Groepslidmaatschap Gymspiratie B.V.

Artikel 1: Partijen

De ondergetekenden:

[NAAM ORGANISATIE], gevestigd te [ADRES], ingeschreven bij de Kamer van Koophandel onder nummer [KVK-NUMMER], rechtsgeldig vertegenwoordigd door [NAAM VERTEGENWOORDIGER], hierna te noemen: de Verwerkingsverantwoordelijke;

Gymspiratie B.V., gevestigd te Platinaweg 25, 2544 EZ Den Haag, ingeschreven bij de Kamer van Koophandel onder nummer 90564480, rechtsgeldig vertegenwoordigd door haar directie, hierna te noemen: de Verwerker;

hierna gezamenlijk aangeduid als de Partijen.

Artikel 2: Overwegingen

De Verwerkingsverantwoordelijke heeft een groepslidmaatschap afgesloten bij de Verwerker voor gebruik van het Gymspiratie-platform, een online leeromgeving met gymlesmateriaal voor (vak)leerkrachten en studenten (de Hoofdovereenkomst);
In het kader van dit groepslidmaatschap verstrekt de Verwerkingsverantwoordelijke persoonsgegevens van haar medewerkers of studenten aan de Verwerker, ten behoeve van het aanmaken van gebruikersaccounts;
De Verwerker verwerkt deze persoonsgegevens uitsluitend in opdracht van en ten behoeve van de Verwerkingsverantwoordelijke;
Partijen zijn op grond van artikel 28 AVG verplicht een schriftelijke verwerkersovereenkomst te sluiten.

Artikel 3: Definities

AVG: Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van persoonsgegevens.
Persoonsgegevens: alle informatie over een geidentificeerde of identificeerbare natuurlijke persoon.
Verwerking: elke bewerking met betrekking tot persoonsgegevens, waaronder het verzamelen, opslaan, raadplegen of wissen daarvan.
Betrokkene: de natuurlijke persoon op wie de verstrekte persoonsgegevens betrekking hebben.
Beveiligingsincident: een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van persoonsgegevens.
Sub-verwerker: een derde partij die door de Verwerker wordt ingeschakeld bij de uitvoering van deze overeenkomst.

Artikel 4: Doel en aard van de verwerking

4.1 Algemeen

De Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van de Verwerkingsverantwoordelijke en conform diens gedocumenteerde instructies, zoals omschreven in dit artikel.

4.2 Categorieën van betrokkenen

Regulier groepslidmaatschap: medewerkers en (vak)leerkrachten werkzaam bij de Verwerkingsverantwoordelijke;
Studentengroepslidmaatschap: studenten en docenten ingeschreven bij of verbonden aan de organisatie van de Verwerkingsverantwoordelijke.

4.3 Categorieën van persoonsgegevens

Voor- en achternaam;
E-mailadres (zakelijk of organisatie-e-mailadres);
Gebruiksdata en loginactiviteit op het Gymspiratie-platform.

Aanvullende verplichting studentengroepslidmaatschap: de gegevens kunnen worden aangeleverd door de opleiding zelf of door een docent/begeleider namens de opleiding. In beide gevallen dient uitsluitend het persoonsgebonden organisatie-e-mailadres van de student te worden verstrekt (bijv. naam@student.organisatie.nl). De Verwerkingsverantwoordelijke blijft in alle gevallen verantwoordelijk voor de juistheid van de aangeleverde gegevens.

4.4 Doel van de verwerking

Het aanmaken en beheren van gebruikersaccounts op het Gymspiratie-platform;
Het verlenen van toegang tot de leeromgeving en het bijbehorende lesmateriaal;
Communicatie over het lidmaatschap en platformupdates.

4.5 Bewaartermijnen

Accountgegevens: tot 12 maanden na beeindigen van de dienstverlening, waarna de gegevens worden verwijderd;
Gebruiksdata: tot het einde van de dienstverlening.

Artikel 5: Verplichtingen van de Verwerker

5.1 Instructies

De Verwerker verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke. Indien de Verwerker van mening is dat een instructie in strijd is met de AVG, stelt hij de Verwerkingsverantwoordelijke hiervan onverwijld op de hoogte.

5.2 Geheimhouding

De Verwerker zorgt ervoor dat zijn medewerkers die toegang hebben tot de persoonsgegevens, gehouden zijn aan een verplichting tot vertrouwelijkheid.

5.3 Technische en organisatorische maatregelen

De Verwerker treft ten minste de volgende passende beveiligingsmaatregelen:

SSL/HTTPS-versleuteling van alle dataverbindingen;
Toegangsbeveiliging met wachtwoord en, waar beschikbaar, twee-factor-authenticatie (2FA);
Regelmatige back-ups van de opgeslagen gegevens;
Verwerkersovereenkomsten met alle ingeschakelde sub-verwerkers;
Beperkte toegang tot persoonsgegevens op basis van het need-to-know-principe.

5.4 Aanlevering van gegevens

De Verwerkingsverantwoordelijke verstrekt persoonsgegevens aan de Verwerker via e-mail of een door de Verwerker aangeboden methode. Partijen erkennen dat overdracht via onversleutelde e-mail een beveiligingsrisico met zich meebrengt. De Verwerkingsverantwoordelijke is verantwoordelijk voor de juistheid en volledigheid van de aangeleverde gegevens.

Artikel 6: Sub-verwerkers

De Verwerker maakt onder andere gebruik van de volgende sub-verwerkers:

Brevo (Sendinblue SAS), gevestigd in Frankrijk (EU): e-mailcommunicatie en nieuwsbrieven;
Mollie B.V., gevestigd in Nederland (EU): betalingsverwerking bij facturatie;
PayPal (Europe) S.a.r.l. et Cie, S.C.A.: betalingsverwerking. PayPal verwerkt gegevens deels buiten de EER, op basis van Standard Contractual Clauses (SCC’s).

Een actueel overzicht van de sub-verwerkers die Gymspiratie inzet is beschikbaar in de privacyverklaring op www.gymspiratie.nl/privacyverklaring-eu.

Gymspiratie informeert de Verwerkingsverantwoordelijke over wijzigingen in de inzet van sub-verwerkers. De Verwerkingsverantwoordelijke heeft het recht hiertegen bezwaar te maken.

De Verwerker informeert de Verwerkingsverantwoordelijke over wijzigingen in de inzet van sub-verwerkers. De Verwerkingsverantwoordelijke heeft het recht hiertegen bezwaar te maken.

Artikel 7: Doorgifte buiten de EER

Persoonsgegevens worden primair opgeslagen binnen de EER. Voor zover sub-verwerkers gegevens verwerken buiten de EER (zie artikel 6), zorgt de Verwerker voor passende waarborgen overeenkomstig hoofdstuk V AVG, zoals Standard Contractual Clauses.

Artikel 8: Beveiligingsincidenten en datalekken

De Verwerker meldt een beveiligingsincident dat betrekking heeft op persoonsgegevens van de Verwerkingsverantwoordelijke zo spoedig mogelijk, doch uiterlijk binnen 48 uur na ontdekking. De melding bevat ten minste:

De aard van het incident;
De (vermoedelijke) omvang en categorieën van betrokkenen en gegevens;
De verwachte gevolgen;
De getroffen of voorgestelde maatregelen.

De Verwerkingsverantwoordelijke is verantwoordelijk voor de beoordeling of melding bij de Autoriteit Persoonsgegevens en/of betrokkenen vereist is.

Artikel 9: Rechten van betrokkenen

Indien een betrokkene een verzoek indient tot inzage, rectificatie, verwijdering of overdracht van zijn persoonsgegevens, verleent de Verwerker hieraan medewerking voor zover de gegevens in het kader van deze overeenkomst worden verwerkt. De Verwerker reageert binnen een redelijke termijn.

Artikel 10: Verplichtingen van de Verwerkingsverantwoordelijke

De Verwerkingsverantwoordelijke staat in voor een rechtmatige grondslag voor het verstrekken van persoonsgegevens aan de Verwerker;
De Verwerkingsverantwoordelijke informeert betrokkenen over de verwerking van hun gegevens door de Verwerker, voor zover vereist onder de AVG;
Bij een studentengroepslidmaatschap draagt de Verwerkingsverantwoordelijke er zorg voor dat uitsluitend het organisatie-e-mailadres van de student wordt verstrekt, ongeacht of de aanlevering plaatsvindt door de opleiding zelf of door een docent/begeleider namens de opleiding.

Artikel 11: Duur en beeindigen

Deze verwerkersovereenkomst is van kracht zolang de Hoofdovereenkomst van kracht is. Bij beeindigen van de Hoofdovereenkomst verwijdert de Verwerker de persoonsgegevens binnen de in artikel 4.5 genoemde bewaartermijnen, tenzij een wettelijke bewaarplicht geldt.

Artikel 12: Aansprakelijkheid

Partijen zijn ieder aansprakelijk voor schade die voortvloeit uit niet-naleving van hun eigen verplichtingen onder de AVG en deze overeenkomst. De aansprakelijkheid van de Verwerker is beperkt tot directe schade, tot het bedrag dat in het betreffende kalenderjaar aan groepslidmaatschapsgelden is betaald door de Verwerkingsverantwoordelijke.

Artikel 13: Slotbepalingen

Op deze overeenkomst is uitsluitend Nederlands recht van toepassing.
Geschillen worden voorgelegd aan de bevoegde rechter in Den Haag.
Deze overeenkomst kan worden geaccepteerd via een digitaal vinkje bij het afsluiten van een groepslidmaatschap op www.gymspiratie.nl. Een dergelijke digitale acceptatie heeft dezelfde rechtskracht als een schriftelijke handtekening.
Gymspiratie behoudt zich het recht voor deze overeenkomst te wijzigen. Wijzigingen worden minimaal 30 dagen van tevoren aangekondigd per e-mail. Indien de Verwerkingsverantwoordelijke niet akkoord gaat, kan het groepslidmaatschap worden beeindigd.

Ondertekening (optioneel bij fysieke overeenkomst)

Aldus overeengekomen en ondertekend:

Verwerkingsverantwoordelijke Naam: ________________________Functie: ________________________Datum: ________________________ Handtekening

Verwerker: Gymspiratie B.V. Naam: ________________________Functie: ________________________Datum: ________________________ Handtekening

Noot: Bij digitale acceptatie via gymspiratie.nl is fysieke ondertekening niet vereist. De datum en het e-mailadres van de accepterende gebruiker worden vastgelegd als bewijs van instemming.