Creative Castle VOF (Tapp), met maatschappelijke zetel te Felix de Hertstraat 29, 9300 Aalst, België en met ondernemingsnummer 0685.410.314.
Hierna: de “Verwerker”;
De aangesloten vereniging.
Hierna: de “Verwerkingsverantwoordelijke”;
De Verwerkingsverantwoordelijke en de Verwerker worden hieronder ook wel afzonderlijk aangeduid als een “Partij” of gezamenlijk als de “Partijen”;
In het kader van de diensten aangeboden door Tapp zal de Verwerker ook bepaalde Persoonsgegevens Verwerken in opdracht en voor rekening van de Verwerkingsverantwoordelijke;
De partijen wensen hun afspraken met betrekking tot de uitvoering en organisatie van deze Verwerking van Persoonsgegevens te formaliseren in deze Verwerkingsovereenkomst.
Begrippen die in deze Verwerkingsovereenkomst met hoofdletter worden gebruikt, moeten worden geïnterpreteerd zoals in dit artikel of elders in de Verwerkingsovereenkomst gedefinieerd.
AVG
Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming);
Betrokkene
De geïdentificeerde of identificeerbare natuurlijke persoon op wie een Persoonsgegeven betrekking heeft;
Datalek
Een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens;
Derden
Elke natuurlijke persoon, rechtspersoon, overheidsinstantie, dienst of ander orgaan andere dan de Verwerker, de Verwerkingsverantwoordelijke en hun personeelsleden of aangestelden;
Opdracht
De opdracht zoals omschreven in bijlage 1;
Persoonsgegevens
Unierechtelijke of lidstaatrechtelijke bepaling
Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, zoals ook gedefinieerd in artikel 4, 1) AVG, die de Verwerker in het kader van de Opdracht Verwerkt;
Een bepaling opgelegd door Unierechtelijke of (EU) lidstaatrechtelijke wetgeving;
Verwerken / Verwerking
Elke bewerking of geheel van bewerkingen met betrekking tot Persoonsgegevens of een geheel van Persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens, zoals ook gedefinieerd in artikel 4, 2) AVG;
Verwerkingsovereenkomst
Deze overeenkomst.
2.1. De Verwerker Verwerkt Persoonsgegevens voor de Verwerkingsverantwoordelijke uitsluitend zoals omschreven in de Opdracht en overeenkomstig de in deze Overeenkomst vastgelegde verplichtingen. De Opdracht wordt nader omschreven in bijlage 1.
2.2. Elke Verwerking anders dan omschreven in de Opdracht is strikt verboden, met inbegrip van de doorgifte van Persoonsgegevens aan Derden, een derde land of een internationale organisatie, behoudens indien één van de hieronder opgesomde voorwaarden vervuld is:
2.3. De Verwerker stelt de Verwerkingsverantwoordelijke onmiddellijk in kennis indien naar zijn mening een instructie inbreuk oplevert op de AVG of op andere Unierechtelijke of lidstaatrechtelijke bepalingen inzake gegevensbescherming.
3.1. Loopt samen met de Opdracht beschreven in punt A.
3.2. Artikels 3.3, 5, 6, 7, 9 en 12 blijven van kracht na beëindiging van de Verwerkingsovereenkomst.
3.3. Na beëindiging van de Verwerkingsovereenkomst stelt de Verwerker onmiddellijk een einde aan elke verwerking van de Persoonsgegevens en vernietigt hij elke kopie en back-up van de Persoonsgegevens die hij nog zou bezitten, tenzij opslag van de Persoonsgegevens Unierechtelijk of lidstaatrechtelijk is verplicht.
4.1. De Verwerker treft alle passende technische en organisatorische beveiligingsmaatregelen die nodig zijn om de Persoonsgegevens te beveiligen, rekening houdend met de stand van de techniek en de kost voor beveiliging, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van personen. In het bijzonder zal de Verwerker de Persoonsgegevens beveiligen tegen vervalsing, niet toegelaten verspreiding of toegang en elke andere vorm van onwettige Verwerking. De minimale maatregelen die worden getroffen, worden in bijlage 2 toegevoegd.
4.2. De Verwerker wijst een functionaris voor gegevensbescherming aan en heeft tenminste een actueel veiligheidsbeleid- en plan.
5.1. De Verwerker verbindt zich er uitdrukkelijk toe het vertrouwelijk karakter en de veiligheid van de Persoonsgegevens die zij in het kader van de Opdracht Verwerkt, te waarborgen.
5.2. De Verwerker maakt zich sterk dat alle personeelsleden of aangestelden die toegang hebben tot de Persoonsgegevens het vertrouwelijk karakter en de veiligheid van deze Persoonsgegevens zullen respecteren. De Verwerker zal erop toezien dat personeelsleden of aangestelden enkel toegang verkrijgen tot Persoonsgegevens nadat ze behoorlijk gebonden zijn door een wettelijke of contractuele vertrouwelijkheidsverplichting.
6.1. Het is aan de Verwerker toegestaan andere verwerkers aan te stellen om Persoonsgegevens in het kader van de Opdracht te Verwerken (hierna: de “Subverwerker”).
6.2. Extern ingehuurde medewerkers worden voor deze Verwerkingsovereenkomst niet als Subverwerker beschouwd. De Verwerker zal er op toezien dat deze extern ingehuurde medewerkers dezelfde vertrouwelijkheidsclausule, zoals beschreven in artikel 5 van deze Verwerkingsovereenkomst naleven zoals dit voor de eigen werknemers van de Verwerker het geval is.
6.3. De Verwerker en de Subverwerker sluiten een overeenkomst waarin dezelfde verplichtingen inzake gegevensbescherming opgelegd worden als die welke in de voorliggende Verwerkingsovereenkomst zijn opgenomen. De Verwerker zal de Subverwerkers ook dezelfde geheimhoudingsverplichting als deze die op haar rust opleggen middels een vertrouwelijkheidsovereenkomst. De Verwerker zal op eenvoudig verzoek van de Verwerkingsverantwoordelijke het nodige bewijs voorleggen om aan te tonen dat de overeenkomsten met haar Subverwerkers voldoen aan de in dit artikel gestelde voorwaarden.
6.4. De Verwerker houdt een actueel overzicht bij van de overeenkomsten met Subverwerkers en kan deze binnen redelijke termijn op eenvoudig verzoek bezorgen aan de Verwerkingsverantwoordelijke.
7.1. Algemeen
De Verwerker zal de Verwerkingsverantwoordelijke alle informatie verstrekken en alle bijstand verlenen die noodzakelijk is en/of die redelijkerwijze mag worden verwacht opdat de Verwerkingsverantwoordelijke in staat zou zijn om haar verplichtingen uit de AVG na te komen én van deze nakoming het bewijs te leveren.
7.2. Bijstand bij verzoek van een Betrokkene
De Verwerker verleent aan de Verwerkingsverantwoordelijke door middel van passende technische en organisatorische maatregelen, voor zover mogelijk, bijstand bij het vervullen van diens plicht om verzoeken tot uitoefening van de in hoofdstuk III van de AVG vastgestelde rechten van de betrokkene, te beantwoorden. Indien een Betrokkene zich rechtstreeks wendt tot de Verwerker om zich te beroepen op één van de rechten die hem ingevolge hoofdstuk III van de AVG zijn toegekend, zal de Verwerker dit onverwijld melden aan de Verwerkingsverantwoordelijke en alleen tegemoet komen aan het verzoek van de Betrokkene na schriftelijk akkoord van de Verwerkingsverantwoordelijke.
7.3. Bijstand bij Datalekken
De Verwerker verbindt zich ertoe elk Datalek en alle ernstige pogingen tot onrechtmatige of ongeautoriseerde Verwerkingen of toegangen tot Persoonsgegevens zonder onredelijke vertraging, en uiterlijk 24 uur na kennisname, te melden aan de Verwerkingsverantwoordelijke conform artikel 33.3 van de AVG. De Verwerker zal alle maatregelen treffen die redelijkerwijs nodig zijn om (verdere) schending van de beveiligingsmaatregelen en eventuele schade te voorkomen of te beperken en zal aan de Verwerkingsverantwoordelijke alle informatie die ze nuttig of nodig acht, verschaffen.
Rekening houdend met de aard van de Verwerking en de hem ter beschikking staande informatie, verleent de Verwerker bovendien bijstand aan de Verwerkingsverantwoordelijke bij het nakomen van diens verplichtingen betreffende:
Het is de Verwerker evenwel niet toegestaan om het Datalek zelf te melden aan de GBA of de mededeling aan de betrokkene zelf te verrichten. Dit is uitsluitend de bevoegdheid van de Verwerkingsverantwoordelijke.
7.4. Andere bijstandsverplichtingen
De Verwerker zal - rekening houdend met de aard van de Verwerking en de hem ter beschikking staande informatie – de Verwerkingsverantwoordelijke bijstand verlenen bij het nakomen van diens verplichtingen betreffende:
De Verwerker Verwerkt de Persoonsgegevens alleen binnen de Europese Economische Ruimte.
9.1. De Verwerkingsverantwoordelijke of zijn daartoe aangestelde heeft op elk ogenblik het recht om de naleving van deze Verwerkingsovereenkomst te controleren. Hij kan zich daarvoor, na afspraak, ter plaatse begeven in de lokalen ofplaatsen waar de verwerker de gegevenverwerking uitvoert en de gegevens bewaart.
9.2. Op eenvoudig verzoek van de Verwerkingsverantwoordelijke is de Verwerker ertoe gehouden alle inlichtingen die van toepassing zijn bij de uitvoering van deze Verwerkingsovereenkomst mee te delen en bijstand te verlenen bij het uitvoeren van de audits of bij het vervullen van de verplichting om verzoeken om uitoefening van de in de AVG vastgestelde rechten van de Betrokkene te beantwoorden.
10.1. De Verwerker is niet aansprakelijk ten aanzien van de Verwerkingsverantwoordelijke voor schade die voortvloeit uit een handeling of een nalatigheid bij het uitvoeren van deze Verwerkingsovereenkomst of de privacywetgeving.
10.2. De aansprakelijkheid van de Verwerker is beperkt zoals voorzien in de Opdracht, zonder evenwel afbreuk te doen aan art 82 van de AVG.
11.1. Indien de Verwerker zijn verplichtingen onderdeze Verwerkingsovereenkomst niet naleeft, kan de Verwerkingsverantwoordelijke, onverminderd het recht om een schadevergoeding te bekomen, na schriftelijke gemotiveerde ingebrekestelling de Opdracht geheel of gedeeltelijk beëindigen indien de Verwerker nalaat passende maatregelen te treffen.
12.1. Deze Verwerkingsovereenkomst is onderworpen aan het Belgisch recht. Alle geschillen in verband met deze Verwerkingsovereenkomst, zullen worden voorgelegd aan de bevoegde rechter in het arrondissement waar de Verwerker gevestigd is.
12.2. Indien een bepaling in de Verwerkingsovereenkomst geheel of gedeeltelijk ongeldig, onwettig of nietig zou worden verklaard, tast dit op geen enkele wijze de geldigheid, wettigheid en toepasbaarheid van de andere bepalingen aan. De Partijen zullen vervolgens te goeder trouw onderhandelen om de ongeldige, onwettige of nietige bepaling te vervangen door een geldige bepaling die zoveel als mogelijk de gevolgen heeft van de ongeldige, onwettige of nietige bepaling.
12.3. Aanvullingen en wijzigingen op deze Verwerkingsovereenkomst worden aangeduid door een nieuw versienummer bij de Verwerkingsovereenkomst.
Tapp biedt verschillende online diensten aan voor scholen, verenigingen, sportclubs, jeugdbewegingen, speelpleinen. Afhankelijk van welke diensten de organisatie gebruikt, worden andere Persoonsgegevens verwerkt in naam van de Verwerkingsverantwoordelijke.
In het kader van de Verwerkingsovereenkomst voert de Verwerker op de onderstaande Persoonsgegevens de Verwerkingen uit in opdracht van de Verwerkingsverantwoordelijke:
Zowel De Verwerkingsverantwoordelijke als de eindgebruiker kan ervoor kiezen om bepaalde Persoonsgegevens die hierboven vermeldt werden niet te verzamelen door deze velden leeg te laten. De eindgebruiker heeft steeds de mogelijkheid zijn eigen Persoonsgegevens (en die van zijn kinderen) aan te passen. De Verwerkingsverantwoordelijke kan instellen welke gegevens verreist zijn bij inschrijving alsook extra gegevens verzamelen. De Verwerkingsverantwoordelijke kan dus gelijk welke Persoonsgegevens verzamelen van haar leden via de software van de Verwerker. De Verwerker verzamelt die gegevens dus alleen op vraag van de Verwerkingsverantwoordelijke. Het is dus mogelijk dat er gezondheidsgegevens van leden worden verzameld. De Verwerkingsverantwoordelijke moet zelf kunnen aantonen volgens welke rechtsgronden van de GDPR-wetgeving die gegevens verzameld worden.
De Verwerkingsverantwoordelijke vermeldt zelf in het eigen privacybeleid waarvoor het deze Persoonsgegevens gebruikt. De Verwerkingsverantwoordelijke kan in de applicatie van de Verwerker zelf een link naar het eigen privacybeleid instellen. Het is de taak van de Verwerkingsverantwoordelijke om dit zelf goed te configureren in het systeem.
Deze Persoonsgegevens worden door de Verwerker enkel gebruikt om de oudercommunicatie en administratie mogelijk te maken, voor ondersteuning, foutopsporing en beveiliging.
Daarnaast verwerkt de Verwerker analytische gegevens over het gebruik van de applicatie. De applicatie verzamelt de specificaties van het toestel, de versie van de applicatie, de uitgevoerde acties en de duur hiervan alsook statistieken over het installeren, updaten en verwijderen van de applicatie.
Tapp beschermt alle persoonsgegevens op verschillende niveau's. We hanteren een streng intern beleid betreft toegang tot de data van onze servers en gebruiken we verschillende beveiligingsmethodes om de toegang tot onze servers te beveiligen. Dit zorgt er voor dat het omzeilen van één van deze methodes geen datalek veroorzaakt.
Alle communicatie met de servers van Tapp verloopt over een veilig HTTPS kanaal.
Industry best practices worden toegepast om de toegang tot de server te beveiligen. We maken nooit gebruik van wachtwoord gebaseerde login methodes voor servers, maar altijd cryptografische sleutels. Alle servers zijn uitgerust met een firewall en de software wordt regelmatig bijgewerkt naar de laatste versie.
De gegevens worden opgeslagen in een server in een datacenter in de omgeving van Frankfurt (Duitsland). Deze staan in een datacenter van Google Cloud Platform. Google Cloud Platform is gelicencieerd met de internationale standaard ISO/IEC 27001:2013 voor gegevensbeveiliging.
Laatste aanpassing op:
20/4/2022