Verwerkersovereenkomst

Deze verwerkersovereenkomst maakt deel uit van en is onlosmakelijk verbonden met de algemene voorwaarden tussen jou en ons. Waar zij afwijkt van de algemene voorwaarden, heeft zij voorrang voor wat de verwerking van persoonsgegevens betreft.

Deze overeenkomst geldt tussen T3 Technologies BV, BTW BE 0566.940.947, Egemsesteenweg 41, 8700 Tielt, België, uitbater van de Coachbox-dienst (de “Verwerker”, “wij”), en de klant die de Coachbox-dienst gebruikt (de “Verwerkingsverantwoordelijke”, “je”).

De begrippen “persoonsgegevens”, “verwerking”, “verwerkingsverantwoordelijke”, “verwerker”, “betrokkene” en “inbreuk in verband met persoonsgegevens” hebben de betekenis uit de Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679, “AVG”).

Je bent de verwerkingsverantwoordelijke voor de persoonsgegevens die je via de dienst verwerkt. Wij verwerken die gegevens uitsluitend namens jou, als verwerker, om de dienst te leveren. Je staat ervoor in dat je over een geldige rechtsgrond beschikt voor de verwerking die je aan ons toevertrouwt.

Het voorwerp, de duur, de aard en het doel van de verwerking, de categorieën betrokkenen en de soorten persoonsgegevens staan in Bijlage 1. De verwerking duurt zolang de overeenkomst tussen ons loopt, tenzij de wet een langere bewaring vereist.

Wij verwerken de persoonsgegevens alleen op je gedocumenteerde instructie, ook wat internationale doorgifte betreft, tenzij een wettelijke verplichting ons tot verwerking dwingt. In dat geval melden we dat vooraf, tenzij de wet dat verbiedt. Je gebruik van de dienst en deze overeenkomst gelden als je volledige instructie. Als een instructie volgens ons in strijd is met de AVG, brengen we je daarvan op de hoogte.

Iedereen die onder ons gezag de gegevens verwerkt, is tot vertrouwelijkheid gehouden, contractueel of wettelijk.

Wij nemen passende technische en organisatorische maatregelen zoals bedoeld in artikel 32 AVG. Een overzicht staat in Bijlage 3. We houden er rekening mee dat de stand van de techniek en de risico’s evolueren, en passen de maatregelen aan waar nodig.

Je verleent ons een algemene machtiging om subverwerkers in te schakelen voor de levering van de dienst. Bij een nieuwe of vervangende subverwerker brengen we je minstens 30 dagen vooraf op de hoogte via de subverwerkerspagina en, waar mogelijk, per e-mail. Je kan binnen die termijn gemotiveerd bezwaar maken. Raken we er samen niet uit, dan kan je de betrokken dienst opzeggen.

Wij leggen elke subverwerker dezelfde gegevensbeschermingsverplichtingen op als in deze overeenkomst, en blijven tegenover jou volledig aansprakelijk voor de naleving door onze subverwerkers.

Rekening houdend met de aard van de verwerking helpen we je, met passende technische en organisatorische maatregelen, om:

• verzoeken van betrokkenen te beantwoorden (inzage, correctie, verwijdering, beperking, overdraagbaarheid, bezwaar). De dienst biedt hiervoor zelfbediening: accountbeheer, data-export en accountverwijdering;
• te voldoen aan je verplichtingen rond beveiliging, melding van datalekken, gegevensbeschermingseffectbeoordelingen (DPIA) en voorafgaande raadpleging, gelet op de informatie waarover wij beschikken.

Zodra we kennisnemen van een inbreuk in verband met persoonsgegevens, melden we je dat zonder onnodige vertraging, en in elk geval binnen 48 uur, met de informatie die je nodig hebt om aan je eigen meldplicht bij de Gegevensbeschermingsautoriteit (GBA) en de betrokkenen te voldoen.

De persoonsgegevens worden verwerkt en opgeslagen binnen de Europese Unie (Akamai/Linode in Frankfurt en AWS-regio’s in Frankfurt en Ierland). We geven geen persoonsgegevens door buiten de EER zonder een geldig doorgiftemechanisme in de zin van hoofdstuk V AVG (bijvoorbeeld een adequaatheidsbesluit of standaardcontractbepalingen) en zonder je instructie.

Bij het einde van de dienst verwijderen we, naar jouw keuze, de persoonsgegevens of geven we ze aan je terug, en verwijderen we bestaande kopieën, tenzij de wet bewaring vereist. Je kan je gegevens tijdens de looptijd exporteren via de dienst.

Wij stellen je de informatie ter beschikking die nodig is om de naleving van artikel 28 AVG aan te tonen. Op verzoek bezorgen we onze documentatie over de technische en organisatorische maatregelen en, indien beschikbaar, rapporten van onafhankelijke derden. Dit vervangt een audit ter plaatse.

De aansprakelijkheid onder deze overeenkomst wordt beheerst door de aansprakelijkheidsbepalingen in de algemene voorwaarden.

Deze overeenkomst valt onder het Belgische recht. Geschillen behoren tot de bevoegdheid van de bevoegde rechtbanken zoals bepaald in de algemene voorwaarden.

Aard en doel: het leveren van het Coachbox-platform voor trainingsbegeleiding: accountbeheer, trainingsplanning, opvolging van prestaties, communicatie tussen coach en atleet en facturatie.

Duur: de looptijd van de overeenkomst.

Categorieën betrokkenen: coaches, atleten en gebruikers die door de klant worden uitgenodigd.

Categorieën persoonsgegevens:

• identiteits- en contactgegevens (naam, e-mail);
• accountgegevens (inloggegevens, rol, teamlidmaatschap);
• trainings- en prestatiegegevens, waaronder fysiologische gegevens (hartslag, vermogen, lactaat, VO₂ en vergelijkbare metingen) die als gezondheidsgegevens kunnen gelden;
• gebruiks- en loggegevens;
• facturatiegegevens (verwerkt via onze betaalprovider).

Bijzondere categorieën (artikel 9 AVG): gezondheidsgerelateerde trainings- en fysiologische gegevens, voor zover van toepassing.

• Versleuteling in transit: TLS 1.2 of hoger voor al het verkeer, met automatische omleiding van http naar https.
• Versleuteling at-rest: productiegegevens worden versleuteld opgeslagen.
• Toegangscontrole: rolgebaseerde toegang; beheerderstoegang met meervoudige authenticatie; toegang volgens het principe van minimale rechten.
• Isolatie: logische scheiding van klantgegevens per team.
• Back-ups: dagelijkse back-ups met 21 dagen bewaring.
• Logging: toegangs- en applicatielogs.
• Ontwikkelproces: wijzigingen via versiebeheer, statische code-analyse en een acceptatieomgeving voor productie.
• Verwijdering: zelfbediening voor accountverwijdering en volledige verwijdering op verzoek.

Vragen over deze verwerkersovereenkomst? Neem contact met ons op via contact@coachbox.app.