Verwerkersovereenkomst

Overeenkomst volgens artikel 28 AVG. Versie 20 oktober 2026.

Tussen de Club die CourtBooster gebruikt, als verwerkingsverantwoordelijke (de "Verantwoordelijke"), en CourtBooster, vennootschap in oprichting, bereikbaar via info@courtbooster.com, als verwerker (de "Verwerker").

De Verantwoordelijke gebruikt de dienst CourtBooster volgens de gebruiksvoorwaarden (de "Overeenkomst"). Daarbij verwerkt de Verwerker persoonsgegevens in opdracht van de Verantwoordelijke. Deze verwerkersovereenkomst regelt dat. Ze wordt aanvaard samen met de Overeenkomst en eindigt met die Overeenkomst, maar de artikelen die naar hun aard doorlopen (11, 12 en 14), blijven gelden zolang de Verwerker gegevens van de Verantwoordelijke heeft.

Art. 1 Begrippen

De begrippen in deze overeenkomst (persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, betrokkene, inbreuk in verband met persoonsgegevens, ...) hebben de betekenis van artikel 4 van de Algemene Verordening Gegevensbescherming (EU) 2016/679 ("AVG").

Art. 2 Onderwerp en instructies

• 2.1 De Verwerker verwerkt persoonsgegevens alleen om de dienst te leveren zoals beschreven in bijlage A, en alleen volgens de schriftelijke instructies van de Verantwoordelijke. De Overeenkomst, deze verwerkersovereenkomst en de keuzes die de Verantwoordelijke in de app maakt, gelden als die instructies.

• 2.2 Verplicht het recht van de EU of van een lidstaat de Verwerker tot een andere verwerking, dan meldt hij dat vooraf aan de Verantwoordelijke, tenzij die wet dat verbiedt.

• 2.3 Vindt de Verwerker dat een instructie de AVG of andere regels over gegevensbescherming schendt, dan meldt hij dat meteen. Hij mag de uitvoering van die instructie opschorten tot de Verantwoordelijke ze bevestigt of aanpast.

• 2.4 De Verwerker gebruikt de persoonsgegevens niet voor eigen doeleinden. Hij mag wel geanonimiseerde, niet tot personen of de Club herleidbare cijfers gebruiken om de dienst te verbeteren, zoals het gemiddelde aandeel gepromote uren dat geboekt raakt.

Art. 3 Verplichtingen van de Verantwoordelijke

• 3.1 De Verantwoordelijke staat in voor de rechtmatigheid van de verwerking: hij heeft een rechtsgrond, informeert de betrokkenen (zijn leden, spelers, vrijwilligers) en verkrijgt de nodige toestemmingen, onder meer voor foto's in de beeldbank en voor minderjarigen.

• 3.2 De Verantwoordelijke zet geen bijzondere categorieën van persoonsgegevens (art. 9 AVG) of gegevens over strafrechtelijke veroordelingen (art. 10 AVG) in de dienst.

• 3.3 De Verantwoordelijke beantwoordt zelf de vragen van betrokkenen. De Verwerker helpt daarbij zoals bepaald in artikel 7.

Art. 4 Vertrouwelijkheid

Alleen personen die de gegevens nodig hebben voor de dienst, krijgen er toegang toe. Zij zijn gebonden door een geheimhoudingsplicht, contractueel of wettelijk. Vandaag zijn dat de twee bestuurders van de Verwerker.

Art. 5 Beveiliging

• 5.1 De Verwerker neemt passende technische en organisatorische maatregelen (art. 32 AVG), rekening houdend met de stand van de techniek, de kosten en de risico's voor de betrokkenen. De maatregelen staan in bijlage B.

• 5.2 De Verwerker mag de maatregelen aanpassen, op voorwaarde dat het beschermingsniveau niet daalt.

Art. 6 Subverwerkers

• 6.1 De Verantwoordelijke geeft de Verwerker algemene toestemming om de subverwerkers van bijlage C in te schakelen.

• 6.2 Wil de Verwerker een subverwerker toevoegen of vervangen, dan meldt hij dat minstens 30 dagen vooraf in de app of per e-mail. De Verantwoordelijke kan binnen die termijn met redenen bezwaar maken. Vinden de partijen geen oplossing, dan mag de Verantwoordelijke de Overeenkomst kosteloos beëindigen tegen de datum van de wijziging. Bij een dringende vervanging om de dienst of de beveiliging te verzekeren mag de termijn korter zijn; de Verwerker legt dan uit waarom.

• 6.3 De Verwerker legt elke subverwerker schriftelijk dezelfde verplichtingen op als in deze overeenkomst, met voldoende waarborgen voor de beveiliging. Hij blijft tegenover de Verantwoordelijke aansprakelijk voor zijn subverwerkers (art. 28.4 AVG).

Art. 7 Hulp aan de Verantwoordelijke

• 7.1 Komt een vraag van een betrokkene bij de Verwerker binnen, dan stuurt hij ze binnen vijf werkdagen door naar de Verantwoordelijke, zonder ze zelf te beantwoorden, tenzij de Verantwoordelijke hem daartoe opdracht geeft.

• 7.2 De Verwerker helpt de Verantwoordelijke met passende middelen om vragen over inzage, verbetering, wissing, beperking, overdraagbaarheid en bezwaar te beantwoorden. De meeste gegevens kan de Verantwoordelijke zelf in de app aanpassen of wissen.

• 7.3 De Verwerker geeft de informatie die de Verantwoordelijke redelijkerwijs nodig heeft voor een gegevensbeschermingseffectbeoordeling, een voorafgaande raadpleging van de toezichthouder of een vraag van de Gegevensbeschermingsautoriteit (art. 32 tot 36 AVG).

• 7.4 Hulp die meer dan een redelijke inspanning vraagt, of die het gevolg is van een fout van de Verantwoordelijke, mag de Verwerker aanrekenen tegen zijn gangbare uurtarief, na voorafgaand akkoord over de raming.

Art. 8 Inbreuken in verband met persoonsgegevens

• 8.1 De Verwerker meldt een inbreuk aan de Verantwoordelijke zonder onredelijke vertraging, en uiterlijk 48 uur nadat hij ze ontdekte, via het e-mailadres van de account van de Verantwoordelijke.

• 8.2 De melding bevat, voor zover bekend: de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen, en een contactpersoon. Wat nog niet bekend is, volgt zodra het bekend is.

• 8.3 De Verwerker neemt meteen de redelijke maatregelen om de inbreuk te beperken. Hij meldt de inbreuk niet zelf aan de toezichthouder of aan betrokkenen, tenzij de Verantwoordelijke hem dat vraagt of de wet het oplegt.

• 8.4 De Verwerker houdt een register bij van alle inbreuken, ook die niet gemeld moesten worden.

Art. 9 Doorgifte buiten de EER

De Verwerker geeft persoonsgegevens alleen door naar een land buiten de Europese Economische Ruimte met een passende waarborg uit hoofdstuk V AVG: een adequaatheidsbesluit (waaronder het EU-VS-gegevensprivacykader voor gecertificeerde ontvangers) of de standaardcontractbepalingen van de Europese Commissie, met bijkomende maatregelen waar nodig. Bijlage C vermeldt per subverwerker welke waarborg geldt.

Art. 10 Bewaren, teruggeven en wissen

• 10.1 Tijdens de Overeenkomst bewaart de Verwerker de gegevens volgens de termijnen in bijlage A, of korter als de Verantwoordelijke ze eerder wist.

• 10.2 Na het einde van de Overeenkomst kan de Verantwoordelijke zijn gegevens nog 30 dagen downloaden. Daarna wist de Verwerker alle persoonsgegevens binnen 60 dagen, en uit de back-ups zodra die volgens hun gewone cyclus van uiterlijk 90 dagen vervallen. Tot dan blijven ze beschermd volgens deze overeenkomst en worden ze niet meer gebruikt.

• 10.3 Op vraag bevestigt de Verwerker schriftelijk dat de gegevens gewist zijn. Gegevens die de wet hem verplicht te bewaren, bewaart hij alleen zolang en voor zover dat moet.

Art. 11 Informatie en audit

• 11.1 De Verwerker stelt alle informatie ter beschikking die nodig is om aan te tonen dat hij deze overeenkomst naleeft, in de eerste plaats deze overeenkomst met haar bijlagen en, op vraag, een toelichting bij de maatregelen.

• 11.2 Volstaat dat niet, dan mag de Verantwoordelijke eenmaal per jaar een audit laten uitvoeren door een onafhankelijke, tot geheimhouding verplichte deskundige, met een aankondiging van minstens 30 dagen, tijdens de kantooruren en zonder de dienst voor andere clubs te verstoren. Een audit na een inbreuk of op vraag van de toezichthouder kan altijd.

• 11.3 De kosten van een audit zijn voor de Verantwoordelijke, tenzij de audit een ernstige tekortkoming van de Verwerker aantoont.

Art. 12 Aansprakelijkheid

• 12.1 Elke partij is aansprakelijk voor haar eigen tekortkomingen aan de AVG en aan deze overeenkomst. De Verwerker is alleen aansprakelijk voor schade door een verwerking waarbij hij de verplichtingen van de AVG voor verwerkers niet nakwam, of buiten of in strijd met de rechtmatige instructies van de Verantwoordelijke handelde (art. 82.2 AVG).

• 12.2 Tussen de partijen geldt de beperking van aansprakelijkheid van artikel 2.14 van de gebruiksvoorwaarden, met de uitzonderingen die daar vermeld staan. Deze beperking verandert niets aan de rechten van betrokkenen tegenover de partijen (art. 82.4 AVG). Moet een partij een betrokkene meer vergoeden dan haar aandeel in de schade, dan kan zij het verschil terugvorderen van de andere partij (art. 82.5 AVG).

• 12.3 De Verantwoordelijke vrijwaart de Verwerker tegen vorderingen en boetes die voortkomen uit een onrechtmatige instructie, uit het ontbreken van een rechtsgrond of toestemming, of uit gegevens die de Verantwoordelijke in strijd met artikel 3 in de dienst zette.

Art. 13 Duur

Deze overeenkomst loopt zolang de Overeenkomst loopt, en daarna zolang de Verwerker gegevens van de Verantwoordelijke bewaart.

Art. 14 Recht en rechter

Belgisch recht is van toepassing. Geschillen worden behandeld zoals bepaald in artikel 2.21 van de gebruiksvoorwaarden.

Bijlage A Beschrijving van de verwerking

Bijlage B Technische en organisatorische maatregelen

Toegang en scheiding

• Elke club heeft een eigen geheime toegangssleutel. Elke vraag aan de motor wordt gecontroleerd op die sleutel, en elke opgeslagen gegevensrij hoort bij één club. Een club kan geen gegevens van een andere club lezen of overschrijven. Dit wordt bij elke wijziging getest.

• Beheerfuncties vragen een aparte beheerderssleutel. Alleen de twee bestuurders hebben toegang tot de server en de sleutels.

• Wachtwoorden van gebruikers worden alleen versleuteld (gehasht) bewaard door de inlogdienst.

Netwerk en transport

• Alle verkeer verloopt via HTTPS (TLS). De server heeft geen open poorten naar het internet; hij is alleen bereikbaar via een versleutelde tunnel van Cloudflare.

• Formulieren zijn beschermd tegen robots (Cloudflare Turnstile) en het aantal aanvragen per bezoeker en per club is beperkt. Een bezoeker wordt daarvoor alleen met een versleutelde code bijgehouden.

Opslag en continuïteit

• De gegevens staan op een server in België, met een beheerdersaccount dat met een wachtwoord beveiligd is. Wat de server verlaat (back-ups), is versleuteld.

• Elke nacht een back-up, versleuteld met AES-256 voor ze de server verlaat, 90 dagen bewaard: op de server en een kopie buiten de server. De sleutel staat niet bij de opslagdienst. Elke back-up wordt meteen ontsleuteld en nagekeken, en een mislukte back-up wordt gemeld.

• Elke vijf minuten wordt gecontroleerd of de dienst werkt; elke ochtend en middag loopt een controle van de gegevens per club, met een melding aan de beheerders bij problemen.

Ontwikkeling

• Een wijziging gaat pas live als een reeks geautomatiseerde tests slaagt, waaronder tests op de scheiding tussen clubs, op de alleen-lezen demo en op het weglaten van persoonlijke adressen in wat naar buiten gaat.

• Testen gebeurt met een verzonnen democlub en verzonnen sponsors, niet met gegevens van klanten.

• Logs bevatten geen inhoud van berichten. Foutmeldingen uit de app bevatten geen namen of e-mailadressen.

Organisatie

• Toegang alleen voor wie ze nodig heeft, met geheimhoudingsplicht (art. 4).

• Een procedure voor inbreuken met melding binnen 48 uur aan de club (art. 8) en een register van inbreuken.

• Subverwerkers alleen met een verwerkersovereenkomst en de nodige waarborgen voor doorgifte (art. 6 en 9).

• Jaarlijkse herziening van deze maatregelen.

Bijlage C Subverwerkers

Geen subverwerkers, omdat ze geen persoonsgegevens van de club krijgen: Open-Meteo (weer, alleen de ligging van de club) en de boekingsplatformen (de motor leest er alleen de vrije uren van de club).