Verwerkersovereenkomst

Definities

• AVG. De Algemene Verordening Gegevensbescherming, Verordening EU 2016/679.
• RPNL. Reformer Pilates Nederland, exploitant van het online platform voor reformer pilates studio's en consumenten.
• Studio. De zakelijke klant of aangesloten reformer pilates studio die gebruikmaakt van diensten van RPNL.
• Platform. De websites, dashboards, studioaccounts, zoekfunctionaliteiten, leadfunctionaliteiten, applicaties, software en overige digitale diensten van RPNL.
• Persoonsgegevens. Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon.
• Verwerking. Iedere handeling met persoonsgegevens, waaronder verzamelen, opslaan, raadplegen, gebruiken, verstrekken, wijzigen en verwijderen.
• Verwerkingsverantwoordelijke. De partij die het doel van en de middelen voor een verwerking vaststelt.
• Verwerker. Een partij die persoonsgegevens verwerkt namens een verwerkingsverantwoordelijke.
• Subverwerker. Een derde partij die door RPNL wordt ingeschakeld bij de verwerking van persoonsgegevens namens de Studio.
• Betrokkene. De natuurlijke persoon op wie persoonsgegevens betrekking hebben.
• Datalek. Een inbreuk in verband met persoonsgegevens zoals bedoeld in artikel 4 van de AVG.

Rollen van partijen

1. De Studio is verwerkingsverantwoordelijke voor persoonsgegevens waarvoor zij zelfstandig het doel en de middelen van de verwerking bepaalt.
2. Voor zover RPNL dergelijke persoonsgegevens uitsluitend namens de Studio verwerkt, treedt RPNL op als verwerker.
3. RPNL verwerkt daarnaast persoonsgegevens voor eigen doeleinden. Voor deze verwerkingen is RPNL zelfstandig verwerkingsverantwoordelijke.
4. Onder de zelfstandige verantwoordelijkheid van RPNL kunnen onder andere vallen:
   • beheer van Studioaccounts;
   • contract- en abonnementsadministratie;
   • facturatie en betaaladministratie;
   • fraude- en misbruikpreventie;
   • beveiliging van het Platform;
   • eigen platformstatistieken en analyses;
   • zakelijke communicatie met Studio's;
   • naleving van wettelijke verplichtingen.
5. Deze verwerkersovereenkomst is niet van toepassing op dergelijke zelfstandige verwerkingen door RPNL.

Onderwerp van de verwerking

RPNL kan in het kader van de uitvoering van haar diensten persoonsgegevens verwerken namens de Studio.

De aard en omvang van deze verwerking zijn afhankelijk van de functionaliteiten waarvan de Studio gebruikmaakt.

Dit kan onder andere betrekking hebben op:

• ontvangen en verwerken van contactaanvragen;
• doorsturen van leads naar Studio's;
• opslaan van informatie die via een Studiofunctie wordt ingevoerd;
• technische verwerking binnen een Studioaccount;
• rapportage over aan de Studio gekoppelde activiteiten;
• toekomstige softwarefunctionaliteiten waarmee persoonsgegevens namens een Studio worden verwerkt.

Duur van de verwerking

1. RPNL verwerkt persoonsgegevens namens de Studio gedurende de periode waarin de Studio gebruikmaakt van de betreffende functionaliteit.
2. De verwerking eindigt wanneer:
   • de betreffende dienst wordt beëindigd;
   • het Studioaccount wordt beëindigd;
   • de verwerking niet langer noodzakelijk is;
   • de Studio een geldige instructie tot verwijdering geeft.
3. Wettelijke bewaarplichten kunnen ertoe leiden dat bepaalde gegevens langer worden bewaard.

Categorieën persoonsgegevens

Afhankelijk van de gebruikte functionaliteiten kan RPNL namens de Studio onder andere de volgende persoonsgegevens verwerken.

Categorieën betrokkenen

De persoonsgegevens kunnen betrekking hebben op onder andere:

• bezoekers van het Platform;
• potentiële klanten van Studio's;
• personen die een contactaanvraag indienen;
• klanten of relaties van een Studio voor zover een toekomstige RPNL-functionaliteit dit vereist;
• medewerkers of vertegenwoordigers van de Studio.

Instructies van de Studio

1. RPNL verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Studio, tenzij een wettelijke verplichting anders vereist.
2. Het gebruik van het Platform, de instellingen van het Studioaccount en deze overeenkomst gelden mede als gedocumenteerde instructies.
3. Wanneer RPNL van mening is dat een instructie in strijd is met de AVG of andere toepasselijke privacywetgeving, informeert RPNL de Studio hierover.
4. RPNL is niet verplicht een instructie uit te voeren die technisch onmogelijk, onrechtmatig of in strijd met de beveiliging of werking van het Platform is.

Verplichtingen van RPNL

1. RPNL verwerkt persoonsgegevens uitsluitend voor de uitvoering van de overeengekomen diensten en de gedocumenteerde instructies van de Studio.
2. RPNL zorgt ervoor dat personen die toegang hebben tot persoonsgegevens gehouden zijn aan passende vertrouwelijkheid.
3. RPNL treft passende technische en organisatorische maatregelen om persoonsgegevens te beschermen.
4. RPNL verleent, voor zover redelijkerwijs noodzakelijk, medewerking aan de Studio bij de naleving van haar AVG-verplichtingen.
5. RPNL stelt informatie beschikbaar die redelijkerwijs noodzakelijk is om naleving van deze overeenkomst aan te tonen.

Verplichtingen van de Studio

1. De Studio staat ervoor in dat zij persoonsgegevens rechtmatig verwerkt en aan RPNL mag laten verwerken.
2. De Studio is verantwoordelijk voor het bepalen van een geldige wettelijke grondslag voor de verwerking.
3. De Studio is verantwoordelijk voor het informeren van betrokkenen wanneer de AVG dit vereist.
4. De Studio verstrekt aan RPNL geen persoonsgegevens die niet noodzakelijk zijn voor het gebruik van de betreffende dienst.
5. De Studio zorgt ervoor dat medewerkers zorgvuldig omgaan met Studioaccounts en inloggegevens.
6. De Studio gebruikt het Platform niet voor onrechtmatige verwerking van persoonsgegevens.

Technische en organisatorische beveiliging

RPNL treft passende beveiligingsmaatregelen die zijn afgestemd op het risico van de betreffende verwerking.

Afhankelijk van de aard van de dienst kunnen hieronder onder andere vallen:

• beveiligde verbindingen via HTTPS en TLS;
• toegangscontrole tot systemen en accounts;
• authenticatie van gebruikers;
• beperking van toegang op basis van noodzakelijkheid;
• logging en technische monitoring;
• beveiliging van databases en infrastructuur;
• back-up- en herstelmaatregelen waar relevant;
• periodieke software- en beveiligingsupdates;
• maatregelen ter voorkoming van ongeautoriseerde toegang;
• passende maatregelen bij incidenten en kwetsbaarheden.

Datalekken en beveiligingsincidenten

1. Wanneer RPNL kennisneemt van een datalek met betrekking tot persoonsgegevens die RPNL namens de Studio verwerkt, informeert RPNL de Studio zonder onredelijke vertraging.
2. RPNL verstrekt voor zover beschikbaar informatie over:
   • de aard van het incident;
   • de betrokken persoonsgegevens;
   • de mogelijke gevolgen;
   • de getroffen of voorgenomen maatregelen.
3. Wanneer niet alle informatie direct beschikbaar is, kan RPNL deze gefaseerd verstrekken.
4. De Studio bepaalt als verwerkingsverantwoordelijke of een datalek gemeld moet worden aan de Autoriteit Persoonsgegevens of aan betrokkenen.
5. RPNL verleent waar redelijkerwijs noodzakelijk ondersteuning bij deze beoordeling en melding.

Verzoeken van betrokkenen

1. Wanneer RPNL een verzoek ontvangt van een betrokkene dat betrekking heeft op persoonsgegevens die RPNL uitsluitend namens een Studio verwerkt, kan RPNL dit verzoek doorsturen naar de betreffende Studio.
2. De Studio blijft verantwoordelijk voor de inhoudelijke behandeling van het verzoek.
3. RPNL verleent, rekening houdend met de aard van de verwerking, redelijke technische ondersteuning bij verzoeken betreffende:
   • inzage;
   • rectificatie;
   • verwijdering;
   • beperking;
   • overdraagbaarheid;
   • bezwaar.

Subverwerkers

1. De Studio verleent RPNL algemene toestemming voor het inschakelen van Subverwerkers die noodzakelijk zijn voor de uitvoering, beveiliging en hosting van het Platform.
2. RPNL mag onder andere externe partijen inschakelen voor:
   • cloudhosting;
   • databases;
   • e-mailinfrastructuur;
   • betalingsverwerking;
   • authenticatie;
   • monitoring;
   • analytics;
   • technische infrastructuur.
3. RPNL sluit met relevante Subverwerkers passende afspraken over gegevensbescherming.
4. RPNL blijft tegenover de Studio verantwoordelijk voor de naleving van haar verplichtingen als verwerker voor zover de AVG dit bepaalt.
5. RPNL kan de gebruikte Subverwerkers wijzigen wanneer dit noodzakelijk is voor de dienstverlening.
6. Wanneer een wijziging materiële gevolgen heeft voor de verwerking van persoonsgegevens namens Studio's, kan RPNL Studio's hierover vooraf informeren.
7. Een Studio die aantoonbare zwaarwegende privacybezwaren heeft tegen een nieuwe Subverwerker kan deze aan RPNL kenbaar maken.

Doorgifte buiten de Europese Economische Ruimte

1. RPNL streeft ernaar persoonsgegevens binnen de Europese Economische Ruimte te verwerken wanneer dit redelijkerwijs beschikbaar en passend is.
2. Wanneer persoonsgegevens worden verwerkt in een land buiten de Europese Economische Ruimte, zorgt RPNL ervoor dat hiervoor een rechtsgeldige doorgiftegrondslag bestaat.
3. Hiervoor kan onder andere gebruik worden gemaakt van:
   • een adequaatheidsbesluit van de Europese Commissie;
   • Standard Contractual Clauses;
   • een andere op grond van de AVG toegestane waarborg.

Bewaartermijnen

1. Persoonsgegevens die RPNL namens de Studio verwerkt, worden niet langer bewaard dan noodzakelijk voor de uitvoering van de betreffende dienst.
2. De exacte bewaartermijn kan verschillen per functionaliteit en type persoonsgegevens.
3. RPNL kan gegevens gedurende een beperkte periode bewaren in back-ups, beveiligingslogs en herstelvoorzieningen.
4. Gegevens waarvoor RPNL zelfstandig verwerkingsverantwoordelijke is, vallen onder de eigen bewaartermijnen van RPNL.

Verwijdering en teruggave

1. Na beëindiging van de verwerking verwijdert RPNL de persoonsgegevens die zij uitsluitend namens de Studio verwerkt, tenzij:
   • de Studio verzoekt om teruggave van beschikbare gegevens;
   • een wettelijke verplichting bewaring vereist;
   • de gegevens nog tijdelijk aanwezig zijn in beveiligde back-ups.
2. Gegevens in back-ups worden volgens de normale back-upcyclus verwijderd of overschreven.
3. Gegevens die RPNL als zelfstandig verwerkingsverantwoordelijke mag of moet bewaren, hoeven niet op grond van dit artikel te worden verwijderd.

Audits en controle

1. RPNL verstrekt op redelijk verzoek informatie waarmee de Studio kan beoordelen of RPNL haar verplichtingen uit deze verwerkersovereenkomst naleeft.
2. Wanneer deze informatie onvoldoende is en de AVG dit vereist, kan de Studio verzoeken om een aanvullende controle.
3. Een audit:
   • wordt vooraf schriftelijk aangekondigd;
   • vindt tijdens normale kantooruren plaats;
   • mag de bedrijfsvoering van RPNL niet onnodig verstoren;
   • wordt uitgevoerd door een onafhankelijke deskundige;
   • moet voldoen aan passende geheimhouding.
4. De kosten van een door de Studio gewenste audit komen in beginsel voor rekening van de Studio, tenzij uit de audit blijkt dat RPNL wezenlijk tekortschiet in haar verplichtingen.

Privacy Impact Assessments

1. Wanneer een verwerking waarschijnlijk een hoog privacyrisico oplevert en de Studio verplicht is een gegevensbeschermingseffectbeoordeling uit te voeren, verleent RPNL redelijke medewerking.
2. De Studio blijft verantwoordelijk voor het uitvoeren van de beoordeling en het vaststellen of overleg met een toezichthouder noodzakelijk is.
3. RPNL hoeft geen informatie te verstrekken die de beveiliging van andere klanten, het Platform of vertrouwelijke bedrijfsinformatie in gevaar brengt.

Geheimhouding

1. RPNL behandelt persoonsgegevens die namens de Studio worden verwerkt vertrouwelijk.
2. Personen die namens RPNL toegang hebben tot dergelijke gegevens zijn gebonden aan passende geheimhoudingsverplichtingen.
3. Deze verplichting geldt niet wanneer verstrekking noodzakelijk is op grond van een wettelijke verplichting of geldig overheidsbevel.

Verzoeken van autoriteiten

1. Wanneer RPNL wettelijk verplicht wordt persoonsgegevens aan een bevoegde autoriteit te verstrekken, zal RPNL hieraan voldoen.
2. Voor zover wettelijk toegestaan informeert RPNL de Studio wanneer het verzoek betrekking heeft op persoonsgegevens die RPNL namens die Studio verwerkt.
3. RPNL verstrekt niet meer persoonsgegevens dan noodzakelijk is om aan een rechtsgeldig verzoek te voldoen.

Aansprakelijkheid

1. De aansprakelijkheid van partijen in verband met deze verwerkersovereenkomst wordt beheerst door de aansprakelijkheidsregels uit de Lidmaatschaps- en platformovereenkomst, voor zover de AVG niet dwingend anders bepaalt.
2. De Studio is verantwoordelijk voor schade die voortvloeit uit onrechtmatige instructies of persoonsgegevens die zonder geldige grondslag via het Platform worden verwerkt.
3. RPNL is verantwoordelijk voor haar eigen verplichtingen als verwerker overeenkomstig de AVG.

Wijziging van de verwerkersovereenkomst

1. RPNL mag deze verwerkersovereenkomst aanpassen wanneer wijzigingen in het Platform, wetgeving, technologie of de wijze van verwerking dit noodzakelijk maken.
2. Bij wezenlijke wijzigingen informeert RPNL de betrokken Studio's vooraf.
3. De meest recente versie wordt beschikbaar gesteld via het Platform of een andere door RPNL aangewezen locatie.

Rangorde

1. Deze verwerkersovereenkomst vormt onderdeel van de overeenkomst tussen RPNL en de Studio.
2. Bij strijdigheid tussen deze verwerkersovereenkomst en de Lidmaatschaps- en platformovereenkomst heeft deze verwerkersovereenkomst voor onderwerpen die specifiek betrekking hebben op verwerking namens de Studio voorrang.
3. Voor overige onderwerpen blijft de Lidmaatschaps- en platformovereenkomst van toepassing.

Toepasselijk recht

1. Op deze verwerkersovereenkomst is Nederlands recht van toepassing.
2. Geschillen worden behandeld overeenkomstig de geschillenregeling uit de Lidmaatschaps- en platformovereenkomst.

Overzicht van de verwerking

Categorieën van Subverwerkers

RPNL kan voor haar dienstverlening onder andere gebruikmaken van leveranciers binnen de volgende categorieën:

Contact over privacy en gegevensbescherming

Voor vragen over deze verwerkersovereenkomst, privacyverzoeken of beveiligingsincidenten kan contact worden opgenomen met Reformer Pilates Nederland.

E-mail: [PRIVACY E-MAILADRES INVULLEN]