Verwerkersovereenkomst

Deze verwerkersovereenkomst hoort bij de algemene voorwaarden tussen Sintaks h.o.d.n. Dansly, KvK 42037319 ("verwerker") en de school die de Dienst gebruikt ("verwerkingsverantwoordelijke").

1. Rolverdeling

1.1 De school bepaalt het doel en de middelen van de verwerking van persoonsgegevens van haar dansers en medewerkers. Dansly verwerkt die gegevens uitsluitend in opdracht van de school.

1.2 Voor gegevens over het account van de school zelf, facturatie en verbetering van de Dienst is Dansly zelf verwerkingsverantwoordelijke. Daarop is deze overeenkomst niet van toepassing.

1.3 Stripe is voor betaalgegevens een zelfstandige verwerkingsverantwoordelijke. De school sluit daarvoor haar eigen overeenkomst met Stripe.

2. Onderwerp, duur, aard en doel

• Onderwerp: het leveren van de Dansly-software.
• Duur: zolang de overeenkomst tussen school en Dansly loopt.
• Aard en doel: lessen en cursussen plannen, inschrijvingen en aanwezigheid bijhouden, invalverzoeken versturen, betalingen initiëren en administreren, berichten sturen namens de school.

3. Soorten gegevens en betrokkenen

Betrokkenen: dansers, medewerkers en docenten van de school.

Gegevens: naam, e-mailadres, eventueel telefoonnummer en profielfoto, dansrol en niveau, boekingen, aanwezigheid, credits, betaalstatus en bedragen (geen kaartgegevens), berichten en meldingsvoorkeuren, en technische gegevens zoals apparaat- en pushtokens.

Dansly verwerkt geen bijzondere categorieën persoonsgegevens en de school voert die ook niet in.

4. Instructies

4.1 Dansly verwerkt alleen op schriftelijke instructie van de school. Deze overeenkomst en de Dienst zelf gelden als die instructie.

4.2 Meent Dansly dat een instructie in strijd is met de AVG, dan meldt Dansly dat.

4.3 Moet Dansly op grond van de wet verwerken, dan meldt Dansly dat vooraf, tenzij de wet dat verbiedt.

5. Geheimhouding

Iedereen die namens Dansly toegang heeft tot de gegevens is tot geheimhouding verplicht, en krijgt alleen toegang voor zover nodig.

6. Beveiliging

Dansly neemt passende technische en organisatorische maatregelen (art. 32 AVG), waaronder in elk geval:

• versleuteling van verkeer (TLS) en versleutelde opslag bij de hostingpartij;
• toegangsbeperking per gebruiker en per school, afgedwongen in de database zelf (row level security), zodat een school alleen haar eigen gegevens ziet;
• authenticatie met wachtwoord of Apple, met beveiligde sessies;
• logging van wijzigingen aan afspraken en betalingen;
• regelmatige back-ups;
• beperkte toegang voor beheerders, alleen waar nodig voor ondersteuning.

7. Subverwerkers

7.1 De school geeft algemene toestemming voor de subverwerkers hieronder. Dansly meldt een nieuwe subverwerker ten minste 30 dagen vooraf; maakt de school binnen die termijn gemotiveerd bezwaar, dan mag zij opzeggen.

Websitestatistiek draait op een eigen, zelf beheerde Umami-installatie bij Hetzner in Frankfurt en werkt zonder cookies: er gaan geen bezoekersgegevens naar een analyticsleverancier.

7.2 Dansly legt elke subverwerker dezelfde verplichtingen op als in deze overeenkomst staan, en blijft aansprakelijk voor hun handelen.

8. Doorgifte buiten de EER

Opslag vindt plaats binnen de EER: Frankfurt en Ierland. Buiten de EER gaat alleen het pushverkeer, omdat Expo, Google en Apple hun aflevering deels in de Verenigde Staten uitvoeren. Dat gebeurt op basis van de standaardcontractbepalingen van de Europese Commissie of een andere geldige grondslag. Een pushbericht bevat alleen wat nodig is om de melding te tonen — titel, tekst en een verwijzing naar het scherm — en nooit betaalgegevens.

De moedermaatschappijen van Supabase en Resend zijn in de Verenigde Staten gevestigd, ook al staat de opslag in Ierland. Ook daarvoor gelden de standaardcontractbepalingen uit hun eigen verwerkersovereenkomst.

9. Bijstand aan de school

9.1 Dansly helpt de school bij verzoeken van betrokkenen (inzage, correctie, verwijdering, overdraagbaarheid), voor zover de school dat niet zelf in de Dienst kan. Dansly stuurt een verzoek dat rechtstreeks binnenkomt door naar de school.

9.2 Dansly helpt waar redelijk bij een DPIA of overleg met de toezichthouder.

10. Datalekken

10.1 Dansly meldt een inbreuk op de beveiliging zonder onredelijke vertraging na ontdekking, in de regel binnen 48 uur, aan het bij Dansly bekende contactadres van de school.

10.2 De melding bevat wat bekend is over de aard, de betrokken gegevens, de gevolgen en de genomen maatregelen.

10.3 De school doet zelf de melding bij de Autoriteit Persoonsgegevens en eventueel bij betrokkenen; zij is immers verwerkingsverantwoordelijke.

11. Teruggave en verwijdering

Na afloop verwijdert Dansly de gegevens binnen 30 dagen, tenzij de school binnen die termijn om export vraagt of de wet bewaren voorschrijft.

12. Audits

12.1 Dansly geeft de school op verzoek de informatie die nodig is om naleving aan te tonen.

12.2 De school mag eens per jaar een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht, aangekondigd ten minste 30 dagen vooraf en tijdens kantooruren. De kosten zijn voor de school, tenzij uit de audit een wezenlijke tekortkoming van Dansly blijkt.

13. Aansprakelijkheid

Op deze verwerkersovereenkomst is de aansprakelijkheidsregeling uit artikel 11 van de algemene voorwaarden van toepassing, voor zover de wet dat toelaat. Dat geldt ook voor schade door claims van betrokkenen en voor kosten van onderzoek of herstel. Een boete van de toezichthouder is voor rekening van de partij aan wie zij is opgelegd. Dansly is alleen aansprakelijk voor schade die het gevolg is van een tekortkoming van Dansly in deze overeenkomst of in wat de AVG van een verwerker vraagt.