Verwerkersovereenkomst

De school die de dienst indegroep afneemt (“de verantwoordelijke”) en ErgonomAI, handelend onder de naam indegroep, Dorpsstraat 43, 4751 AJ Oud Gastel, KvK 42139050, btw NL005531041B37 (“de verwerker”). De verantwoordelijke bepaalt waarom en hoe er gewogen wordt en weet wie welke code heeft; de verwerker levert het systeem en verwerkt uitsluitend in opdracht. Deze overeenkomst maakt deel uit van de algemene voorwaarden en geldt zolang de dienst wordt afgenomen, plus de tijd die nodig is om gegevens te retourneren of te wissen.

Zie bijlage A. Samengevat:

• Verwerkt uitsluitend op schriftelijke instructie van de verantwoordelijke; de dienst zelf en deze overeenkomst zijn die instructie. Een instructie die naar ons oordeel in strijd is met de AVG melden we meteen.
• Gebruikt de gegevens voor niets anders: niet voor eigen doeleinden, niet voor verkoop, niet voor advertenties, niet om modellen te trainen.
• Houdt wie bij ons toegang heeft tot de gegevens aan geheimhouding. In de praktijk is dat de beheerder van de dienst, en die kan technisch niet bij groepen, deelnemers of wegingen.
• Neemt de maatregelen uit bijlage B en houdt die op peil.
• Helpt de verantwoordelijke bij verzoeken van betrokkenen (inzage, rectificatie, verwijdering, intrekken toestemming). Het systeem biedt daar knoppen voor; waar die niet volstaan helpen we per e-mail, zonder extra kosten bij normaal gebruik.
• Helpt bij een gegevensbeschermingseffectbeoordeling en bij een voorafgaande raadpleging, als de verantwoordelijke die moet doen.
• Meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking aan de verantwoordelijke, met wat we weten over aard, omvang, gevolgen en genomen maatregelen, zodat de verantwoordelijke zijn melding binnen 72 uur kan doen.
• Wist of retourneert alle gegevens na afloop (artikel 6).
• Geeft de verantwoordelijke de informatie die nodig is om aan te tonen dat aan artikel 28 wordt voldaan, en werkt mee aan een audit — op redelijke termijn, hoogstens eens per jaar, en voor rekening van de verantwoordelijke als er niets mis blijkt.

• Verzamelt van elke deelnemer uitdrukkelijke toestemming voordat zij die in het systeem vastlegt, en kan die desgevraagd tonen.
• Voert deelnemers in onder een pseudoniem, niet onder hun naam.
• Informeert deelnemers over de verwerking; het afdrukbare strookje bij elke code bevat daarvoor de tekst.
• Voert verwijderverzoeken binnen een maand uit.
• Beheert haar eigen coachaccounts: deactiveert of wist accounts van wie vertrekt.

De verantwoordelijke geeft algemene toestemming voor de subverwerkers in bijlage C. Een nieuwe of andere subverwerker kondigen we minstens dertig dagen van tevoren per e-mail aan; maakt de verantwoordelijke binnen die termijn gemotiveerd bezwaar en komen we er niet uit, dan kan zij de dienst opzeggen zonder dat daar kosten aan zitten. Met elke subverwerker hebben wij afspraken die ten minste even streng zijn als deze.

Eindigt de dienst, dan kan de verantwoordelijke nog dertig dagen zelf een volledige export maken. Daarna wissen wij alle gegevens van de verantwoordelijke, inclusief de back-ups binnen de bewaartermijn daarvan (hoogstens dertig dagen), en bevestigen we dat op verzoek schriftelijk.

Alle verwerking vindt plaats binnen de Europese Economische Ruimte. Doorgifte naar een land daarbuiten gebeurt niet zonder voorafgaande schriftelijke toestemming van de verantwoordelijke en een passende grondslag.

De aansprakelijkheidsbeperking uit de algemene voorwaarden geldt ook voor deze overeenkomst, behalve waar de AVG dat niet toestaat. Bij strijd tussen deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor, voor zover het over persoonsgegevens gaat.

Van deelnemers staat er geen naam, e-mailadres of telefoonnummer in het systeem. Een deelnemer ziet alleen zijn eigen positie en percentage; cijfers over de groep verschijnen pas vanaf vijf deelnemers.

• Pseudonimisering: deelnemers bestaan in het systeem als nummer en gehashte code. Lekt de database, dan lekken er geen namen.
• Toegangscodes en inlogcodes zijn opgeslagen als HMAC-SHA256 met een serversleutel die niet in de database staat; nooit leesbaar, ook niet voor ons.
• Scheiding tussen scholen in de database zelf (row-level security in Postgres), bovenop de scheiding in de applicatie. De applicatie verbindt met een beperkte databaserol.
• Coaches loggen in met een eenmalige link of code per e-mail, tien minuten geldig. De beheerder van de dienst heeft daarbovenop een wachtwoord (argon2id) en een authenticator-app, en kan technisch niet bij groepen, deelnemers of wegingen.
• Sessies als gehashte tokens; verbindingen uitsluitend over https met automatisch beheerde certificaten.
• Snelheidsbegrenzing op het invoeren van codes en het aanvragen van inloglinks, met steeds dezelfde foutmelding zodat niet valt af te tasten welke codes of adressen bestaan.
• Toestemming is afgedwongen in de datalaag: zonder vastgelegde toestemming weigert het systeem een gewicht, ook als het scherm omzeild wordt.
• Automatische verwijdering na de bewaartermijn; dagelijkse versleutelde back-ups met beperkte bewaartermijn; een vastgelegde datalekprocedure.
• Minimale logging: geen toegangslog op de webserver, geen analytics.