningsgegevens;
- relatie- en donateursgegevens;
- evenement- en ticketgegevens;
- foto's en media;
- berichten en reacties;
- documenten;
- gegevens in maatwerkvelden;
- technische account-, apparaat-, log- en beveiligingsgegevens;
- overige door de Vereniging of haar Gebruikers ingevoerde gegevens.
Vrije tekstvelden, documenten, foto's, maatwerkvelden en andere Content kunnen bijzondere persoonsgegevens bevatten. De Vereniging is verantwoordelijk voor de rechtmatigheid en noodzaak van het invoeren daarvan.
Artikel 5 – Instructies
- ZoppaBox verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de Vereniging, tenzij ZoppaBox wettelijk tot verwerking verplicht is.
- Het gebruik en de configuratie van de door de Vereniging gekozen functionaliteiten geldt als gedocumenteerde instructie.
- ZoppaBox gebruikt persoonsgegevens die zij als verwerker ontvangt niet voor eigen reclame- of marketingdoeleinden.
- Indien ZoppaBox van mening is dat een instructie in strijd is met toepasselijke privacywetgeving, informeert ZoppaBox de Vereniging daarover voor zover wettelijk toegestaan.
Artikel 6 – Geheimhouding en toegang
- Personen die namens ZoppaBox toegang hebben tot persoonsgegevens zijn gehouden aan vertrouwelijkheid.
- Toegang wordt beperkt tot personen en systemen waarvoor toegang noodzakelijk is voor het leveren, onderhouden, beveiligen of ondersteunen van ZoppaBox.
- ZoppaBox past passende autorisatie- en toegangsmaatregelen toe.
Artikel 7 – Beveiliging
- ZoppaBox treft passende technische en organisatorische maatregelen overeenkomstig artikel 32 AVG.
- Daarbij wordt rekening gehouden met de stand van de techniek, uitvoeringskosten, aard en omvang van de verwerking en de risico's voor betrokkenen.
- Maatregelen kunnen onder meer betrekking hebben op:
- versleutelde gegevensoverdracht;
- authenticatie;
- tweefactorauthenticatie waar beschikbaar of vereist;
- rollen en autorisaties;
- beperking van toegang;
- beveiliging van cloud- en opslagdiensten;
- beveiligingsupdates;
- logging en monitoring waar passend;
- back-up- en herstelvoorzieningen;
- procedures voor beveiligingsincidenten.
- Beveiligingsmaatregelen worden waar nodig aangepast aan technische ontwikkelingen en veranderende risico's.
Artikel 8 – Subverwerkers
- De Vereniging verleent ZoppaBox algemene schriftelijke toestemming voor het inschakelen van subverwerkers die noodzakelijk zijn voor de Dienst.
- ZoppaBox houdt een actuele lijst van relevante subverwerkers beschikbaar.
- ZoppaBox informeert Verenigingen over wezenlijke toevoegingen of vervangingen van subverwerkers.
- De Vereniging kan op redelijke privacygronden bezwaar maken tegen een nieuwe subverwerker.
- ZoppaBox legt aan subverwerkers passende gegevensbeschermingsverplichtingen op.
- ZoppaBox blijft tegenover de Vereniging verantwoordelijk voor het nakomen van de toepasselijke verplichtingen door haar subverwerkers voor zover de AVG dit bepaalt.
- Indien persoonsgegevens buiten de Europese Economische Ruimte worden verwerkt, draagt ZoppaBox zorg voor een geldig doorgiftemechanisme overeenkomstig de AVG.
Artikel 9 – Datalekken en beveiligingsincidenten
- Wanneer ZoppaBox kennis krijgt van een inbreuk in verband met persoonsgegevens die namens de Vereniging worden verwerkt, informeert ZoppaBox de Vereniging zonder onredelijke vertraging.
- ZoppaBox verstrekt voor zover beschikbaar informatie over:
- de aard van het incident;
- de betrokken persoonsgegevens;
- de categorieën en aantallen betrokkenen voor zover bekend;
- de vermoedelijke gevolgen;
- genomen of voorgenomen maatregelen.
- Indien niet alle informatie direct beschikbaar is, kan ZoppaBox deze gefaseerd verstrekken.
- ZoppaBox werkt redelijkerwijs mee aan de beoordeling van het incident.
- De Vereniging blijft verantwoordelijk voor eventuele melding aan de Autoriteit Persoonsgegevens en betrokkenen, tenzij schriftelijk anders overeengekomen.
- Een melding door ZoppaBox houdt geen erkenning van aansprakelijkheid in.
Artikel 10 – Rechten van betrokkenen
- ZoppaBox ondersteunt de Vereniging, rekening houdend met de aard van de verwerking, redelijkerwijs bij verzoeken om inzage, rectificatie, verwijdering, beperking, bezwaar of dataportabiliteit.
- Wanneer een betrokkene ZoppaBox rechtstreeks benadert over gegevens waarvoor de Vereniging verwerkingsverantwoordelijke is, verwijst ZoppaBox het verzoek waar passend door naar de Vereniging.
Artikel 11 – Overige ondersteuning
ZoppaBox verleent, rekening houdend met de aard van de verwerking en de beschikbare informatie, redelijke ondersteuning bij:
- beveiligingsverplichtingen;
- onderzoek en melding van datalekken;
- gegevensbeschermingseffectbeoordelingen (DPIA);
- eventuele voorafgaande raadpleging van een toezichthouder.
Artikel 12 – Informatie en audits
- ZoppaBox stelt informatie beschikbaar die redelijkerwijs noodzakelijk is om naleving van artikel 28 AVG aan te tonen.
- Indien deze informatie onvoldoende is, kan de Vereniging een audit verzoeken.
- Een audit wordt vooraf aangekondigd en vindt in beginsel tijdens normale kantooruren plaats.
- Een audit wordt beperkt tot systemen en processen die relevant zijn voor de verwerking namens de Vereniging en mag de beveiliging of vertrouwelijkheid van andere klanten niet aantasten.
- Waar mogelijk worden eerst beschikbare documentatie, verklaringen, certificeringen of auditrapportages gebruikt.
- Redelijke kosten van een specifiek door de Vereniging verlangde audit komen in beginsel voor rekening van de Vereniging, tenzij daaruit een wezenlijke tekortkoming van ZoppaBox blijkt.
Artikel 13 – Beëindiging, teruggave en verwijdering
- Na beëindiging van de dienstverlening krijgt de Vereniging gedurende 30 dagen gelegenheid om daarvoor geschikte gegevens te exporteren en eigen bestanden te downloaden, voor zover technisch beschikbaar.
- Op verzoek van de Vereniging verwijdert ZoppaBox de persoonsgegevens of stelt ZoppaBox deze, voor zover technisch redelijkerwijs mogelijk, ter beschikking aan de Vereniging.
- Na afloop van de toepasselijke termijn mag ZoppaBox persoonsgegevens uit de actieve omgeving verwijderen.
- Gegevens kunnen daarna nog maximaal 30 dagen aanwezig blijven in technische back-ups, totdat deze volgens de reguliere retentiecyclus worden verwijderd of overschreven.
- Gegevens in dergelijke back-ups worden niet voor andere doeleinden gebruikt dan beveiliging, technisch herstel of wettelijke verplichtingen.
- Een wettelijke bewaarplicht kan verwijdering van bepaalde gegevens verhinderen.
Artikel 14 – Verplichtingen van de Vereniging
De Vereniging:
- beschikt over een geldige grondslag voor haar verwerking;
- informeert betrokkenen waar dit wettelijk vereist is;
- verwerkt uitsluitend gegevens die noodzakelijk en rechtmatig zijn;
- beheert rollen en autorisaties zorgvuldig;
- beperkt toegang tot bijzondere persoonsgegevens waar nodig;
- informeert ZoppaBox over beveiligingsincidenten aan haar zijde die gevolgen kunnen hebben voor de Dienst.
Artikel 15 – Aansprakelijkheid
Op de aansprakelijkheid tussen ZoppaBox en de Vereniging zijn de aansprakelijkheidsbepalingen uit de Algemene Voorwaarden van ZoppaBox van toepassing, voor zover dit niet in strijd is met dwingend recht.
Artikel 16 – Looptijd en rangorde
- Deze Verwerkersovereenkomst geldt zolang ZoppaBox persoonsgegevens namens de Vereniging verwerkt.
- Verplichtingen die naar hun aard voortduren, waaronder vertrouwelijkheid, blijven na beëindiging van kracht.
- Bij strijdigheid tussen deze Verwerkersovereenkomst en de Algemene Voorwaarden heeft deze Verwerkersovereenkomst voor de verwerking van persoonsgegevens voorrang.