Verwerkingsregister KLUPP (Art. 30 AVG)

1. Verantwoordelijke en rolverdeling

KLUPP is een platform voor het beheer van (jeugd)voetbalclubs. De rolverdeling onder de AVG is dubbel en hangt af van welke gegevens het betreft.

Voor de ledendata die een club op het platform verwerkt (spelers, ouders, staf), is de aangesloten CLUB de verwerkingsverantwoordelijke. Kompleet Comm.V (KLUPP) treedt voor die gegevens op als VERWERKER die namens en in opdracht van de club verwerkt, op basis van een verwerkersovereenkomst.

Voor het beheer van de gebruikersaccounts en de algemene werking, beveiliging en verbetering van het platform is Kompleet Comm.V zelf verwerkingsverantwoordelijke.

Dit register bundelt beide rollen. Per activiteit staat aangegeven of KLUPP optreedt als verwerker (namens de club) of als verantwoordelijke. De secties 2 tot en met 6 beschrijven activiteiten waarin KLUPP verwerker is. Sectie 7 beschrijft de activiteit waarin KLUPP zelf verantwoordelijke is.

• Verwerker en uitbater platform: Kompleet Comm.V, Belgie (ondernemingsnummer en maatschappelijke zetel nog aan te vullen)
• Platform: klupp.app
• Verantwoordelijke voor ledendata: de aangesloten club (naam en contactgegevens per club vastgelegd bij aansluiting)
• Verantwoordelijke voor accountbeheer en platformwerking: Kompleet Comm.V
• Contactpunt gegevensbescherming: nog aan te vullen (er is geen DPO aangesteld, tenzij dit later formeel gebeurt en hier wordt bevestigd)
• Onderliggende afspraken: verwerkersovereenkomst tussen KLUPP en elke club; subverwerkersovereenkomsten met Neon en Vercel

2. Activiteit: Ledenbeheer

Het beheren van de ledenadministratie van de club: spelers, ploegindeling en basisgegevens die nodig zijn om de club te laten werken.

• Doel: ledenadministratie, ploegindeling en organisatie van de clubwerking
• Rol KLUPP: verwerker namens de club
• Categorieen betrokkenen: spelers (waaronder minderjarigen), ouders of voogden, trainers en bestuursleden
• Categorieen gegevens: naam, e-mailadres, geboortejaar, lidmaatschaps- en ploeggegevens, KBVB-nummer, rol binnen de club
• Rechtsgrond: uitvoering van de lidmaatschapsovereenkomst tussen speler en club (Art. 6.1 b) en gerechtvaardigd belang van de club bij een goede ledenadministratie (Art. 6.1 f). Voor minderjarigen onder 13 jaar gebeurt de verwerking op basis van ouderlijke toestemming (Wet 30 juli 2018)
• Ontvangers en verwerkers: bestuur en betrokken coaches van de club (rolgebaseerde toegang); subverwerkers Neon (database, EU-regio Frankfurt) en Vercel (hosting, EU-regio)
• Doorgifte buiten de EU: gegevens worden in de EU opgeslagen; zie sectie 8 voor de US-moederbedrijven van de subverwerkers en de gebruikte waarborgen
• Bewaartermijn: tot 5 jaar na uitschrijving van het lid
• Beveiliging: row-level security per club (multi-tenant isolatie), server-side rollen (RBAC), HTTPS, magic-link login zonder wachtwoorden

3. Activiteit: Medische noodgegevens

Het bewaren van beperkte medische noodinformatie van (minderjarige) spelers, zodat bestuur en coach in een noodsituatie juist kunnen handelen.

Dit betreft gegevens over gezondheid en dus bijzondere categorieen van persoonsgegevens in de zin van artikel 9 AVG. De verwerking is bewust beperkt tot wat strikt nodig is voor de veiligheid van de speler.

• Doel: veiligheid van de speler bij trainingen, wedstrijden en activiteiten (juist kunnen reageren in een noodsituatie)
• Rol KLUPP: verwerker namens de club
• Categorieen betrokkenen: spelers (voornamelijk minderjarigen)
• Categorieen gegevens (bijzonder, Art. 9): beperkte medische noodinfo zoals allergieen, noodmedicatie, blessures en of er een medisch attest aanwezig is (ja of nee)
• Rechtsgrond: uitdrukkelijke toestemming van de betrokkene of, voor minderjarigen, van de ouder of voogd (Art. 9.2 a), naast de algemene grondslag van Art. 6. Voor minderjarigen onder 13 jaar wordt de toestemming door de ouder of voogd gegeven
• Ontvangers en verwerkers: uitsluitend bestuur en de betrokken coach van de club; subverwerkers Neon en Vercel (EU)
• Bewaartermijn: enkel tijdens de duur van het lidmaatschap; bij uitschrijving worden de medische noodgegevens verwijderd
• Beveiliging: versleutelde opslag (AES-256), toegang beperkt tot bestuur en coach via RBAC, elke inzage wordt gelogd (toegangslogging), row-level security per club, HTTPS

4. Activiteit: Wedstrijden, trainingen en beschikbaarheden

Het plannen van wedstrijden en trainingen en het verzamelen van de beschikbaarheid van spelers, zodat coaches selecties en opstellingen kunnen maken.

• Doel: plannen van wedstrijden en trainingen, opvolgen van aanwezigheid en beschikbaarheid, samenstellen van selecties
• Rol KLUPP: verwerker namens de club
• Categorieen betrokkenen: spelers, trainers, bestuursleden
• Categorieen gegevens: kalender- en agendagegevens (wedstrijd- en trainingdata), aanwezigheid en beschikbaarheid per speler, ploeg- en selectiegegevens
• Rechtsgrond: uitvoering van de lidmaatschapsovereenkomst (Art. 6.1 b) en gerechtvaardigd belang van de club bij een goede sportieve organisatie (Art. 6.1 f)
• Ontvangers en verwerkers: coaches en bestuur van de club (rolgebaseerd); subverwerkers Neon en Vercel (EU)
• Bewaartermijn: gekoppeld aan het lidmaatschap, tot maximaal 5 jaar na uitschrijving; oudere seizoensdata kunnen vroeger worden opgeschoond
• Beveiliging: row-level security per club, RBAC, HTTPS, magic-link login

5. Activiteit: Lidgeld en betalingen

Het opvolgen van de lidgeld-status en, in de toekomst, het verwerken van betalingen via een betaalprovider.

Zolang KLUPP enkel de status opvolgt en geen eigenlijke betaaltransacties afhandelt, blijft de rol beperkt tot verwerker namens de club. Zodra een betaalprovider wordt ingeschakeld, verwerkt die de betaalgegevens onder eigen verantwoordelijkheid.

• Doel: opvolgen van lidgeld-status, opmaken van overzichten en (toekomstig) afhandelen van betalingen
• Rol KLUPP: verwerker namens de club voor de status-opvolging; de betaalprovider (bijvoorbeeld Mollie) treedt op als zelfstandige verantwoordelijke voor de eigenlijke betaaltransactie
• Categorieen betrokkenen: spelers, ouders of voogden (als betaler), bestuursleden
• Categorieen gegevens: lidgeld-status (betaald, openstaand), bedragen en referenties, en bij effectieve betalingen de door de betaalprovider verwerkte transactiegegevens (KLUPP bewaart zelf geen volledige kaart- of rekeninggegevens)
• Rechtsgrond: uitvoering van de lidmaatschapsovereenkomst (Art. 6.1 b) en, voor de bewaring van betalings- en boekhoudkundige stukken, wettelijke verplichting (Art. 6.1 c, fiscale en boekhoudwetgeving)
• Ontvangers en verwerkers: bestuur van de club (rolgebaseerd); subverwerkers Neon en Vercel (EU); toekomstige betaalprovider als zelfstandige verantwoordelijke
• Bewaartermijn: lidgeld-status gekoppeld aan het lidmaatschap; betalings- en boekhoudkundige gegevens 7 jaar (fiscale bewaarplicht)
• Beveiliging: row-level security per club, RBAC, HTTPS; betaalgegevens worden afgehandeld binnen de beveiligde omgeving van de betaalprovider

6. Activiteit: Communicatie

Het versturen van berichten, notificaties en e-mails binnen de clubwerking, bijvoorbeeld oproepen voor wedstrijden en trainingen, praktische mededelingen en herinneringen.

• Doel: interne communicatie binnen de club (oproepen, mededelingen, herinneringen, notificaties)
• Rol KLUPP: verwerker namens de club
• Categorieen betrokkenen: spelers, ouders of voogden, trainers, bestuursleden
• Categorieen gegevens: naam, e-mailadres, inhoud en metadata van verstuurde berichten en notificaties
• Rechtsgrond: uitvoering van de lidmaatschapsovereenkomst (Art. 6.1 b) en gerechtvaardigd belang van de club bij een vlotte werking (Art. 6.1 f)
• Ontvangers en verwerkers: bestuur en coaches van de club (rolgebaseerd); subverwerkers Neon en Vercel (EU) en, later, een EU-e-mailprovider (nog aan te stellen)
• Bewaartermijn: beperkt; berichten worden niet langer bewaard dan nodig voor de werking en gekoppeld aan het lidmaatschap
• Beveiliging: row-level security per club, RBAC, HTTPS, magic-link login

7. Activiteit: Accountbeheer en platformwerking (KLUPP als verantwoordelijke)

Het aanmaken en beheren van gebruikersaccounts, het aanmelden via magic-link, en de algemene werking, beveiliging, foutopsporing en verbetering van het platform.

Voor deze activiteit is Kompleet Comm.V zelf verwerkingsverantwoordelijke. Het gaat om de gegevens die nodig zijn om het platform veilig te laten draaien, niet om de inhoudelijke ledenadministratie van een club (die valt onder de club als verantwoordelijke).

• Doel: accountaanmaak en authenticatie (magic-link), toegangsbeheer, beveiliging en logging, technische ondersteuning, foutopsporing en verbetering van het platform
• Rol KLUPP: verwerkingsverantwoordelijke
• Categorieen betrokkenen: gebruikers van het platform (bestuursleden, coaches en andere aangemelde gebruikers)
• Categorieen gegevens: naam, e-mailadres, rol en clubkoppeling, login- en sessiegegevens, toegangs- en beveiligingslogs, technische gegevens zoals tijdstempels en foutmeldingen
• Rechtsgrond: uitvoering van de gebruiksovereenkomst met de gebruiker of club (Art. 6.1 b) en gerechtvaardigd belang bij een veilige en werkende dienst (Art. 6.1 f)
• Ontvangers en verwerkers: bevoegde medewerkers van Kompleet Comm.V; subverwerkers Neon en Vercel (EU)
• Bewaartermijn: zolang het account actief is; beveiligings- en toegangslogs worden bewaard zolang nodig voor beveiliging en verantwoording en daarna verwijderd
• Beveiliging: row-level security, RBAC, HTTPS, magic-link login zonder wachtwoorden, toegangslogging

8. Doorgifte naar landen buiten de EER

De persoonsgegevens worden opgeslagen en verwerkt binnen de Europese Economische Ruimte. Neon draait op een EU-regio (Frankfurt) en Vercel op een EU-regio.

Sommige subverwerkers zijn wel Amerikaanse ondernemingen (moederbedrijven) waardoor er in bepaalde gevallen toegang vanuit de VS mogelijk is. Voor die situaties wordt gesteund op de standaardcontractbepalingen (Standard Contractual Clauses, SCC) van de Europese Commissie, aangevuld met passende technische maatregelen. De juiste waarborg per subverwerker moet door een jurist of DPO worden gecontroleerd voor de lancering.

Een toekomstige e-mailprovider en betaalprovider worden bij voorkeur in de EU gekozen; bij elke nieuwe subverwerker wordt de doorgifte opnieuw beoordeeld.

• Opslaglocatie: Europese Economische Ruimte (Neon EU-regio Frankfurt, Vercel EU-regio)
• Waarborg bij mogelijke toegang vanuit de VS: standaardcontractbepalingen (SCC) plus aanvullende maatregelen
• Nog te verifieren: de exacte waarborg en documentatie per subverwerker

9. Beveiligingsmaatregelen (Art. 32)

Kompleet Comm.V neemt passende technische en organisatorische maatregelen om de gegevens te beschermen. Hieronder staat een algemene beschrijving; de gedetailleerde maatregelen worden apart bijgehouden en periodiek herzien.

• Multi-tenant isolatie via row-level security per club, zodat clubs elkaars gegevens niet kunnen zien
• Server-side rollen en rechten (RBAC), zodat gebruikers enkel de gegevens zien die bij hun rol horen
• Versleutelde opslag van medische noodgegevens (AES-256) met toegangslogging van elke inzage
• Versleutelde verbindingen (HTTPS) voor alle dataverkeer
• Aanmelden via magic-link zonder wachtwoorden, wat het risico op gelekte of zwakke wachtwoorden wegneemt
• Logging van beveiligings- en toegangsgebeurtenissen
• Verwerkers- en subverwerkersovereenkomsten met de ingeschakelde partijen

10. Bewaartermijnen (overzicht)

De bewaartermijnen per activiteit staan hierboven vermeld. Ter overzicht:

• Ledendata: tot 5 jaar na uitschrijving
• Medische noodgegevens: enkel tijdens het lidmaatschap, daarna verwijderd
• Wedstrijd-, trainings- en beschikbaarheidsgegevens: gekoppeld aan het lidmaatschap, tot maximaal 5 jaar na uitschrijving
• Betalings- en boekhoudkundige gegevens: 7 jaar (fiscale bewaarplicht)
• Communicatie: beperkt, niet langer dan nodig voor de werking
• Account- en beveiligingslogs: zolang nodig voor beveiliging en verantwoording

11. Rechten van betrokkenen en klacht bij de GBA

Betrokkenen (spelers, ouders of voogden, staf) hebben rechten over hun persoonsgegevens. Voor de ledendata worden verzoeken behandeld door de club als verantwoordelijke; KLUPP ondersteunt de club als verwerker. Voor de accountgegevens (sectie 7) behandelt Kompleet Comm.V de verzoeken als verantwoordelijke.

Wie vindt dat zijn gegevens niet correct worden verwerkt, kan een klacht indienen bij de Belgische Gegevensbeschermingsautoriteit.

• Recht op inzage
• Recht op correctie
• Recht op verwijdering
• Recht op beperking van de verwerking
• Recht op overdraagbaarheid
• Recht van bezwaar
• Toezichthouder en klachtroute: Gegevensbeschermingsautoriteit (GBA), Drukpersstraat 35, 1000 Brussel, contact@apd-gba.be

12. Datalekken

Bij een inbreuk in verband met persoonsgegevens gelden vaste afspraken. Waar KLUPP verwerker is, meldt Kompleet Comm.V een lek zonder onnodige vertraging aan de betrokken club, zodat de club haar verplichtingen als verantwoordelijke kan nakomen (in principe melding aan de GBA binnen 72 uur waar vereist).

Waar Kompleet Comm.V zelf verantwoordelijke is (sectie 7), beoordeelt en meldt zij het lek zelf aan de GBA en, waar nodig, aan de betrokkenen. Incidenten worden intern geregistreerd.

13. Beheer en herziening van dit register

Dit register wordt bijgehouden door Kompleet Comm.V en herzien bij elke belangrijke wijziging in de verwerkingsactiviteiten, en minstens jaarlijks.

CONCEPT: deze versie moet voor de echte lancering worden nagekeken en gevalideerd door een jurist of DPO, en de nog aan te vullen bedrijfsgegevens moeten geverifieerd worden ingevuld.

• Versie: concept 1.0
• Datum: 9 juli 2026
• Beheer: Kompleet Comm.V (contactpunt gegevensbescherming nog aan te vullen)
• Herziening: bij elke belangrijke wijziging en minstens jaarlijks