Verwerkersovereenkomst Accommodatieplanner

Versie 14 oktober 2026

Partijen

1. De vereniging die de Accommodatieplanner gebruikt en deze overeenkomst aanvaardt zoals beschreven in artikel 12, hierna: de Verwerkingsverantwoordelijke;
2. Murmur Works B.V., Karperveen 404, 3205 HJ Spijkenisse, KvK-nummer 42094950, hierna: de Verwerker.

Overwegingen

• De Verwerker levert de Accommodatieplanner: een online dienst waarmee de Verwerkingsverantwoordelijke haar thuiswedstrijden indeelt over velden en kleedkamers en vrijwillige scheidsrechters indeelt.
• Daarbij verwerkt de Verwerker persoonsgegevens uitsluitend ten behoeve van de Verwerkingsverantwoordelijke.
• Partijen leggen hun afspraken daarover vast, zoals bedoeld in artikel 28 lid 3 van de Algemene verordening gegevensbescherming (AVG). Deze overeenkomst hoort bij de algemene voorwaarden van de Accommodatieplanner.

Artikel 1. Onderwerp en duur

1.1 De Verwerker verwerkt persoonsgegevens uitsluitend voor het doel, op de manier en voor de categorieën betrokkenen en gegevens die zijn beschreven in Bijlage A.

1.2 Deze overeenkomst geldt zolang de Verwerker persoonsgegevens verwerkt voor de Verwerkingsverantwoordelijke, ook tijdens een proefperiode. Bepalingen die naar hun aard doorlopen (geheimhouding, teruggave en verwijdering, aansprakelijkheid) blijven daarna gelden.

Artikel 2. Instructies

2.1 De Verwerker verwerkt persoonsgegevens alleen op basis van schriftelijke instructies van de Verwerkingsverantwoordelijke. Deze overeenkomst, de algemene voorwaarden en de instellingen die de Verwerkingsverantwoordelijke zelf in haar omgeving maakt (bijvoorbeeld wie zij als lid toevoegt of verwijdert), gelden als instructie.

2.2 Is de Verwerker van mening dat een instructie in strijd is met de AVG of andere regelgeving, dan meldt hij dat onverwijld aan de Verwerkingsverantwoordelijke.

2.3 Wordt de Verwerker wettelijk verplicht gegevens te verwerken of te verstrekken, dan informeert hij de Verwerkingsverantwoordelijke daarover vooraf, tenzij de wet dat verbiedt.

Artikel 3. Geheimhouding

De Verwerker zorgt dat iedereen die onder zijn gezag toegang heeft tot de persoonsgegevens, tot geheimhouding verplicht is, door een contract of op grond van de wet.

Artikel 4. Beveiliging

4.1 De Verwerker neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen, zoals bedoeld in artikel 32 AVG. De maatregelen staan in Bijlage B.

4.2 De Verwerker mag de maatregelen aanpassen, mits het beveiligingsniveau niet daalt.

Artikel 5. Subverwerkers

5.1 De Verwerkingsverantwoordelijke geeft toestemming voor de subverwerkers in Bijlage C.

5.2 De Verwerker schakelt een nieuwe subverwerker pas in nadat hij de Verwerkingsverantwoordelijke daarover ten minste vier weken vooraf heeft geïnformeerd, via de e-mailadressen van de beheerders en de penningmeester. De Verwerkingsverantwoordelijke kan binnen die termijn gemotiveerd bezwaar maken; kunnen partijen geen oplossing vinden, dan kan de Verwerkingsverantwoordelijke het abonnement kosteloos beëindigen.

5.3 De Verwerker legt aan elke subverwerker ten minste dezelfde verplichtingen op als in deze overeenkomst, en blijft tegenover de Verwerkingsverantwoordelijke verantwoordelijk voor de nakoming daarvan.

Artikel 6. Doorgifte buiten de EER

De Verwerker verwerkt de persoonsgegevens uitsluitend binnen de Europese Economische Ruimte, en geeft ze niet door naar landen daarbuiten zonder voorafgaande schriftelijke toestemming van de Verwerkingsverantwoordelijke en passende waarborgen als bedoeld in hoofdstuk V AVG.

Artikel 7. Rechten van betrokkenen

7.1 De Verwerkingsverantwoordelijke kan de meeste verzoeken zelf afhandelen in haar omgeving (leden bekijken, wijzigen en verwijderen). De Verwerker helpt, voor zover redelijkerwijs mogelijk, bij de overige verzoeken (inzage, correctie, verwijdering, beperking, overdraagbaarheid en bezwaar).

7.2 Ontvangt de Verwerker zo'n verzoek rechtstreeks, dan stuurt hij het binnen twee werkdagen door aan de Verwerkingsverantwoordelijke en handelt hij het niet zelf af, tenzij de Verwerkingsverantwoordelijke dat vraagt.

Artikel 8. Inbreuken in verband met persoonsgegevens (datalekken)

8.1 De Verwerker meldt een inbreuk in verband met persoonsgegevens onverwijld, en uiterlijk binnen 24 uur na ontdekking, aan de Verwerkingsverantwoordelijke, via de e-mailadressen van de beheerders en de penningmeester van de vereniging, en bij hoge urgentie ook telefonisch als een nummer bekend is.

8.2 De melding bevat, voor zover bekend: de aard van de inbreuk, de betrokken categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, en de genomen en voorgestelde maatregelen. Ontbrekende informatie levert de Verwerker zo snel mogelijk na.

8.3 De Verwerkingsverantwoordelijke beslist of de inbreuk wordt gemeld bij de Autoriteit Persoonsgegevens en aan betrokkenen. De Verwerker meldt zelf niet, tenzij de wet hem daartoe verplicht.

Artikel 9. Overige bijstand

De Verwerker helpt de Verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking en de informatie waarover hij beschikt, bij het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG, waaronder een eventuele gegevensbeschermingseffectbeoordeling.

Artikel 10. Informatie en audit

10.1 De Verwerker stelt alle informatie beschikbaar die nodig is om aan te tonen dat hij deze overeenkomst nakomt.

10.2 De Verwerkingsverantwoordelijke mag de naleving eenmaal per jaar, of vaker bij een concrete aanleiding, laten controleren door een onafhankelijke deskundige die tot geheimhouding verplicht is. Partijen stemmen het moment vooraf af. De kosten zijn voor de Verwerkingsverantwoordelijke, tenzij de controle aantoont dat de Verwerker deze overeenkomst op wezenlijke punten niet nakomt.

Artikel 11. Einde van de verwerking

11.1 Na het einde van het abonnement of de proef kan de Verwerkingsverantwoordelijke haar gegevens nog 30 dagen opvragen in een gangbaar formaat. Daarna verwijdert de Verwerker alle persoonsgegevens die hij voor de Verwerkingsverantwoordelijke verwerkt, tenzij de wet opslag voorschrijft.

11.2 Gegevens in back-ups verdwijnen zodra de back-up volgens het gewone schema vervalt: op de server na 14 dagen, op de aparte opslaglocatie uiterlijk na 6 maanden. Op verzoek bevestigt de Verwerker de verwijdering schriftelijk.

Artikel 12. Aanvaarding

12.1 Deze overeenkomst komt tot stand doordat een bevoegd persoon namens de vereniging haar aanvaardt op de abonnementspagina van de Accommodatieplanner. De Verwerker legt naam, functie, tijdstip en de versie van deze overeenkomst vast. De Verwerker is aan deze overeenkomst gebonden door haar aan te bieden.

12.2 Voor de proefperiode geldt deze overeenkomst vanaf de aanmelding van de vereniging; de aanmelder aanvaardt haar daarbij namens de vereniging.

Artikel 13. Aansprakelijkheid en slotbepalingen

13.1 Voor de aansprakelijkheid van de Verwerker geldt artikel 9 van de algemene voorwaarden. Die beperking laat de aansprakelijkheid op grond van artikel 82 AVG tegenover betrokkenen onverlet.

13.2 Bij strijd tussen deze overeenkomst en andere afspraken tussen partijen gaat deze overeenkomst voor wat betreft de verwerking van persoonsgegevens.

13.3 Wijzigingen gelden alleen als de Verwerkingsverantwoordelijke een nieuwe versie aanvaardt; tot dan blijft de aanvaarde versie gelden.

13.4 Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Rotterdam.

Bijlage A. Specificatie van de verwerking

Bijlage B. Beveiligingsmaatregelen

1. Versleuteling: verbindingen via TLS (1.2 en 1.3); opslag op volledig versleutelde schijven (LUKS2, AES-256).
2. Scheiding per vereniging: elke vereniging heeft een eigen omgeving; iemand die geen lid is van een vereniging kan haar gegevens niet zien of wijzigen. Dit wordt bij elke wijziging van de software automatisch getest.
3. Rollen: beheerder, penningmeester en scheidsrechter zien alleen wat bij hun rol hoort; scheidsrechters zien alleen hun eigen voorkeuren.
4. Toegang: inloggen met een persoonlijke, tijdelijke link per mail; geen wachtwoorden die kunnen uitlekken. Serverbeheer alleen via een afgeschermd beheernetwerk met sleutelauthenticatie.
5. Afscherming van de applicatie: de applicatie draait in een afgeschermde container zonder beheerrechten, met een alleen-lezen bestandssysteem, op een eigen intern netwerk.
6. Dataminimalisatie: namen van officials uit Sportlink worden niet bewaard; logboeken bevatten geen e-mailadressen of inhoud.
7. Geen tracking: geen analytics, advertentiepixels of externe lettertypen of scripts.
8. Back-ups: dagelijks, versleuteld, op een aparte opslaglocatie in Duitsland.
9. Kwaliteit: geautomatiseerde tests bij elke wijziging; wijzigingen alleen via versiebeheer.
10. Incidenten: vastgelegde procedure voor datalekken, met melding aan de Verwerkingsverantwoordelijke binnen 24 uur (artikel 8).

Bijlage C. Subverwerkers

Mollie B.V. (betalingen) en Exact (boekhouding) verwerken alleen gegevens waarvoor de Verwerker zelf verantwoordelijk is (abonnement en facturatie); zij zijn geen subverwerkers voor de gegevens in deze overeenkomst.