Verwerkersovereenkomst

1Partijen en aanvaarding

Verwerker

PartyPPL, een product van NEXG3N, KvK 97359866, btw NL005264805B67. Adres in het colofon.

Verwerkingsverantwoordelijke

De organisatie die in het portaal een organisatie-account heeft, hierna 'jij'.

Contact

info@becyber.nl, met 'verwerkersovereenkomst' in het onderwerp.

Deze overeenkomst is onderdeel van de voorwaarden voor organisatoren. Je aanvaardt hem samen met die voorwaarden als je een organisatie aanmaakt in het portaal. Wie de organisatie aanmaakt, verklaart dat hij haar mag vertegenwoordigen.

Wil je een exemplaar met handtekening voor je eigen administratie, mail ons. De tekst is dezelfde als hier.

2Wie is waarvoor verantwoordelijk

Niet alles wat er rond je events gebeurt, doen we voor jou. Per verwerking:

Gastenlijst

Jij bent verantwoordelijke, wij verwerker. De namen en soorten gasten die jij of je team invoert, en of ze binnen zijn.

Deurscans

Jij bent verantwoordelijke, wij verwerker. Wat er aan jouw deur gescand wordt: de code, het resultaat, het tijdstip, welke deur en welke medewerker scande.

Exports

Jij bent verantwoordelijke, wij verwerker voor het maken van de ticketexport, de gastenlijst, de deurexport en de financiële export op jouw verzoek. Wat je downloadt, staat daarna bij jou; daar hebben wij geen zicht meer op.

Tickets uit een andere shop

Jij bent verantwoordelijke, wij verwerker. Jij verkocht ze; wij bewaren ze, mailen de koper dat zijn ticket klaarstaat, koppelen het aan zijn account en scannen het aan de deur.

Ticketverkoop via PartyPPL

PartyPPL is zelf verantwoordelijke voor het bestellen, betalen, leveren, doorverkopen en terugbetalen. Wat jij daarvan in je portaal of export ziet, gebruik je als zelfstandig verantwoordelijke, alleen om mensen binnen te laten en over je event te informeren.

Accounts en het platform

PartyPPL is zelf verantwoordelijke voor accounts, 'Ik ga', vrienden, groepschats, het forum, meldingen, statistiek en de accounts van je teamleden. Jij ziet daarvan alleen aantallen.

Staat een verwerking hier niet bij, dan zijn we daarvoor niet jouw verwerker. Wat PartyPPL als verantwoordelijke doet, staat in de privacyverklaring.

3Onderwerp, duur, aard en doel

Onderwerp

De verwerkingen uit het vorige artikel waarvoor wij jouw verwerker zijn.

Duur

Zolang je organisatie-account bestaat, en daarna tot de gegevens volgens het artikel over het einde verwijderd of teruggegeven zijn.

Aard

Opslaan, ordenen, tonen in het portaal en de deur-app, vergelijken bij het scannen, e-mails en pushmeldingen versturen voor tickets uit een andere shop, exporteren als CSV en verwijderen.

Doel

Mensen toegang geven tot jouw events, de deur registreren, gastenlijsten bijhouden, tickets uit je eigen shop bezorgen en scannen, en jou overzichten en exports geven. Voor niets anders: niet voor onze eigen marketing, niet voor profielen en niet verkocht.

4Soorten gegevens en betrokkenen

Betrokkenen

Je gasten en genodigden, kopers van tickets uit je eigen shop, bezoekers die aan je deur gescand worden en je eigen deurmedewerkers.

Gegevens

Namen, e-mailadressen (van tickets uit een andere shop tot ze bezorgd of gekoppeld zijn, daarna alleen een versleutelde afdruk), ticketcode, tickettype, prijs, soort gast, status, scanmoment, deur, scanresultaat en welke medewerker scande.

Geen bijzondere gegevens

Voer geen gegevens over gezondheid, geloof, afkomst of strafrecht in, en geen identiteitsnummers zoals een BSN. Het portaal vraagt er niet om en de overeenkomst dekt ze niet.

5Alleen op jouw instructie

We verwerken jouw gegevens alleen op jouw instructie. Die instructies zijn deze overeenkomst, de voorwaarden voor organisatoren, de instellingen in het portaal en wat jij of je team daar doet: invoeren, laden, scannen, exporteren, verwijderen. Een andere instructie geeft een eigenaar of beheerder per e-mail.

Vinden we dat een instructie in strijd is met de AVG, dan zeggen we dat meteen en voeren we hem niet uit tot het duidelijk is.

Moeten we volgens de wet iets met je gegevens doen, bijvoorbeeld op een bevel van de rechter, dan laten we je dat vooraf weten, tenzij de wet dat verbiedt.

6Geheimhouding

Wie bij ons toegang heeft tot jouw gegevens, is tot geheimhouding verplicht, via een contract of een wettelijke plicht. Toegang heeft alleen wie dat voor zijn werk nodig heeft: het beheer van het platform en, bij een melding, de moderatie. Beheerders loggen in met tweestapsverificatie.

We geven je gegevens niet aan anderen, behalve aan de subverwerkers uit het artikel daarover of als de wet ons verplicht.

7Beveiliging

We nemen passende technische en organisatorische maatregelen, zoals artikel 32 AVG vraagt. De belangrijkste:

• alles over HTTPS met HSTS en een strikte Content Security Policy;
• rollen in het portaal die per scherm en per export worden gecontroleerd op de server;
• sessietokens, API-tokens en scannerkoppelingen staan alleen als hash in de database;
• passkeys en tweestapsverificatie, verplicht voor beheerders;
• herkomstcontrole op elke wijziging en snelheidslimieten op inloggen, uploaden en de API;
• documenten zoals het KvK-uittreksel in afgeschermde opslag;
• e-mailadressen van tickets uit een andere shop worden gewist zodra ze bezorgd of gekoppeld zijn;
• beheerhandelingen en inlogpogingen worden gelogd.

De volledige lijst staat in de privacyverklaring; hoe je een kwetsbaarheid meldt op Beveiliging. We kijken de maatregelen opnieuw na als het platform wezenlijk verandert. Een externe audit of pentest is er nog niet.

8Subverwerkers

Je geeft ons algemene schriftelijke toestemming om de subverwerkers in te schakelen die op Subverwerkers staan, onder 'Subverwerkers voor organisatoren'. Op dit moment zijn dat Cloudflare (hosting en opslag), Resend (e-mail) en Apple (pushmeldingen en Wallet).

• Komt er een subverwerker bij of vervangen we er een, dan kondigen we dat minstens 30 dagen vooraf aan: per e-mail aan de eigenaren van je organisatie en op die pagina, met de datum.
• Binnen die 30 dagen kun je bezwaar maken, met een redelijke reden. Komen we er niet uit, dan kun je de functie die de subverwerker raakt niet meer gebruiken of je organisatie-account kosteloos opzeggen.
• We leggen elke subverwerker dezelfde plichten op als deze overeenkomst ons oplegt, via hun verwerkersvoorwaarden, en blijven tegenover jou aansprakelijk voor wat zij doen.

9Doorgifte buiten de EER

Gaan gegevens naar een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau, dan alleen naar een subverwerker van de lijst en met een waarborg: het EU-VS Data Privacy Framework waar de leverancier daarvoor gecertificeerd is, anders de standaardcontractbepalingen van de Europese Commissie.

We hebben bij Cloudflare geen EU-opslaglocatie afgedwongen. Dat staat ook op Subverwerkers.

10Hulp bij de rechten van betrokkenen

Veel doe je zelf in het portaal: een gast weghalen, een export maken, een ticket uit een andere shop intrekken.

Komt er bij ons een verzoek binnen over gegevens waarvoor jij verantwoordelijk bent, dan sturen we het binnen vijf werkdagen door en beantwoorden we het niet zelf, tenzij je ons dat vraagt. Gaat het ook over onze eigen verwerking, dan beantwoorden we dat deel zelf.

We helpen je, voor zover redelijk, bij een verzoek van een betrokkene, een DPIA en een voorafgaande raadpleging van de Autoriteit Persoonsgegevens.

11Datalekken

Ontdekken we een inbreuk op de beveiliging die jouw gegevens raakt, dan melden we dat zonder onnodige vertraging, uiterlijk binnen 36 uur nadat we het ontdekten, aan de eigenaren van je organisatie. Zo houd jij tijd voor de 72 uur die je hebt om het bij de Autoriteit Persoonsgegevens te melden.

In die melding staat wat we op dat moment weten:

• wat er gebeurde en wanneer;
• welke gegevens en ongeveer hoeveel mensen het raakt;
• de waarschijnlijke gevolgen;
• wat we gedaan hebben en voorstellen om de gevolgen te beperken;
• wie je bij ons kunt bellen of mailen.

Weten we nog niet alles, dan vullen we de melding aan zodra we meer weten. Jij beslist of je het meldt bij de Autoriteit Persoonsgegevens en of je betrokkenen informeert; wij helpen je daarbij. Elk lek leggen we vast in ons datalekregister, ook als het niet gemeld hoeft te worden.

12Bewaren, verwijderen en teruggeven

Zolang de overeenkomst loopt, gelden deze termijnen. Een dagelijkse taak verwijdert wat over zijn termijn is:

Deurscans

12 maanden na de nacht.

Tickets uit een andere shop

13 maanden na de nacht. Het e-mailadres al eerder, zodra het ticket bezorgd of gekoppeld is.

Gastenlijsten

Zolang het event in je portaal staat. Een vaste termijn is er nog niet; op verzoek verwijderen we eerder.

Eindigt de overeenkomst, dan kun je nog 30 dagen je gegevens exporteren. Daarna verwijderen we de gastenlijsten, deurscans en tickets uit een andere shop van je events, uiterlijk 60 dagen na het einde. Wil je ze liever teruggeven dan verwijderen, dan sturen we een export.

Wat wij zelf als verantwoordelijke moeten bewaren, zoals bestellingen en tickets die via PartyPPL verkocht zijn (zeven jaar, voor de fiscus), valt hier niet onder. Kopieën in de herstelvoorziening van onze hostingpartij verlopen volgens hun eigen termijn.

13Controle en audits

Op verzoek geven we je de informatie die je nodig hebt om te zien dat we ons aan deze overeenkomst houden: deze tekst, de beschrijving van de beveiliging, de lijst met subverwerkers en de certificeringen die zij zelf publiceren.

Is dat niet genoeg, dan mag je eens per jaar, of na een datalek, een audit laten doen door een onafhankelijke deskundige die tot geheimhouding verplicht is. Je kondigt die minstens 30 dagen vooraf aan, hij vindt plaats op werkdagen, raakt geen gegevens van andere organisatoren en de kosten zijn voor jou. Blijkt dat wij tekortschieten, dan herstellen we dat op onze kosten.

14Aansprakelijkheid

Elke partij is aansprakelijk voor schade door haar eigen schending van de AVG of van deze overeenkomst, zoals artikel 82 AVG dat regelt.

Tussen ons geldt de beperking uit het artikel over aansprakelijkheid in de voorwaarden voor organisatoren. Die beperking geldt niet bij opzet of bewuste roekeloosheid, en niet tegenover betrokkenen zelf.

Krijgt een partij een boete of een claim die door de ander komt, dan vrijwaart de ander haar daarvoor, voor zover de schuld bij die ander ligt.

15Rangorde, wijzigingen en toepasselijk recht

Botst deze overeenkomst over persoonsgegevens met de voorwaarden voor organisatoren, dan gaat deze overeenkomst voor.

Wijzigingen kondigen we minstens 30 dagen vooraf aan per e-mail aan de eigenaren. Een wijziging die de bescherming van de gegevens vermindert, voeren we niet in zonder dat je kosteloos kunt opzeggen.

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen gaan naar de rechtbank Oost-Brabant, locatie 's-Hertogenbosch. Bij verschil met de Engelse vertaling gaat de Nederlandse tekst voor.

Wat is er veranderd

• Nieuw: de volledige verwerkersovereenkomst als eigen pagina. Hij vervangt het korte artikel in de voorwaarden voor organisatoren.
• De rolverdeling per verwerking staat erin: jij bent verantwoordelijke voor gastenlijst, deurscans, exports en tickets uit een andere shop, PartyPPL voor accounts, het platform en de eigen ticketverkoop.
• Vastgelegd: datalekken melden we binnen 36 uur, subverwerkers kondigen we 30 dagen vooraf aan, en de bewaartermijnen en het verwijderen na afloop.