Dotcomsport Verwerkersovereenkomst 3.0
Dotcomsport Verwerkersovereenkomst 3.0
De Dotcomsport Verwerkersovereenkomst 3.0 komt in de plaats van eerdere bewerkersovereenkomsten. De uitgangspunten van deze Verwerkersovereenkomst 3.0 geven invulling aan verplichtingen op grond van de Europese Algemene Verordening Gegevensbescherming (hierna: AVG), en de uitgangspunten zoals onder andere in (inter)nationale beveiligingsnormen, jurisprudentie en richtsnoeren van de toezichthouder zijn aangegeven. Deze laatste versie is digitaal beschikbaar in de producten van de overeenkomst.
Deze Dotcomsport Verwerkersovereenkomst 3.0 bevat twee bijlagen:
1. In de Privacy bijsluiter (Bijlage 1) wordt met name een beschrijving gegeven van de dienstverlening, producteigenschappen en welke categorieën Persoonsgegevens worden verwerkt en voor welke doeleinden.
2. In de Beveiligingsbijlage (Bijlage 2) wordt omschreven welke technische en organisatorische beveiligingsmaatregelen er worden getroffen. De beveiliging dient een continu punt van aandacht en zorg te blijven.
Partijen:
1. CLUB, gevestigd aan ADRES, POSTCODE te PLAATS dezen rechtsgeldig vertegenwoordigd door
- hierna te noemen: “Sportorganisatie”.
en
2. De besloten vennootschap Dotcomsport B.V., gevestigd en kantoorhoudende aan Gildenveld 13-15, 3892 DC te Zeewolde dezen rechtsgeldig vertegenwoordigd door directeur X. Xxxxxx hierna te noemen: “Verwerker”
hierna gezamenlijk te noemen: “Partijen”, of afzonderlijk: “Partij”
Overwegen het volgende:
a. Sportorganisatie en Verwerker zijn een overeenkomst aangegaan waarbij in de getekende order genoemde diensten (digitale sportapplicaties) hierna te noemen: Product- en Dienstenovereenkomst, door Xxxxxxxxx in opdracht van Sportorganisatie te leveren. Deze Product- en Dienstenovereenkomst leidt ertoe dat Verwerker in opdracht van Sportorganisatie Persoonsgegevens verwerkt;
b. Dat de Sportorganisatie in het kader van de uitoefening van haar verenigingsactiviteiten beschikt over persoonsgegevens van haar leden, vrijwilligers en werknemers die verzameld zijn op grond van de met deze leden en vrijwilligers gesloten inschrijvingsformulieren lidmaatschap c.q. vrijwilligers, vrijwilligersovereenkomst dan wel arbeidsovereenkomst;
c. Dat de Sportorganisatie als gevolg van de inwerkingtreding van de Algemene Wet Gegevensbescherming per 25 mei 2018 en de in dit verband aangescherpte voorschriften met betrekking tot de verwerking van persoonsgegevens diverse maatregelen heeft genomen inzake onder meer de verwerking en beveiliging van de persoonsgegevens;
Komen het volgende overeen:
Artikel 1: Definities
In deze Verwerkersovereenkomst wordt verstaan onder:
a. Betrokkene: Degene op wie een Persoonsgegeven betrekking heeft;
b. Verwerker: Een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt;
c. Derde: Een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan, niet zijnde de betrokkene, noch de verwerkingsverantwoordelijke, noch de verwerker, noch de personen die onder
rechtstreeks gezag van de verwerkingsverantwoordelijke of de verwerker gemachtigd zijn om de persoonsgegevens te verwerken;
d. Persoonsgegevens: Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon ("de betrokkene"); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;
e. Verwerking van Persoonsgegevens: Een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;
f. Verwerkingsverantwoordelijke: Een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen;
g. Bijlage(n): bijlage(n) bij de Verwerkersovereenkomst;
h. Datalek/Inbreuk in verband met persoonsgegevens: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens;
i. Instructies: geschreven of elektronisch gestuurde aanwijzing van de Verwerkingsverantwoordelijke aan de Verwerker in het kader van haar bevoegdheden zoals geformuleerd in deze Verwerkersovereenkomst of in de Product- en Dienstenovereenkomst. Instructies worden verstrekt door en aan de contactpersonen van partijen zoals die zijn opgenomen in de Bijlage(n);
j. Leverancier: leverancier van Digitale sportapplicaties, een uitgever of leverancier van een Leden administratiesysteem;
k. Product- en Dienstenovereenkomst: de overeenkomst tussen Sportorganisatie en Verwerker, zoals omschreven in overweging a met inbegrip van een op basis van die overeenkomst gesloten overeenkomst tussen een Sportdeelnemer en Leverancier voor het betreffende product of dienst;
l. Privacy bijsluiter: één of meerdere privacy bijsluiter(s) zoals opgenomen in de Bijlage(n) die van toepassing zijn op de aangeboden Digitale sportapplicaties;
m. Sportbond en sportclub informatiemiddelen: een digitaal product en/of digitale dienst ten behoeve van het ontwikkelings(proces), zoals een ledenadministratiesysteem, wedstrijd- en trainingregistratiesysteem, sporterinformatiesysteem, sportdeelnemersadministratie, oefenstofbibliotheeksysteem, speler- en begeleidercommunicatiesysteem, dashboards en kwaliteitsmanagementsystemen voor zover zij Persoonsgegevens van Sportdeelnemers bevatten, een elektronisch Talentenvolgsysteem en een Spelervolgsysteem;
n. Subverwerker: de partij die door Verwerker wordt ingeschakeld als Verwerker ten behoeve van de Verwerking van de Persoonsgegevens in het kader van de Verwerkersovereenkomst en de Product- en Dienstenovereenkomst;
o. AVG: de Algemene Verordening Gegevensbescherming (Verordening 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG).
p. Toepasselijke wet- en regelgeving betreffende de Verwerking van Persoonsgegevens: de toepasselijke (Unierechtelijke en lidstaatrechtelijke) wet- en regelgeving en/of (nadere) verdragen, verordeningen, richtlijnen, besluiten, beleidsregels, instructies en/of aanbevelingen van een bevoegde overheidsinstantie betreffende de Verwerking van Persoonsgegevens, tevens omvattende toekomstige wijziging hiervan en/of aanvulling hierop, inclusief lidstaatrechtelijke uitvoeringswetten van de AVG en de Telecommunicatiewet.
Artikel 2: Onderwerp en opdracht Verwerkersovereenkomst
1. Deze Verwerkersovereenkomst is van toepassing op de Verwerking van Persoonsgegevens in het kader van de uitvoering van de Product- en Dienstenovereenkomst.
2. De Sportorganisatie geeft Verwerker conform artikel 28 AVG opdracht en Instructies om Persoonsgegevens te verwerken namens de Sportorganisatie. De Instructies van de Sportorganisatie kunnen onder meer nader omschreven zijn in deze Verwerkersovereenkomst en de Product- en Dienstenovereenkomst.
3. De bepalingen uit de Verwerkersovereenkomst gelden voor alle Verwerkingen zoals opgenomen in Bijlage 1, die plaatsvinden ter uitvoering van de Product- en Dienstenovereenkomst. Verwerker brengt Sportorganisatie onverwijld op de hoogte indien Verwerker reden heeft om aan te nemen dat Verwerker niet langer aan de Verwerkersovereenkomst kan voldoen.
Artikel 3: Rolverdeling
1. Sportorganisatie is ten aanzien van de in diens opdracht uit te voeren Verwerkingen van Persoonsgegevens de Verwerkingsverantwoordelijke. Verwerker is Verwerker in de zin van de AVG. De Sportorganisatie heeft en houdt zelfstandige zeggenschap over het (het bepalen van) doel en de middelen van de Verwerking van de Persoonsgegevens.
2. Verwerker draagt er zorg voor dat de Sportorganisatie voorafgaande aan het sluiten van deze Verwerkersovereenkomst toereikend wordt geïnformeerd over de dienst(en) die de Verwerker verleent, en de uit te voeren Verwerkingen. De gegeven informatie stelt de Sportorganisatie in staat om te doorgronden welke Verwerkingen onlosmakelijk zijn verbonden met een aangeboden dienst en voor welke Verwerkingen Sportorganisatie een keuze kan maken voor eventueel aangeboden optionele diensten.
3. Onverminderd hetgeen elders in deze Verwerkersovereenkomst is bepaald, informeert Verwerker voorafgaand aan het sluiten van deze Verwerkersovereenkomst de Sportorganisatie in Bijlage 1 over de in lid B bedoelde diensten, waaronder eventuele optionele diensten, en de Verwerkingen die in dat kader plaatsvinden. De in Bijlage 1 opgenomen informatie moet in begrijpelijke taal zijn beschreven, waardoor Sportorganisatie geïnformeerd akkoord kan gaan met de afname van deze dienst(en) en de uitvoering van de bijbehorende Verwerkingen.
4. De Sportorganisatie neemt de in lid 2 van dit artikel genoemde Verwerking van de Persoonsgegevens op in een register van de verwerkingsactiviteiten die onder hun verantwoordelijkheid plaatsvinden.
5. Voor zover artikel 30 lid 5 AVG daartoe verplicht, houdt Verwerker conform artikel 30, lid 2 AVG een register bij van alle categorieën van verwerkingsactiviteiten die Verwerker ten behoeve van een Sportorganisatie verricht.
Artikel 4: Gebruik Persoonsgegevens
1. Verwerker verplicht zich om de van Sportorganisatie verkregen Persoonsgegevens niet voor andere doeleinden of op andere wijze te gebruiken dan voor het doel, en conform de wijze waarvoor, de gegevens zijn verstrekt of aan hem bekend zijn geworden. Het is Verwerker derhalve niet toegestaan andere gegevensverwerkingen uit te voeren dan door de Sportorganisatie (schriftelijk dan wel elektronisch) aan Verwerker in het kader van de uitvoering van de Product- en Dienstenovereenkomst zijn opgedragen, behoudens een eventuele afwijkende Unierechtelijke of lidstaatrechtelijke bepaling, dan wel een rechterlijke uitspraak, voor zover daartegen geen beroep meer openstaat op grond waarvan Verwerker tot Verwerking, waaronder begrepen mogelijk verstrekking, verplicht is.
In dat geval stelt Verwerker de Sportorganisatie voorafgaand aan de Verwerking van dat wettelijke voorschrift dan wel de rechterlijke uitspraak in kennis, tenzij dergelijke kennisgeving om gewichtige redenen van algemeen belang verboden is.
2. Een overzicht van onder meer de categorieën Persoonsgegevens en het doel waarvoor de Persoonsgegevens worden verwerkt, is uiteengezet in de Privacy bijsluiter bij deze Verwerkersovereenkomst.
3. Verwerker specificeert in de Privacy bijsluiter voor welke, door de Verwerkersverantwoordelijke vastgestelde, doeleinden persoonsgegevens worden verwerkt bij het gebruik zijn product en/of dienst, en welke categorieën Persoonsgegevens daarbij worden verwerkt.
4. Indien Verwerker in strijd met de AVG het doel en de middelen van de Verwerking van Persoonsgegevens bepaalt, wordt Verwerker met betrekking tot die Verwerking als Verwerkingsverantwoordelijke beschouwd.
Artikel 5: Vertrouwelijkheid
1. Verwerker garandeert dat hij alle Persoonsgegevens strikt vertrouwelijk zal behandelen ten opzichte van derden, waaronder overheidsinstanties. Verwerker zorgt ervoor dat een ieder die hij betrekt bij de Verwerking van Persoonsgegevens, waaronder zijn werknemers, vertegenwoordigers en/of Subverwerkers, deze gegevens als vertrouwelijk behandelt. Verwerker waarborgt dat met de tot het Verwerken van de Persoonsgegevens geautoriseerde personen een geheimhoudingsovereenkomst of –beding is gesloten, of dat deze door een wettelijke verplichting tot geheimhouding zijn gebonden.
2. De in lid 1 bedoelde geheimhoudingsplicht geldt niet in de hierna genoemde gevallen:
a. voor zover Sportorganisatie uitdrukkelijk toestemming heeft gegeven aan Verwerker om de Persoonsgegevens aan een Derde te verstrekken;
b. indien Verwerker op grond van een Unierechtelijke of lidstaatrechtelijke bepaling dan wel een gerechtelijke uitspraak, voor zover daartegen geen beroep meer openstaat, tot verstrekking verplicht is.
3. Verwerker onthoudt zich van verstrekking of bekendmaking van Persoonsgegeven aan een Derde, tenzij deze verstrekking of bekendmaking plaatsvindt in opdracht van Sportorganisatie respectievelijk wanneer dit noodzakelijk is om te voldoen aan een gerechtelijke uitspraak, voor zover daartegen geen beroep meer openstaat, of een op de Verwerker rustende wettelijke verplichting. Onder wettelijke verplichtingen zijn begrepen Unierechtelijke of lidstaatrechtelijke bepalingen op grond waarvan Verwerker tot verstrekken verplicht is. In geval van een wettelijke verplichting, verifieert Verwerker voorafgaand aan de verstrekking de wettelijke grondslag en de identiteit van de partij die zich daarop beroept. Daarnaast stelt Xxxxxxxxx– tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt - Sportorganisatie onmiddellijk, zo mogelijk voorafgaand aan de verstrekking, in kennis van de voor Sportorganisatie relevante informatie inzake deze verstrekking.
4. Verwerker zorgt ervoor dat de onder diens gezag werkende medewerkers uitsluitend toegang hebben tot Persoonsgegevens voor zover noodzakelijk voor de vervulling van hun werkzaamheden.
Artikel 6: Beveiliging en controle
1. Met inachtneming van het bepaalde in artikel 32 AVG zal Verwerker, gelijk de Sportorganisatie, zorg dragen voor passende technische en organisatorische maatregelen om Persoonsgegevens te beveiligen en beschermen tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging.
2. Naast de maatregelen als genoemd in artikel 32 lid 1 AVG, worden onder meer de volgende maatregelen – waar passend - genomen:
a. een passend beleid voor de beveiliging van de Verwerking van de Persoonsgegevens;
b. maatregelen om te waarborgen dat enkel geautoriseerde gebruikers toegang hebben tot de Persoonsgegevens die in het kader van de Verwerkersovereenkomst worden verwerkt;
c. het regelen van procedures rondom het verlenen van toegang tot Persoonsgegevens (waaronder een registratie- en afmeldprocedure voor toewijzing van toegangsrechten), en het in logbestanden vastleggen van gebeurtenissen betreffende gebruikersactiviteiten, uitzonderingen en informatiebeveiligingsgebeurtenissen. De Sportorganisatie wordt in de gelegenheid gesteld om deze logbestanden periodiek te controleren.
3. Verwerker zullen de door haar getroffen beveiligingsmaatregelen periodiek evalueren en aanscherpen, aanvullen of verbeteren voor zover de eisen of (technologische) ontwikkelingen daartoe aanleiding geven.
4. In Bijlage wordt vastgelegd wat Xxxxxxxxx doet aan passende technische en organisatorische beveiligingsmaatregelen, alsmede de inhoud, vorm en de werkwijze van de verklaringen die Verwerker verstrekt over de afgesproken beveiligingsmaatregelen.
5. De Verwerker stelt in goed overleg de Sportorganisatie in staat om effectief te kunnen voldoen aan zijn wettelijke verplichting om toezicht te houden op de naleving door de Verwerker van de technische en organisatorische beveiligingsmaatregelen alsmede op de naleving van de in artikel 7 genoemde verplichtingen ten aanzien van Datalekken.
6. In aanvulling op de voorgaande leden heeft de Sportorganisatie te allen tijde het recht om, in overleg met de Verwerker en met inachtneming van een redelijke termijn, de naleving van Toepasselijke wet- en regelgeving betreffende de Verwerking van Persoonsgegevens, de Product- en Dienstenovereenkomst en deze Verwerkersovereenkomst, waaronder de door Verwerker genomen technische en organisatorische
beveiligingsmaatregelen, te (doen) controleren middels een audit uitgevoerd door een onafhankelijke gecertificeerde externe deskundige:
a. Verwerker kunnen in onderling overleg afspreken dat de audit wordt uitgevoerd door een door Verwerker, in overleg met de Sportorganisatie in te schakelen externe deskundige die een derden-verklaring (TPM) afgeeft.
b. De auditor verstrekt het audit rapport alleen aan Partijen.
c. Partijen maken onderling afspraken over de omgang met de uitkomsten van de audit.
d. Verwerker kan in onderling overleg afspreken dat, aan de hand van een geldige (inter)nationaal erkende certificering of een gelijkwaardig controle- of bewijsmiddel, een reeds uitgevoerde audit en daaruit afgegeven derden-verklaring gebruikt kan worden. Sportorganisatie wordt in dat geval geïnformeerd over de uitkomsten van de audit.
e. Partijen komen overeen dat de kosten van deze audit voor rekening komen van de Sportorganisatie, tenzij uit de audit (kennelijke) gebreken blijken, die aan Verwerker kunnen worden toegerekend. In dat geval treden partijen in overleg over de verdeling van de kosten van de audit.
Artikel 7: Datalekken
1. Xxxxxxxxx heeft een passend beleid voor de omgang met Datalekken.
2. Indien Sportorganisatie of Verwerker een Datalek vaststelt, dan zal deze de andere Partij daarover zonder onredelijke vertraging informeren zodra hij kennis heeft genomen van dat Xxxxxxx. Verwerker verstrekt in geval van een Datalek alle relevante informatie aan Sportorganisatie met betrekking tot het Datalek, waaronder informatie over eventuele ontwikkelingen rond het Datalek, en de maatregelen die de Verwerker treft om aan zijn kant de gevolgen van het Datalek te beperken en herhaling te voorkomen.
3. Verwerker informeert Sportorganisatie onverwijld indien een vermoeden bestaat dat een Datalek waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen zoals bedoeld in artikel 34,lid 1, AVG.
4. Verwerker stelt bij een Datalek de Sportorganisatie in staat om passende vervolgstappen te (laten) nemen ten aanzien van het Datalek. Verwerker dient hierbij aansluiting te zoeken bij de bestaande processen die Sportorganisatie daartoe heeft ingericht.
Partijen nemen zo spoedig mogelijk alle redelijkerwijs benodigde maatregelen om (verdere) schending of inbreuken betreffende de Verwerking de Persoonsgegevens, en meer in het bijzonder (verdere) schending van de Toepasselijke wet- en regelgeving betreffende de Verwerking van Persoonsgegevens, te voorkomen of te beperken.
5. In geval van een Datalek, voldoet Sportorganisatie aan eventuele wettelijke meldingsplichten. In geval een Datalek bij Verwerker meerdere Sportorganisaties in gelijke mate treft, kan Verwerker, na overleg met een of meerdere Verwerkingsverantwoordelijken, namens de Sportorganisaties een melding doen van het Datalek aan de Autoriteit Persoonsgegevens. Van het voornemen hiervan zal Verwerker Sportorganisatie onverwijld (en zo mogelijk voorafgaand aan de melding) in kennis stellen.
6. In geval van het Datalek waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen, zal de Sportorganisatie de Betrokkenen informeren over het Datalek.
7. Verwerker documenteert alle Datalekken in een (incidenten)register, met inbegrip van de feiten omtrent de inbreuk in verband met persoonsgegevens, de gevolgen daarvan en de genomen corrigerende maatregelen.
8. Over incidenten met betrekking tot de beveiliging, anders dan een Datalek, die vallen buiten het bereik van artikel 1 sub h van deze Verwerkersovereenkomst, informeert de Verwerker de Sportorganisatie conform de afspraken zoals neergelegd in Bijlage 2.
Artikel 8: Bijstand
1. Verwerker verleent Sportorganisatie bijstand bij het doen nakomen van de op Sportorganisatie rustende verplichtingen op grond van de AVG en andere Toepasselijke wet- en regelgeving betreffende de Verwerking van Persoonsgegevens, zoals met betrekking – maar niet beperkt – tot:
a. het – voor zover redelijkerwijs mogelijk - vervullen van de plicht van Sportorganisatie om aan verzoeken van de in hoofdstuk III van de AVG vastgelegde rechten van de betrokkene binnen de wettelijke termijnen te voldoen, zoals een verzoek om inzage, verbetering, aanvulling, verwijdering of afscherming van Persoonsgegevens;
b. het uitvoeren van controles en audits zoals bedoeld in artikel 6 van deze Verwerkersovereenkomst;
c. het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA) en een eventuele daaruit voortkomende verplichte voorafgaande raadpleging van de Autoriteit Persoonsgegevens;
d. het voldoen aan verzoeken van de Autoriteit Persoonsgegevens of een andere overheidsinstantie;
e. het voorbereiden, beoordelen en melden van datalekken zoals bedoeld in artikel 7 van deze Verwerkersovereenkomst.
2. Een klacht of verzoek van een Betrokkene of een verzoek of onderzoek van de Autoriteit Persoonsgegevens met betrekking tot de Verwerking van de Persoonsgegevens, wordt door de Verwerker, voor zover wettelijk is toegestaan, onverwijld doorgestuurd naar Sportorganisatie, die verantwoordelijk is voor de afhandeling van het verzoek.
3. Partijen brengen elkaar voor in redelijkheid verleende bijstand geen kosten in rekening. In het geval dat één van de Partijen kosten in rekening wil brengen, brengt deze partij de andere partij hiervan vooraf op de hoogte.
Artikel 9: Inschakeling Subverwerker
1. Sportorganisatie geeft Verwerker door ondertekening van deze Verwerkersovereenkomst toestemming tot het inschakelen van Subverwerkers, van wie de identiteit en vestigingsgegevens zijn opgenomen in de Privacy bijsluiter.
2. Tijdens de duur van de Verwerkersovereenkomst licht Verwerker Sportorganisatie in over een voorgenomen toevoeging van een nieuwe Subverwerker of wijziging in de samenstelling van de bestaande Subverwerkers, waarbij Sportorganisatie de mogelijkheid wordt geboden tegen deze veranderingen bezwaar te maken.
3. Verwerker is verplicht iedere Subverwerker via een overeenkomst of andere rechtshandeling minimaal dezelfde verplichtingen inzake gegevensbescherming op te leggen als in deze Verwerkersovereenkomst aan Verwerker zijn opgelegd. Hieronder vallen onder meer de verplichting om de Persoonsgegevens niet verder te Verwerken anders dan in het kader van deze Verwerkersovereenkomst is overeengekomen, en de verplichting tot het nakomen van de geheimhoudingsverplichtingen, meldingsverplichtingen, medewerkingsverplichtingen en beveiligingsmaatregelen met betrekking tot de Verwerking van Persoonsgegevens zoals in deze Verwerkersovereenkomst vastgelegd. Verwerker zal op verzoek van Sportorganisatie afschriften verstrekken van deze Verwerkersovereenkomsten, of van de relevante passages uit de Verwerkersovereenkomst of een andere overeenkomst of een andere bindende rechtshandeling tussen Verwerker en de door deze overeenkomstig artikel 10, lid 1, van deze overeenkomst ingeschakelde Subverwerker.
Artikel 10: Bewaartermijnen en vernietiging Persoonsgegevens
1. Sportorganisatie zal Verwerker adequaat informeren over (wettelijke) bewaartermijnen die van toepassing zijn op de Verwerking van Persoonsgegevens door Verwerker. Verwerker zal de Persoonsgegevens niet langer Verwerken dan overeenkomstig deze bewaartermijnen.
2. Sportorganisatie verplicht Verwerker om de in opdracht van Sportorganisatie Verwerkte Persoonsgegevens bij de beëindiging van de Verwerkersovereenkomst te (doen) vernietigen, tenzij de Persoonsgegevens langer bewaard moeten worden, zoals in het kader van (wettelijke) verplichtingen, dan wel op verzoek van de Sportorganisatie. De Sportorganisatie kan op eigen kosten een controle laten uitvoeren of vernietiging heeft plaatsgevonden.
3. Verwerker zal Sportorganisatie (schriftelijk of elektronisch) bevestigen dat vernietiging van de Verwerkte persoonsgegevens heeft plaatsgevonden.
4. Verwerker zal alle Subverwerkers die betrokken zijn bij de Verwerking van de Persoonsgegevens op de hoogte stellen van een beëindiging van de Verwerkersovereenkomst en zal waarborgen dat alle Subverwerkers de Persoonsgegevens (laten) vernietigen.
Artikel 11: Aansprakelijkheid
1. Een Partij kan geen beroep doen op een aansprakelijkheidsbeperking, die is opgenomen in de Product- of Dienstenovereenkomst of andere tussen Partijen bestaande overeenkomst of regeling, ten aanzien van een door de andere Partij ingestelde:
a. verhaalsactie op grond van artikel 82 AVG; of
b. schadevergoedingsactie uit hoofde van deze Verwerkersovereenkomst, indien en voor zover de actie bestaat uit verhaal van een aan de Toezichthouder betaalde geldboete die geheel of gedeeltelijk toerekenbaar is aan de andere Partij. Het bepaalde in dit artikel laat onverlet de rechtsmiddelen die de aangesproken partij op grond van de geldende wet- of regelgeving ter beschikking staat.
2. Het bepaalde in lid 1 sub b geldt onverminderd het bepaalde in artikel 13 lid 2.
3. Iedere Partij is verplicht de andere Partij zonder onnodige vertraging op de hoogte te stellen van een (mogelijke) aansprakelijkstelling of het (mogelijk) opleggen van een boete door de Toezichthouder, beiden in verband met deze Verwerkersovereenkomst. Iedere Partij is in redelijkheid verplicht de andere Partij informatie te verstrekken en/of ondersteuning te verlenen ten behoeve van het voeren van verweer tegen een (mogelijke) aansprakelijkstelling of boete, zoals bedoeld in de vorige volzin. De Partij die informatie verstrekt en/of ondersteuning verleent, is gerechtigd om eventuele redelijke kosten dienaangaande in rekening te brengen bij de andere Partij, Partijen informeren elkaar zo veel mogelijk vooraf over deze kosten.
Artikel 12: Tegenstrijdigheid en wijziging Verwerkersovereenkomst
1. In het geval van tegenstrijdigheid tussen de bepalingen uit deze Verwerkersovereenkomst en de bepalingen van de Product- en Dienstenovereenkomst, dan zullen de bepalingen van deze Verwerkersovereenkomst leidend zijn.
2. Indien Partijen van de artikelen in de Verwerkersovereenkomst door omstandigheden moeten afwijken, of deze willen aanvullen, dan zullen deze wijzigingen en/of aanvullingen door Partijen worden beschreven.
Het bepaalde in dit lid geldt niet voor aanvullingen en/of wijzigingen van de Bijlagen 1 en 2.
3. Bij belangrijke wijzigingen in het product en/of de (aanvullende) diensten die van invloed zijn op de Verwerking van de Persoonsgegevens wordt, alvorens de Sportorganisatie de keuze hiertoe aanvaardt, de Sportorganisatie in begrijpelijke taal geïnformeerd over de consequenties van deze wijzigingen. Onder belangrijke wijzigingen wordt in ieder geval verstaan: de toevoeging of wijziging van een functionaliteit die leidt tot een uitbreiding ten aanzien van de te Verwerken Persoonsgegevens en de doeleinden waaronder de Persoonsgegevens worden Verwerkt.
De wijzigingen zullen in Bijlage 1 worden opgenomen.
4. Wijzigingen in de artikelen van de Verwerkersovereenkomst kunnen uitsluitend in gezamenlijkheid worden overeengekomen.
5. In het geval enige bepaling van deze Verwerkersovereenkomst nietig, vernietigbaar of anderszins niet afdwingbaar is of wordt, blijven de overige bepalingen van deze Verwerkersovereenkomst volledig van kracht. Partijen zullen in dat geval met elkaar in overleg treden om de nietige, vernietigbare of anderszins niet afdwingbare bepaling te vervangen door een uitvoerbare alternatieve bepaling. Daarbij zullen partijen zoveel mogelijk rekening houden met het doel en de strekking van de nietige, vernietigde of anderszins niet afdwingbare bepaling.
Artikel 13: Duur en beëindiging
1. De looptijd van deze Verwerkersovereenkomst is gelijk aan de looptijd van de tussen Partijen gesloten Product- en Dienstenovereenkomst, inclusief eventuele verlengingen daarvan.
2. Deze Verwerkersovereenkomst eindigt van rechtswege bij de beëindiging van de Product- en Dienstenovereenkomst. De beëindiging van deze Verwerkersovereenkomst zal Partijen niet ontslaan van hun verplichtingen die voortvloeien uit deze Verwerkersovereenkomst die naar hun aard worden geacht ook na beëindiging voort te duren.
Aldus overeengekomen, in tweevoud opgemaakt en ondertekend,
Sportorganisatie Dotcomsport B.V. (Verwerker)
Naam: Naam: X. Xxxxxx
Functie: Functie: Directeur
Datum: / _/ _ Datum: /__/20
Bijlage 1: Privacy bijsluiter Bijlage 2: Beveiligingsbijlage
BIJLAGE 1: PRIVACY BIJSLUITER Dotcomclub
Dotcomsport B.V. is een leverancier van ICT-oplossingen en dienstverlening voor Sportorganisaties waarbij persoonsgegevens worden verwerkt. Wij vinden het belangrijk om uiterst zorgvuldig met deze persoonsgegevens om te gaan.
Dotcomsport B.V. is een ‘Verwerker’, die uitvoering geeft aan de opdracht van een partij.
De afspraken die hiervoor gelden, zijn vastgelegd in de Verwerkersovereenkomst van Dotcomsport B.V. In deze Privacy Bijsluiter richten wij ons tot u als partij om u meer specifiek te informeren over onze producten en de bijbehorende gegevensverwerkingen. Daardoor wordt duidelijk welke opdracht u als partij geeft aan Dotcomsport B.V. om gegevens te verwerken. Deze Privacy Bijsluiter stelt u tevens in staat om ouders en sporters te informeren over de verwerking van persoonsgegevens.
A. Algemene informatie
Naam product en/of dienst : Dotcomclub
Naam Verwerker en vestigingsgegevens : Dotcomsport B.V., Xxxxxxxxxx 00-00, 0000 XX Xxxxxxxx Beknopte uitleg en werking product en dienst : Spelervolgsysteem
Link naar leverancier en/of productpagina : xxx.xxxxxxxxxxx.xx
Doelgroep : Amateur/Professioneel Sportorganisatie
Gebruikers : Geautoriseerde personen van de sportorganisatie, Sportdeelnemers, begeleiders en externe begeleiders betrokken bij de sporterdeelnemer.
B. Basis- en optionele modules
Bij de afname van Dotcomclub kan de Sportorganisatie, naast de standaard / basismodule, in bepaalde gevallen kiezen voor verschillende optionele modules. In het onder E opgenomen schema wordt (in dat geval per module) weergegeven welke Persoonsgegevens er worden Verwerkt en voor welke (onder C opgenomen) doeleinden dat gebeurt.
Status afgenomen modules en activatie van optionele Verwerkingen door feitelijk gebruik
De exacte status van de door Sportorganisatie afgenomen diensten/modules is zichtbaar via de laatste factuur of gesloten orderovereenkomst.
Indien Verwerker bij aanvang van het gebruik alle modules in zijn product en/of dienst beschikbaar stelt aan de Sportorganisatie, is er pas sprake van een Verwerking, indien de Sportorganisatie tot daadwerkelijk gebruik van de betreffende module overgaat.
Wanneer er binnen Dotcomclub gebruik wordt gemaakt van zogenaamde ‘open velden’, kan Verwerker geen invloed uitoefenen op de daarin Verwerkte gegevens. Indien de Sportorganisatie in de open velden Persoonsgegevens opneemt die niet zijn/worden vermeld in deze Privacy Bijsluiter en/of Persoonsgegevens gebruikt voor doeleinden die niet zijn vermeld in deze Privacy Bijsluiter, doet Sportorganisatie dit onder eigen verantwoordelijkheid.
C. Xxxxxxxxxx voor het verwerken van gegevens
Dotcomsport is leverancier van een digitaal product en/of digitale dienst bestaande uit een Sportorganisatie- en Sportdeelnemer informatiemiddel. In het kader van deze producten en diensten van toepassing:
Van toepassing: | Doeleinde: | |
X | A | De volgende mogelijke doelstellingen van gegevensverwerking in het kader van deze producten en diensten van toepassing: o de Sportorganisatie, het geven en volgen van talentontwikkeling, het begeleiden en volgen van Sportdeelnemers of het geven van training- en wedstrijdadviezen, waaronder: o de indeling en aanpassing van trainingen en wedstrijden; o de analyse en interpretatie van sportresultaten; o het bijhouden van persoonlijke (waaronder medische) omstandigheden van een Sportdeelnemer en de gevolgen daarvan voor het volgen van wedstrijden en trainingen; o het begeleiden en ondersteunen van trainers en andere begeleiders binnen de Sportorganisatie; o de communicatie met Sportdeelnemers en begeleiders van de Sportorganisatie; o monitoring en verantwoording, ten behoeve van met name: (prestatie)metingen van de Sportorganisatie, effectiviteitsonderzoek van sport(vorm) of de geboden ondersteuning van Sportdeelnemers bij wedstrijden en trainingen; |
X | B | Het geleverd krijgen/in gebruik kunnen nemen van Digitale informatiemiddelen conform de afspraken die zijn gemaakt tussen de Sportorganisatie en de Leverancier; |
C | Het verkrijgen van toegang tot de aangeboden Digitale dienst, waaronder de identificatie, authenticatie en autorisatie; | |
D | De beveiliging, controle en preventie van misbruik en oneigenlijk gebruik en het voorkomen van inconsistentie en onbetrouwbaarheid in de, met behulp van het Digitale dienst, Verwerkte Persoonsgegevens; | |
X | E | De continuïteit en goede werking van de Digitale Dienst conform de afspraken die zijn gemaakt tussen de Sportorganisatie en de Leverancier, waaronder het laten uitvoeren van onderhoud, het maken van een back-up, het aanbrengen van verbeteringen na geconstateerde fouten of onjuistheden en het krijgen van ondersteuning; |
X | F | Onderzoek en analyse op basis van strikte voorwaarden, vergelijkbaar met bestaande gedragscodes op het terrein van onderzoek en statistiek, ten behoeve van het (optimaliseren van het) proces of het beleid van de Sportorganisatie; |
X | G | Het door de Sportorganisatie voor onderzoeks- en analyse doeleinden beschikbaar kunnen stellen van volledig geanonimiseerde Persoonsgegevens om daarmee de kwaliteit van de sport te verbeteren; |
X | H | Het beschikbaar stellen van Persoonsgegevens voor zover noodzakelijk om te kunnen voldoen aan de wettelijke eisen die worden gesteld aan Digitale middelen; |
I | De uitvoering of toepassing van een andere wet. |
In het onder E opgenomen schema wordt per module weergegeven welke (onder D opgenomen) Persoonsgegevens er worden Verwerkt en voor welke (onder C opgenomen) doeleinden dat gebeurt.
D. Categorieën en soorten Persoonsgegevens
Verwerker geeft hieronder aan welke categorieën Persoonsgegevens er (al dan niet optioneel) kunnen worden Verwerkt binnen Dotcomclub. In het onder E opgenomen schema wordt per module weergegeven welke (onder D opgenomen) Persoonsgegevens er worden Verwerkt en voor welke (onder C opgenomen) doeleinden dat gebeurt.
1. Omschrijving van de categorieën Betrokkenen over wie Persoonsgegevens worden Verwerkt, en de categorieën Persoonsgegevens van de Betrokkenen:
Van toepassing | Categorie | Toelichting |
X | 1. Contactgegevens | naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens; Beperkte set = naam, e-mail, opleiding; Persoonlijke set = geboortedatum, geslacht; |
X | 2. Sportbonddeelnemer- nummer | een administratienummer dat sportdeelnemers identificeert |
X | 3. Nationaliteit en geboorteplaats | |
X | 4. Ouders, voogd | gegevens als bedoeld onder 1, van de ouders/verzorgers van sportdeelnemers |
X | 5. Medische gegevens | gegevens die noodzakelijk zijn met het oog op de gezondheid of het welzijn van de betrokkene of op eigen verzoek, een en ander voor zover noodzakelijk voor het deelnemen aan trainingen en wedstrijden; |
6. Godsdienst | gegevens betreffende de godsdienst of levensovertuiging van de betrokkene, voor zover die noodzakelijk zijn voor de sport, of op eigen verzoek, een en ander voor zover noodzakelijk voor de sport; | |
X | 7. Voortgang | gegevens betreffende de aard en het verloop van Sportontwikkeling alsmede de behaalde sportresultaten; te weten: Team / speelklasse Beoordeling vaardigheden Trainingregistratie Wedstrijdregistratie Sporttesten Begeleiding sportdeelnemers, inclusief ontwikkelplan (POP) Aanwezigheidsregistratie |
X | 8. Sportorganisatie | gegevens met het oog op de organisatie van en het verstrekken of ter beschikking stellen van wedstrijden en trainingen; |
9. Financiën | gegevens met het oog op het berekenen, vastleggen en innen van inschrijvingsgelden, lidmaatschap- en lesgelden en bijdragen of vergoedingen voor sport activiteiten, alsmede bankrekeningnummer van de betrokkene; |
X | 10. Beeldmateriaal | foto’s en videobeelden (beeldmateriaal) met of zonder geluid van activiteiten van de Sportorganisatie; |
X | 11. Trainer, Leider/Teammanager, (Hoofd)Medisch, Coördinator, Administratie, (Hoofd)Scout, Video analist | gegevens van medewerkers en andere betrokkenen bij de Sportorganisatie, voor zover deze gegevens van belang zijn voor de organisatie en verzorgen van trainingen en begeleiding; |
12 Overige gegevens, te weten …. | andere dan de onder 1 tot en met 11 bedoelde gegevens waarvan de verwerking wordt vereist ingevolge of noodzakelijk is met het oog op de toepassing van een andere wet. Wel moet worden vermeld om welke gegevens het gaat. | |
13. BSN/PGN |
2. Soort Persoonsgegevens
a. Door Verwerker worden wel/geen* bijzondere Persoonsgegevens Verwerkt. Het betreft hier de categorieën: 3 en 5.
b. Door Verwerker worden wel/geen* gevoelige Persoonsgegevens Verwerkt. Het betreft hier de categorieën: 7.
De categorieën 3, 5 en 6 zijn bijzondere Persoonsgegevens in de zin van de AVG. De categorieën 7, 9 en 13 worden (in ieder geval) gezien als gevoelige Persoonsgegevens.
3. Door de Verwerker te hanteren specifieke bewaartermijnen van Persoonsgegevens (of toetsingscriteria om dit vast te stellen):
Categorie Persoonsgegevens | Bewaartermijn of toetsingscriterium |
1. Contactgegevens | * |
2. Sportbonddeelnemer-nummer | * |
3. Etc. | * |
*Het uitgangspunt blijft dat de Sportorganisatie persoonsgegevens niet langer mag bewaren dan noodzakelijk voor het doel van de verwerking.
E. Uitwerking Verwerkingen Persoonsgegevens en doeleinden per afgenomen module
Hieronder wordt per categorie Persoonsgegevens aangegeven, voor welke functie en binnen welke module dit Persoonsgegeven in het kader van Dotcomclub wordt Verwerkt en op grond van welk van de hierboven genoemde doeleinden dit gebeurt:
Categorie Persoonsgegeven (1 t/m 14): 1. Contactgegevens
Afgenomen module: | Functie | Productverwijzing | Doeleinde |
Basis Dotcomclub | Spelervolgsysteem, spelerprofiel, teamindeling, trainingen, wedstrijden, beoordelingen, testen, medisch, statistieken | Dotcomclub | A |
Videoanalyse | Coderen, spelerprofiel, wedstrijd en training. | Dotcomclub + Module Videoanalyse | A |
Scouting | Scouting spelerprofiel en scoutingrapportage/analyse | Dotcomclub + Module Scouting | A |
Categorie Persoonsgegeven (1 t/m 14): 3. Nationaliteit en Geboorteplaats
Afgenomen module: | Functie | Productverwijzing | Doeleinde |
Basis Dotcomclub | Spelerprofiel | Dotcomclub | A |
Videoanalyse | N.V.T. | Dotcomclub + Module Videoanalyse | - |
Scouting | Scouting spelerprofiel | Dotcomclub + Module Scouting | A |
Categorie Persoonsgegeven (1 t/m 14): 4. Ouders, voogd
Afgenomen module: | Functie | Productverwijzing | Doeleinde |
Basis Dotcomclub | Spelerprofiel | Dotcomclub | A |
Videoanalyse | N.V.T. | Dotcomclub + Module Videoanalyse | - |
Scouting | Scouting spelerprofiel | Dotcomclub + Module Scouting | A |
Categorie Persoonsgegeven (1 t/m 14): 5. Medische gegevens
Afgenomen module: | Functie | Productverwijzing | Doeleinde |
Basis Dotcomclub | Afgesloten rol (Hoofd) Medisch en inzichtelijk voor de speler zelf met eigen inlog. | Dotcomclub | A |
Videoanalyse | N.V.T. | Dotcomclub + Module Videoanalyse | - |
Scouting | N.V.T. | Dotcomclub + Module Scouting | - |
Categorie Persoonsgegevens (1 t/m 14): 7. Voortgang
Afgenomen module: | Functie | Productverwijzing | Doeleinde |
Basis Dotcomclub | Spelervolgsysteem, spelerprofiel, teamindeling, trainingen, wedstrijden, beoordelingen, testen, statistieken | Dotcomclub | A |
Videoanalyse | N.V.T. | Dotcomclub + Module Videoanalyse | - |
Scouting | Scouting spelerprofiel en scoutingrapportage/analyse | Dotcomclub + Module Scouting | A |
Categorie Persoonsgegeven (1 t/m 14): 8. Sportorganisatie
Afgenomen module: | Functie | Productverwijzing | Doeleinde |
Basis Dotcomclub | Spelervolgsysteem, spelerprofiel, teamindeling, trainingen, wedstrijden, beoordelingen, testen, statistieken | Dotcomclub | A |
Videoanalyse | N.V.T. | Dotcomclub + Module Videoanalyse | - |
Scouting | N.V.T. | Dotcomclub + Module Scouting | - |
Categorie Persoonsgegeven (1 t/m 14): 11. Trainer, Xxxxxx/Teammanager, (Hoofd)Medisch, Coördinator, Administratie, (Hoofd)Scout, Video analist.
Afgenomen module: | Functie | Productverwijzing | Doeleinde |
Basis Dotcomclub | Teamindeling en onderdeel Medewerkers | Dotcomclub | A |
Videoanalyse | N.V.T. | Dotcomclub + Module Videoanalyse | - |
Scouting | N.V.T. | Dotcomclub + Module Scouting | - |
F. Opslag Verwerking Persoonsgegevens:
De verwerking vindt plaats bij Rackspace en de locaties van opslag vallen binnen de Europese Economische Ruimte (EER). xxx.xxxxxxxxx.xxx/xxxxxxxxxxx/xxxxx/xxxxxxxxxxxxx/xxxxxxxx-xxxx-xxxxxxxx-xxx-xxxxxxx
Rackspace is in bezit van een privacy shield certificatie: xxxxx://xxxx.xxxxxxxxx.xxx/xxxxxxxxx-xxx-xxxx-xx-xx-x-x-xxxxxxx-xxxxxx-xxxxxxx
G. Subverwerkers
Sportorganisatie geeft Verwerker door ondertekening van de Verwerkersovereenkomst een algemene schriftelijke toestemming voor het inschakelen van een Subverwerker. Verwerker heeft het recht gebruik te gaan maken van andere Subverwerkers.
Verwerker maakt ten tijde van het afsluiten van de Verwerkersovereenkomst gebruik van de volgende Subverwerkers:
Naam + vestigingsplaats | Omschrijving taak/dienst | Land van opslag + Verwerking |
Rackspace, Londen | Webhosting | Engeland |
Opmerking: indien de Persoonsgegevens buiten de EER worden verwerkt wordt apart opgave gedaan van de landen waar de Persoonsgegevens worden verwerkt én op welke wijze is gewaarborgd dat de gegevens rechtmatig kunnen worden doorgegeven.
H. Contactgegevens
Voor vragen of opmerkingen over deze bijsluiter of de werking van dit product of deze dienst, kunt u terecht bij: Xxxxx Xxxxxx
I. Versie
Versie 3.0 – 11 april 2018
Bijlage 2: Beveiligingsbijlage
Omschrijving van de maatregelen zoals bedoeld in artikel 7 Verwerkersovereenkomst
I. Omschrijving van de maatregelen om te waarborgen dat enkel bevoegd personeel toegang heeft tot de Verwerking van Persoongegevens.
Dotcomsport B.V. hanteert het intern privacy- en ICT-beleid Dotcomgroup. Dit interne ICT- en privacybeleid (hierna: ‘beleid’) fungeert als leidraad hoe binnen onze organisaties wordt omgegaan met privacy gerelateerde gegevens, zogeheten persoonsgegevens. Dit beleid is door Dotcomgroup opgesteld mede als handvat bij het gebruik van persoonsgegevens, maar ook om naar buiten toe aan te kunnen tonen dat wij zorgvuldig met persoonsgegevens omgaan.
Hieronder wordt uitgewerkt welke (groepen) medewerkers van de Verwerker toegang hebben tot welke Persoonsgegevens, inclusief een omschrijving van handelingen die deze medewerkers uit mogen voeren met de persoonsgegevens.
Groepen van medewerkers en Persoonsgegevens: | Handelingen: |
Eerstelijns helpdesk, medewerkers van de supportafdeling fungeren als aanspreekpunt. Ze beantwoorden ‘basisvragen’, verwijzen mensen door en maken indien nodig melding van inhoudelijke vragen. | Ondersteuning van de eindgebruiker. |
Xxxxxxxxxxx helpdesk, medewerkers van de supportafdeling beantwoorden zowel basis- als inhoudelijke vragen, analyseren incidenten en lossen op en koppelen dat ook weer terug naar de melder. | Ondersteuning van de eindgebruiker en na toestemming verdere ondersteuning met inzage of analyseren van het incident. |
Derdelijns support, medewerkers van de supportafdeling en R&D zijn de experts en/of de ontwikkelaar van de applicatie. Zij ondersteunen bij het analyseren van incidenten en het oplossen en koppelen dat ook weer terug aan de tweedelijns helpdesk. | Analyseren van het incident. |
Analisten / deskundigen op het gebied van ontwikkeling van het product hebben toegang tot geanonimiseerde sets van resultaten van gebruik van het product, eventuele problemen/fouten bij gebruik. | Analyse van het gebruik, gericht op verbetering van de functionaliteit, ontwikkeling en optimalisatie van, opsporing en verbetering van fouten in de werking van het product. |
IT-databasebeheerders hebben toegang tot de databases. Dit kunnen ook Subverwerkers zijn. | De handelingen van IT-databasebeheerders zijn gericht op continuïteit en optimalisatie van ICT-systemen. |
II. Omschrijving van de maatregelen om de Persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, Verwerking, toegang of openbaarmaking.
Dotcomsport heeft het Certificeringsschema met BIV-classificatie als toetsingskader en voor het creëren van een solide basisniveau van informatiebeveiliging en privacy voor haar producten en diensten.
Hieronder staat de rapportage van de BIV-classificatie, de mate van compliance en de uitleg bij eventuele afwijkingen van de standaarden.
Toetsvorm | Self-assessment | ||
Uitvoerder toets | Dotcomsport afdeling R&D | ||
BIV-classificatie | [Beschikbaarheid=1 , Integriteit=1, Vertrouwelijkheid=2 | ||
Categorie | Maatregelen | Compliance | Uitleg |
[Voldaan/ niet voldaan/ alternatieve maatregel] | [Bij niet voldaan aangeven hoe/wanneer dit wordt gecorrigeerd. Bij alternatieve maatregel deze beschrijven] | ||
Beschikbaarheid | Overbelasting | Voldaan | |
Business continuity | Voldaan | ||
Ontwerp | Voldaan | ||
Monitoring | Voldaan | ||
Testen | Voldaan | ||
Software | Voldaan | ||
Actuele dreigingen | Voldaan | ||
Integriteit | Herleidbaarheid (gebruikers) | Voldaan | |
Backup | Voldaan | ||
Application controls | Voldaan | ||
Onweerlegbaarheid gegevens | Voldaan | ||
Herleidbaarheid (technisch beheer) | Voldaan | ||
Controle integriteit | Voldaan | ||
Onweerlegbaarheid toepassing | Voldaan | ||
Actuele dreigingen | Voldaan | ||
Vertrouwelijkheid | Levenscyclus gegevens | Voldaan | |
Logische toegang | Voldaan | ||
Fysieke toegang | Voldaan | ||
Netwerk toegang | Voldaan | ||
Scheiding omgevingen | Voldaan | ||
Transport en fysieke opslag | Voldaan | ||
Logging | Voldaan | ||
Toetsing | Voldaan | ||
Actuele dreigingen | Voldaan |
Organisatie van informatiebeveiliging en communicatieprocessen
• Verwerker beschikt over een actief informatiebeveiligingsbeleid
• Xxxxxxxxx heeft een coördinator voor informatiebeveiliging (security officer) om risico’s omtrent de Verwerking van Persoonsgegevens te inventariseren, beveiligingsbewustzijn te stimuleren, voorzieningen te controleren en maatregelen te treffen die zien op naleving van het informatiebeveiligingsbeleid.
• Verwerker heeft een proces ingericht voor communicatie over informatiebeveiligingsincidenten.
Medewerkers
• Met medewerkers worden geheimhoudingsverklaringen overeengekomen en informatiebeveiligingsafspraken gemaakt.
III. Omschrijving van de maatregelen om zwakke plekken te identificeren ten aanzien van de Verwerkings van Persoonsgegevens in de systemen die worden ingezet voor het verlenen van de diensten aan de Sportorganisatie.
Om de gegevens van de gebruikers op een juiste manier te beveiligen worden er binnen de organisatie verschillende maatregelen toegepast die aansluiten bij het certificeringsschema informatiebeveiliging.
• Dit kunnen technische maatregelen zijn, zoals het gebruik van Secure Socket Layer op de websites waarop onze
dienst beschikbaar wordt gesteld. De afdeling R&D ziet er op toe dat deze beveiligingsmaatregelen goed worden uitgevoerd en up to date zijn.
• Een andere wijze om de gegevens van gebruikers te beschermen is door het hanteren van beperkte toegang tot de gegevens. Medewerkers hebben slechts toegang tot de systemen en gegevens die nodig zijn voor het uitvoeren van de functie. Ook kan er toegang verkregen worden door een tijdelijk wachtwoord aan te vragen na toestemming van de Sportorganisatie en de manager.
• Naast de autorisatie is er ook een expliciete functiescheiding ingericht. Toegang gaat op basis van een gecontroleerde autorisatie waardoor het mogelijk is te herleiden wie er precies toegang heeft verkregen. Op deze manier wordt misbruik en/of fraude met gegevens beperkt.
• De systemen van Verwerker worden periodiek gecontroleerd aan (inter)nationaal erkende normen en standaarden voor informatiebeveiliging. Daarnaast voorziet het beveiligingsbeleid van Verwerker in interne processen om kwetsbaarheden te identificeren.
Rapportage
Verwerker actualiseert deze informatie voortdurend en informeert gebruikers over wijzigingen in de getroffen maatregelen om persoonsgegevens te beschermen tegen misbruik via specifieke rol binnen de applicatie.
In het geval u beveiligingsrisico’s constateert, dan verzoeken wij u contact op te nemen met de helpdesk van Verwerker via 036-5472119.
Informeren over Datalekken en/of incidenten met betrekking tot beveiliging
De wijze waarop monitoring en identificatie van Datalekken plaatsvindt:
Verwerker monitort 24/7 (of anders de afgesproken periode) haar dienstverlening en heeft de in Bijlage 2 opgenomen maatregelen getroffen om ongeoorloofde of onrechtmatige toegang tot gegevens te voorkomen en te identificeren. Signalen die duiden op een Datalek worden beoordeeld door de security officer van Verwerker, die analyseert of sprake kan zijn van een Datalek.
De wijze waarop informatie wordt gedeeld:
Wanneer zich een Datalek voordoet, wordt de Verwerkingsverantwoordelijke Sportorganisatie door of namens Verwerker in beginsel binnen 24 uur na vaststelling dat er sprake is van een Datalek per e-mail geïnformeerd. Afhankelijk van de situatie, kan ook informatie worden gedeeld via onze website xxx.xxxxxxxxxxx.xx en officiële sociale media kanalen en/of officiële distributeurs en/of handelsagenten.
Voor vervolgacties of vragen kan telefonisch of per e-mail contact worden opgenomen met onze helpdesk via xxxxxxx@xxxxxxxxxx.xx of 036-5472119.
Verwerker deelt ten minste de volgende informatie wanneer zich een Datalek voordoet:
a. De kenmerken van het incident, zoals: datum en tijdstip constatering, samenvatting incident, kenmerk en aard incident (op wat voor onderdeel van de beveiliging ziet het, hoe heeft het zich voorgedaan, heeft het betrekking op lezen, kopiëren, veranderen, verwijderen/vernietigen en/of diefstal van persoonsgegevens);
b. De oorzaak van het beveiligingsincident;
c. De maatregelen die getroffen zijn om eventuele/verdere schade te voorkomen;
d. Benoemen van betrokkenen die gevolgen kunnen ondervinden van het incident, en de mate waarin;
e. De omvang van de groep betrokkenen;
f. Het soort gegevens dat door het incident wordt getroffen (met name bijzondere gegevens, of gegevens van gevoelige aard.
Indien een concrete situatie zich daartoe leent, dan kan Verwerker een (eerste) melding van een Datalek doen aan de Autoriteit Persoonsgegevens. De Sportorganisatie wordt hierover geïnformeerd en blijft ook in dit geval eindverantwoordelijk voor de melding.
Versie
Deze bijlage is voor het laatst bijgewerkt op [11-04-2018].