Verwerkers­overeenkomst

Deze verwerkersovereenkomst (“Verwerkersovereenkomst”) vormt een integraal onderdeel van de overeenkomst tussen:

(1) de natuurlijke persoon of rechtspersoon die gebruikmaakt van de diensten van Clubhelper en die als verwerkingsverantwoordelijke kwalificeert in de zin van de Algemene Verordening Gegevensbescherming (“Afnemer”)

en

(2) Clubhelper B.V.,
een besloten vennootschap met beperkte aansprakelijkheid naar Nederlands recht, ingeschreven in het Handelsregister onder KvK‑nummer 99102005,
statutair gevestigd te Utrecht,
hierna: “Verwerker” of “Clubhelper”;

Afnemer en Verwerker worden hierna gezamenlijk aangeduid als de “Partijen” en ieder afzonderlijk als een “Partij”.

Artikel 1 – Doel en reikwijdte

1.1. Deze Verwerkersovereenkomst regelt de rechten en plichten van Partijen in het kader van de verwerking van Persoonsgegevens door Verwerker ten behoeve van Afnemer, in de zin van artikel 28 van de Algemene verordening gegevensbescherming (“AVG”).

1.2. Verwerker verbindt zich om Persoonsgegevens uitsluitend te verwerken in opdracht van en volgens de gedocumenteerde instructies van Afnemer, voor de in Bijlage 1 (Omschrijving verwerkingen) beschreven doeleinden.

1.3. Deze Verwerkersovereenkomst is een bijlage bij en onlosmakelijk verbonden met de tussen Partijen gesloten of te sluiten hoofdovereenkomst inzake de levering van diensten en/of software door Verwerker (“Hoofdovereenkomst”). Bij strijdigheid tussen bepalingen uit de Hoofdovereenkomst en deze Verwerkersovereenkomst prevaleren de bepalingen van deze Verwerkersovereenkomst voor zover het gegevensbescherming betreft.

Artikel 2 – Definities

In deze Verwerkersovereenkomst hebben de navolgende termen de volgende betekenis:

1. Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, zoals bedoeld in artikel 4 AVG;
2. Verwerking: een bewerking of een geheel van bewerkingen met betrekking tot Persoonsgegevens, zoals bedoeld in artikel 4 AVG;
3. Betrokkene: de natuurlijke persoon op wie de Persoonsgegevens betrekking hebben;
4. Subverwerker: iedere derde die door of namens Verwerker wordt ingeschakeld om (een deel van) de Verwerking namens Afnemer uit te voeren;
5. Datalek: een inbreuk in verband met Persoonsgegevens, zoals bedoeld in artikel 4 AVG (inbreuk in verband met de beveiliging);
6. AI‑dienst: een (cloud‑)dienst die onder meer gebruikmaakt van kunstmatige intelligentie, waaronder maar niet beperkt tot de OpenAI API.

Waar begrippen in de AVG zijn gedefinieerd, hebben zij in deze Verwerkersovereenkomst dezelfde betekenis.

Artikel 3 – Omschrijving van de verwerkingen

3.1. De aard, het doel, de duur en het soort Verwerkingen, alsmede de categorieën Betrokkenen en Persoonsgegevens, zijn uiteengezet in Bijlage 1.

3.2. Verwerker zal de Persoonsgegevens uitsluitend verwerken voor de uitvoering van de in Bijlage 1 omschreven diensten.

3.3. Indien Afnemer een instructie geeft die volgens Verwerker in strijd is met de AVG of andere toepasselijke wet‑ en regelgeving, stelt Verwerker Afnemer hiervan onverwijld in kennis. Verwerker is gerechtigd uitvoering van de betreffende instructie op te schorten totdat Afnemer de instructie heeft aangepast of schriftelijk heeft bevestigd dat deze desondanks moet worden uitgevoerd, onverminderd de verplichtingen van Verwerker onder de AVG. Ook na een dergelijke schriftelijke bevestiging zal Verwerker geen manifest onrechtmatige instructies uitvoeren. Partijen treden in dat geval onverwijld met elkaar in overleg om tot een rechtmatige oplossing te komen.

Artikel 4 – Verplichtingen van Verwerker

4.1. Verwerker zal Persoonsgegevens uitsluitend verwerken op basis van schriftelijke (waaronder elektronische) instructies van Afnemer, tenzij een wettelijke bepaling Verwerker verplicht om anders te handelen. In dat geval stelt Verwerker Afnemer voorafgaand aan de Verwerking van die Persoonsgegevens in kennis van die wettelijke verplichting, tenzij die wetgeving die kennisgeving om gewichtige redenen van algemeen belang verbiedt.

4.2. Verwerker waarborgt dat personen onder zijn gezag die toegang hebben tot Persoonsgegevens, gehouden zijn aan een passende (contractuele) geheimhoudingsplicht.

4.3. Verwerker zal geen Persoonsgegevens aan derden verstrekken, tenzij:

• dit noodzakelijk is voor de uitvoering van deze Verwerkersovereenkomst en voldoet aan de voorwaarden voor Subverwerkers;
• Afnemer hiermee vooraf schriftelijk heeft ingestemd; of
• Verwerker hiertoe wettelijk verplicht is.

Artikel 5 – Beveiliging

5.1. Verwerker treft passende technische en organisatorische maatregelen om een beveiligingsniveau te waarborgen dat is afgestemd op het risico, zoals bedoeld in artikel 32 AVG. Deze maatregelen zijn nader beschreven in Bijlage 3 (Beveiligingsmaatregelen).

5.2. Bij het bepalen van het passende beveiligingsniveau houdt Verwerker rekening met de stand van de techniek, de uitvoeringskosten, alsmede de aard, omvang, context en het doel van de Verwerking en de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van Betrokkenen.

5.3. Verwerker evalueert de getroffen beveiligingsmaatregelen periodiek en past deze indien nodig aan om te blijven voldoen aan de eisen van artikel 32 AVG.

Artikel 6 – Subverwerkers

6.1. Verwerker is gerechtigd bij de uitvoering van deze Verwerkersovereenkomst gebruik te maken van Subverwerkers, mits Verwerker met deze Subverwerkers schriftelijke overeenkomsten sluit die hen ten minste dezelfde gegevensbeschermingsverplichtingen opleggen als die welke op Verwerker rusten op grond van deze Verwerkersovereenkomst.

6.2. Verwerker blijft volledig aansprakelijk jegens Afnemer voor het handelen en nalaten van Subverwerkers.

6.3. Afnemer geeft Verwerker hierbij een algemene schriftelijke toestemming om Subverwerkers in te schakelen. Een overzicht van de op het moment van ondertekening ingeschakelde Subverwerkers is opgenomen in Bijlage 2 (Subverwerkers).

6.4. Verwerker zal Afnemer informeren bij wezenlijke wijzigingen in de lijst van Subverwerkers (bijvoorbeeld toevoegen of vervangen) en zal Afnemer ten minste 30 dagen vooraf informeren over een voorgenomen wezenlijke wijziging, tenzij een kortere termijn onvermijdelijk is. Afnemer heeft het recht om op redelijke gronden bezwaar te maken tegen een voorgenomen wijziging. Indien Partijen geen overeenstemming bereiken, heeft Afnemer het recht om de overeenkomst, voor zover betrekking hebbend op de betreffende diensten, op te zeggen.

Artikel 7 – AI‑diensten

7.1. Verwerker maakt in het kader van de dienstverlening gebruik van AI‑diensten, waaronder de OpenAI API, ten behoeve van ondersteuning bij administratieve en communicatieve processen, zoals (mede) het genereren van teksten voor ledencommunicatie en interne rapportages.

7.2. Voor zover Persoonsgegevens via AI‑diensten worden verwerkt, geldt dat:

• verwerking uitsluitend plaatsvindt voor de uitvoering van de overeengekomen diensten voor Afnemer;
• waar mogelijk Persoonsgegevens worden geminimaliseerd, gepseudonimiseerd of geanonimiseerd;
• de aanbieder van de AI‑dienst (zoals OpenAI) wordt aangemerkt als Subverwerker;
• Verwerker contractueel waarborgt dat de aanbieder van de AI‑dienst de verstrekte Persoonsgegevens niet gebruikt voor eigen doeleinden, waaronder algemene modeltraining, profilering of productverbetering, tenzij Afnemer daarmee uitdrukkelijk en schriftelijk heeft ingestemd;
• Verwerker er zorg voor draagt dat AI‑diensten zodanig zijn geconfigureerd dat Persoonsgegevens niet worden gebruikt voor algemene modeltraining of productverbetering;
• waar beschikbaar, verwerking primair binnen de EER of onder een passend overdrachtsmechanisme in de zin van hoofdstuk V AVG plaatsvindt;
• alleen de strikt noodzakelijke Persoonsgegevens worden verwerkt voor de betreffende AI‑functionaliteit.

Artikel 8 – Bijstand aan Afnemer

8.1. Verwerker ondersteunt Afnemer, voor zover dit redelijkerwijs mogelijk is, bij het nakomen van diens verplichtingen ten aanzien van verzoeken van Betrokkenen om hun rechten uit te oefenen (zoals inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar). Indien een dergelijk verzoek rechtstreeks bij Verwerker wordt ingediend, zal Verwerker dit, voor zover redelijkerwijs mogelijk, onverwijld en zonder inhoudelijke beoordeling doorgeleiden aan Afnemer, tenzij Afnemer Verwerker uitdrukkelijk en schriftelijk heeft gemachtigd om bepaalde categorieën verzoeken zelfstandig af te handelen.

8.2. Verwerker ondersteunt Afnemer, voor zover redelijkerwijs mogelijk, bij:

• het waarborgen van passende beveiliging (art. 32 AVG);
• het melden en documenteren van Datalekken (art. 33 en 34 AVG);
• het uitvoeren van gegevensbeschermingseffectbeoordelingen (DPIA’s) en eventuele voorafgaande raadpleging van de toezichthouder (art. 35 en 36 AVG).

8.3. Verwerker stelt Afnemer alle informatie ter beschikking die nodig is om aan te tonen dat aan de in deze Verwerkersovereenkomst en de AVG neergelegde verplichtingen wordt voldaan.

Artikel 9 – Datalekken

9.1. Verwerker stelt Afnemer zonder onredelijke vertraging en in ieder geval zo spoedig mogelijk, doch uiterlijk binnen vierentwintig (24) uur na ontdekking op de hoogte van ieder Datalek dat betrekking heeft op de door Afnemer verstrekte Persoonsgegevens.

9.2. De melding bevat in ieder geval, voor zover op dat moment bekend:

• de aard van het Datalek;
• de (vermoedelijke) categorieën en aantallen Betrokkenen en Persoonsgegevens;
• de waarschijnlijke gevolgen van het Datalek;
• de door Verwerker reeds getroffen en voorgenomen maatregelen om het Datalek aan te pakken en de nadelige gevolgen te beperken.

9.3. Verwerker houdt een register bij van Datalekken en verstrekt Afnemer op diens verzoek inzage in de gegevens betreffende een Datalek dat de Persoonsgegevens van Afnemer betreft.

9.4. Afnemer is verantwoordelijk voor het (al dan niet) melden van een Datalek aan de bevoegde toezichthouder en, indien vereist, aan de Betrokkenen. Verwerker verleent hierbij de noodzakelijke medewerking.

Artikel 10 – Doorgifte buiten de EER

10.1. Verwerker zal Persoonsgegevens uitsluitend buiten de Europese Economische Ruimte (“EER”) laten verwerken indien dit noodzakelijk is voor de uitvoering van de diensten en mits wordt voldaan aan de voorwaarden van hoofdstuk V AVG.

10.2. Indien Subverwerkers zoals OpenAI, Brevo, Microsoft Azure, Cloudflare of Slack Persoonsgegevens buiten de EER verwerken, waarborgt Verwerker dat passende waarborgen zijn getroffen, bijvoorbeeld door middel van door de Europese Commissie goedgekeurde standaardcontractbepalingen of een adequaatheidsbesluit.

10.3. Verwerker informeert Afnemer desgevraagd over de door Subverwerkers gebruikte overdrachtsmechanismen.

Artikel 11 – Audits en inspecties

11.1. Afnemer heeft het recht om, na voorafgaande schriftelijke aankondiging en binnen redelijke grenzen, audits of inspecties te (laten) verrichten met betrekking tot de naleving van deze Verwerkersovereenkomst en de AVG door Verwerker.

11.2. Verwerker zal daaraan in redelijke mate meewerken en de noodzakelijke informatie, systemen en ruimtes ter beschikking stellen, met inachtneming van de vertrouwelijkheid van informatie en de beveiliging van andere klanten van Verwerker.

11.3. Indien Verwerker reeds beschikt over relevante certificeringen of auditrapporten (bijvoorbeeld ISO‑certificeringen of SOC‑rapportages), kan Verwerker deze aan Afnemer ter beschikking stellen. Voor zover deze rapportages voldoende inzicht geven in de naleving van deze Verwerkersovereenkomst, kunnen zij (gedeeltelijk) in de plaats treden van het uitvoeren van een eigen audit.

Artikel 12 – Duur, beëindiging en verwijdering van gegevens

12.1. Deze Verwerkersovereenkomst treedt in werking op de Ingangsdatum en blijft van kracht zolang Verwerker Persoonsgegevens verwerkt in het kader van de Hoofdovereenkomst.

12.2. Beëindiging van de Hoofdovereenkomst brengt, behoudens andersluidende afspraak, beëindiging van deze Verwerkersovereenkomst met zich mee, onverminderd bepalingen die naar hun aard voortduren (zoals geheimhouding en bepaalde aansprakelijkheidsbepalingen).

12.3. Na beëindiging van de dienstverlening zal Verwerker, naar keuze van Afnemer en binnen een redelijke termijn (bijvoorbeeld 30 dagen):

• alle Persoonsgegevens aan Afnemer retourneren, of
• alle Persoonsgegevens op zorgvuldige wijze verwijderen en vernietigen, inclusief eventuele kopieën en back‑ups,

tenzij opslag van (bepaalde) gegevens wettelijk verplicht is. In dat geval zal Verwerker deze gegevens alleen nog bewaren voor zover en zolang dat wettelijk vereist is.

Voor zover Persoonsgegevens zijn opgenomen in back‑ups of logbestanden die onderdeel uitmaken van de reguliere continuïteits‑ en beveiligingsprocessen van Verwerker, geldt dat deze gegevens na beëindiging van de dienstverlening niet langer actief worden verwerkt en uitsluitend nog worden bewaard voor zover noodzakelijk voor die doeleinden. Zij worden overeenkomstig het vastgestelde back‑up‑ en retentieschema van Verwerker overschreven of vernietigd, met een maximale bewaartermijn van zes (6) maanden na beëindiging van de dienstverlening, tenzij een langere bewaartermijn wettelijk verplicht is.

12.4. Verwerker zal op verzoek van Afnemer schriftelijk bevestigen dat verwijdering of vernietiging van Persoonsgegevens overeenkomstig dit artikel heeft plaatsgevonden, met inbegrip van een globale toelichting op de wijze waarop dit ten aanzien van back‑ups en logbestanden is uitgevoerd.

Artikel 13 – Aansprakelijkheid

13.1. De aansprakelijkheid van Verwerker voor schade voortvloeiend uit of verband houdend met een toerekenbare tekortkoming in de nakoming van deze Verwerkersovereenkomst of een inbreuk op de AVG wordt beheerst door de aansprakelijkheidsbepalingen uit de Hoofdovereenkomst, tenzij in strijd met dwingend recht.

13.2. Voor zover de Hoofdovereenkomst daarin niet voorziet, is de totale aansprakelijkheid van Verwerker jegens Afnemer per contractjaar beperkt tot het bedrag gelijk aan de totale vergoedingen (exclusief btw) die Afnemer in dat contractjaar op grond van de Hoofdovereenkomst aan Verwerker heeft betaald, met dien verstande dat deze aansprakelijkheid nooit meer bedraagt dan het jaarlijkse licentiebedrag, behoudens in geval van opzet of bewuste roekeloosheid van Verwerker of diens leidinggevend personeel en behoudens aansprakelijkheid die krachtens dwingend recht niet kan worden beperkt.

13.3. Afnemer zal Verwerker vrijwaren voor aanspraken van derden (waaronder Betrokkenen en toezichthouders) voor zover deze het gevolg zijn van een toerekenbare tekortkoming of onrechtmatige daad van Afnemer, waaronder het verstrekken van onjuiste of onrechtmatige instructies.

13.4. Niets in deze Verwerkersovereenkomst beoogt de rechten van Betrokkenen onder de AVG of de rechtstreekse aansprakelijkheid van Afnemer en/of Verwerker jegens Betrokkenen op grond van artikel 82 AVG te beperken. De in dit artikel opgenomen beperkingen zien uitsluitend op de onderlinge aansprakelijkheid en risicoverdeling tussen Partijen.

Artikel 14 – Geheimhouding

14.1. Verwerker zal alle Persoonsgegevens en andere vertrouwelijke informatie die hij in het kader van deze Verwerkersovereenkomst of de Hoofdovereenkomst ontvangt, als strikt vertrouwelijk behandelen en deze niet aan derden bekendmaken, behoudens voor zover dit noodzakelijk is voor de uitvoering van de overeenkomst of op grond van een wettelijke verplichting.

14.2. De in dit artikel opgenomen verplichtingen blijven van kracht na beëindiging van deze Verwerkersovereenkomst.

Artikel 15 – Toepasselijk recht en bevoegde rechter

15.1. Op deze Verwerkersovereenkomst is uitsluitend Nederlands recht van toepassing.

15.2. Geschillen die voortvloeien uit of verband houden met deze Verwerkersovereenkomst zullen, behoudens dwingendrechtelijke bepalingen, worden voorgelegd aan de bevoegde rechter van de rechtbank Midden-Nederland, locatie Utrecht.

Artikel 16 – Slotbepalingen

16.1. Indien één of meer bepalingen van deze Verwerkersovereenkomst nietig zijn of vernietigd worden, blijven de overige bepalingen volledig van kracht. Partijen zullen in dat geval in overleg treden om een nieuwe bepaling overeen te komen die zoveel mogelijk aansluit bij doel en strekking van de nietige of vernietigde bepaling.

16.2. Wijzigingen en aanvullingen op deze Verwerkersovereenkomst zijn slechts geldig indien schriftelijk overeengekomen. Instemming met deze Verwerkersovereenkomst zelf vindt plaats overeenkomstig de instemmingsclausule.

16.3. In geval van tegenstrijdigheid tussen deze Verwerkersovereenkomst en eventuele vertalingen daarvan, is de Nederlandstalige tekst beslissend.

Instemming

Deze Verwerkersovereenkomst wordt van kracht op het moment dat de Afnemer de offerte of overeenkomst met Clubhelper digitaal ondertekent, waarin deze Verwerkersovereenkomst van toepassing wordt verklaard.

Door deze digitale ondertekening verklaart de Afnemer akkoord te gaan met de inhoud van deze Verwerkersovereenkomst.

Bijlage 1 – Omschrijving verwerkingen

1. Doeleinden van de verwerking

De verwerking van Persoonsgegevens door Verwerker vindt plaats voor de volgende doeleinden:

• voeren van leden-, klant- en relatieadministratie (waaronder ook proefleden oud‑leden, ouders van jeugdleden en overige betrokkenen);
• beheer van leads/prospects (bijv. proeflesaanvragen, contactverzoeken, offertes en opvolging);
• beheer van abonnementen, lidmaatschappen en bijbehorende rechten (zoals toegang, pauzeren, opzeggen);
• planning en organisatie van lessen, trainingen, afspraken, intakegesprekken, tests, evenementen en overige clubactiviteiten;
• communicatie met (potentiële) leden en overige betrokkenen (o.a. via e‑mail, nieuwsbrieven, sms/WhatsApp en berichtenfuncties);
• contributie-, abonnements- en betalingsverwerking (incl. incasso’s, facturen, herinneringen en reconciliatie);
• rapportages en statistieken ten behoeve van clubmanagement, bezetting, retentie en dienstverlening;
• ondersteuning en optimalisatie van genoemde processen door middel van AI‑functionaliteit (bijv. samenvatten, classificeren, aanbevelingen of geautomatiseerde workflows, voor zover overeengekomen en toegestaan).
• wedstrijd-, competitie- en teammanagement (o.a. teamindeling, beschikbaarheid/aanwezigheid, wedstrijdplanning, opstellingen, uitslagen, standen en statistieken), indien van toepassing;
• administratie en communicatie in het kader van deelname aan sportbonden/federaties/competities (o.a. registratie, bonds-/licentienummers, spelerspassen, overschrijvingen en bondscontributies), indien van toepassing;
• planning en administratie van officials/scheidsrechters/juryleden (o.a. beschikbaarheid, indeling en vergoedingen), indien van toepassing;
• beheer van vrijwilligersdiensten en verenigingsrollen (o.a. bardiensten, taakroosters, commissies en beschikbaarheid), indien van toepassing;
• toegangs- en faciliteitenbeheer (o.a. toegangspassen/QR-codes, reserveringen van velden/zalen/materialen en controle van gebruiksrechten), indien van toepassing;
• afhandeling van declaraties en vergoedingen (o.a. reis- en onkostenvergoedingen voor trainers/vrijwilligers), indien van toepassing.

2. Categorieën Betrokkenen

• leden/abonnees van Afnemer (incl. jeugd en volwassenen, indien van toepassing);
• proefleden, bezoekers en overige deelnemers aan lessen, evenementen of introducties;
• leads/prospects die informatie aanvragen of zich inschrijven voor een proefles of aanbieding;
• trainers en overige (zelfstandige of in dienst zijnde) medewerkers;
• overige natuurlijke personen die betrokken zijn bij clubactiviteiten (bijv. gasttrainers, vrijwilligers, ouders), voor zover van toepassing.
• officials (zoals scheidsrechters, juryleden en andere functionarissen), indien van toepassing;
• deelnemers aan wedstrijden/toernooien/evenementen die geen lid zijn (bijv. gastspelers of deelnemers van andere verenigingen), indien van toepassing;
• bestuursleden en commissieleden (voor zover als gebruiker/profiel in de software geregistreerd), indien van toepassing;
• noodcontactpersonen en contactpersonen van (jeugd)leden, indien van toepassing.

3. Categorieën Persoonsgegevens (indicatief)

• Identificatiegegevens: naam, geslacht (optioneel), geboortedatum/leeftijdscategorie;
• Contactgegevens: adres, postcode, woonplaats, telefoonnummer, e‑mailadres;
• Lidmaatschaps-/abonnementsgegevens: klant- of lidnummer, start- en einddatum, type abonnement of lidmaatschap, team- of groepsindeling, lid- of abonnementsstatus;
• Vrijwilligers- en medewerkersgegevens: functie, vaardigheden, diploma’s, VOG/verklaringen omtrent gedrag, voorkeuren, beschikbaarheid en relevante achtergrondinformatie voor de uitvoering van taken binnen de club/organisatie;
• Lead- en marketinggegevens: herkomst lead/campagne, interesse (voor zover opgegeven), contactmomenten en opvolgstatus;
• Financiële gegevens: IBAN en beperkte betaalgegevens, factuurgegevens, betalingsstatus en betalingshistorie voor zover noodzakelijk voor inning en administratie;
• Activiteitsgegevens: deelname aan trainingen, wedstrijden en andere activiteiten van Afnemer en (optioneel) trainingsnotities of voortgangsgegevens die door het lid worden aangeleverd of in het kader van coaching worden vastgelegd;
• Eventueel beeldmateriaal (foto’s/video’s): voor zover toegestaan en relevant voor communicatie/marketing of interne doeleinden;
• Technische gegevens: IP‑adres, login-/accountgegevens, apparaat- en gebruiksgegevens, voor zover noodzakelijk voor gebruik van de software.
• Bonds-/competitiegegevens: bondsnummer/licentienummer, spelerspas-/kaartnummer, team- en wedstrijdgerelateerde gegevens (zoals positie/rol, beschikbaarheid, aanwezigheid, wedstrijdhistorie, uitslagen en sportstatistieken), indien van toepassing;
• Jeugd- en contactgegevens: gegevens van ouder(s)/voogd(en) (zoals naam, contactgegevens en relatie tot het jeugdlid), noodcontact(en) en (indien vastgelegd) relevante toestemmingen/afspraken rondom bereikbaarheid en begeleiding, indien van toepassing;
• Vrijwilligers- en verenigingsdienstgegevens: ingeroosterde diensten/rollen, beschikbaarheid, voorkeuren en (indien van toepassing) vergoedingen/declaraties, indien van toepassing;
• Toegangs- en reserveringsgegevens: gegevens over toegangsmiddelen (bijv. pas-/QR-code-ID) en reserveringen van faciliteiten/materialen, indien van toepassing.

Bijlage 2 – Subverwerkers

Verwerker maakt gebruik van de Subverwerkers op de actuele lijst op clubhelper.nl/subverwerkers. Verwerker houdt deze lijst bij en informeert Afnemer over wijzigingen zoals bepaald in artikel 6.4. Bij het opstellen van deze Verwerkersovereenkomst zijn dat:

1. OpenAI – levering van AI‑functionaliteit via de OpenAI API (tekstgeneratie en gerelateerde diensten).
2. Brevo – e‑mail‑ en communicatieplatform (transactionele e‑mails, nieuwsbrieven, notificaties).
3. Microsoft Azure – cloud‑ en hostingplatform en overige infrastructuurdiensten.
4. Cloudflare – beveiliging en doorgifte van het verkeer naar de website en de app.
5. Slack – meldingen aan het Clubhelper-team over gesprekken die aandacht nodig hebben.

Bijlage 3 – Beveiligingsmaatregelen

De Verwerker treft ten minste de volgende technische en organisatorische beveiligingsmaatregelen:

Organisatorische maatregelen

• Toegangsbeheer op basis van “need‑to‑know” en “least privilege”;
• Gebruik van individuele accounts voor medewerkers, geen gedeelde logins;
• Geheimhoudingsverplichtingen in arbeidsovereenkomsten en/of aparte NDA’s;
• Periodieke bewustwordingstrainingen over informatiebeveiliging en privacy;
• Formele procedures voor onboarding en offboarding van medewerkers, waaronder het direct intrekken van accounts en toegangsrechten bij uitdiensttreding.

2. Technische maatregelen

• Gebruik van een professioneel cloudplatform (Microsoft Azure) met passende standaardbeveiliging (o.a. fysieke beveiliging datacenters, netwerkbeveiliging);
• Versleuteling van dataverkeer via moderne protocollen (bijv. TLS 1.2 of hoger) en, waar passend, versleuteling van gegevens in rust (disk‑encryptie, database‑encryptie);
• Logische toegangscontrole met:
  • sterke wachtwoordvereisten;
  • waar mogelijk multifactor‑authenticatie (MFA) voor beheerders en andere kritieke accounts;
• Logging en monitoring van toegang tot systemen en Persoonsgegevens, met aandacht voor ongebruikelijke of verdachte activiteiten;
• Regelmatige installatie van beveiligingsupdates en patches voor systemen, applicaties en onderliggende infrastructuur (patchmanagementproces);
• Scheiding van omgevingen (ontwikkeling, test, productie) voor zover technisch en organisatorisch haalbaar, met gebruik van gescheiden datasets of geanonimiseerde/pseudonieme testdata in niet‑productieomgevingen.

3. Back‑ups, incidentmanagement en continuïteit

• Periodieke back‑ups van relevante Persoonsgegevens en configuraties, met veilige opslag van back‑ups (bij voorkeur versleuteld);
• Periodieke tests van herstelprocedures (restore‑tests) om te verifiëren dat back‑ups bruikbaar zijn;
• Back‑ups en relevante logbestanden worden bewaard volgens een vooraf gedocumenteerd back‑up‑ en retentieschema, waarin onder meer maximale bewaartermijnen, opslaglocaties en vernietigings‑ of overschrijvingsprocedures zijn vastgelegd;
• Een procedure voor beveiligingsincidenten en Datalekken, waaronder:
  • detectie en interne melding van incidenten;
  • classificatie en impactanalyse;
  • documentatie en follow‑upmaatregelen;
  • tijdige melding aan Afnemer conform artikel 9 van de Verwerkersovereenkomst;
• Continuïteitsmaatregelen om de beschikbaarheid van de Diensten te waarborgen (bijv. gebruik van redundante componenten op het cloudplatform, monitoring van beschikbaarheid en capaciteit).

4. Evaluatie

Verwerker beoordeelt de doeltreffendheid van bovenstaande maatregelen periodiek en past maatregelen waar nodig aan om te blijven voldoen aan de stand van de techniek en aan de risico’s voor Betrokkenen.