Verwerkersovereenkomst

1. Partijen

• De organisatie die zich aanmeldt bij Vrijwilligerskompas: de verwerkingsverantwoordelijke.
• Siengo, aanbieder van Vrijwilligerskompas: de verwerker. Contact: privacy@vrijwilligerskompas.nl.

Woorden als persoonsgegevens, verwerken en datalek hebben de betekenis die de AVG eraan geeft.

2. Waar het over gaat

De verwerker verwerkt persoonsgegevens voor de organisatie om deze functies te leveren:

• vacatures plaatsen en reacties op vacatures ontvangen en volgen;
• vrijwilligers bijhouden, met de datums van de VOG en andere verplichte documenten;
• diensten plannen, inschrijvingen bijhouden en een urenoverzicht maken;
• mails sturen namens de organisatie: herinneringen, waarschuwingen over verlopende documenten en meldingen.

Van wie: vrijwilligers, mensen die reageren op een vacature, en de teamleden van de organisatie.

Welke gegevens: naam, e-mailadres, telefoonnummer, motivatie bij een reactie, status, startdatum, beschikbaarheid, datums van afgifte en vervaldatums van documenten, diensten, inschrijvingen en uren, en notities die de organisatie zelf schrijft.

De verwerker bewaart van een VOG alleen datums, nooit het document of de inhoud. De organisatie zet geen bijzondere of strafrechtelijke persoonsgegevens in Vrijwilligerskompas, ook niet in notities of andere vrije tekstvelden.

3. Duur

De overeenkomst geldt zolang de organisatie Vrijwilligerskompas gebruikt. Ze eindigt als de organisatie haar account verwijdert. Wat er dan met de gegevens gebeurt, staat in artikel 12.

4. Alleen op instructie

De verwerker gebruikt de gegevens alleen om de functies hierboven te leveren, en zoals de organisatie dat in Vrijwilligerskompas instelt. Voor iets anders gebruikt de verwerker ze niet: niet voor reclame, niet voor verkoop en niet om profielen te maken. Vindt de verwerker dat een instructie in strijd is met de wet, dan meldt de verwerker dat direct.

5. Geheimhouding

Alleen mensen die het voor hun werk nodig hebben, kunnen bij de gegevens, en alleen als dat nodig is: om een storing op te lossen of als de organisatie om hulp vraagt. Zij hebben geheimhouding afgesproken.

6. Beveiliging

De verwerker neemt passende maatregelen om de gegevens te beschermen, waaronder:

• versleutelde verbindingen (https) en inloggen met inloglinks, zonder wachtwoorden;
• rechten per organisatie in de database: een organisatie kan nooit gegevens van een andere zien;
• de sleutel waarmee de server bij alle gegevens kan, staat alleen op de server;
• dagelijkse versleutelde back-ups in de Europese Unie, en het terugzetten ervan wordt getest;
• bewaking van de site en van de achtergrondtaken, met meldingen bij fouten;
• software wordt bijgehouden met beveiligingsupdates.

7. Andere verwerkers

De organisatie geeft toestemming om deze partijen in te schakelen (subverwerkers):

• Hostingpartij van de server (invullen): hosting van de site en de database (Appwrite). Locatie: Nederland.
• E-maildienst (invullen): versturen van inloglinks, herinneringen en meldingen. Locatie: EU.
• Stripe Payments Europe Ltd.: betalen van abonnementen (alleen gegevens van organisaties). Locatie: Ierland (EU).

De verwerker legt hun dezelfde plichten op als in deze overeenkomst. Komt er een partij bij of verandert er een, dan mailt de verwerker de eigenaar minstens 30 dagen vooraf. Is de organisatie het daar niet mee eens, dan kan ze stoppen en haar account verwijderen.

8. Gegevens blijven in de EU

Gegevens van vrijwilligers en mensen die reageren, blijven in de Europese Unie. Alleen voor het betalen van een abonnement komen gegevens van de organisatie zelf (geen gegevens van vrijwilligers) bij Stripe. Stripe kan die buiten de EU verwerken, met de waarborgen die de AVG vraagt.

9. Rechten van vrijwilligers

Vraagt iemand de organisatie om inzage, verbetering of verwijdering, dan kan de organisatie dat zelf in het dashboard: gegevens aanpassen, een vrijwilliger verwijderen, of alles downloaden. Komt zo'n verzoek bij de verwerker binnen, dan stuurt de verwerker het door naar de organisatie en helpt de verwerker waar nodig.

Iemand die het eigen account verwijdert, blijft bij de organisatie staan als vrijwilliger. De organisatie krijgt dan een mail en beslist zelf of ze de gegevens nog nodig heeft.

10. Datalekken

Ontdekt de verwerker een datalek dat gegevens van de organisatie raakt, dan meldt de verwerker dat binnen 48 uur aan de eigenaar. De melding zegt wat er is gebeurd, welke gegevens het raakt, wat de gevolgen kunnen zijn en wat de verwerker eraan doet. De organisatie beslist of ze het lek meldt bij de Autoriteit Persoonsgegevens en bij de mensen om wie het gaat; de verwerker helpt daarbij.

11. Hulp en controle

De verwerker helpt de organisatie als die moet laten zien dat ze zich aan de AVG houdt, bijvoorbeeld bij een risicoanalyse (DPIA). De organisatie kan om uitleg over de beveiliging vragen. Eén keer per jaar mag ze, na overleg, een controle laten doen, op eigen kosten.

12. Na het einde

De eigenaar kan alle gegevens downloaden en daarna de organisatie verwijderen bij Instellingen, Gegevens en privacy. Dan verdwijnen alle gegevens van de organisatie direct uit Vrijwilligerskompas, en binnen 30 dagen ook uit de back-ups. Gegevens die de verwerker wettelijk moet bewaren, zoals facturen, blijven zo lang als de wet vraagt.

13. Overig

• Voor aansprakelijkheid gelden de wettelijke regels.
• Op deze overeenkomst is Nederlands recht van toepassing.
• Verandert de inhoud wezenlijk, dan komt er een nieuwe versie. De eigenaar gaat daar opnieuw mee akkoord in het dashboard; tot die tijd geldt de vorige versie.
• De verwerker legt vast welke versie de organisatie heeft geaccepteerd, wanneer en door wie. Dat staat bij Instellingen, Gegevens en privacy.

Zie ook de privacyverklaring.