Verwerkersovereenkomst (DPA)

Partijen

Deze verwerkersovereenkomst wordt gesloten tussen de volgende partijen.

• De club: de sport- of voetbalvereniging die een account aanmaakt en gebruikmaakt van KLUPP. De club treedt op als verwerkingsverantwoordelijke voor de persoonsgegevens van haar leden, spelers, ouders, medewerkers en andere betrokkenen. De club bepaalt het doel en de middelen van de verwerking.
• De verwerker: KLUPP, uitgebaat door Kompleet Comm.V, een vennootschap naar Belgisch recht (hierna KLUPP). KLUPP verwerkt de persoonsgegevens uitsluitend namens en in opdracht van de club.
• Rolverdeling: voor de ledendata van de club is de club verwerkingsverantwoordelijke en is KLUPP verwerker. Voor het eigen accountbeheer, de facturatie richting de club en de algemene werking en beveiliging van het platform treedt KLUPP wél op als zelfstandige verwerkingsverantwoordelijke. Die laatste verwerking valt buiten deze overeenkomst en wordt geregeld in de privacyverklaring van KLUPP.

Onderwerp en duur

Het onderwerp van deze overeenkomst is de verwerking van persoonsgegevens door KLUPP namens de club, in het kader van het gebruik van het KLUPP-platform voor het beheer van de club.

Deze overeenkomst treedt in werking op het ogenblik dat de club aansluit op KLUPP en het account activeert. Ze blijft van kracht zolang de club gebruikmaakt van KLUPP.

Bij beëindiging van het gebruik van KLUPP blijven de bepalingen over teruggave en verwijdering van gegevens, vertrouwelijkheid en aansprakelijkheid gelden voor zover dat nodig is om die verplichtingen uit te voeren.

Aard en doel van de verwerking

KLUPP verwerkt de persoonsgegevens met als doel de club te ondersteunen bij haar dagelijkse werking. De verwerking bestaat concreet uit het aanbieden en beheren van de volgende functies.

• Ledenbeheer en administratie van ploegen en spelers.
• Planning en opvolging van wedstrijden, trainingen en beschikbaarheden.
• Communicatie tussen bestuur, coaches, spelers en ouders.
• Opvolging van lidgeld en betalingsstatus.
• Beperkt en beveiligd beheer van medische noodinformatie van spelers, uitsluitend met het oog op de veiligheid van de speler.
• Technische opslag, hosting en beveiliging van deze gegevens.

Categorieën betrokkenen en gegevens

De verwerking heeft betrekking op de volgende categorieën van betrokkenen: leden en spelers (waaronder minderjarigen), ouders of wettelijke vertegenwoordigers, bestuursleden, coaches en andere medewerkers van de club.

De volgende categorieën van persoonsgegevens worden verwerkt.

• Identiteitsgegevens: naam, e-mailadres en geboortejaar.
• Lidmaatschapsgegevens: ploeg, rol binnen de club en KBVB-nummer.
• Sportieve gegevens: wedstrijd- en trainingsdata en opgegeven beschikbaarheden.
• Financiële gegevens: status van het lidgeld en betalingsgegevens.
• Communicatiegegevens: berichten die via het platform worden uitgewisseld.
• Bijzondere categorieën van gegevens (artikel 9 AVG): beperkte medische noodinformatie van (minderjarige) spelers, zoals allergieën, noodmedicatie, blessures en de vermelding of er een attest is (ja of neen). Deze gegevens worden versleuteld opgeslagen (AES-256), zijn enkel toegankelijk voor bestuur en coach, en elke inzage wordt gelogd.

Verwerking op instructie van de club

KLUPP verwerkt de persoonsgegevens uitsluitend op basis van de gedocumenteerde instructies van de club, zoals die blijken uit deze overeenkomst, uit de configuratie van het platform en uit het normale gebruik van KLUPP door de club. KLUPP verwerkt de gegevens niet voor eigen doeleinden.

Indien KLUPP wettelijk verplicht wordt om een verwerking uit te voeren die verder gaat dan de instructies van de club, brengt KLUPP de club daarvan op de hoogte vóór de verwerking, tenzij de wet die kennisgeving verbiedt om redenen van algemeen belang.

Als KLUPP van oordeel is dat een instructie van de club in strijd is met de AVG of andere toepasselijke wetgeving inzake gegevensbescherming, brengt KLUPP de club daarvan onmiddellijk op de hoogte.

Vertrouwelijkheid

KLUPP zorgt ervoor dat de personen die gemachtigd zijn om de persoonsgegevens te verwerken, zich tot vertrouwelijkheid hebben verbonden of onder een passende wettelijke geheimhoudingsplicht vallen.

De toegang tot de persoonsgegevens is beperkt tot die medewerkers van KLUPP die de toegang nodig hebben voor de uitvoering van hun taken. De toegang tot medische noodinformatie is bijkomend beperkt en wordt gelogd.

Beveiligingsmaatregelen (artikel 32 AVG)

KLUPP neemt passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen. Daarbij wordt rekening gehouden met de stand van de techniek, de uitvoeringskosten en de aard, omvang, context en doeleinden van de verwerking, alsook met de risico's voor de betrokkenen. KLUPP past onder meer de volgende maatregelen toe.

• Logische scheiding van de gegevens per club via row-level security, zodat de gegevens van de ene club niet toegankelijk zijn voor een andere club (multi-tenant isolatie).
• Toegangsbeheer op basis van rollen aan de serverzijde (RBAC), zodat elke gebruiker enkel de gegevens ziet die bij zijn rol horen.
• Versleutelde opslag van de medische noodinformatie (AES-256), met bijkomende toegangsbeperking tot bestuur en coach en logging van elke inzage.
• Versleutelde overdracht van gegevens via HTTPS.
• Aanmelden zonder wachtwoord via een magic-link, waardoor er geen wachtwoorden worden opgeslagen.
• Logging en opvolging die toelaten om ongewone of ongeoorloofde toegang te detecteren.

Subverwerkers

De club geeft KLUPP een algemene toestemming om voor de uitvoering van de dienst een beroep te doen op subverwerkers. KLUPP houdt een actuele lijst van de subverwerkers bij op klupp.app. Op het ogenblik van dit concept gaat het om de volgende subverwerkers.

KLUPP legt aan elke subverwerker via een overeenkomst dezelfde gegevensbeschermingsverplichtingen op als die welke in deze overeenkomst zijn opgenomen, in het bijzonder de verplichting om passende technische en organisatorische maatregelen te nemen. KLUPP blijft ten aanzien van de club volledig aansprakelijk voor de naleving door haar subverwerkers.

Wanneer KLUPP een nieuwe subverwerker wil toevoegen of een bestaande wil vervangen, brengt KLUPP de club daarvan vooraf op de hoogte via het platform of per e-mail. De club beschikt over een redelijke termijn om gemotiveerd bezwaar te maken tegen de wijziging. Als een gegrond bezwaar niet kan worden opgelost, kan de club het gebruik van KLUPP beëindigen.

• Neon: gehoste PostgreSQL-database, opgeslagen in de EU-regio (Frankfurt, Duitsland).
• Vercel: hosting van de applicatie, EU-regio.
• Later: een e-mailprovider in de EU voor transactionele en communicatie-e-mails.
• Eventueel: een betaalprovider (bijvoorbeeld Mollie) voor de verwerking van betalingen.

Doorgifte buiten de Europese Economische Ruimte

De persoonsgegevens worden opgeslagen en verwerkt binnen de Europese Economische Ruimte (EER). KLUPP streeft ernaar om de opslag en verwerking binnen de EU te houden.

Sommige van de gebruikte dienstverleners (zoals Neon en Vercel) zijn ondernemingen die verbonden zijn met de Verenigde Staten. Waar in het kader van deze diensten toch een doorgifte of toegang van buiten de EER mogelijk zou zijn, gebeurt die op basis van de Standaardcontractbepalingen (Standard Contractual Clauses, SCC's) die door de Europese Commissie zijn goedgekeurd, aangevuld met passende bijkomende waarborgen.

KLUPP voert geen andere doorgiften buiten de EER uit zonder een geldige overdrachtsgrond in de zin van hoofdstuk V van de AVG.

Bijstand aan de club bij de rechten van betrokkenen

Rekening houdend met de aard van de verwerking helpt KLUPP de club, met passende technische en organisatorische maatregelen, om te voldoen aan haar verplichting om te antwoorden op verzoeken van betrokkenen die hun rechten willen uitoefenen. Het gaat onder meer om het recht op inzage, correctie, verwijdering, beperking van de verwerking, overdraagbaarheid van de gegevens en bezwaar.

Als een betrokkene zich rechtstreeks tot KLUPP richt met een verzoek dat betrekking heeft op de gegevens van een club, verwijst KLUPP de betrokkene door naar de betrokken club en brengt KLUPP de club daarvan zonder onredelijke vertraging op de hoogte. KLUPP beantwoordt zulke verzoeken niet zelfstandig, tenzij de club daartoe opdracht geeft.

Betrokkenen kunnen ook steeds een klacht indienen bij de Gegevensbeschermingsautoriteit (GBA), Drukpersstraat 35, 1000 Brussel, contact@apd-gba.be.

Bijstand bij beveiliging, datalekken en gegevensbeschermingseffectbeoordeling

Rekening houdend met de aard van de verwerking en de informatie waarover KLUPP beschikt, ondersteunt KLUPP de club bij het naleven van haar verplichtingen inzake beveiliging van de verwerking, melding van inbreuken in verband met persoonsgegevens, gegevensbeschermingseffectbeoordelingen (DPIA) en voorafgaande raadpleging, zoals bedoeld in de artikelen 32 tot en met 36 AVG.

Melding van datalekken

Zodra KLUPP kennis krijgt van een inbreuk in verband met persoonsgegevens die de gegevens van de club betreft, brengt KLUPP de club daarvan zonder onredelijke vertraging op de hoogte, en in de mate van het mogelijke uiterlijk binnen 48 uur na kennisname.

De melding bevat, voor zover die informatie beschikbaar is, minstens: een beschrijving van de aard van de inbreuk, de betrokken categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. Deze melding stelt de club in staat om, waar nodig, tijdig te voldoen aan haar eigen meldplicht aan de Gegevensbeschermingsautoriteit en aan de betrokkenen.

Bijzondere categorieën en minderjarigen

De medische noodinformatie betreft bijzondere categorieën van persoonsgegevens in de zin van artikel 9 AVG. De club is er als verwerkingsverantwoordelijke voor verantwoordelijk dat er voor deze gegevens een geldige uitzonderingsgrond bestaat, in de regel de uitdrukkelijke toestemming van de betrokkene of van zijn wettelijke vertegenwoordiger (artikel 9.2.a AVG).

Voor minderjarigen geldt in België een digitale toestemmingsgrens van 13 jaar (Wet van 30 juli 2018). Voor kinderen jonger dan 13 jaar is de toestemming van de ouder of wettelijke vertegenwoordiger vereist. De club staat in voor het verkrijgen, documenteren en beheren van deze toestemmingen.

KLUPP verwerkt de medische noodinformatie uitsluitend met het oog op de veiligheid van de speler, slaat ze versleuteld op (AES-256), beperkt de toegang tot bestuur en coach en logt elke inzage.

Bewaartermijnen

KLUPP bewaart de persoonsgegevens niet langer dan nodig is voor de doeleinden waarvoor ze worden verwerkt, en houdt daarbij rekening met de instructies van de club en met de wettelijke bewaarplichten. Als richtsnoer gelden de volgende termijnen.

• Ledendata: tot 5 jaar na de uitschrijving van het lid.
• Medische noodinformatie: enkel tijdens de duur van het lidmaatschap, en wordt daarna verwijderd.
• Betalings- en boekhoudgegevens: 7 jaar, op grond van de fiscale bewaarplicht.
• Communicatie via het platform: beperkt bewaard, in functie van de werking van de dienst.

Teruggave en verwijdering bij beëindiging

Na het einde van de dienstverlening verwijdert KLUPP, naar keuze van de club, alle persoonsgegevens of geeft KLUPP ze terug in een gangbaar, gestructureerd formaat, en verwijdert vervolgens de bestaande kopieën, tenzij de opslag van bepaalde gegevens wettelijk verplicht blijft (bijvoorbeeld de fiscale bewaarplicht voor betalings- en boekhoudgegevens).

De club maakt haar keuze binnen een redelijke termijn na de beëindiging kenbaar. Bij gebrek aan instructie binnen die termijn gaat KLUPP over tot verwijdering van de gegevens, met uitzondering van de gegevens die wettelijk bewaard moeten blijven.

Audits en aantoonbaarheid

KLUPP stelt de club alle informatie ter beschikking die nodig is om de naleving van de verplichtingen uit artikel 28 AVG aan te tonen.

KLUPP maakt audits, waaronder inspecties, door de club of door een door de club gemachtigde controleur mogelijk en werkt daaraan mee. De partijen spreken af dat zulke audits redelijk zijn qua frequentie en omvang, tijdig worden aangekondigd en de vertrouwelijkheid en de goede werking van het platform en van andere clubs niet in het gedrang brengen.

Aansprakelijkheid

Elke partij is aansprakelijk voor de schade die voortvloeit uit de niet-naleving van haar eigen verplichtingen onder de AVG en onder deze overeenkomst. De aansprakelijkheid wordt beheerst door de dwingende bepalingen van artikel 82 AVG en door de algemene voorwaarden van KLUPP, voor zover die niet in strijd zijn met dwingend recht.

Deze bepaling doet geen afbreuk aan de rechten van betrokkenen om vergoeding te vorderen overeenkomstig de AVG.

Toepasselijk recht en bevoegde rechtbank

Deze overeenkomst wordt beheerst door het Belgisch recht en door de AVG. Geschillen worden voorgelegd aan de bevoegde rechtbanken in België.

Betrokkenen en de club kunnen daarnaast steeds een klacht indienen bij de Gegevensbeschermingsautoriteit (GBA), Drukpersstraat 35, 1000 Brussel, contact@apd-gba.be.

Wijzigingen en contact

KLUPP kan deze overeenkomst aanpassen om ze in overeenstemming te brengen met gewijzigde wetgeving, nieuwe subverwerkers of wijzigingen aan de dienst. Wezenlijke wijzigingen worden vooraf gemeld via het platform of per e-mail.

Voor vragen over deze verwerkersovereenkomst of over de verwerking van persoonsgegevens door KLUPP kan de club contact opnemen via de contactgegevens op klupp.app. Dit blijft een CONCEPT tot het door een jurist of DPO is nagekeken en goedgekeurd.