Tussen

Codawood BV (Stamhoofd), met maatschappelijke zetel te Collegiebaan 54, 9230 Wetteren, België en met ondernemingsnummer 0747.832.683.

Hierna: de “Verwerker”;

En

De aangesloten vereniging.

Hierna: de “Verwerkingsverantwoordelijke”;

De Verwerkingsverantwoordelijke en de Verwerker worden hieronder ook wel afzonderlijk aangeduid als een “Partij” of gezamenlijk als de “Partijen”;

Overwegende dat

In het kader van de diensten aangeboden door Stamhoofd zal de Verwerker ook bepaalde Persoonsgegevens Verwerken in opdracht en voor rekening van de Verwerkingsverantwoordelijke;

De partijen wensen hun afspraken met betrekking tot de uitvoering en organisatie van deze Verwerking van Persoonsgegevens te formaliseren in deze Verwerkingsovereenkomst.

Wordt overeengekomen wat volgt

Artikel 1: definities

Begrippen die in deze Verwerkingsovereenkomst met hoofdletter worden gebruikt, moeten worden geïnterpreteerd zoals in dit artikel of elders in de Verwerkingsovereenkomst gedefinieerd.

Artikel 2: Voorwerp (art. 28, lid 3 en 4 AVG)

2.1. De Verwerker Verwerkt Persoonsgegevens voor de Verwerkingsverantwoordelijke uitsluitend zoals omschreven in de Opdracht en overeenkomstig de in deze Overeenkomst vastgelegde verplichtingen. De Opdracht wordt nader omschreven in bijlage 1.

2.2. Elke Verwerking anders dan omschreven in de Opdracht is strikt verboden, met inbegrip van de doorgifte van Persoonsgegevens aan Derden, een derde land of een internationale organisatie, behoudens indien één van de hieronder opgesomde voorwaarden vervuld is:

• de Verwerkingsverantwoordelijke heeft schriftelijke instructies gegeven om bijkomende Verwerkingen uit te voeren; of
• een Unierechtelijke of lidstaatrechtelijke bepaling verplicht de Verwerker tot deze bijkomende Verwerking. De Verwerker zal de Verwerkingsverantwoordelijke desgevallend binnen een redelijke termijn voorafgaand aan de bijkomende Verwerking op de hoogte stellen van voornoemd wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Als de Verwerker een verzoek krijgt om Persoonsgegevens ter beschikking te stellen door een daartoe bevoegde instantie overeenkomstig een Unierechtelijke of lidstaatrechtelijke bepaling, beoordeelt zij eerst of het verzoek bindend is en of zij op grond van gedrags- en beroepsregels aan het verzoek moet voldoen. Als er geen strafrechtelijke of andere juridische belemmeringen zijn, dan stelt de Verwerker de Verwerkingsverantwoordelijke op de hoogte van het verzoek. De Verwerker doet dat binnen een termijn dat het voor de Verwerkingsverantwoordelijke mogelijk is om eventuele rechtsmiddelen tegen de verstrekking van de Persoonsgegevens in te stellen.

2.3. De Verwerker stelt de Verwerkingsverantwoordelijke onmiddellijk in kennis indien naar zijn mening een instructie inbreuk oplevert op de AVG of op andere Unierechtelijke of lidstaatrechtelijke bepalingen inzake gegevensbescherming.

Artikel 3: duur (art. 28, lid 3, g)

3.1. Loopt samen met de Opdracht beschreven in punt A.

3.2. Artikels 3.3, 5, 6, 7, 9 en 12 blijven van kracht na beëindiging van de Verwerkingsovereenkomst.

3.3. Na beëindiging van de Verwerkingsovereenkomst stelt de Verwerker onmiddellijk een einde aan elke verwerking van de Persoonsgegevens en vernietigt hij elke kopie en back-up van de Persoonsgegevens die hij nog zou bezitten, tenzij opslag van de Persoonsgegevens Unierechtelijk of lidstaatrechtelijk is verplicht.

Artikel 4: Beveiliging (art. 32 AVG)

4.1. De Verwerker treft alle passende technische en organisatorische beveiligingsmaatregelen die nodig zijn om de Persoonsgegevens te beveiligen, rekening houdend met de stand van de techniek en de kost voor beveiliging, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van personen. In het bijzonder zal de Verwerker de Persoonsgegevens beveiligen tegen vervalsing, niet toegelaten verspreiding of toegang en elke andere vorm van onwettige Verwerking. De minimale maatregelen die worden getroffen, worden in bijlage 2 toegevoegd.

4.2. Sommige persoonsgegevens worden door de Verwerker end-to-end versleuteld opgeslagen. Dat wil zeggen dat de encryptiesleutels om de versleutelde data op zo een manier gemaakt en opgeslagen worden dat deze nooit in handen kan komen van de Verwerker. Dit verhoogt de beveiliging van de persoonsgegevens aanzienlijk. Enkel de Verwerkingsverantwoordelijke kan met de hulp van de software van de Verwerker aan de nodige sleutels op basis van zijn/haar wachtwoord. Verliest de Verwerkingsverantwoordelijke zijn/haar wachtwoord, dan kan ook de Verwerker zijn/haar toegang niet meer herstellen en zijn de gegevens verloren. Enkel de versleutelde data is dan nog toegankelijk. Om dit te voorkomen van de Verwerkingsverantwoordelijke meerdere beheerders aanmaken in het systeem met elke een eigen wachtwoord. De Verwerkingsverantwoordelijke aanvaart dit risico door gebruik te maken van dit systeem van de Verwerker. Vanaf 2022 stappen we langzaam af van end-to-end versleuteling voor de beveiliging van gegevens vanwege de vele ongemakken die hieruit onstaan, en vanwege het gevaar om gegevens te verliezen. We zullen de gegevens van bestaande verenigingen (na akkoord) weghalen uit de end-to-end versleutelde omgeving (dat kan enkel als ze zelf nog hun wachtwoord weten en inloggen op de app).

4.3. De Verwerker wijst een functionaris voor gegevensbescherming aan en heeft tenminste een actueel veiligheidsbeleid- en plan.

Artikel 5: Vertrouwelijkheid (art. 29 AVG)

5.1. De Verwerker verbindt zich er uitdrukkelijk toe het vertrouwelijk karakter en de veiligheid van de Persoonsgegevens die zij in het kader van de Opdracht Verwerkt, te waarborgen.

5.2. De Verwerker maakt zich sterk dat alle personeelsleden of aangestelden die toegang hebben tot de Persoonsgegevens het vertrouwelijk karakter en de veiligheid van deze Persoonsgegevens zullen respecteren. De Verwerker zal erop toezien dat personeelsleden of aangestelden enkel toegang verkrijgen tot Persoonsgegevens nadat ze behoorlijk gebonden zijn door een wettelijke of contractuele vertrouwelijkheidsverplichting.

Artikel 6: Onderaanneming en subverwerkers (art. 28 lid 4 AVG)

6.1. Het is aan de Verwerker toegestaan andere verwerkers aan te stellen om Persoonsgegevens in het kader van de Opdracht te Verwerken (hierna: de “Subverwerker”).

6.2. Extern ingehuurde medewerkers worden voor deze Verwerkingsovereenkomst niet als Subverwerker beschouwd. De Verwerker zal er op toezien dat deze extern ingehuurde medewerkers dezelfde vertrouwelijkheidsclausule, zoals beschreven in artikel 5 van deze Verwerkingsovereenkomst naleven zoals dit voor de eigen werknemers van de Verwerker het geval is.

6.3. De Verwerker en de Subverwerker sluiten een overeenkomst waarin dezelfde verplichtingen inzake gegevensbescherming opgelegd worden als die welke in de voorliggende Verwerkingsovereenkomst zijn opgenomen. De Verwerker zal de Subverwerkers ook dezelfde geheimhoudingsverplichting als deze die op haar rust opleggen middels een vertrouwelijkheidsovereenkomst. De Verwerker zal op eenvoudig verzoek van de Verwerkingsverantwoordelijke het nodige bewijs voorleggen om aan te tonen dat de overeenkomsten met haar Subverwerkers voldoen aan de in dit artikel gestelde voorwaarden.

6.4. De Verwerker houdt een actueel overzicht bij van de overeenkomsten met Subverwerkers en kan deze binnen redelijke termijn op eenvoudig verzoek bezorgen aan de Verwerkingsverantwoordelijke.

Artikel 7: Bijstand (art. 28, lid 3, e - f)

7.1. Algemeen
De Verwerker zal de Verwerkingsverantwoordelijke alle informatie verstrekken en alle bijstand verlenen die noodzakelijk is en/of die redelijkerwijze mag worden verwacht opdat de Verwerkingsverantwoordelijke in staat zou zijn om haar verplichtingen uit de AVG na te komen én van deze nakoming het bewijs te leveren.

7.2. Bijstand bij verzoek van een Betrokkene
De Verwerker verleent aan de Verwerkingsverantwoordelijke door middel van passende technische en organisatorische maatregelen, voor zover mogelijk, bijstand bij het vervullen van diens plicht om verzoeken tot uitoefening van de in hoofdstuk III van de AVG vastgestelde rechten van de betrokkene, te beantwoorden. Indien een Betrokkene zich rechtstreeks wendt tot de Verwerker om zich te beroepen op één van de rechten die hem ingevolge hoofdstuk III van de AVG zijn toegekend, zal de Verwerker dit onverwijld melden aan de Verwerkingsverantwoordelijke en alleen tegemoet komen aan het verzoek van de Betrokkene na schriftelijk akkoord van de Verwerkingsverantwoordelijke.

7.3. Bijstand bij Datalekken
De Verwerker verbindt zich ertoe elk Datalek en alle ernstige pogingen tot onrechtmatige of ongeautoriseerde Verwerkingen of toegangen tot Persoonsgegevens zonder onredelijke vertraging, en uiterlijk 24 uur na kennisname, te melden aan de Verwerkingsverantwoordelijke conform artikel 33.3 van de AVG. De Verwerker zal alle maatregelen treffen die redelijkerwijs nodig zijn om (verdere) schending van de beveiligingsmaatregelen en eventuele schade te voorkomen of te beperken en zal aan de Verwerkingsverantwoordelijke alle informatie die ze nuttig of nodig acht, verschaffen.

Rekening houdend met de aard van de Verwerking en de hem ter beschikking staande informatie, verleent de Verwerker bovendien bijstand aan de Verwerkingsverantwoordelijke bij het nakomen van diens verplichtingen betreffende:

• het melden van een Datalek aan de toezichthoudende autoriteit conform artikel 33 van de AVG;
• het mededelen van een Datalek aan de betrokkene conform artikel 34 van de AVG.

Het is de Verwerker evenwel niet toegestaan om het Datalek zelf te melden aan de GBA of de mededeling aan de betrokkene zelf te verrichten. Dit is uitsluitend de bevoegdheid van de Verwerkingsverantwoordelijke.

7.4. Andere bijstandsverplichtingen
De Verwerker zal - rekening houdend met de aard van de Verwerking en de hem ter beschikking staande informatie – de Verwerkingsverantwoordelijke bijstand verlenen bij het nakomen van diens verplichtingen betreffende:

• het beveiligen van de verwerking conform artikel 32 van de AVG;
• het uitvoeren van een gegevensbeschermingseffectbeoordeling conform artikel 35 van de AVG;
• het voorafgaand aan een voorgenomen verwerking raadplegen van de toezichthoudende autoriteit, wanneer dit na een gegevensbeschermingseffectbeoordeling nodig zou blijken, conform artikel 36 van de AVG.

Artikel 8: Plaats van Verwerking (art. 3, art. 28, lid 3))

De Verwerker Verwerkt de Persoonsgegevens alleen binnen de Europese Economische Ruimte.

Artikel 9: Controle (art. 28, lid 3, h)

9.1. De Verwerkingsverantwoordelijke of zijn daartoe aangestelde heeft op elk ogenblik het recht om de naleving van deze Verwerkingsovereenkomst te controleren. Daartoe heeft zij het recht om zich ter plaatse te begeven in de lokalen of plaatsen waar de Verwerker de Verwerking uitvoert. De Verwerkingsverantwoordelijke zal de Verwerker minstens tien dagen voorafgaand aan het uitvoeren van de controle schriftelijk inlichten. De Verwerkingsverantwoordelijke zal de controles, tenzij dwingend anders vereist, enkel op werkdagen tijdens kantooruren uitvoeren.

9.2. Op eenvoudig verzoek van de Verwerkingsverantwoordelijke is de Verwerker ertoe gehouden alle inlichtingen die van toepassing zijn bij de uitvoering van deze Verwerkingsovereenkomst mee te delen en bijstand te verlenen bij het uitvoeren van de audits of bij het vervullen van de verplichting om verzoeken om uitoefening van de in de AVG vastgestelde rechten van de Betrokkene te beantwoorden.

Artikel 10: Aansprakelijkheid (art. 82, lid 2)

10.1. De Verwerker is niet aansprakelijk ten aanzien van de Verwerkingsverantwoordelijke voor schade die voortvloeit uit een handeling of een nalatigheid bij het uitvoeren van deze Verwerkingsovereenkomst of de privacywetgeving.

10.2. De aansprakelijkheid van de Verwerker is beperkt zoals voorzien in de Opdracht, zonder evenwel afbreuk te doen aan art 82 van de AVG.

Artikel 11: Beëindiging

11.1. De Verwerkingsverantwoordelijke kan ten alle tijden de samenwerking met de Verwerker stopzetten via een schriftelijke mededeling. De Verwerker heeft daarna twee maand de tijd om alle data te wissen

Artikel 12: Overige

12.1. Deze Verwerkingsovereenkomst is onderworpen aan het Belgisch recht. Alle geschillen in verband met deze Verwerkingsovereenkomst, zullen worden voorgelegd aan de bevoegde rechter in het arrondissement waar de Verwerker gevestigd is.

12.2. Indien een bepaling in de Verwerkingsovereenkomst geheel of gedeeltelijk ongeldig, onwettig of nietig zou worden verklaard, tast dit op geen enkele wijze de geldigheid, wettigheid en toepasbaarheid van de andere bepalingen aan. De Partijen zullen vervolgens te goeder trouw onderhandelen om de ongeldige, onwettige of nietige bepaling te vervangen door een geldige bepaling die zoveel als mogelijk de gevolgen heeft van de ongeldige, onwettige of nietige bepaling.

12.3. Aanvullingen en wijzigingen op deze Verwerkingsovereenkomst worden aangeduid door een nieuw versienummer bij de Verwerkingsovereenkomst.

Bijlage 1:

Stamhoofd biedt verschillende online diensten aan voor verenigingen. Afhankelijk van welke diensten de vereniging gebruikt, worden andere Persoonsgegevens verwerkt in naam van de Verwerkingsverantwoordelijke.

Ledenadministratie

In het kader van de Verwerkingsovereenkomst voert de Verwerker op de onderstaande Persoonsgegevens de Verwerkingen uit in opdracht van de Verwerkingsverantwoordelijke:

• Naam van leden en ouders
• E-mailadres van leden en ouders
• Geslacht van leden
• GSM-nummers van leden
• Geboortedatum van leden
• Adres van leden
• Adressen en GSM-nummers van ouders
• Naam en telefoonnummer van een noodcontactpersoon

De Verwerkingsverantwoordelijke kan ervoor kiezen om bepaalde Persoonsgegevens die hierboven vermeldt werden niet te laten verzamelen door de instellingen te wijzigen in de Stamhoofd applicatie. De Verwerkingsverantwoordelijke kan dit ook uitbreiden en kan instellen welke vragen leden moeten beantwoorden bij het inschrijven. De Verwerkingsverantwoordelijke kan dus gelijk welke Persoonsgegevens verzamelen van haar leden via de software van de Verwerker. De Verwerker verzamelt die gegevens dus alleen op vraag van de Verwerkingsverantwoordelijke. Het is dus mogelijk dat er gezondheidsgegevens van leden worden verzameld. De Verwerkingsverantwoordelijke moet zelf kunnen aantonen volgens welke rechtsgronden van de GDPR-wetgeving die gegevens verzameld worden. Als de Verwerkingsverantwoordelijke toestemming nodig heeft voor de verzameling van bepaalde gegevens, kan dat ingesteld worden in de software van de Verwerker. Maar het is de verantwoordelijkheid van de Verwerkingsverantwoordelijke om dat correct in te stellen.

De Verwerkingsverantwoordelijke vermeldt zelf in het eigen privacybeleid waarvoor het deze Persoonsgegevens gebruikt. De Verwerkingsverantwoordelijke kan in de applicatie van de Verwerker zelf het privacybeleid uploaden. Het is de taak van de Verwerkingsverantwoordelijke om dit zelf goed te configureren in het systeem.

Deze Persoonsgegevens worden door de Verwerker enkel gebruikt om de ledenadministratie mogelijk te maken, voor ondersteuning, foutopsporing en beveiliging. Bv. voor het versturen van een e-mail door de Verwerker via het systeem van de Verwerkingsverantwoordelijke.

Daarnaast verwerkt de Verwerker de IP-adressen van bezoekers registratiepagina's. Dit is onder andere om netwerkverkeer mogelijk te maken, logbestanden bij te kunnen houden, foutopsporing en voor de beveiliging van het systeem. Het IP-adres mag nooit worden gebruikt om gebruikers te identificeren of hen te volgen, tenzij ze een strafbaar feit hebben begaan en die informatie moet worden doorgespeeld naar de bevoegde instanties. Logbestanden mogen worden bewaard zolang noodzakelijk, met een maximum van één jaar. Bij online betalingen wordt het IP-adres (indien gevraagd door de betaalprovider) van bezoekers meegestuurd naar de betaalproviders zodat zij de nodige analyses kunnen doen om fraude te voorkomen (en voor hun beveiliging).

Webshops en ticketverkoop

In het kader van de Verwerkingsovereenkomst voert de Verwerker op de onderstaande Persoonsgegevens de Verwerkingen uit in opdracht van de Verwerkingsverantwoordelijke:

• E-mailadres van bestellers
• Naam van bestellers
• GSM-nummer van bestellers

De Verwerker kan dit zelf uitbreiden door extra velden informatie te configureren in de webshops.

Deze Persoonsgegevens worden door de Verwerker enkel gebruikt om de webshop van de Verwerkingsverantwoordelijke uit te baten, voor ondersteuning, foutopsporing en beveiliging. Bv. voor het versturen van een bestelbevestiging via e-mail.

Daarnaast verwerkt de Verwerker de IP-adressen van bezoekers van de webshops. Dit is onder andere om netwerkverkeer mogelijk te maken, logbestanden bij te kunnen houden, foutopsporing en voor de beveiliging van het systeem. Het IP-adres mag nooit worden gebruikt om gebruikers te identificeren of hen te volgen, tenzij ze een strafbaar feit hebben begaan en die informatie moet worden doorgespeeld naar de bevoegde instanties. Logbestanden mogen worden bewaard zolang noodzakelijk, met een maximum van één jaar. Bij online betalingen wordt het IP-adres (indien gevraagd door de betaalprovider) van bezoekers meegestuurd naar de betaalproviders zodat zij de nodige analyses kunnen doen om fraude te voorkomen (en voor hun beveiliging).

De Verwerkingsverantwoordelijke vermeldt zelf in het eigen privacybeleid waarvoor het deze Persoonsgegevens gebruikt. De Verwerkingsverantwoordelijke kan in de applicatie van de Verwerker zelf het privacybeleid uploaden. Het is de taak van de Verwerkingsverantwoordelijke om dit zelf goed te configureren in het systeem.

Uitgesloten

Volgende Persoonsgegevens zijn uitgesloten van deze overeenkomst en worden verzameld door de Verwerker zelf, zoals beschreven in het privacybeleid van de Verwerker. De Verwerker is hiervan zelf de verwerkingsverantwoordelijke.

• Namen van beheerders
• E-mailadressen van beheerders
• Adres van de vereniging

Bijlage 2

Beveiliging in meerdere lagen

Stamhoofd maakt gebruik van meerdere lagen beveiliging om persoonsgegevens zo veel mogelijk te beschermen. Dit zorgt ervoor dat het omzeilen of onbeschikbaar zijn van één van de beveiligingsmethode niet meteen zorgt voor het bloodstellen van persoonsgegevens. In de eerste plaats beveiligen we de toegang tot de servers zo veel mogelijk.

HTTPS verbindingen

Alle communicatie met de servers van Stamhoofd verloopt over een veilig HTTPS kanaal. Dit wordt niet alleen afgedwongen door middel van de servers zelf. We maken gebruik van de nieuwe domeinnaam extensies .app die bij moderne browsers enkel gebruikt kan worden over een veilige HTTPS verbinding. Dit voorkomt bv. het uitlekken van verstuurde gegevens in geval van een programmeerfout.

Beveiligde server omgeving en toegangscontrole

Industry best practices worden toegepast om de toegang tot de server te beveiligen. We maken nooit gebruik van wachtwoord gebaseerde login methodes voor servers, maar altijd cryptografische sleutels. Alle servers zijn uitgerust met een firewall en de software wordt regelmatig bijgewerkt naar de laatste versie.

Fysieke beveiliging gegevens

De gegevens worden opgeslagen in een server in een datacenter in de omgeving van Amsterdam (Nederland). Deze staan in een datacenter van DigitalOcean. DigitalOcean is gelicencieerd met de internationale standaard ISO/IEC 27001:2013 voor gegevensbeveiliging.

Versleutelde backups

De inhoud van de database wordt regelmatig gebackupt naar een externe versleutelde opslagschijf.

Wachtwoorden hashen met salt

Wachtwoorden worden nooit leesbaar opgeslagen in onze database. Ze worden voor opslag gehashed met een algoritme dat speciaal ontwikkeld is voor het beveiligen van wachtwoorden. Op die manier kan iemand die de database bekijkt nooit jouw wachtwoord bekijken. Het terug omzetten van een wachtwoord naar een hash is onmogelijk, tenzij alle mogelijke wachtwoorden geprobeerd worden. Een aanval is dan ook heel duur. Het blijft voor ons systeem wel nog altijd mogelijk om te kijken of een gegeven wachtwoord het jouwe is, wat noodzakelijk is om in te loggen. Maar je wachtwoord kunnen we buiten het registreren en inloggen niet meer bekijken.

Openbare code en responsible disclosure

Iedereen is vrij om de broncode van Stamhoofd in te kijken en deze na te lezen. Op die manier hopen we sneller beveiligingsproblemen op te sporen in samenwerking met onze gebruikers die technischer onderlegd zijn. Je kan deze terugvinden in de publieke repositories van ons Github account: https://github.com/stamhoofd

Beveiligingsprobleem ontdekt? Dan kan je die altijd doorgeven via security@stamhoofd.be. We vragen altijd om beveilingsproblemen pas publiek bekend te maken nadat we voldoende tijd hebben gehad om die te dichten. Vraag en wacht zeker op een bevestiging van ontvangst, aangezien jouw e-mail wel in spam zou kunnen toekomen.

Laatst aangepast op 21/01/2022