Verwerkers­overeenkomst

Deze overeenkomst regelt hoe BFintastic BV de persoonsgegevens verwerkt die een club in youthacademy.eu invoert, zoals bedoeld in artikel 28 van de Algemene Verordening Gegevensbescherming (AVG).

Partijen

• De club [naam, adres, ondernemingsnummer], vertegenwoordigd door [naam, functie], hierna de verwerkingsverantwoordelijke.
• BFintastic BV, Albert Servaesdreef 14, 3920 Lommel, ondernemingsnummer 1007.890.970, hierna de verwerker.

Artikel 1 – Onderwerp en duur

De verwerker verwerkt persoonsgegevens voor de verwerkingsverantwoordelijke bij het gebruik van youthacademy.eu, zowel in een demo-omgeving als in een abonnement. Bijlage 1 beschrijft welke gegevens, van wie en waarvoor. De overeenkomst loopt zolang de verwerker gegevens van de verwerkingsverantwoordelijke verwerkt.

Artikel 2 – Instructies

1. De verwerker verwerkt de gegevens alleen op gedocumenteerde instructies van de verwerkingsverantwoordelijke. Het gebruik van het platform volgens de algemene voorwaarden geldt als zo'n instructie.
2. Is de verwerker wettelijk verplicht om gegevens anders te verwerken, dan meldt hij dat vooraf, tenzij de wet dat verbiedt.
3. Lijkt een instructie in strijd met de AVG, dan meldt de verwerker dat onmiddellijk.

Artikel 3 – Vertrouwelijkheid

De verwerker zorgt ervoor dat iedereen die toegang heeft tot de gegevens, gebonden is aan geheimhouding.

Artikel 4 – Beveiliging

De verwerker neemt passende technische en organisatorische maatregelen volgens artikel 32 AVG. Bijlage 2 beschrijft ze.

Artikel 5 – Subverwerkers

1. De verwerkingsverantwoordelijke geeft algemene toestemming voor de subverwerkers in bijlage 3.
2. Een nieuwe of andere subverwerker meldt de verwerker minstens 30 dagen vooraf. De verwerkingsverantwoordelijke kan binnen die termijn gemotiveerd bezwaar maken en, als geen oplossing volgt, het abonnement kosteloos beëindigen.
3. De verwerker legt elke subverwerker dezelfde verplichtingen op als in deze overeenkomst, en blijft verantwoordelijk voor hem.

Artikel 6 – Rechten van betrokkenen

De verwerker helpt de verwerkingsverantwoordelijke om verzoeken van betrokkenen te beantwoorden, zoals inzage of verwijdering. Komt zo'n verzoek bij de verwerker binnen, dan stuurt hij het onmiddellijk door en beantwoordt hij het niet zelf.

Artikel 7 – Datalekken

1. De verwerker meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging, en uiterlijk binnen 48 uur nadat hij ervan op de hoogte is.
2. De melding bevat de informatie uit artikel 33, lid 3 AVG, voor zover beschikbaar, en wordt aangevuld zodra er meer bekend is.
3. De verwerkingsverantwoordelijke beslist of de inbreuk gemeld wordt aan de Gegevensbeschermingsautoriteit en aan de betrokkenen. De verwerker helpt daarbij.

Artikel 8 – Bijstand

De verwerker helpt de verwerkingsverantwoordelijke waar redelijk bij een gegevensbeschermingseffectbeoordeling en bij een eventuele voorafgaande raadpleging van de toezichthouder.

Artikel 9 – Doorgifte buiten de Europese Economische Ruimte

De verwerker geeft gegevens alleen door buiten de Europese Economische Ruimte als daar passende waarborgen voor bestaan volgens hoofdstuk V AVG. Bijlage 3 vermeldt waar dat vandaag gebeurt.

Artikel 10 – Einde van de verwerking

Na het einde van de dienst bezorgt de verwerker op vraag binnen 30 dagen een export van de gegevens. Daarna verwijdert hij de gegevens definitief, tenzij een wettelijke plicht hem verplicht ze te bewaren. Voor een demo-omgeving zonder abonnement gelden de termijnen van artikel 3 van de algemene voorwaarden.

Artikel 11 – Controle

De verwerker bezorgt alle informatie die nodig is om aan te tonen dat hij deze overeenkomst naleeft. De verwerkingsverantwoordelijke kan maximaal eenmaal per jaar een audit laten uitvoeren, met een aankondiging van 30 dagen en op eigen kosten. De auditor is gebonden aan geheimhouding.

Artikel 12 – Verplichtingen van de club

De verwerkingsverantwoordelijke:

1. heeft een rechtmatige grondslag voor de gegevens die hij invoert;
2. informeert spelers, en bij minderjarigen hun ouders of voogden, over de verwerking;
3. voert niet meer gegevens in dan nodig;
4. voert geen bijzondere categorieën van persoonsgegevens in, zoals medische gegevens, zonder voorafgaand schriftelijk akkoord;
5. beheert zelf wie binnen de club toegang heeft en met welke rol.

Artikel 13 – Aansprakelijkheid

Voor de aansprakelijkheid gelden de algemene voorwaarden, onverminderd artikel 82 AVG.

Artikel 14 – Toepasselijk recht

Op deze overeenkomst is het Belgisch recht van toepassing. Geschillen worden behandeld zoals in de algemene voorwaarden bepaald.

Aanvaarding: elektronisch bij de start van de demo of het abonnement.

Bijlage 1 – Beschrijving van de verwerking

Bijlage 2 – Beveiligingsmaatregelen

• Versleutelde verbindingen (TLS) voor alle verkeer met het platform.
• Opslag van de gegevens op servers in de Europese Unie (Ierland).
• Elke club heeft een afgeschermde omgeving; de database dwingt die scheiding af (row level security).
• Toegang binnen de club via een rechtenmatrix per rol, beheerd door de club.
• Aanmelden met een eenmalige code per e-mail, zonder wachtwoorden.
• Beheertoegang tot de database uitsluitend voor de verwerker.
• Foutmeldingen blijven intern; er gaan geen gegevens naar externe analyse- of monitoringdiensten.
• Back-ups door de databasedienst.

Bijlage 3 – Subverwerkers