Verwerkersovereenkomst (Data Processing Agreement)

Dit is de Verwerkersovereenkomst (hierna: "Verwerkersovereenkomst") tussen de partijen zoals hieronder gedefinieerd en maakt integraal onderdeel uit van de Hoofdovereenkomst met betrekking tot de levering van diensten via het platform KerkPoint.

Partijen:

1. De Kerkelijke Organisatie / Tenant, de rechtspersoon of instantie die gebruikmaakt van de diensten van KerkPoint, hierna te noemen: "Verwerkingsverantwoordelijke"; en
2. KerkPoint (onderdeel van FlexWave), gevestigd aan Hullerweg 81, 8071 RM Nunspeet, Nederland, ingeschreven bij de Kamer van Koophandel onder nummer 89784367, hierna te noemen: "Verwerker".

Hierna gezamenlijk te noemen "Partijen" en afzonderlijk "Partij".

1. Definities en Toepasselijkheid

1.1. In deze Verwerkersovereenkomst hebben de begrippen "Persoonsgegevens", "Verwerking", "Verwerkingsverantwoordelijke", "Verwerker" en "Betrokkene" de betekenis die daaraan wordt gegeven in de Algemene Verordening Gegevensbescherming (AVG). 1.2. Deze Verwerkersovereenkomst is van toepassing op alle Verwerkingen van Persoonsgegevens die Verwerker in het kader van de uitvoering van de Hoofdovereenkomst (de SaaS-dienstverlening van KerkPoint) verricht ten behoeve van Verwerkingsverantwoordelijke.

2. Voorwerp van de Verwerking

2.1. Verwerker verbindt zich ertoe om ten behoeve van Verwerkingsverantwoordelijke Persoonsgegevens te verwerken onder de voorwaarden van deze Verwerkersovereenkomst. De Verwerking vindt uitsluitend plaats in het kader van de uitvoering van de Hoofdovereenkomst (o.a. het faciliteren van planningen, roosters, communicatie en het beheer van vrijwilligers/leden binnen het platform). 2.2. De categorieën Betrokkenen en de typen Persoonsgegevens die worden verwerkt, zijn nader gespecificeerd in Bijlage 1 van deze Verwerkersovereenkomst. 2.3. Aangezien de diensten specifiek worden geleverd aan kerkelijke instanties, kan de aard van de gegevens met zich meebrengen dat uit de Verwerking direct of indirect religieuze overtuigingen (bijzondere persoonsgegevens conform art. 9 AVG) worden afgeleid. Verwerker zal deze gegevens met de strengst mogelijke vertrouwelijkheid en beveiliging behandelen.

3. Instructies en Verplichtingen van Verwerker

3.1. Verwerker verwerkt de Persoonsgegevens uitsluitend op basis van schriftelijke instructies van Verwerkingsverantwoordelijke, waaronder begrepen de instructies die voortvloeien uit de Hoofdovereenkomst en de configuratie van het platform door gebruikers, tenzij een op de Verwerker van toepassing zijnde Unierechtelijke of lidstaatrechtelijke wettelijke bepaling hem tot Verwerking verplicht. 3.2. Verwerker garandeert dat de personen die geautoriseerd zijn om de Persoonsgegevens te verwerken (waaronder medewerkers en eventuele subverwerkers) zich tot vertrouwelijkheid hebben verplicht of gebonden zijn aan een passende wettelijke verplichting van vertrouwelijkheid.

4. Subverwerkers (Inschakeling van Derden)

4.1. Verwerkingsverantwoordelijke verleent hierbij een algemene schriftelijke toestemming aan Verwerker voor het inschakelen van derden (subverwerkers) voor de uitvoering van de Hoofdovereenkomst. De actuele lijst met subverwerkers is opgenomen in Bijlage 2. 4.2. Verwerker zal Verwerkingsverantwoordelijke vooraf informeren over eventuele voorgenomen wijzigingen of vervangingen van subverwerkers, waardoor Verwerkingsverantwoordelijke de mogelijkheid krijgt om binnen 14 dagen schriftelijk bezwaar te maken tegen deze wijzigingen. 4.3. Wanneer Verwerker een subverwerker inschakelt, legt hij aan deze subverwerker dezelfde verplichtingen inzake gegevensbescherming op als die welke in deze Verwerkersovereenkomst zijn vastgesteld.

5. Beveiliging van de Verwerking

5.1. Verwerker neemt passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, conform artikel 32 AVG. Deze maatregelen omvatten onder meer:

• Het gebruik van beveiligde TLS/HTTPS-verbindingen;
• Versleuteling (hashing) van wachtwoorden;
• Strikte logische scheiding van gegevens tussen verschillende tenants (multi-tenancy);
• Periodieke back-ups en procedures om de beschikbaarheid en herstelbaarheid van gegevens te waarborgen;
• Rollen- en rechtenscheiding binnen de applicatie. 5.2. Verwerkingsverantwoordelijke is verantwoordelijk voor het correcte gebruik van de door Verwerker ter beschikking gestelde functionaliteiten en het veilig beheren van inloggegevens van haar eigen beheerders en gebruikers.

6. Datalekken (Meldplicht)

6.1. In het geval van een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte Persoonsgegevens (een "Datalek"), zal Verwerker Verwerkingsverantwoordelijke hierover zonder onredelijke vertraging, en in ieder geval binnen 48 uur na ontdekking, informeren. 6.2. Verwerker verstrekt Verwerkingsverantwoordelijke alle noodzakelijke informatie die redelijkerwijs beschikbaar is om Verwerkingsverantwoordelijke in staat te stellen aan haar wettelijke meldplichten (bijv. aan de Autoriteit Persoonsgegevens) te voldoen. 6.3. Het melden van een Datalek aan de Autoriteit Persoonsgegevens en/of de Betrokkenen is de exclusieve verantwoordelijkheid van Verwerkingsverantwoordelijke.

7. Rechten van Betrokkenen

7.1. Gelet op de aard van de Verwerking, verleent Verwerker Verwerkingsverantwoordelijke zoveel mogelijk bijstand door middel van passende technische en organisatorische maatregelen bij het vervullen van de plicht van Verwerkingsverantwoordelijke om verzoeken om uitoefening van de in hoofdstuk III van de AVG vastgestelde rechten van Betrokkenen (zoals het recht op inzage, correctie of verwijdering) te beantwoorden. 7.2. Indien een Betrokkene een verzoek rechtstreeks richt tot Verwerker, zal Verwerker dit verzoek zo snel mogelijk doorsturen naar Verwerkingsverantwoordelijke.

8. Audits

8.1. Verwerker stelt aan Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de nakoming van de in deze Verwerkersovereenkomst vastgestelde verplichtingen te bewijzen en audits, waaronder inspecties, door Verwerkingsverantwoordelijke of een door haar gemachtigde controleur mogelijk te maken en eraan bij te dragen. 8.2. De kosten van een dergelijke audit worden volledig gedragen door Verwerkingsverantwoordelijke. Een audit mag maximaal eenmaal per kalenderjaar plaatsvinden, mits vooraf schriftelijk aangekondigd met een termijn van ten minste 30 dagen, en mag de normale bedrijfsvoering van Verwerker niet onredelijk verstoren.

9. Duur en Beëindiging

9.1. Deze Verwerkersovereenkomst treedt in werking op het moment dat de Hoofdovereenkomst tot stand komt en blijft van kracht voor de duur van de Hoofdovereenkomst. 9.2. Na beëindiging van de Hoofdovereenkomst zal Verwerker, naar keuze van Verwerkingsverantwoordelijke, alle Persoonsgegevens definitief wissen of aan haar retourneren, en bestaande kopieën verwijderen, tenzij Unierechtelijke of lidstaatrechtelijke wetgeving de opslag van de Persoonsgegevens voorschrijft. Behoudens andersluidende instructies worden gegevens na een retentieperiode van uiterlijk 6 maanden definitief en onomkeerbaar uit de actieve systemen verwijderd (back-ups kunnen tot maximaal 30 dagen langer roteren).

Bijlage 1: Specificatie van de Verwerking

A. Categorieën van Betrokkenen

De Verwerking heeft betrekking op de volgende categorieën van personen waarvan de gegevens door of namens de Verwerkingsverantwoordelijke in het platform worden ingevoerd:

• Leden van de kerkelijke gemeente / organisatie;
• Vrijwilligers (bijv. kosters, muzikanten, technici, crèchemedewerkers);
• Gasten of tijdelijke medewerkers;
• Beheerders en staffunctionarissen van de tenant.

B. Typen Persoonsgegevens

De volgende typen gegevens kunnen binnen het platform worden verwerkt:

• Identificatie- en contactgegevens: Naam, e-mailadres, telefoonnummer;
• Functie- en planningsgegevens: Beschikbaarheid, toegekende rollen/taken, teamsamenstellingen, roosterhistorie;
• Inlog- en accountgegevens: Gebruikersnaam, rollen, rechten en (gehashte) inloggegevens;
• Communicatiegegevens: Berichten, notificaties of opmerkingen die binnen het planningsysteem worden geplaatst.

C. Bijzondere Persoonsgegevens (indien van toepassing)

• Religieuze overtuiging: Het lidmaatschap van of de betrokkenheid bij de specifieke kerkelijke instantie (Verwerkingsverantwoordelijke) vloeit inherent voort uit de opname in het platform (overeenkomstig art. 9 lid 2 sub d AVG).

Bijlage 2: Geautoriseerde Subverwerkers

De Verwerkingsverantwoordelijke verleent toestemming voor het inschakelen van de volgende subverwerkers ten behoeve van de SaaS-dienstverlening:

1. Strato AG (Duitsland/EU) – Hosting van de applicatie, databases en infrastructuur.
2. Vimexx (Nederland/EU) – Facilitering van transactionele e-mails en notificaties.
3. Mollie B.V. (Nederland/EU) – Afhandeling van abonnementsgelden en betaaltransacties (voor zover van toepassing op tenant-niveau).

Deze Verwerkersovereenkomst maakt juridisch onderdeel uit van de algemene voorwaarden en registratieprocedure van KerkPoint. Door het accorderen van de voorwaarden bij het aanmaken van een tenant/omgeving verklaren Partijen zich akkoord met de inhoud hiervan.