Verwerkersovereenkomst

1. Onderwerp en duur

klubfish verwerkt persoonsgegevens in opdracht van de vereniging, voor zover de vereniging klubfish gebruikt voor haar verenigingsbeheer (art. 28 AVG). De overeenkomst geldt zolang de vereniging in klubfish bestaat en eindigt als de vereniging wordt verwijderd of stopt met klubfish.

Geen onderwerp van deze overeenkomst is wat elk lid als eigen gebruiker van klubfish doet: het eigen logboek, de eigen vangsten, foto's en zichtbaarheidsinstellingen. Daarvoor is klubfish zelf verantwoordelijk; de privacyverklaring is van toepassing.

2. Aard en doel van de verwerking

Opslaan, tonen, uitwerken, exporteren en verwijderen van gegevens voor het beheer van de vereniging in klubfish: ledenlijst en aanmeldingen, rollen en titels, contributieoverzicht, afspraken en wedstrijden, mededelingen, regels en wateren, en overzichten van de vangsten die met de vereniging zijn gedeeld (vangstlijst, jaarlijkse vangstrapportage, records, ranglijsten).

3. Soorten gegevens en betrokkenen

Betrokkenen zijn de leden van de vereniging en mensen die vragen om lid te worden. Verwerkt worden:

• ledenlijst: weergavenaam, initialen, profielfoto, datum van aanmelding, verzoeken om lid te worden,
• rollen en titels (beheerder, lid, oprichter, bestuur),
• contributiestatus (betaald of open; er gaat geen geld via klubfish),
• reacties op afspraken en uitslagen van wedstrijden, gelezen mededelingen,
• vangsten die leden met de vereniging delen, in vangstlijst en jaarlijkse vangstrapportage, met plaats hoogstens op het niveau dat het lid toestaat,
• exports die beheerders van de vereniging maken.

Bijzondere categorieën van gegevens (art. 9 AVG) worden niet verwerkt.

4. Instructies

klubfish verwerkt de gegevens alleen op schriftelijke instructie van de vereniging. De instructies zijn deze overeenkomst en de instellingen en handelingen van de beheerders van de vereniging in de app. Vindt klubfish een instructie onrechtmatig, dan meldt klubfish dat direct aan de vereniging.

De vereniging is ervoor verantwoordelijk dat zij de gegevens van haar leden rechtmatig in klubfish verwerkt, en informeert haar leden daarover.

5. Geheimhouding

Bij klubfish heeft alleen de aanbieder zelf toegang tot de gegevens, en alleen voor zover dat nodig is voor de werking, de beveiliging of een verzoek van de vereniging. Wie verder toegang krijgt, wordt vooraf tot geheimhouding verplicht.

6. Technische en organisatorische maatregelen

klubfish neemt onder meer deze maatregelen (art. 32 AVG):

• database en bestanden in een datacenter in Frankfurt am Main (EU),
• overdracht alleen versleuteld (HTTPS met HSTS); versleuteling van opgeslagen gegevens door de hostingpartij,
• toegangsregels in de database (row level security) voor elke tabel: de server beslist wie wat ziet, nooit de app; elke regel is gedekt door automatische tests,
• privacy als standaard: nieuwe velden zijn privé, de plaats is van het lid, een vereniging kan stekken alleen verder beperken, nooit verruimen,
• foto's alleen via tijdelijke links; opnamegegevens (EXIF, GPS) worden verwijderd voor het opslaan,
• inloggen zonder wachtwoord met een eenmalige code per e-mail; limieten op aanvragen en pogingen om lid te worden,
• geen advertenties, geen tracking, geen analysetools; back-ups door de hostingpartij.

klubfish mag de maatregelen verder ontwikkelen, zolang het beschermingsniveau niet daalt.

7. Subverwerkers

De vereniging gaat akkoord met deze subverwerkers:

• Supabase Inc. (VS): database, inloggen, bestandsopslag, serverfuncties; gegevens in Frankfurt am Main (EU),
• Vercel Inc. (VS): hosting van de app,
• Resend (VS): versturen van e-mails,
• OpenStreetMap Foundation (Verenigd Koninkrijk): kaarttegels en plaatsen zoeken,
• Open-Meteo (Zwitserland): weergegevens, alleen met een positie die op ongeveer 5 km is afgerond.

Doorgifte naar de VS is beschermd met de EU-modelcontractbepalingen en, als de dienstverlener gecertificeerd is, met het EU-U.S. Data Privacy Framework. Een nieuwe of andere subverwerker kondigt klubfish minstens 30 dagen vooraf aan in de app; de vereniging kan om gewichtige privacyredenen bezwaar maken en stoppen met klubfish.

8. Ondersteuning van de vereniging

klubfish helpt de vereniging bij het beantwoorden van verzoeken van leden over hun rechten (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid, bezwaar). Veel kunnen beheerders direct in de app doen (leden verwijderen, rollen wijzigen, vangstlijst exporteren); leden kunnen hun eigen gegevens zelf downloaden en verwijderen. Stuurt een lid klubfish een verzoek dat de vereniging aangaat, dan stuurt klubfish het door naar de vereniging.

klubfish ondersteunt de vereniging ook bij beveiliging, het melden van datalekken en, als dat nodig is, een gegevensbeschermingseffectbeoordeling, voor zover klubfish daarvoor de informatie heeft.

9. Datalekken

Krijgt klubfish kennis van een inbreuk in verband met persoonsgegevens die de vereniging raakt, dan informeert klubfish de vereniging zonder onredelijke vertraging, waar mogelijk binnen 48 uur, per e-mail aan de beheerders of in de app: wat er is gebeurd, welke gegevens en personen het raakt, wat de waarschijnlijke gevolgen zijn en wat klubfish eraan doet.

10. Verwijderen en teruggeven aan het einde

Voor het einde kan de vereniging haar gegevens exporteren (vangstlijst, rapportages). Verwijdert een beheerder de vereniging, dan worden de verenigingsgegevens verwijderd: lidmaatschappen, rollen, contributiestatus, afspraken, mededelingen, regels, wateren en clubcodes. De vangsten blijven bij de leden die ze hebben ingevoerd, want ze horen bij hun eigen logboek. Back-ups van de hostingpartij worden na korte tijd overschreven.

11. Bewijs en audits

Op verzoek geeft klubfish de vereniging de informatie die nodig is om aan te tonen dat deze overeenkomst wordt nageleefd. Audits ter plaatse zijn mogelijk in overleg en met een redelijke termijn, in de regel hoogstens één keer per jaar en op kosten van de vereniging; schriftelijke informatie gaat voor.

12. Slotbepalingen

Nederlands recht is van toepassing. Bij tegenstrijdigheid gaat deze overeenkomst voor op de gebruiksvoorwaarden, voor zover het gaat om verwerking in opdracht van de vereniging. Wijzigingen kondigt klubfish vooraf aan in de app; bij belangrijke wijzigingen accepteert een beheerder de overeenkomst opnieuw.