Verwerkersovereenkomst
Artikel 1 — Definities
In deze Verwerkersovereenkomst worden de volgende begrippen gehanteerd:
"Verwerkersovereenkomst": deze overeenkomst, gesloten conform artikel 28 AVG.
"Overeenkomst": de abonnementsovereenkomst tussen Refplan en de Club voor het gebruik van de Dienst, waaronder de Proefperiode, zoals nader omschreven in de Algemene Voorwaarden.
"Verwerkingsverantwoordelijke": de Club die de Dienst afneemt en daarmee verantwoordelijk is voor de verwerking van persoonsgegevens van haar Eindgebruikers.
"Verwerker" of "Refplan": de aanbieder van de Dienst, te weten CVC consultancy (ingeschreven bij de Kamer van Koophandel onder nummer 93483740, handelend onder de handelsnaam Refplan), die persoonsgegevens verwerkt ten behoeve van de Verwerkingsverantwoordelijke.
"Subverwerker": een derde partij die door de Verwerker wordt ingeschakeld voor de verwerking van persoonsgegevens.
"Betrokkene": de natuurlijk persoon op wie de persoonsgegevens betrekking hebben — in de regel een official (scheidsrechter of spelbegeleider), planner of beheerder van de Club.
"AVG": Algemene Verordening Gegevensbescherming (EU) 2016/679.
"Beveiligingsincident": een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van persoonsgegevens.
Artikel 2 — Onderwerp en doeleinden van de verwerking
1.De Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van de uitvoering van de Dienst, zoals omschreven in de Overeenkomst.
2.De verwerking heeft betrekking op de volgende categorieën persoonsgegevens:
Voor- en achternaam van Eindgebruikers;
E-mailadres;
Functieniveau (bijvoorbeeld het scheidsrechtersniveau);
Beschikbaarheidsdata (kalenderdata en notities);
Voorkeuren, waaronder voorkeurscategorieën (leeftijdscategorieën die een official bij voorkeur fluit) en taal- en weergavevoorkeuren;
Rollen en rechten binnen de applicatie;
Notificatievoorkeuren (push-abonnementen, e-mailkeuzes).
3.De verwerking betreft de volgende categorieën Betrokkenen: officials van de Club (scheidsrechters en spelbegeleiders), planners en beheerders.
4.De Verwerker verwerkt geen bijzondere categorieën persoonsgegevens als bedoeld in artikel 9 AVG.
5.Onder de Betrokkenen kunnen minderjarigen voorkomen, in het bijzonder jeugdscheidsrechters en spelbegeleiders bij pupillenwedstrijden — voor de laatste hanteert de KNVB een minimumleeftijd van 12 jaar. De Club is als Verwerkingsverantwoordelijke verantwoordelijk voor het verkrijgen van de vereiste toestemming van een wettelijk vertegenwoordiger voor het aanmaken van een account namens een minderjarige Betrokkene. De Verwerker beperkt zich tot de verwerking die noodzakelijk is voor de uitvoering van de Dienst en past op minderjarige Betrokkenen geen profilering of geautomatiseerde besluitvorming toe.
6.De Verwerkingsverantwoordelijke staat ervoor in dat zij een geldige grondslag heeft voor de verwerking, dat haar instructies aan de Verwerker rechtmatig zijn, en dat zij haar Betrokkenen op de vereiste wijze heeft geïnformeerd over de verwerking van hun persoonsgegevens.
7.De Verwerkingsverantwoordelijke vrijwaart de Verwerker tegen aanspraken van derden — waaronder Betrokkenen en toezichthouders — die voortvloeien uit onrechtmatige of onjuiste instructies van de Verwerkingsverantwoordelijke, uit de door haar ingevoerde persoonsgegevens, of uit het niet-nakomen door de Verwerkingsverantwoordelijke van haar eigen verplichtingen onder de AVG.
Artikel 3 — Verplichtingen van de Verwerker
1.De Verwerker verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de Verwerkingsverantwoordelijke, tenzij een wettelijke verplichting anders vereist. In dat geval informeert de Verwerker de Verwerkingsverantwoordelijke vooraf, tenzij dit wettelijk verboden is.
2.De Verwerker garandeert dat personen die toegang hebben tot de persoonsgegevens een geheimhoudingsverplichting hebben aanvaard.
3.De Verwerker neemt passende technische en organisatorische maatregelen ter beveiliging van de persoonsgegevens, waaronder:
Versleuteling van gegevens in transit (TLS/HTTPS) en, waar van toepassing, in rust;
Toegangsbeveiliging via authenticatie (inclusief MFA voor beheerders);
Row Level Security (RLS) in de database zodat data van verschillende clubs strikt gescheiden is;
Regelmatige back-ups door de databaseprovider (Supabase).
4.De Verwerker informeert de Verwerkingsverantwoordelijke onverwijld en in ieder geval binnen 48 uur na ontdekking van een Beveiligingsincident dat haar Betrokkenen raakt. De Verwerker verstrekt alle informatie die redelijkerwijs noodzakelijk is voor de Verwerkingsverantwoordelijke om aan haar meldplicht onder de AVG te voldoen.
5.De Verwerker staat de Verwerkingsverantwoordelijke bij in het reageren op verzoeken van Betrokkenen (inzage, rectificatie, verwijdering, overdraagbaarheid). De Verwerker voert dergelijke verzoeken uit binnen 10 werkdagen na instructie van de Verwerkingsverantwoordelijke, zodat deze tijdig aan haar wettelijke reactietermijn kan voldoen.
Artikel 4 — Subverwerkers
1.De Verwerkingsverantwoordelijke verleent hierbij algemene toestemming voor het inschakelen van subverwerkers. De Verwerker stelt de Verwerkingsverantwoordelijke in kennis van beoogde wijzigingen ten aanzien van de toevoeging of vervanging van subverwerkers, zodat de Verwerkingsverantwoordelijke bezwaar kan maken.
2.De Verwerker maakt gebruik van de volgende subverwerkers:
Supabase (Supabase Inc., USA)Rol: database, authenticatie en bestandsopslag. Gegevens worden opgeslagen in de EU (regio eu-west-1 of gelijkwaardig). Supabase hanteert SCCs voor eventuele doorgifte buiten de EER.supabase.com/privacy
Vercel (Vercel Inc., USA)Rol: hosting en CDN van de applicatie. Vercel verwerkt requestgegevens (IP-adres, user-agent) ten behoeve van de levering van de Dienst. Vercel hanteert SCCs.vercel.com/legal/privacy-policy
Resend (Resend Inc., USA)Rol: verzending van transactionele e-mail (uitnodigingen, wachtwoordherstel, notificaties). Resend ontvangt hiervoor naam en e-mailadres van Betrokkenen. Resend hanteert SCCs.resend.com/privacy
Apple (Apple Inc., USA)Rol: aflevering van pushnotificaties naar iOS-toestellen via de Apple Push Notification service (APNs). Uitsluitend van toepassing zodra en voor zover de Club gebruikmaakt van de iOS-app. Apple hanteert SCCs.apple.com/legal/privacy
Google (Google LLC, USA)Rol: aflevering van pushnotificaties naar Android-toestellen via Firebase Cloud Messaging (FCM). Uitsluitend van toepassing zodra en voor zover de Club gebruikmaakt van de Android-app. Google hanteert SCCs.firebase.google.com/support/privacy
3.De Verwerker sluit met elke Subverwerker een verwerkersovereenkomst die gelijkwaardige verplichtingen oplegt als in dit artikel vermeld.
Artikel 5 — Doorgifte buiten de EER
1.De Verwerker geeft persoonsgegevens niet door aan landen buiten de Europese Economische Ruimte (EER) zonder gepaste waarborgen, zoals Standaardcontractbepalingen (SCCs) zoals vastgesteld door de Europese Commissie.
2.De subverwerkers Supabase, Vercel, Resend, Apple en Google zijn gevestigd in de VS. De doorgifte van gegevens naar deze partijen is gebaseerd op de door de Europese Commissie vastgestelde SCCs.
3.Op verzoek van de Verwerkingsverantwoordelijke verstrekt de Verwerker nadere informatie over de toegepaste doorgiftemechanismen.
Artikel 6 — Rechten van Betrokkenen
1.De Verwerkingsverantwoordelijke is primair verantwoordelijk voor het faciliteren van de uitoefening van rechten door Betrokkenen (inzage, rectificatie, verwijdering, overdraagbaarheid, bezwaar).
2.Indien een Betrokkene zich rechtstreeks tot de Verwerker wendt, informeert de Verwerker de Betrokkene dat het verzoek door de Verwerkingsverantwoordelijke (de Club) behandeld wordt en stelt de Verwerker de Verwerkingsverantwoordelijke hiervan in kennis.
3.De Verwerker verleent, op schriftelijk verzoek van de Verwerkingsverantwoordelijke, alle medewerking bij het uitvoeren van een verwijderingsverzoek.
Artikel 7 — Geheimhouding en toegang
1.De Verwerker beperkt de toegang tot persoonsgegevens tot medewerkers en subverwerkers voor wie toegang strikt noodzakelijk is voor de uitvoering van de Dienst.
2.De Verwerker legt alle personen met toegang tot persoonsgegevens een schriftelijke of contractuele geheimhoudingsplicht op.
3.Ten behoeve van support, onderhoud en het oplossen van storingen kan de met verplichte tweefactorauthenticatie (MFA) beveiligde platformbeheerder van de Verwerker tijdelijk toegang verkrijgen tot de omgeving van de Verwerkingsverantwoordelijke door binnen de Dienst een gebruikerssessie van de Club na te bootsen ("impersonatie"). Deze toegang is strikt doelgebonden — uitsluitend voor de levering en het onderhoud van de Dienst — en wordt niet voor enig ander doel gebruikt.
4.Een impersonatie-sessie verloopt automatisch na ten hoogste 15 minuten en wordt vastgelegd in een controleerbaar logboek (audit trail) met vermelding van de betrokken beheerder, de Club en het tijdstip. Tijdens impersonatie gelden onverkort de geheimhoudings- en beveiligingsverplichtingen uit deze Verwerkersovereenkomst. De Verwerkingsverantwoordelijke kan via support@refplan.app een overzicht opvragen van impersonatie-handelingen die betrekking hebben op haar omgeving.
Artikel 8 — Beveiliging
1.De Verwerker neemt passende technische en organisatorische maatregelen ter beveiliging van persoonsgegevens, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, omvang en context van de verwerking.
2.De beveiligingsmaatregelen omvatten in ieder geval:
HTTPS-versleuteling voor alle communicatie;
Authenticatie en sessiebeheer via Supabase Auth;
Row Level Security in de database per club-tenant;
Versleuteling van gevoelige configuratiegegevens via AES-256-GCM;
MFA-vereiste voor platformbeheerders van de Verwerker.
3.De Verwerker evalueert de beveiligingsmaatregelen periodiek en past deze aan indien noodzakelijk.
Artikel 9 — Audit en verantwoording
1.De Verwerkingsverantwoordelijke heeft het recht de naleving van deze Verwerkersovereenkomst te controleren, dan wel door een onafhankelijke derde te laten controleren, met inachtneming van een aankondigingstermijn van ten minste 30 dagen.
2.De kosten van een audit komen voor rekening van de Verwerkingsverantwoordelijke, tenzij uit de audit blijkt dat de Verwerker in ernstige mate tekortschiet.
3.De Verwerker verstrekt op verzoek alle informatie die redelijkerwijs noodzakelijk is om de naleving van de AVG-verplichtingen aan te tonen.
Artikel 10 — Bewaartermijnen en verwijdering
1.De Verwerker bewaart persoonsgegevens niet langer dan noodzakelijk voor de uitvoering van de Dienst.
2.Na beëindiging van de Overeenkomst worden alle persoonsgegevens van de Club, inclusief gegevens van Eindgebruikers, binnen 90 dagen verwijderd uit de systemen van de Verwerker en subverwerkers, tenzij een wettelijke bewaarplicht langer bewaren vereist.
3.De Verwerkingsverantwoordelijke kan binnen de termijn van 90 dagen een exportverzoek indienen via support@refplan.app.
4.Back-ups worden overschreven conform het back-upbeleid van de databaseprovider (Supabase).
Artikel 11 — Looptijd
1.Deze Verwerkersovereenkomst treedt in werking op de datum waarop de Club de Dienst in gebruik neemt — waaronder de aanvang van de Proefperiode — en loopt parallel aan de Overeenkomst.
2.Bij beëindiging van de Overeenkomst eindigt ook deze Verwerkersovereenkomst, onverminderd de verplichtingen die naar hun aard voortduren (zoals verwijdering van gegevens en geheimhouding).
Artikel 12 — Toepasselijk recht
1.Op deze Verwerkersovereenkomst is Nederlands recht van toepassing.
2.Geschillen worden voorgelegd aan de bevoegde rechter van de rechtbank Oost-Brabant.
Artikel 13 — Aanvaarding en wijzigingen
1.Deze Verwerkersovereenkomst komt tot stand op het moment dat de Club de Algemene Voorwaarden van Refplan aanvaardt. Aanvaarding van de Algemene Voorwaarden — bij aanmelding voor de Dienst, waaronder de start van de Proefperiode, of door gebruik van de Dienst — geldt tevens als aanvaarding van deze Verwerkersovereenkomst. Een separate handtekening van de Club is niet vereist voor de geldigheid.
2.Refplan legt de versie en het tijdstip van aanvaarding vast ten behoeve van bewijslast. Op verzoek verstrekt Refplan een ondertekend afschrift van deze Verwerkersovereenkomst voor het dossier van de Club.
3.Materiële wijzigingen in deze Verwerkersovereenkomst — bijvoorbeeld toevoeging of vervanging van een Subverwerker, uitbreiding van de categorieën persoonsgegevens, of wijziging van de bewaartermijnen — worden ten minste 30 dagen van tevoren per e-mail aan de Club gecommuniceerd. Bij bezwaar tegen een wijziging kan de Club de Overeenkomst opzeggen tegen de ingangsdatum van de wijziging, zonder dat zij hieraan kosten of restitutieverplichtingen ontleent.
4.Tussentijdse aanpassingen die uitsluitend redactioneel, juridisch-technisch of verduidelijkend van aard zijn, kunnen zonder voorafgaande aankondiging worden doorgevoerd. Het versienummer en de datum onderaan dit document tonen op elk moment de actueel geldende versie.
Deze Verwerkersovereenkomst is een click-through-overeenkomst en wordt zonder separate ondertekening van kracht. Clubs die intern een ondertekend exemplaar nodig hebben, kunnen daarvoor contact opnemen via support@refplan.app.