Verwerkersovereenkomst

Deze verwerkersovereenkomst (hierna: "Verwerkersovereenkomst" of "DPA") legt vast onder welke voorwaarden Gymnastics Compass als Verwerker persoonsgegevens verwerkt namens de Club of bond die het Platform gebruikt. De overeenkomst is een bijlage bij de algemene voorwaarden en bij de privacyverklaring, en wordt aanvaard door gebruik van het Platform. Een door beide partijen ondertekende versie is op verzoek beschikbaar voor de KNGU. Deze DPA geeft uitvoering aan artikel 28 lid 3 van de Algemene Verordening Gegevensbescherming (AVG).

1. Partijen en rolverdeling

Verwerkingsverantwoordelijke: de Club of bond (bijvoorbeeld de KNGU) die het Platform gebruikt en die bepaalt voor welke doeleinden en met welke middelen de persoonsgegevens van haar Turners, Trainers, beoordelaars en beheerders worden verwerkt. Hierna: "Verwerkingsverantwoordelijke".

Verwerker:

• Sem Tijsterman Gymnastics (eenmanszaak, mede handelend onder de namen "ST Gymnastics" en "Gymnastics Compass")
• KvK: 42053163
• BTW: NL005458864B21
• E-mail: contact@gymnasticscompass.com
• Website: https://gymnasticscompass.com

Hierna: "Verwerker" of "Aanbieder".

De Verwerker stelt het Platform ter beschikking waarmee de Verwerkingsverantwoordelijke turner-administratie, scores, routines, trainingsdata, voorspellingen en beoordelingen verwerkt. Bij die verwerking treedt de Verwerkingsverantwoordelijke op als verwerkingsverantwoordelijke in de zin van de AVG en de Verwerker als verwerker.

Afbakening (belangrijk). Voor een aantal verwerkingen is de Aanbieder zelf Verwerkingsverantwoordelijke en niet Verwerker. Dat geldt onder meer voor account- en inlogbeheer, platformbeveiliging, audit-logs, eigen analytics en productverbetering, transactionele e-mail en het op eigen initiatief publiek tonen van officiele wedstrijduitslagen en seizoensstanden. Op die verwerkingen is niet deze DPA maar de privacyverklaring van toepassing. Deze DPA ziet uitsluitend op de persoonsgegevens die de Verwerkingsverantwoordelijke, haar Trainers, beoordelaars of beheerders via het Platform invoeren en laten verwerken (hierna: "de Persoonsgegevens").

Contactpunt gegevensbescherming. Voor meldingen, verzoeken en audits onder deze DPA is het contactpunt van de Verwerker contact@gymnasticscompass.com. Het persoonlijke aanspreekpunt bij de Verwerker is Sem Tijsterman. Voor een eenmanszaak van deze omvang is een Functionaris Gegevensbescherming niet verplicht en is er geen aangesteld. De Verwerkingsverantwoordelijke wijst harerzijds een eigen contactpersoon voor gegevensbescherming aan, houdt diens gegevens actueel en geeft het e-mailadres door waarop datalekmeldingen en andere kennisgevingen van de Verwerker moeten worden ontvangen. Datalekmeldingen en kennisgevingen van de Verwerker gaan naar dat door de Verwerkingsverantwoordelijke opgegeven adres.

2. Onderwerp, duur, aard en doel van de verwerking

Onderwerp. De verwerking van de Persoonsgegevens die de Verwerkingsverantwoordelijke via het Platform invoert of laat invoeren, ten behoeve van de coaching-, wedstrijd- en administratiefuncties van het Platform.

Aard en doel. De Verwerker verwerkt de Persoonsgegevens uitsluitend om de overeengekomen Platformdiensten te leveren: het vastleggen en tonen van turner-administratie, het berekenen en bewaren van D- en E-scores, het opstellen en delen van routines, opbouwen, weekplannen en periodisering, het maken van voorspellingen, het ondersteunen van live-jureren en het vastleggen van beoordelingen in het kader van de KNGU-leerlijn en wedstrijden. De concrete verwerkingsinstructies en de categorieen gegevens en betrokkenen staan in Bijlage A.

Soort persoonsgegevens. Identificatie- en contactgegevens (naam, e-mailadres), club- en teamgegevens, geboortedatum of leeftijdscategorie, sportprestatiegegevens (scores, routines, trainingsdata, testresultaten, voorspellingen) en, voor beoordelaars, naam, e-mailadres en de koppeling aan een sessie. Het Platform is niet bedoeld voor de verwerking van bijzondere categorieen van persoonsgegevens in de zin van artikel 9 AVG. De Verwerkingsverantwoordelijke instrueert haar Trainers en overige gebruikers om geen gezondheids- of andere bijzondere gegevens in vrije-tekstvelden in te voeren. Voor zover dergelijke gegevens onbedoeld toch worden ingevoerd, blijft de Verwerkingsverantwoordelijke verantwoordelijk voor het bestaan van een geldige grondslag onder artikel 9 AVG.

Categorieen betrokkenen. Turners (waaronder minderjarigen), Trainers, beoordelaars (juryleden, KNGU-beoordelaars, NTC-coaches) en club- of bondbeheerders.

Duur. De verwerking duurt zolang de Verwerkingsverantwoordelijke het Platform gebruikt. Deze DPA loopt voor de duur van de onderliggende overeenkomst (gebruik van het Platform) en eindigt van rechtswege op het moment dat die eindigt, onverminderd de bepalingen die naar hun aard blijven gelden (zoals geheimhouding, aansprakelijkheid en de verplichtingen bij beeindiging in artikel 11). Onder "einde van de verwerkingsdiensten" wordt verstaan de datum waarop de onderliggende overeenkomst eindigt of, indien dat eerder is, het moment waarop de Verwerkingsverantwoordelijke het gebruik van het Platform schriftelijk beeindigt. Een afzonderlijke opzegtermijn kan in de hoofdovereenkomst met de KNGU worden afgesproken.

Rechten en plichten van de Verwerkingsverantwoordelijke. De Verwerkingsverantwoordelijke is verantwoordelijk voor de rechtmatigheid van de verwerking, waaronder een geldige grondslag voor de invoer van de Persoonsgegevens, en voor het naleven van haar eigen informatieplicht jegens de betrokkenen. Partijen gaan ervan uit dat de gewone trainings-, wedstrijd- en administratiefuncties berusten op de uitvoering van de overeenkomst tussen de Verwerkingsverantwoordelijke (of haar Club) en de Turner en op een gerechtvaardigd belang, en niet op toestemming van het kind. Voor onderdelen die wel op toestemming berusten (zoals optioneel beeldmateriaal en een optioneel Turner-account), verkrijgt en beheert de Verwerkingsverantwoordelijke de vereiste toestemming, waaronder de aantoonbare toestemming van een ouder of wettelijk vertegenwoordiger voor Turners onder de 16 jaar. De Verwerkingsverantwoordelijke staat ervoor in dat haar instructies aan de Verwerker in overeenstemming zijn met de AVG.

Vrijwaring. De Verwerkingsverantwoordelijke vrijwaart de Verwerker tegen aanspraken van betrokkenen of derden, en tegen de daarmee samenhangende redelijke kosten, die voortvloeien uit het ontbreken van een geldige grondslag voor de verwerking of uit de door of namens de Verwerkingsverantwoordelijke (waaronder haar Trainers, beoordelaars of beheerders) ingevoerde gegevens. Deze vrijwaring geldt niet voor zover de aanspraak is toe te rekenen aan een tekortkoming van de Verwerker onder deze DPA.

3. Verwerking uitsluitend op instructie

1. De Verwerker verwerkt de Persoonsgegevens uitsluitend op basis van de gedocumenteerde instructies van de Verwerkingsverantwoordelijke, waaronder doorgifte naar een derde land, tenzij een op de Verwerker van toepassing zijnde wettelijke bepaling hem tot verwerking verplicht. In dat geval stelt de Verwerker de Verwerkingsverantwoordelijke voorafgaand aan de verwerking in kennis van dat wettelijke voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.
2. Deze DPA, de onderliggende overeenkomst (algemene voorwaarden) en het feitelijke gebruik van de functionaliteit van het Platform door of namens de Verwerkingsverantwoordelijke gelden samen als de gedocumenteerde instructie. Aanvullende of afwijkende instructies worden schriftelijk (e-mail volstaat) gegeven.
3. De Verwerker gebruikt de Persoonsgegevens niet voor eigen doeleinden. Verwerkingen waarvoor de Aanbieder zelf verwerkingsverantwoordelijke is (artikel 1, Afbakening) vallen buiten deze instructiegebondenheid en zijn geregeld in de privacyverklaring.
4. De Verwerker stelt de Verwerkingsverantwoordelijke zonder onnodige vertraging in kennis indien naar zijn oordeel een instructie inbreuk maakt op de AVG of andere toepasselijke regelgeving inzake gegevensbescherming.

4. Geheimhouding

1. De Verwerker waarborgt dat de personen die hij gemachtigd heeft om de Persoonsgegevens te verwerken, zich tot geheimhouding hebben verbonden of door een passende wettelijke verplichting tot vertrouwelijkheid zijn gebonden.
2. De Verwerker beperkt de toegang tot de Persoonsgegevens tot die personen voor wie toegang noodzakelijk is om de Platformdiensten te leveren, op basis van rolgebaseerde toegang en het beginsel van minimale bevoegdheden. De Aanbieder is een eenmanszaak; toegang door de Aanbieder zelf geschiedt eveneens onder deze geheimhoudingsplicht.
3. Deze geheimhoudingsplicht blijft gelden na beeindiging van deze DPA.

5. Beveiliging

1. De Verwerker treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, omvang, context en doeleinden van de verwerking. Deze maatregelen omvatten in ieder geval:
   • Toegangsbeveiliging op rijniveau (Row Level Security): in de database afgedwongen scheiding zodat een Trainer, Club of bond uitsluitend de eigen gegevens kan benaderen.
   • Versleuteling: versleuteling van gegevens in rust (at-rest) en versleuteld transport via TLS.
   • PII-redactie in foutmonitoring: de foutmonitoring strip cookies, authenticatie-headers, e-mailadressen, telefoonnummers en gebruikersvelden voordat een melding wordt opgeslagen; sessie-replay staat uit.
   • Rolgebaseerde toegang (RBAC): rechten gekoppeld aan rollen (Trainer, beheerder, beoordelaar, Turner-account), met tweestapsverificatie (MFA) voor beheerderstoegang.
   • Audit-logging: registratie van beveiligingsgevoelige handelingen, met bewaring gedurende 24 maanden en maandelijkse automatische opschoning.
   • Snelheidsbegrenzing (rate-limiting): bescherming van gevoelige endpoints tegen misbruik en geautomatiseerde aanvallen.
   • Back-up en herstel: periodieke versleutelde back-ups en een herstelprocedure om de beschikbaarheid van en de toegang tot de Persoonsgegevens bij een fysiek of technisch incident tijdig te herstellen.
   • Anonimisering en minimalisering: anonimisering van gegevens waar het doel dat toelaat en beperking van de verwerkte gegevens tot wat voor het doel noodzakelijk is.
   • Periodieke beveiligingsbeoordeling: geautomatiseerde kwetsbaarheidsscans en een responsible-disclosureproces om gemelde kwetsbaarheden te ontvangen en op te volgen.
2. De Verwerker evalueert deze maatregelen periodiek en past ze aan waar de stand van de techniek of het risicoprofiel daartoe aanleiding geeft, zonder dat het beveiligingsniveau daardoor lager wordt dan op het moment van het aangaan van deze DPA.

6. Subverwerkers

1. De Verwerkingsverantwoordelijke verleent de Verwerker een algemene toestemming voor het inschakelen van de subverwerkers die zijn vermeld in Bijlage B (subverwerkerslijst), zoals van tijd tot tijd bijgewerkt op de subverwerkerslijst. Deze subverwerkers leveren database-, hosting-, foutmonitoring-, e-mail- en rate-limiting-diensten en zijn alle binnen de EU/EER (Europese Economische Ruimte) gevestigd of slaan de gegevens binnen de EU/EER op.
2. De Verwerker legt aan elke subverwerker bij overeenkomst dezelfde gegevensbeschermingsverplichtingen op als in deze DPA zijn opgenomen, in het bijzonder de verplichting afdoende garanties te bieden met betrekking tot passende technische en organisatorische maatregelen. Met elke subverwerker is een verwerkersovereenkomst (DPA) gesloten; de vindplaatsen daarvan staan op de subverwerkerslijst.
3. Wanneer de Verwerker voornemens is een nieuwe subverwerker toe te voegen of een bestaande te vervangen, stelt hij de Verwerkingsverantwoordelijke daarvan ten minste 30 dagen voorafgaand in kennis via een actualisering van de subverwerkerslijst en, voor zover redelijkerwijs mogelijk, via een aanvullende melding aan de Verwerkingsverantwoordelijke. De Verwerkingsverantwoordelijke kan binnen 30 dagen na die kennisgeving schriftelijk en gemotiveerd bezwaar maken tegen de wijziging op gegevensbeschermingsgronden. Zolang het bezwaar niet is weggenomen, schakelt de Verwerker de betrokken subverwerker niet in voor de gegevens van de Verwerkingsverantwoordelijke. Komen partijen er niet uit, dan kan de Verwerkingsverantwoordelijke het gebruik van het Platform voor de betrokken verwerking kosteloos beeindigen.
4. Wanneer een subverwerker zijn verplichtingen inzake gegevensbescherming niet nakomt, blijft de Verwerker ten aanzien van de Verwerkingsverantwoordelijke volledig aansprakelijk voor de nakoming van de verplichtingen van die subverwerker.

7. Bijstand bij verzoeken van betrokkenen

1. Rekening houdend met de aard van de verwerking verleent de Verwerker de Verwerkingsverantwoordelijke bijstand, door middel van passende technische en organisatorische maatregelen, bij het vervullen van diens plicht om te reageren op verzoeken van betrokkenen tot uitoefening van hun rechten: inzage, rectificatie, verwijdering ("vergetelheid"), beperking van de verwerking, gegevensoverdraagbaarheid en bezwaar.
2. Ontvangt de Verwerker rechtstreeks een verzoek van een betrokkene dat de verwerking namens de Verwerkingsverantwoordelijke betreft, dan voert de Verwerker dat verzoek niet zelfstandig uit, maar verwijst hij de betrokkene door naar of stelt hij de Verwerkingsverantwoordelijke daarvan zonder onnodige vertraging in kennis.
3. Het Platform biedt functionaliteit die de uitoefening van deze rechten ondersteunt, waaronder een export-functie voor inzage en overdraagbaarheid en een verwijder-functie voor verwijdering, beschikbaar via de account-instellingen.

8. Bijstand bij datalekken en gegevensbeschermingseffectbeoordeling

1. De Verwerker stelt de Verwerkingsverantwoordelijke zonder onnodige vertraging, en in beginsel binnen 48 uur nadat hij daarvan kennis heeft genomen, in kennis van een inbreuk in verband met persoonsgegevens (datalek) die de Persoonsgegevens van de Verwerkingsverantwoordelijke betreft. Deze termijn is zo gekozen dat de Verwerkingsverantwoordelijke haar eigen melding aan de Autoriteit Persoonsgegevens binnen 72 uur kan halen. Is nog niet alle in lid 2 bedoelde informatie beschikbaar, dan verstrekt de Verwerker een eerste melding en vult deze gefaseerd aan zodra meer informatie beschikbaar komt.
2. De melding bevat ten minste de aard van de inbreuk, de betrokken categorieen en het geschatte aantal betrokkenen en records, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. De Verwerker verstrekt de Verwerkingsverantwoordelijke alle redelijkerwijs benodigde informatie en medewerking om aan haar meldplichten (artikelen 33 en 34 AVG) te voldoen. De Verwerker houdt een intern datalekregister bij.
3. Rekening houdend met de aard van de verwerking en de hem ter beschikking staande informatie verleent de Verwerker de Verwerkingsverantwoordelijke redelijke bijstand bij het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA, artikel 35 AVG) en een eventuele voorafgaande raadpleging van de toezichthouder (artikel 36 AVG).

9. Doorgifte en datalocatie

1. De Persoonsgegevens worden opgeslagen en verwerkt binnen de Europese Unie en de EU/EER (Europese Economische Ruimte). De ingeschakelde subverwerkers maken gebruik van datacenters binnen de EU/EER (zie de subverwerkerslijst).
2. Een aantal van deze dienstverleners zijn deels in de Verenigde Staten gevestigde bedrijven die EU-datacenters aanbieden. Bij normaal gebruik verlaten de Persoonsgegevens de EU/EER-regio niet. Voor eventuele toegang vanuit de Verenigde Staten (bijvoorbeeld voor support of beheer) gelden passende waarborgen via het EU-U.S. Data Privacy Framework en/of de standaardcontractbepalingen (SCC's) van de Europese Commissie, zoals vastgelegd in de DPA's van de betrokken subverwerkers.
3. De Verwerker geeft de Persoonsgegevens niet door naar een land buiten de EU/EER zonder een geldige overdrachtsgrondslag in de zin van hoofdstuk V AVG en zonder instructie van de Verwerkingsverantwoordelijke, behoudens het bepaalde in artikel 3 lid 1.
4. De Verwerker borgt dat voor elke subverwerker die buiten de EU/EER is gevestigd of die de Persoonsgegevens van buiten de EU/EER toegankelijk maakt, een geldige overdrachtsgrondslag onder hoofdstuk V AVG bestaat: een adequaatheidsbesluit (waaronder het EU-U.S. Data Privacy Framework, DPF) dan wel de standaardcontractbepalingen (SCC's) van de Europese Commissie, aangevuld met de noodzakelijke aanvullende maatregelen. Vervalt een adequaatheidsbesluit, dan valt de Verwerker zonder onderbreking terug op de SCC's met aanvullende maatregelen. De voor elke subverwerker relevante overdrachtsdocumentatie is op verzoek voor de Verwerkingsverantwoordelijke beschikbaar.

10. Audits

1. De Verwerker stelt de Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de nakoming van de verplichtingen uit artikel 28 AVG en deze DPA aan te tonen.
2. De Verwerker maakt audits, waaronder inspecties, door de Verwerkingsverantwoordelijke of een door haar gemachtigde controleur mogelijk en draagt daaraan bij. De Verwerkingsverantwoordelijke kondigt een audit ten minste 30 dagen van tevoren schriftelijk aan, behoudens een redelijk vermoeden van een datalek of een verzoek van een toezichthouder. Een audit vindt plaats tijdens kantooruren, ten hoogste eenmaal per jaar (tenzij een toezichthouder of een vastgestelde inbreuk vaker noodzakelijk maakt), op zodanige wijze dat de bedrijfsvoering en de beveiliging van andere gebruikers van het Platform zo min mogelijk worden verstoord en zonder dat daarbij toegang ontstaat tot de gegevens van andere gebruikers van het Platform.
3. Een door de Verwerkingsverantwoordelijke ingeschakelde controleur is geen directe concurrent van de Verwerker en bindt zich voorafgaand aan de audit aan geheimhouding. De Verwerker mag, voordat een audit ter plaatse plaatsvindt, eerst bestaande rapportages, verklaringen of certificeringen aanbieden waarmee de naleving redelijkerwijs kan worden aangetoond.
4. De Verwerkingsverantwoordelijke draagt de eigen kosten van een audit, alsmede de redelijke kosten die de Verwerker voor zijn medewerking maakt voor zover de inzet de gebruikelijke ondersteuning te boven gaat. Wijst de audit echter op een aan de Verwerker toe te rekenen tekortkoming, dan draagt de Verwerker zijn eigen redelijke kosten van die audit. Bevindingen die op tekortkomingen van de Verwerker wijzen, herstelt de Verwerker op eigen kosten binnen een redelijke termijn.

11. Teruggave en verwijdering na einde

1. Na het einde van de verwerkingsdiensten verwijdert de Verwerker, naar keuze van de Verwerkingsverantwoordelijke, alle Persoonsgegevens of geeft hij deze terug, en verwijdert hij bestaande kopieen, tenzij opslag van de Persoonsgegevens op grond van Unierecht of nationaal recht verplicht is.
2. Verwijdering of teruggave vindt plaats uiterlijk binnen 30 dagen na het einde van de verwerkingsdiensten zoals gedefinieerd in artikel 2, behoudens een wettelijke bewaarplicht (zoals de fiscale bewaarplicht van 7 jaar voor facturatie- en administratiegegevens). Wedstrijd- en testresultaten die historisch bewaard blijven worden bij verwijdering van het bijbehorende account, voor zover dat de verwerker-rol onder deze DPA betreft, geanonimiseerd, zodat zij niet langer tot een betrokkene herleidbaar zijn. Het op eigen initiatief publiek tonen van officiele wedstrijduitslagen en seizoensstanden valt buiten deze DPA: daarvoor is de Aanbieder zelfstandig Verwerkingsverantwoordelijke (artikel 1, Afbakening) en verloopt maskering of verwijdering via de procedure in de privacyverklaring.
3. Op verzoek bevestigt de Verwerker schriftelijk dat hij aan zijn verplichtingen uit dit artikel heeft voldaan.

12. Aansprakelijkheid, rangorde, recht en acceptatie

1. Aansprakelijkheid. De aansprakelijkheid van de Verwerker onder deze DPA is, onverminderd artikel 6 lid 4, beperkt tot het bedrag dat de Verwerkingsverantwoordelijke of haar Club in de twaalf maanden voorafgaand aan de schadeveroorzakende gebeurtenis voor het Platform heeft betaald, met een maximum van EUR 1.000. Deze beperking geldt niet bij opzet of bewuste roekeloosheid (grove schuld) van de Verwerker, noch voor zover dwingend recht een beperking verbiedt. De beperking laat onverlet de hoofdelijke aansprakelijkheid van partijen jegens betrokkenen op grond van artikel 82 AVG en het onderlinge regresrecht van artikel 82 lid 5 AVG: voor zover de Verwerker uit dien hoofde aan de Verwerkingsverantwoordelijke een vergoeding verschuldigd is, of voor zover hem een bestuurlijke boete is toe te rekenen, geldt het in dit lid genoemde maximum niet. Verdere bepalingen over aansprakelijkheid staan in de algemene voorwaarden.
2. Rangorde. Bij strijdigheid tussen deze DPA en de algemene voorwaarden of een andere overeenkomst tussen partijen prevaleert, voor zover het de bescherming van persoonsgegevens betreft, deze DPA.
3. Toepasselijk recht en bevoegde rechter. Op deze DPA is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement van de Aanbieder.
4. Acceptatie. Deze DPA maakt als bijlage deel uit van de algemene voorwaarden en wordt aanvaard door gebruik van het Platform. Een door beide partijen ondertekende versie is op verzoek beschikbaar voor de KNGU. Wijzigingen die voortvloeien uit dwingende wetgeving of nieuwe toezichthoudersrichtsnoeren kan de Verwerker doorvoeren met inachtneming van de aankondigingstermijn uit de algemene voorwaarden.

---

Bijlage A: verwerkingsinstructies en categorieen

Deze bijlage vat samen welke gegevens namens de Verwerkingsverantwoordelijke worden verwerkt, voor welke doeleinden en van welke betrokkenen. Voor de actuele subverwerkers en hun datalocaties verwijzen wij naar de subverwerkerslijst.

Categorieen betrokkenen

• Turners (waaronder minderjarigen, ook onder de 16 jaar)
• Trainers
• Beoordelaars (juryleden, KNGU-beoordelaars, NTC-coaches)
• Club- en bondbeheerders

Categorieen persoonsgegevens

Doeleinden van de verwerking (op instructie van de Verwerkingsverantwoordelijke)

• Vastleggen en tonen van turner-administratie
• Berekenen, bewaren en tonen van D- en E-scores
• Opstellen, bewaren en delen van routines, opbouwen, weekplannen en periodisering
• Maken van voorspellingen op basis van ingevoerde gegevens
• Ondersteunen van live-jureren van wedstrijden
• Vastleggen van KNGU-beoordelingen en leerlijn-toetsen

Bewaartermijnen

Foutmonitoring-logs en e-mail-logs vallen onder de verwerkingen waarvoor de Aanbieder zelf Verwerkingsverantwoordelijke is (artikel 1, Afbakening): hun retentie is geregeld in de privacyverklaring en valt buiten deze DPA. Zij zijn hier niet als verwerker-gegevens opgenomen.

Beveiligingsmaatregelen (samenvatting)

Toegangsbeveiliging op rijniveau (RLS), versleuteling in rust en via TLS, PII-redactie in de foutmonitoring (zonder sessie-replay), rolgebaseerde toegang met MFA voor beheerders, audit-logging gedurende 24 maanden, snelheidsbegrenzing op gevoelige endpoints, periodieke versleutelde back-ups met herstelprocedure, anonimisering en minimalisering, en een periodieke beveiligingsbeoordeling met kwetsbaarheidsscans en responsible-disclosureproces. Zie artikel 5 voor de volledige beschrijving.

Subverwerkers

De actuele lijst van subverwerkers (Bijlage B, subverwerkerslijst), met hun functie, de betrokken gegevens, de datalocatie (alle EU/EER) en de vindplaats van hun DPA, staat op de subverwerkerslijst.

Laatst bijgewerkt: 14-06-2026 (versie 1.0).