Verwerkersovereenkomst

1. Partijen en rollen

De klant (de vereniging, voetbalschool of organisatie) is verwerkingsverantwoordelijke: hij bepaalt doel en middelen van de verwerking van spelersgegevens. PlusXI (KvK 62042149, gevestigd te Bennekom) is verwerker: PlusXI verwerkt die gegevens uitsluitend om de dienst te leveren, in opdracht van de klant.

2. Definities

De begrippen persoonsgegevens, verwerking, betrokkene, verwerkingsverantwoordelijke, verwerker, subverwerker en datalek hebben de betekenis die de AVG (Verordening (EU) 2016/679) eraan geeft.

3. Onderwerp en duur

PlusXI verwerkt persoonsgegevens zolang de klant de dienst gebruikt. De verwerking eindigt bij het einde van de overeenkomst, waarna de teruggave- en verwijderregeling van artikel 10 geldt.

4. Aard, doel en categorieën van de verwerking

• Doel: het leveren van de dienst: trainingen plannen, opstellingen maken, wedstrijden begeleiden en de ontwikkeling van spelers volgen.
• Betrokkenen: trainers, coördinatoren, overige staf, ouders en spelers van de club.
• Categorieën gegevens: accountgegevens (naam, e-mail) van staf en ouders; van spelers uitsluitend beperkte gegevens zoals voornaam of initialen, optioneel rugnummer, keeper-rol, aanwezigheid, beoordelingen en ontwikkeldoelen. Optioneel een spelerfoto, alleen met geregistreerde, intrekbare toestemming.
• Geen bijzondere gegevens: adressen, geboortedata en medische gegevens worden niet in de dienst opgeslagen.

5. Verplichtingen van PlusXI als verwerker

• PlusXI verwerkt de gegevens uitsluitend op basis van de instructies van de klant en voor de hierboven genoemde doelen.
• Personen die namens PlusXI toegang hebben, zijn tot geheimhouding verplicht.
• PlusXI ondersteunt de klant redelijkerwijs bij verzoeken van betrokkenen en bij zijn eigen AVG-verplichtingen (beveiliging, meldplicht, gegevensbeschermingseffectbeoordeling).

6. Beveiligingsmaatregelen (art. 32 AVG)

• Toegang op rol: gegevens zijn alleen zichtbaar voor bevoegde gebruikers; de scheiding tussen clubs en de toegang op rol worden in de database zelf afgedwongen.
• Versleuteling onderweg: verkeer verloopt via versleutelde verbindingen (HTTPS).
• Opslag binnen de EU: gegevens staan bij een EU-datacentrum (Frankfurt).
• Dataminimalisatie: van spelers wordt bewust zo min mogelijk vastgelegd.
• Back-ups en logging: er zijn back-ups en belangrijke wijzigingen worden vastgelegd.

7. Meldplicht datalekken

Bij een datalek dat (mogelijk) de gegevens van de klant raakt, informeert PlusXI de klant zonder onredelijke vertraging na ontdekking, met de bij PlusXI bekende informatie, zodat de klant kan voldoen aan zijn eigen meldplicht bij de Autoriteit Persoonsgegevens en betrokkenen.

8. Subverwerkers

De klant geeft PlusXI een algemene machtiging om subverwerkers in te schakelen voor de levering van de dienst. PlusXI legt hun dezelfde verplichtingen op. Nieuwe of gewijzigde subverwerkers worden vooraf aangekondigd, zodat de klant bezwaar kan maken. De huidige subverwerkers:

9. Doorgifte buiten de EER

Verwerking vindt in beginsel binnen de EER plaats. Is doorgifte naar een derde land aan de orde (bijvoorbeeld bij e-mailverzending), dan gebeurt dat alleen met passende waarborgen zoals de standaardcontractbepalingen van de Europese Commissie.

10. Teruggave en verwijdering

Bij het einde van de overeenkomst kan de klant zijn gegevens exporteren in een machine-leesbaar formaat. Daarna verwijdert of anonimiseert PlusXI de persoonsgegevens, uiterlijk zoals beschreven in de privacyverklaring (in beginsel binnen twee seizoenen na vertrek), tenzij bewaring wettelijk verplicht is.

11. Rechten van betrokkenen en audit

PlusXI helpt de klant om verzoeken van betrokkenen (inzage, correctie, verwijdering, export) af te handelen. Op redelijk verzoek verstrekt PlusXI de informatie die de klant nodig heeft om de naleving van deze overeenkomst aan te tonen.

12. Contact

Vragen of meldingen op grond van deze overeenkomst lopen via support@plusxi.com.