Verwerkersovereenkomst

01 Partijen en toepassing

Deze verwerkersovereenkomst (versie 2026-11) geldt tussen de club, vereniging of andere organisatie die Vereno gebruikt (de Organisatie) en Stolk Enterprises B.V., ingeschreven bij de Kamer van Koophandel onder nummer 65672615, waarvan Vereno onderdeel is (Vereno of de Verwerker). De Organisatie is verwerkingsverantwoordelijke voor de persoonsgegevens die zij in Vereno vastlegt of laat vastleggen; Vereno verwerkt die gegevens als verwerker in de zin van artikel 28 van de Algemene Verordening Gegevensbescherming (AVG).

Deze overeenkomst maakt deel uit van de servicevoorwaarden en de overeenkomst over het gebruik van Vereno (de Hoofdovereenkomst) en is van toepassing zodra de Organisatie het platform gebruikt. Begrippen zoals persoonsgegevens, verwerking, betrokkene en inbreuk in verband met persoonsgegevens hebben de betekenis uit de AVG.

02 Onderwerp en duur

Onderwerp van deze overeenkomst is de verwerking van persoonsgegevens die nodig is om Vereno als platform voor ledenadministratie, activiteiten, communicatie en betalingen aan de Organisatie te leveren.

De overeenkomst loopt zo lang als de Hoofdovereenkomst en daarna zo lang Vereno nog persoonsgegevens van de Organisatie verwerkt, totdat die zijn verwijderd zoals beschreven onder 'Einde van de overeenkomst'.

03 Aard en doel van de verwerking

Vereno verwerkt de persoonsgegevens uitsluitend om de functies van het platform te leveren die de Organisatie gebruikt, waaronder:

• opslaan, ordenen, tonen, wijzigen, exporteren en verwijderen van leden-, gezins- en lidmaatschapsgegevens;
• versturen van e-mails en meldingen namens de Organisatie, zoals uitnodigingen, herinneringen, facturen en nieuwsbrieven;
• aanmaken van facturen en betaalverzoeken en het innen van contributie en andere bedragen via het Mollie-account van de Organisatie;
• registreren van aanmeldingen, aanwezigheid en reserveringen;
• opslaan en tonen van foto's en bestanden;
• publiceren van gegevens die de Organisatie daarvoor aanwijst, zoals teams, bestuur en sponsors, op de openbare pagina's van de Organisatie en via de openbare website-API;
• verlenen van support op verzoek van de Organisatie.

Vereno gebruikt de persoonsgegevens van de Organisatie niet voor eigen doeleinden. Vereno gebruikt alleen niet tot personen herleidbare aantallen (zoals het aantal leden) voor de facturatie aan de Organisatie, en verwerkt technische gegevens zoals IP-adressen en logboeken als zelfstandig verwerkingsverantwoordelijke voor de beveiliging van het platform, zoals beschreven in de privacyverklaring.

04 Categorieën persoonsgegevens

Afhankelijk van wat de Organisatie vastlegt, gaat het om:

• naam-, adres- en contactgegevens (e-mailadres, telefoonnummer);
• geboortedatum en geslacht;
• foto's en andere bestanden;
• lidmaatschapsgegevens, teams, rollen, opzeggingen en notities;
• relaties tussen leden, ouders, verzorgers en gemachtigden;
• IBAN, naam rekeninghouder, incassomachtigingen en de handtekening onder een in het portaal ondertekende machtiging, betalingen, facturen en terugbetalingen;
• aanmeldingen, aanwezigheid, keuzes bij evenementen en reserveringen;
• e-mailvoorkeuren, toestemmingen en verzend- en afleverstatussen van e-mails.

De Organisatie legt geen bijzondere categorieën van persoonsgegevens (zoals gezondheidsgegevens) of strafrechtelijke gegevens vast in Vereno, ook niet in vrije tekstvelden zoals notities. Het burgerservicenummer wordt niet verwerkt.

05 Categorieën betrokkenen

• leden, waaronder jeugdleden jonger dan 16 jaar;
• aspirant-leden die zich aanmelden;
• ouders, verzorgers en gemachtigden van leden;
• bestuursleden, trainers en vrijwilligers die het platform gebruiken;
• deelnemers aan activiteiten van de Organisatie;
• contactpersonen van sponsors;
• huurders die geen lid zijn en een accommodatie of materiaal van de Organisatie huren;
• bezoekers die het contactformulier van de Organisatie gebruiken.

06 Instructies van de Organisatie

Vereno verwerkt de persoonsgegevens alleen op basis van schriftelijke instructies van de Organisatie. Deze overeenkomst, de Hoofdovereenkomst en de manier waarop de Organisatie het platform instelt en gebruikt, gelden als die instructies.

Als een instructie naar het oordeel van Vereno in strijd is met de AVG of andere regels over gegevensbescherming, meldt Vereno dat direct aan de Organisatie.

Moet Vereno op grond van Unierecht of Nederlands recht persoonsgegevens verwerken, bijvoorbeeld om aan een rechterlijk bevel te voldoen, dan informeert Vereno de Organisatie daarover voorafgaand aan de verwerking, tenzij de wet dat verbiedt.

07 Geheimhouding

Vereno zorgt ervoor dat alleen personen die dat voor hun werk nodig hebben toegang hebben tot de persoonsgegevens, en dat zij tot geheimhouding verplicht zijn, contractueel of op grond van de wet. Medewerkers van Vereno bekijken gegevens van de Organisatie alleen als dat nodig is voor support, beheer of beveiliging; meekijken in een account wordt vastgelegd.

08 Beveiliging

Vereno neemt passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG. Daaronder vallen in ieder geval:

• versleuteling van alle verbindingen met TLS (HTTPS met HSTS);
• versleuteling van IBAN-nummers van leden en betalers, authenticator-sleutels en Mollie-koppelingen in de database (AES-256-GCM);
• scheiding van de gegevens van organisaties met row-level security in de database, naast autorisatiecontroles in de applicatie;
• rechten per bestuurslid, door de Organisatie zelf in te stellen;
• inloggen met passkeys en tweestapsverificatie; tweestapsverificatie is verplicht voor beheerders van Vereno;
• wachtwoorden gehasht met Argon2id en eenmalige inlog-, betaal- en agendalinks alleen als hash opgeslagen;
• beperking van inlogpogingen, blokkades bij misbruik en botbescherming op openbare formulieren;
• logboeken van belangrijke acties, inclusief het meekijken door beheerders van Vereno;
• hosting en opslag binnen de Europese Unie.

Vereno evalueert de maatregelen regelmatig en mag ze aanpassen, zolang het beveiligingsniveau niet lager wordt. De Organisatie is zelf verantwoordelijk voor het zorgvuldig toekennen van rechten aan haar bestuursleden en vrijwilligers.

09 Subverwerkers

De Organisatie geeft Vereno algemene toestemming om de volgende subverwerkers in te schakelen:

Vereno legt aan iedere subverwerker schriftelijk dezelfde verplichtingen op als in deze overeenkomst en blijft tegenover de Organisatie verantwoordelijk voor de nakoming daarvan.

Vereno informeert de Organisatie ten minste 30 dagen vooraf per e-mail aan de beheerders van de Organisatie over een nieuwe of vervangende subverwerker en werkt deze lijst bij. De Organisatie kan binnen die termijn op redelijke gronden bezwaar maken. Vinden partijen geen oplossing, dan mag de Organisatie de Hoofdovereenkomst opzeggen tegen de datum waarop de wijziging ingaat.

Koppelt de Organisatie haar eigen Mollie-account, dan heeft de Organisatie een eigen overeenkomst met Mollie B.V. en is Mollie geen subverwerker van Vereno; Vereno geeft betaalgegevens dan op instructie van de Organisatie door aan Mollie. Kaarten op de openbare locatiepagina's, waaronder de aanmeldpagina van de Organisatie, worden door de browser van de bezoeker bij OpenStreetMap opgehaald; daarbij ziet OpenStreetMap het IP-adres van de bezoeker, maar deelt Vereno geen ledengegevens. De kaartsoftware (Leaflet) levert Vereno vanaf haar eigen servers.

10 Doorgifte buiten de EER

Vereno slaat de persoonsgegevens op binnen de Europese Unie. Doorgifte naar landen buiten de Europese Economische Ruimte vindt alleen plaats met passende waarborgen uit hoofdstuk V van de AVG, zoals bij de subverwerkers vermeld.

11 Rechten van betrokkenen en bijstand

Het platform biedt de Organisatie functies om verzoeken van betrokkenen zelf af te handelen: gegevens van leden inzien, corrigeren, exporteren, verwijderen en anonimiseren. Leden kunnen in het ledenportaal zelf hun gegevens downloaden en hun account verwijderen.

Ontvangt Vereno rechtstreeks een verzoek van een betrokkene over gegevens van de Organisatie, dan stuurt Vereno dat binnen vijf werkdagen door aan de Organisatie en handelt Vereno het niet inhoudelijk af zonder instructie van de Organisatie.

Vereno helpt de Organisatie, rekening houdend met de aard van de verwerking en de beschikbare informatie, bij het nakomen van haar verplichtingen uit de artikelen 32 tot en met 36 AVG, zoals een gegevensbeschermingseffectbeoordeling (DPIA) of een voorafgaande raadpleging van de toezichthouder.

12 Datalekken

Vereno meldt een inbreuk in verband met persoonsgegevens van de Organisatie zonder onredelijke vertraging aan de Organisatie, en in ieder geval binnen 48 uur nadat Vereno de inbreuk heeft ontdekt, per e-mail aan de beheerders van de Organisatie.

De melding bevat, voor zover bekend: de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de maatregelen die Vereno heeft genomen of voorstelt, en een contactpersoon. Is nog niet alles bekend, dan vult Vereno de melding in fasen aan.

De Organisatie beslist of de inbreuk wordt gemeld aan de Autoriteit Persoonsgegevens en aan betrokkenen. Vereno helpt daarbij, maar meldt niet namens de Organisatie zonder haar opdracht. Vereno legt alle inbreuken vast in een intern register.

13 Einde van de overeenkomst

Tijdens de looptijd kan de Organisatie haar gegevens op ieder moment exporteren, onder meer via de ledenexport in het dashboard.

Na het einde van de Hoofdovereenkomst verwijdert Vereno de persoonsgegevens van de Organisatie binnen 90 dagen, tenzij de Organisatie vóór die datum om teruggave vraagt; Vereno levert de gegevens dan eerst in een gangbaar formaat aan. Kopieën in back-ups worden binnen de bewaartermijn van die back-ups verwijderd en worden tot dan niet meer gebruikt.

Dit geldt niet voor gegevens die Vereno op grond van Unierecht of Nederlands recht moet bewaren; die worden alleen voor dat doel bewaard.

14 Informatie en audits

Vereno stelt de Organisatie alle informatie ter beschikking die nodig is om aan te tonen dat Vereno deze overeenkomst nakomt, zoals een beschrijving van de beveiligingsmaatregelen en het overzicht van subverwerkers.

De Organisatie mag maximaal eenmaal per jaar, en daarnaast bij een ernstige inbreuk of op verzoek van een toezichthouder, een audit laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding is verplicht. De Organisatie kondigt een audit ten minste 30 dagen vooraf aan, de audit verstoort de dienstverlening niet onnodig en de kosten zijn voor de Organisatie, tenzij de audit aantoont dat Vereno deze overeenkomst op wezenlijke punten niet nakomt.

15 Aansprakelijkheid en slotbepalingen

Voor aansprakelijkheid gelden de afspraken uit de Hoofdovereenkomst. Bij strijdigheid tussen deze overeenkomst en de Hoofdovereenkomst gaat deze overeenkomst voor wat betreft de verwerking van persoonsgegevens.

Vereno kan deze overeenkomst wijzigen als wet- of regelgeving of de dienst dat nodig maakt. Wezenlijke wijzigingen kondigt Vereno ten minste 30 dagen vooraf aan. Op deze overeenkomst is Nederlands recht van toepassing.

Vragen over deze overeenkomst kun je sturen naar support@vereno.nl.