Verwerkersovereenkomst
Versie 1.0, geldig vanaf 19 september 2026.
Partijen
| Verwerkingsverantwoordelijke | De vereniging, stichting of VvE die een account op Online-MJOP heeft (hierna: de organisatie) |
|---|---|
| Verwerker | Dennis Mars, gevestigd te Nijverdal, handelend onder de naam Online-MJOP (hierna: wij) |
Artikel 1 — Waar dit over gaat
- Wij verwerken persoonsgegevens uitsluitend in opdracht van de organisatie en uitsluitend om de dienst te leveren die in de algemene voorwaarden is beschreven.
- De organisatie bepaalt het doel en de middelen van de verwerking. Wij bepalen dat niet.
- Wij verwerken de gegevens niet voor eigen doeleinden en niet voor derden.
Artikel 2 — Welke gegevens en van wie
| Categorie betrokkenen | Soorten gegevens |
|---|---|
| Bestuursleden en andere gebruikers van de organisatie | Naam, e-mailadres, rol, tijdstip van inloggen, IP-adres bij inlogpogingen, logboek van wijzigingen |
| Personen die door de organisatie in het plan worden genoemd | Uitsluitend wat de organisatie zelf invoert, bijvoorbeeld de naam van een uitvoerend bedrijf in een notitieveld |
De organisatie voert geen bijzondere persoonsgegevens in, zoals gegevens over gezondheid, geloofsovertuiging of strafrechtelijke gegevens. De dienst is daar niet op ingericht.
Artikel 3 — Duur
Deze overeenkomst loopt zolang de organisatie een account heeft. Zij eindigt zodra het account is beëindigd en de in artikel 8 genoemde termijn is verstreken.
Artikel 4 — Onze verplichtingen
- Wij verwerken de gegevens alleen op schriftelijke instructie van de organisatie. Het gebruik van de dienst geldt als zo'n instructie.
- Verplicht een wettelijke bepaling ons tot een verwerking, dan melden wij dat vooraf, tenzij die bepaling dat verbiedt.
- Iedereen die bij ons toegang heeft tot de gegevens is tot geheimhouding verplicht.
- Wij verlenen de organisatie redelijke medewerking bij het nakomen van haar eigen verplichtingen uit de AVG, waaronder verzoeken van betrokkenen en, indien nodig, een gegevensbeschermingseffectbeoordeling.
- Wij stellen de organisatie desgevraagd de informatie ter beschikking die nodig is om aan te tonen dat deze overeenkomst wordt nageleefd, en maken een audit mogelijk. Een audit kondigt de organisatie minstens dertig dagen van tevoren aan, vindt hooguit eenmaal per jaar plaats en is voor haar rekening, tenzij er een tekortkoming uit blijkt.
Artikel 5 — Beveiliging
Wij treffen passende technische en organisatorische maatregelen, waaronder ten minste:
- versleutelde verbindingen (TLS) voor al het verkeer;
- wachtwoorden opgeslagen als hash met individuele salt, nooit als leesbare tekst;
- scheiding van gegevens per organisatie, zodat de ene organisatie niet bij de gegevens van de andere kan;
- toegangsrechten op basis van rol;
- beperking van het aantal inlogpogingen;
- bescherming tegen SQL-injectie en CSRF;
- dagelijkse back-ups;
- logboek van wijzigingen, zodat herleidbaar blijft wie wat heeft gedaan.
De stand van de techniek verandert. Wij mogen maatregelen vervangen door maatregelen die minstens gelijkwaardig zijn.
Artikel 6 — Subverwerkers
- De organisatie geeft algemene toestemming voor het inschakelen van subverwerkers.
- Op dit moment zetten wij in:
| Subverwerker | Dienst | Locatie van de gegevens |
|---|---|---|
| Site.nl | Hosting van website en database | EU |
Wijzigen wij deze lijst, dan melden wij dat minstens dertig dagen van tevoren. De organisatie kan daartegen gemotiveerd bezwaar maken; komen we er samen niet uit, dan mag zij de overeenkomst opzeggen. Wij leggen subverwerkers dezelfde verplichtingen op als wij zelf hebben.
Artikel 7 — Doorgifte buiten de EER
Wij verwerken de gegevens binnen de Europese Economische Ruimte. Is doorgifte daarbuiten onvermijdelijk, dan gebeurt dat uitsluitend op een grondslag die de AVG toestaat, zoals een adequaatheidsbesluit of standaardcontractbepalingen. Wij melden dat vooraf.
Artikel 8 — Einde van de overeenkomst
- Bij beëindiging verwijderen wij alle persoonsgegevens binnen dertig dagen, tenzij de wet ons verplicht ze langer te bewaren.
- Voor die tijd kan de organisatie een volledige export downloaden.
- Back-ups worden overschreven volgens het reguliere schema, uiterlijk binnen dertig dagen na verwijdering.
Artikel 9 — Datalekken
- Bij een inbreuk in verband met persoonsgegevens stellen wij de organisatie zonder onredelijke vertraging op de hoogte, en in elk geval binnen 24 uur nadat wij ervan op de hoogte zijn.
- Wij melden daarbij wat er is gebeurd, welke gegevens en hoeveel betrokkenen het waarschijnlijk betreft, wat de vermoedelijke gevolgen zijn en welke maatregelen wij hebben genomen.
- De organisatie beoordeelt zelf of zij melding doet bij de Autoriteit Persoonsgegevens en bij de betrokkenen. Die afweging is aan haar, niet aan ons. Wij verlenen daarbij de medewerking die redelijkerwijs nodig is.
Artikel 10 — Aansprakelijkheid
De aansprakelijkheidsregeling uit de algemene voorwaarden is van toepassing, met dien verstande dat die beperking niet geldt voor zover de AVG aansprakelijkheid dwingend voorschrijft.
Artikel 11 — Slot
Bij strijdigheid tussen deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor, voor zover het de verwerking van persoonsgegevens betreft. Op deze overeenkomst is Nederlands recht van toepassing.
Een pdf van deze overeenkomst opvragen kan via privacy@online-mjop.nl.