Verwerkersovereenkomst

Deze verwerkersovereenkomst is een afspraak tussen de dansschool die DanceAdmin gebruikt (de klant, verwerkingsverantwoordelijke) en EXCITED software, eigenaar Ed de Heus, Kamgrasstraat 30, 2288 HE Rijswijk, ingeschreven bij de KvK onder nummer 27144483 (wij, verwerker). Ze maakt deel uit van de overeenkomst over DanceAdmin en de algemene voorwaarden, en geldt zolang wij persoonsgegevens voor de klant verwerken.

1. Waarvoor we de gegevens verwerken

We verwerken persoonsgegevens alleen om de klant DanceAdmin te leveren: de administratie van de dansschool, het online aanmelden en betalen, het lesrooster en de evenementen op de website van de school, het cursistenportaal, de e-mails die DanceAdmin namens de school verstuurt, en support. We gebruiken de gegevens nooit voor eigen doelen.

2. Welke gegevens en van wie

• Betrokkenen: cursisten (bij minderjarigen ook ouders of verzorgers), mensen die zich aanmelden of een ticket kopen, danspartners die bij een aanmelding worden opgegeven, docenten en de gebruikers van de klant.
• Gegevens: naam, adres, e-mailadres, telefoonnummer, geboortedatum, geslacht, cursistnummer, rekeningnummer en machtiging voor automatische incasso, inschrijvingen, aanmeldingen, tickets, betalingen en kortingen, aanwezigheid en inhaallessen, labels en opmerkingen, en bij gebruikers en docenten ook rol, rechten en lesuren.
• DanceAdmin is niet bedoeld voor bijzondere persoonsgegevens, zoals gegevens over gezondheid. Zet de klant die toch in een opmerking, dan is hij daar zelf verantwoordelijk voor.

3. Alleen op instructie van de klant

We verwerken de gegevens alleen zoals de klant dat via DanceAdmin en zijn instellingen bepaalt, of zoals hij ons schriftelijk (ook per e-mail) vraagt. Vinden we een instructie in strijd met de privacywetgeving, dan laten we dat direct weten. Moeten we gegevens van de wet aan een overheidsinstantie geven, dan melden we dat vooraf aan de klant, tenzij dat niet mag.

4. Geheimhouding

Iedereen die bij ons toegang heeft tot de gegevens, heeft een geheimhoudingsplicht. Toegang hebben we alleen als dat nodig is, bijvoorbeeld voor support op verzoek van de klant, het overzetten van gegevens of het oplossen van een storing.

5. Beveiliging

We nemen passende maatregelen om de gegevens te beschermen, waaronder:

• alle verbindingen zijn versleuteld (https), en het verkeer loopt via Cloudflare, dat aanvallen tegenhoudt;
• de gegevens van elke school zijn afgeschermd van die van andere scholen; binnen een school bepaalt de beheerder per gebruiker wat die mag zien en doen;
• wachtwoorden en gevoelige sleutels (zoals die van Mollie en de e-mail) slaan we alleen versleuteld op;
• gebruikers worden na een half uur zonder activiteit automatisch uitgelogd, en formulieren zijn beschermd tegen misbruik;
• inloggen, mislukte pogingen en belangrijke wijzigingen worden in een logboek bijgehouden;
• de server staat in een datacenter in Nederland en wordt alleen door ons beheerd; we maken regelmatig back-ups en houden de software bij met updates.

De klant zorgt zelf voor goede wachtwoorden, geeft alleen de juiste mensen toegang en zet hun rechten zo beperkt als nodig.

6. Subverwerkers

De klant geeft toestemming voor het inschakelen van deze subverwerkers:

De database en de applicatie draaien op onze eigen server in Nederland. Gebruikt de klant zijn eigen Microsoft 365 voor de e-mail, of zijn eigen Mollie-account voor betalingen van cursisten, dan heeft de klant daarvoor een eigen overeenkomst met die partij; die zijn dan geen subverwerker van ons.

Willen we een subverwerker toevoegen of vervangen, dan melden we dat minstens een maand van tevoren per e-mail. Heeft de klant daar een gegronde reden tegen, dan zoeken we samen een oplossing; lukt dat niet, dan mag de klant opzeggen voordat de wijziging ingaat. Onze subverwerkers leggen we dezelfde plichten op als in deze overeenkomst.

7. Rechten van betrokkenen

Wil een cursist of andere betrokkene zijn gegevens inzien, laten verbeteren, verwijderen of meenemen, dan handelt de klant dat af. Met DanceAdmin kan de klant gegevens zelf opzoeken, aanpassen, verwijderen en exporteren. Lukt iets niet, dan helpen we. Krijgen wij zo'n verzoek rechtstreeks, dan sturen we het zo snel mogelijk door naar de klant.

8. Datalekken

Ontdekken we een beveiligingsincident waarbij gegevens van de klant (mogelijk) zijn gelekt, verloren of aangetast, dan melden we dat zonder onnodige vertraging en uiterlijk binnen 48 uur aan de klant. We geven daarbij wat we weten: wat er is gebeurd, welke gegevens en betrokkenen het raakt, wat de gevolgen kunnen zijn en wat we eraan doen. De klant beslist of hij het lek meldt bij de Autoriteit Persoonsgegevens en de betrokkenen; wij helpen daarbij.

9. Hulp en controle

We geven de klant de informatie die hij nodig heeft om aan te tonen dat de verwerking aan de wet voldoet, en helpen redelijk mee bij een gegevensbeschermingseffectbeoordeling (DPIA) of vragen van de Autoriteit Persoonsgegevens. Wil de klant een audit laten doen, dan kan dat maximaal eens per jaar, na een aankondiging van minstens 30 dagen, door een onafhankelijke deskundige met geheimhoudingsplicht en op kosten van de klant.

10. Na het einde van de overeenkomst

Na het einde van de overeenkomst bewaren we de gegevens nog 6 maanden, zodat de klant ze kan laten exporteren of terug kan komen. Daarna verwijderen we ze definitief, ook uit de back-ups zodra die volgens de normale cyclus worden vervangen. Op verzoek van de klant verwijderen we eerder, of geven we eerst een export.

11. Aansprakelijkheid en looptijd

Voor de aansprakelijkheid geldt artikel 11 van de algemene voorwaarden. Deze verwerkersovereenkomst loopt zolang de overeenkomst over DanceAdmin loopt, en daarna zolang wij nog gegevens van de klant hebben. Bij tegenstrijdigheid gaat deze verwerkersovereenkomst voor op de algemene voorwaarden, voor zover het om persoonsgegevens gaat.