Verwerkersovereenkomst

Deze verwerkersovereenkomst is een bijlage bij de Servicevoorwaarden van Membrio en maakt daar deel van uit. De Vereniging accepteert haar bij het aanmelden, samen met de Servicevoorwaarden. Zij geldt vanaf het moment dat de Vereniging voor het eerst persoonsgegevens in Membrio invoert, ook tijdens een gratis pilot of proefperiode.

1. Partijen

Verwerkingsverantwoordelijke:
De club of vereniging die de Dienst gebruikt (de “Vereniging”)

Verwerker:
DeRRudi.org, handelend onder de naam “Membrio”
Nieuwendijk 41
8131 CD Wijhe
Nederland
KvK: 42136693

Begrippen die niet zijn omschreven hebben de betekenis uit de Servicevoorwaarden en de AVG.

2. Onderwerp en rollen

2.1 Deze overeenkomst gaat over de verwerking van persoonsgegevens door Membrio ten behoeve van de Vereniging, bij het leveren van de Dienst.

2.2 De Vereniging bepaalt het doel van en de middelen voor de verwerking van de persoonsgegevens van haar leden, gasten en beheerders in Membrio. Membrio verwerkt die gegevens uitsluitend namens de Vereniging, als verwerker in de zin van artikel 28 AVG.

2.3 Membrio is zelf verwerkingsverantwoordelijke voor de accountgegevens van beheerders die nodig zijn voor haar accounts en beveiliging, en voor haar eigen website, zoals beschreven in het privacybeleid. Die verwerking valt niet onder deze overeenkomst.

2.4 Bijlage A beschrijft de verwerking: aard en doel, categorieën van persoonsgegevens en categorieën van betrokkenen.

3. Duur

De verwerking duurt zolang de overeenkomst loopt en eindigt daarna met de teruggave of verwijdering van de gegevens (artikel 11).

4. Instructies

4.1 Membrio verwerkt persoonsgegevens alleen op basis van gedocumenteerde instructies van de Vereniging. De Servicevoorwaarden, deze overeenkomst en het gebruik van de functies van Membrio door de Vereniging vormen die instructies.

4.2 Membrio meldt de Vereniging zonder onredelijke vertraging als een instructie naar haar oordeel in strijd is met de AVG of andere privacywetgeving.

4.3 Moet Membrio op grond van de wet persoonsgegevens anders verwerken, dan meldt Membrio dat vooraf, tenzij de wet dat verbiedt.

5. Vertrouwelijkheid

Membrio zorgt ervoor dat iedereen die de persoonsgegevens mag verwerken tot geheimhouding is gehouden. Toegang is beperkt tot mensen die die nodig hebben, bijvoorbeeld voor ondersteuning, onderhoud, het oplossen van storingen of beveiliging.

6. Beveiliging

Membrio treft passende technische en organisatorische maatregelen (artikel 32 AVG). De maatregelen die op de datum van deze overeenkomst gelden, staan in Bijlage B. Membrio mag ze aanpassen, zolang het beveiligingsniveau niet daalt.

7. Subverwerkers

7.1 De Vereniging geeft algemene toestemming voor het gebruik van de subverwerkers uit Bijlage C.

7.2 Membrio kondigt een voorgenomen toevoeging of vervanging van een subverwerker minstens 30 dagen vooraf aan, per e-mail of in de app. Membrio past dan ook Bijlage C en het privacybeleid aan.

7.3 De Vereniging kan binnen die termijn bezwaar maken op redelijke gronden die met gegevensbescherming te maken hebben. Komen de partijen er niet uit, dan kan de Vereniging de overeenkomst volgens de Servicevoorwaarden opzeggen voordat de wijziging ingaat.

7.4 Membrio legt elke subverwerker contractueel verplichtingen op die niet minder beschermend zijn dan deze overeenkomst. Membrio blijft jegens de Vereniging verantwoordelijk voor de nakoming door de subverwerker.

8. Doorgifte buiten de EU

8.1 Membrio verwerkt persoonsgegevens binnen de Europese Unie. De uitzondering is Firebase Cloud Messaging (Google) voor pushmeldingen (Bijlage C). Via de wereldwijde infrastructuur van Google kunnen een apparaattoken en de inhoud van de melding buiten de EU/EER worden verwerkt. Die doorgifte berust op de verwerkingsvoorwaarden van Google en de modelcontractbepalingen van de Europese Commissie (Standard Contractual Clauses).

8.2 De Vereniging kan die doorgifte voorkomen door geen pushmeldingen te gebruiken. Leden kunnen pushmeldingen ook op hun eigen apparaat uitzetten.

8.3 Membrio geeft geen andere persoonsgegevens door buiten de EU/EER zonder een geldig doorgiftemechanisme volgens hoofdstuk V AVG.

9. Bijstand

9.1 Membrio helpt de Vereniging, met passende maatregelen en voor zover redelijkerwijs mogelijk, bij het beantwoorden van verzoeken van betrokkenen om hun rechten uit te oefenen (inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar).

9.2 Neemt een betrokkene rechtstreeks contact op met Membrio over gegevens die voor de Vereniging worden verwerkt, dan verwijst Membrio die persoon naar de Vereniging, tenzij de wet iets anders vereist.

9.3 Membrio helpt de Vereniging ook bij de verplichtingen over beveiliging, melding van datalekken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging (artikelen 32 tot en met 36 AVG).

9.4 Bijstand die verder gaat dan de standaardfuncties van Membrio mag Membrio doorberekenen tegen een redelijk tarief dat vooraf is afgesproken.

10. Melding van datalekken

10.1 Membrio meldt de Vereniging zonder onredelijke vertraging nadat zij kennis heeft genomen van een inbreuk in verband met persoonsgegevens die de gegevens van de Vereniging raakt. De melding gaat per e-mail naar de accountbeheerder van de Vereniging.

10.2 De melding bevat, voor zover bekend, de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en gegevensrecords, de waarschijnlijke gevolgen en de maatregelen die zijn genomen of voorgesteld. Membrio vult dit aan zodra er meer bekend is.

10.3 De Vereniging beslist of zij de toezichthouder en de betrokkenen informeert.

11. Teruggave of verwijdering

11.1 Na het einde van de overeenkomst kan de Vereniging haar persoonsgegevens nog 30 dagen exporteren (zie de Servicevoorwaarden).

11.2 Daarna verwijdert Membrio de persoonsgegevens uit de actieve dienst, en bestaande kopieën ook, tenzij de wet bewaring verplicht. Kopieën in back-ups worden daarna binnen een beperkte periode overschreven.

11.3 Op verzoek bevestigt Membrio de verwijdering schriftelijk.

12. Audits en informatie

12.1 Membrio geeft de Vereniging de informatie die nodig is om naleving van artikel 28 AVG aan te tonen, bijvoorbeeld door redelijke schriftelijke vragen over beveiliging en subverwerkers te beantwoorden.

12.2 Is dat niet genoeg, dan mag de Vereniging maximaal eens per jaar een audit laten uitvoeren door een onafhankelijke auditor die tot geheimhouding is gehouden. De Vereniging kondigt de audit minstens 30 dagen vooraf schriftelijk aan. De audit vindt plaats tijdens kantooruren, verstoort de bedrijfsvoering van Membrio niet onredelijk en geeft geen toegang tot gegevens van andere verenigingen. De kosten zijn voor de Vereniging.

13. Aansprakelijkheid

Voor aansprakelijkheid onder deze overeenkomst gelden de bepalingen over aansprakelijkheid in de Servicevoorwaarden. De rechten van een betrokkene jegens een van de partijen op grond van artikel 82 AVG blijven onverlet.

14. Rangorde en toepasselijk recht

14.1 Botsen de Servicevoorwaarden en deze overeenkomst over de verwerking van persoonsgegevens, dan gaat deze overeenkomst voor.

14.2 Op deze overeenkomst is Nederlands recht van toepassing. De bevoegde rechter is die uit de Servicevoorwaarden.

14.3 Voor vragen over deze overeenkomst of om een beveiligingsincident te melden: info@membrio.eu en security@membrio.eu.

Bijlage A: Verwerking

Onderwerp: het leveren van het Membrio-platform voor ledencommunicatie en ledenbeheer.

Aard van de verwerking: opslaan, ordenen, tonen, versturen (berichten, e-mail, pushmeldingen), importeren, exporteren en verwijderen.

Doel: de Vereniging in staat stellen met haar leden te communiceren en haar ledenadministratie te voeren.

Categorieën van betrokkenen:

• leden van de Vereniging, ook minderjarigen
• gasten en contactpersonen, zoals ouders of voogden
• beheerders van de Vereniging

Categorieën van persoonsgegevens:

• identificatiegegevens (naam, initialen, geslacht, geboortedatum, lidnummer)
• contactgegevens (e-mailadres, telefoonnummer, postadres)
• lidmaatschapsdata en lidmaatschapsgeschiedenis, groepen en labels
• berichten, evenementen, polls en pollreacties
• bijlagen en documenten die de Vereniging of haar leden uploaden
• geüploade ledenlijsten tijdens een import
• push-apparaattokens (FCM) en agenda-feedtokens
• alle andere gegevens die de Vereniging vastlegt in de velden die Membrio biedt

Bijzondere categorieën: Membrio vraagt niet om bijzondere categorieën van persoonsgegevens. Legt de Vereniging die toch vast, bijvoorbeeld gezondheidsgegevens, dan doet zij dat als verwerkingsverantwoordelijke en onder eigen verantwoordelijkheid.

Bijlage B: Beveiligingsmaatregelen

• versleutelde verbindingen (TLS/HTTPS) voor gegevens tijdens het transport
• wachtwoorden alleen opgeslagen als salted hashes, met optionele tweestapsverificatie
• toegang op basis van rollen, zodat beheerders alleen bij de leden komen die zij beheren
• hosting binnen de EU, met toegangscontrole en monitoring
• toegang voor Membrio-medewerkers alleen waar nodig en onder geheimhouding, en waar redelijkerwijs mogelijk geanonimiseerde of gepseudonimiseerde gegevens voor ontwikkeling en analyse
• regelmatige beveiligingsupdates en back-ups om te kunnen herstellen
• minimale logging, die slechts kort wordt bewaard voor beveiliging en het oplossen van storingen

Bijlage C: Subverwerkers

Membrio gebruikt de volgende subverwerkers om de Dienst te leveren:

Alle subverwerkers verwerken persoonsgegevens uitsluitend op basis van gedocumenteerde instructies en onder overeenkomsten die voldoen aan de AVG.