1. Onderwerp

1. Wij verwerken persoonsgegevens in opdracht van de vereniging, alleen om de dienst TC Manager te leveren zoals beschreven in de algemene voorwaarden en in bijlage 1.
2. De vereniging bepaalt het doel en de middelen van de verwerking. Zij is ervoor verantwoordelijk dat zij een grondslag heeft voor de verwerking, dat de betrokkenen (zoals leden en ouders van minderjarige leden) zijn geïnformeerd, en dat zij alleen noodzakelijke gegevens invoert.

2. Instructies

1. Wij verwerken de persoonsgegevens alleen op basis van schriftelijke instructies van de vereniging. Het gebruik van de dienst door de vereniging en haar gebruikers, en het instellen van rollen en rechten, gelden als instructie.
2. Vinden wij dat een instructie in strijd is met de AVG, dan laten wij dat de vereniging direct weten.
3. Moeten wij gegevens verstrekken op grond van de wet, bijvoorbeeld aan politie of justitie, dan informeren wij de vereniging vooraf, tenzij de wet dat verbiedt.

3. Geheimhouding

Iedereen die bij ons toegang heeft tot de persoonsgegevens is tot geheimhouding verplicht. Onze medewerkers krijgen alleen toegang tot de omgeving van een vereniging als dat nodig is voor ondersteuning of het oplossen van een storing. Die toegang is tijdelijk, aan een doel gebonden en wordt vastgelegd in het logboek van de vereniging.

4. Beveiliging

1. Wij nemen de technische en organisatorische maatregelen uit bijlage 2. Wij passen die aan als de stand van de techniek of de risico’s daarom vragen, zonder dat het beveiligingsniveau daalt.
2. De vereniging is verantwoordelijk voor de maatregelen aan haar kant: het toekennen van passende rollen, het tijdig intrekken van toegang van vertrokken vrijwilligers, en het geheimhouden van inloggegevens.

5. Subverwerkers

1. De vereniging geeft ons algemene toestemming om de subverwerkers uit bijlage 3 in te schakelen.
2. Willen wij een subverwerker toevoegen of vervangen, dan melden wij dat ten minste 30 dagen van tevoren aan de clubbeheerders. De vereniging kan binnen die termijn met redenen bezwaar maken. Komen wij er samen niet uit, dan mag de vereniging de overeenkomst opzeggen tegen de datum van de wijziging.
3. Wij leggen subverwerkers dezelfde verplichtingen op als in deze overeenkomst, en blijven tegenover de vereniging verantwoordelijk voor hun handelen.
4. Wij verwerken de persoonsgegevens alleen binnen de Europese Economische Ruimte.

6. Rechten van betrokkenen

De dienst biedt de vereniging mogelijkheden om gegevens in te zien, te corrigeren, te exporteren en te verwijderen. Ontvangen wij zelf een verzoek van een betrokkene, dan sturen wij dat zonder onnodige vertraging door naar de vereniging. Kan de vereniging een verzoek niet zelf in de dienst afhandelen, dan helpen wij binnen een redelijke termijn.

7. Datalekken

1. Ontdekken wij een inbreuk op de beveiliging die betrekking heeft op persoonsgegevens van de vereniging, dan melden wij dat zonder onnodige vertraging en uiterlijk binnen 36 uur na ontdekking aan de clubbeheerders en aan het contactadres van de vereniging.
2. Wij geven daarbij zoveel mogelijk: wat er is gebeurd, welke gegevens en hoeveel betrokkenen het betreft, de waarschijnlijke gevolgen, en de maatregelen die wij hebben genomen of voorstellen. Informatie die wij later krijgen, sturen wij na.
3. De vereniging beslist of zij het lek meldt bij de Autoriteit Persoonsgegevens en de betrokkenen. Wij melden zelf niet namens de vereniging, maar helpen haar daarbij.

8. Hulp bij verplichtingen

Wij helpen de vereniging, voor zover redelijk en met de informatie die wij hebben, bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij voorafgaande raadpleging van de Autoriteit Persoonsgegevens. Voor de functies voor evaluaties en gespreksverslagen leveren wij op verzoek een beschrijving van de maatregelen voor de DPIA van de vereniging.

9. Controle

1. Wij geven de vereniging op verzoek de informatie die nodig is om aan te tonen dat wij ons aan deze overeenkomst houden.
2. De vereniging mag eenmaal per jaar, of na een datalek, een controle laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding is verplicht, na een aankondiging van ten minste 4 weken. De kosten zijn voor de vereniging, tenzij blijkt dat wij deze overeenkomst op een wezenlijk punt niet nakomen.

10. Duur en einde

1. Deze overeenkomst loopt zolang wij persoonsgegevens voor de vereniging verwerken.
2. Na het einde van de dienst kan de vereniging haar gegevens nog 90 dagen exporteren. Daarna verwijderen wij alle persoonsgegevens van de vereniging, tenzij de wet ons verplicht ze te bewaren. Back-ups worden volgens de vaste termijn uit bijlage 2 overschreven. Op verzoek bevestigen wij de verwijdering schriftelijk.

11. Aansprakelijkheid

Voor de aansprakelijkheid onder deze overeenkomst geldt de regeling uit de algemene voorwaarden. Dit laat de aansprakelijkheid van partijen onder artikel 82 AVG tegenover betrokkenen onverlet.

12. Overig

Bij strijdigheid gaat deze verwerkersovereenkomst voor op de algemene voorwaarden, voor zover het de verwerking van persoonsgegevens betreft. Op deze overeenkomst is Nederlands recht van toepassing.

Bijlage 1. Beschrijving van de verwerking

Doel

Het ondersteunen van de vereniging bij het organiseren van haar technische commissie en verenigingsactiviteiten: seizoens- en teamindeling, spelers- en trainersbeheer, controle op het wedstrijdreglement van de bond, zaal- en trainingsplanning, organisatie, jaarcyclus en taken, vergaderingen en besluiten, communicatie via meldingen, en, zodra beschikbaar, evaluaties, documenten, exports, beleidsrapportages, trainingsplanning en betalingen.

Categorieën betrokkenen

• Leden van de vereniging, onder wie minderjarige spelers;
• Ouders, verzorgers en andere contactpersonen van leden;
• Trainers, coaches, scheidsrechters, bestuurders, commissieleden en andere vrijwilligers;
• Gebruikers van de dienst;
• Gastspelers van andere verenigingen, voor zover nodig voor een licentie of dispensatie.

Categorieën persoonsgegevens

Bijzondere categorieën van persoonsgegevens, zoals gezondheidsgegevens, en strafrechtelijke gegevens horen niet in de dienst. De vereniging zorgt dat haar gebruikers die niet invoeren, ook niet in vrije tekst of bijlagen.

Bewaartermijnen

De vereniging bepaalt zelf hoe lang zij gegevens bewaart en kan gegevens in de dienst verwijderen of inactief maken. Na het einde van de dienst gelden de termijnen uit artikel 10.

Bijlage 2. Beveiligingsmaatregelen

• Scheiding: elke vereniging is een afzonderlijke omgeving; bij elk verzoek wordt gecontroleerd tot welke vereniging de gebruiker toegang heeft.
• Toegang: rollen per vereniging (zoals clubbeheerder, TC-voorzitter, TC-lid, trainer, bestuurder) met alleen de rechten die bij die rol horen; trainers zien alleen hun eigen teams.
• Authenticatie: versleutelde wachtwoorden; tweestapsverificatie voor beheerders; zonder tweestapsverificatie geen toegang tot leden-, instellingen- en exportfuncties zodra dat is ingesteld.
• Verkeer: alle verbindingen via HTTPS (TLS).
• Bestanden: bijlagen staan buiten de openbare webmap en zijn alleen te downloaden na een controle of de gebruiker de vergadering mag zien.
• Logboek: alle wijzigingen worden vastgelegd met gebruiker, handeling en tijdstip, zonder vrije tekst of volledige persoonsgegevens.
• Ondersteuning: alleen tijdelijke toegang met vastgelegd doel, zichtbaar in het logboek.
• Dataminimalisatie: lijsten tonen alleen de minimale gegevens; contactgegevens staan alleen in het detailscherm; e-mailmeldingen bevatten zo min mogelijk persoonsgegevens.
• Formulieren: bescherming tegen cross-site request forgery; beperking van het aantal aanmeldingen; IP-adressen alleen gehasht opgeslagen.
• Server: eigen virtuele server, beheerd door INCITE, met beveiligingsupdates binnen 1 week, firewall en beperkte beheertoegang via sleutels.
• Back-ups: dagelijks, versleuteld opgeslagen op een andere locatie binnen de EU, overschreven na 30 dagen; herstel wordt periodiek getest.
• Organisatie: geheimhoudingsplicht voor medewerkers; toegang tot productiegegevens alleen voor wie dat nodig heeft.

Bijlage 3. Subverwerkers