Bijlage · Verwerkersovereenkomst (DPA)
Informatieve vertaling. Bij verschillen geldt de Spaanse versie.
Deze Verwerkersovereenkomst (hierna: “DPA”) regelt de verwerking van persoonsgegevens tussen ENES Estrategia Conjunta SL (hierna: “DEKKO”) en de ondertekenende duikclub of duikschool (hierna: “de Club”) in het kader van de tussen beide partijen gesloten SaaS-dienstverleningsovereenkomst. Zij is een verplichte bijlage bij de Algemene voorwaarden van DEKKO en wordt aangevuld door het Privacybeleid. Basismodel: de modelcontractbepalingen van Besluit 2021/914/EU, aangepast aan het model van gezamenlijke verwerkingsverantwoordelijkheid (art. 26 AVG) van DEKKO.
1 · Partijen en definities
De begrippen “Verwerkingsverantwoordelijke”, “Verwerker”, “Gezamenlijk verwerkingsverantwoordelijken (Joint Controllers)”, “Persoonsgegevens”, “Verwerking”, “Betrokkene” en “Bijzondere categorieën” worden uitgelegd overeenkomstig de AVG (Verordening (EU) 2016/679).
- DEKKO · ENES Estrategia Conjunta SL · CIF B22468284 · Partida Valls, s/n · 43350 Les Borges del Camp, Tarragona (Spanje) · privacidad@dekko.club
- De Club · de natuurlijke persoon of rechtspersoon die in de specifieke overeenkomst is geïdentificeerd en beroepsmatig actief is in de recreatieve of technische duiksport.
2 · Onderwerp en aard van de verwerking
De gegevens van de duikers (eindklanten van de Club) worden verwerkt in een regime van gezamenlijke verwerkingsverantwoordelijkheid (Joint Controller · art. 26 AVG): de Club bepaalt de operationele doeleinden (de duik, de cursus, de activiteit) en DEKKO bepaalt de doeleinden van de clubovergrijpende dienstverlening, het blijvende duikersprofiel en de statistische analyse, onder voorbehoud van de uitdrukkelijke toestemming van de duiker.
- De gegevens van de operator van de Club worden door DEKKO verwerkt als enige Verwerkingsverantwoordelijke.
- De gegevens van het overige personeel van de Club worden door de Club verwerkt als Verwerkingsverantwoordelijke, met DEKKO als Verwerker wanneer zij in het dashboard worden opgeslagen.
3 · Categorieën van gegevens en betrokkenen
Betrokkenen: duikers (eindklanten), operators van de Club en personeel van de Club.
Verwerkte gegevens: identificatiegegevens (naam, identiteitsbewijs/paspoort, geboortedatum), contactgegevens (e-mail, telefoon, adres), duikgegevens (brevet, verzekering, huuruitrusting, duikhistorie), financiële gegevens (betaalmetadata · de betaling wordt verwerkt door Stripe), communicatiegegevens (WhatsApp, e-mails, afbeeldingen van documenten) en bijzondere categorie (art. 9 AVG): de medische verklaring van de SSI/PADI/RSTC-vragenlijst en, in voorkomend geval, de medische verklaring van een arts.
4 · Verdeling van verantwoordelijkheden
De Club is primair verantwoordelijk voor: het informeren van de duiker over de verwerking binnen de geboekte dienst; het verkrijgen van de toestemming via het eerste selectievakje bij het afrekenen; het verwerken van de medische gegevens om de dienst te verlenen; het nakomen van de wettelijke verplichtingen van de activiteit (manifesten, lijsten, lokale regelgeving); het innen en factureren; en het bewaren van de facturen gedurende 6 jaar.
DEKKO is primair verantwoordelijk voor: het informeren over de clubovergrijpende verwerking; het verkrijgen van de opt-in-toestemming via het tweede selectievakje; het bijhouden van het duikersprofiel indien er een opt-in was; de communicatie die namens DEKKO wordt verzonden; en de technische beveiliging van de gemeenschappelijke infrastructuur.
Beide partijen zijn gezamenlijk verantwoordelijk voor: de technische en organisatorische maatregelen; de melding van datalekken aan de AEPD (<72 u) en, waar van toepassing, aan de betrokkenen; de afhandeling van de rechten van de betrokkene (<30 dagen); het register van verwerkingsactiviteiten; en de gegevensbeschermingseffectbeoordelingen (DPIA) wanneer die van toepassing zijn.
5 · Eén aanspreekpunt voor de betrokkene
De betrokkene kan zijn rechten uitoefenen bij elk van beide partijen: door te schrijven naar privacidad@dekko.club (of naar de FG/DPO via dpo@dekko.club) of naar het e-mailadres van de Club. De partij die het verzoek ontvangt, stelt de andere partij binnen 48 uur op de hoogte en beide stemmen zich af om binnen de wettelijke termijn één gezamenlijk antwoord te geven.
6 · Dubbele, granulaire opt-in-toestemming
Bij de eerste boeking van de duiker (openbare website, WhatsApp-agent of registratie) geeft de duiker twee afzonderlijke, granulaire en NIET vooraf aangevinkte toestemmingen: (1) verplicht, voor het beheer van de boeking en de wettelijke verplichtingen van de Club; (2) optioneel, voor het clubovergrijpende DEKKO-profiel. Onschendbare regels: niet vooraf aangevinkt, niet gebundeld, niet verborgen, en elke toestemming wordt vastgelegd met tijdstempel, geanonimiseerd IP-adres, user-agent, documentversie en identificatiecode van de duiker.
7 · Technische en organisatorische maatregelen (art. 32 AVG)
- Versleuteling tijdens de overdracht (TLS 1.3 · HSTS) en in rust (AES-256).
- Multi-tenant-isolatie op databaseniveau (Row Level Security van PostgreSQL).
- Scheiding van datasets tussen de operationele gegevens van de Club en het DEKKO-duikersprofiel.
- Authenticatie via magic link (zonder opgeslagen wachtwoorden) en op rollen gebaseerde toegangscontrole.
- Monitoring van de toegang tot bijzondere categorieën (medische gegevens) met auditeerbare logs gedurende 12 maanden.
- Dagelijkse back-ups op EU-infrastructuur met een bewaartermijn van 30 dagen en een gedocumenteerd herstelplan.
- Aangewezen FG/DPO (dpo@dekko.club), jaarlijkse opleiding van het personeel en procedure voor de respons op incidenten.
8 · Toegestane subverwerkers
DEKKO maakt gebruik van de volgende subverwerkers, allemaal met een ondertekende DPA. De Club geeft hiervoor uitdrukkelijk toestemming door deze DPA te ondertekenen; wijzigingen worden 30 dagen van tevoren meegedeeld en de Club kan daartegen gemotiveerd bezwaar maken.
| Subverwerker | Functie | Locatie | Internationale doorgifte |
|---|---|---|---|
| Supabase Inc. | Database + Auth + Storage | Ierland (EU) | N.v.t. |
| Cloudflare Inc. | CDN, hosting, DNS | VS + EU | SCC 2021/914 |
| Stripe Payments Europe Ltd. | Betalingsverwerking | Ierland (EU) | N.v.t. |
| Brevo (Sendinblue) | Transactionele e-mail en marketing | Frankrijk (EU) | N.v.t. |
| Manychat Inc. | Orkestratie van de WhatsApp-bot | VS | SCC 2021/914 |
| Anthropic, PBC | Claude-API (AI van de bot) | VS | SCC 2021/914 |
| Netelip Telecom SL | VoIP-telefonie | Spanje (EU) | N.v.t. |
9 · Bewaartermijnen
| Categorie | Termijn |
|---|---|
| Boekings- en betalingsgegevens | 6 jaar (Spaans Wetboek van Koophandel) |
| Medische gegevens | 30 dagen na de duik, behalve bij een incident |
| Clubovergrijpend DEKKO-profiel (opt-in) | Tot wissing op verzoek van de betrokkene |
| Beveiligingslogs | 12 maanden |
| Register van uitgeoefende toestemmingen | Onbepaald (juridische verdediging) |
10 · Rechten van de betrokkene
Beide partijen waarborgen de uitoefening van alle AVG-rechten (inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar, intrekking) binnen uiterlijk 30 dagen, in complexe gevallen met 2 maanden te verlengen met kennisgeving aan de betrokkene. Het recht op wissing (art. 17) is onschendbaar, behalve bij een wettelijke bewaarplicht (boekhoudkundige gegevens) of verdediging tegen vorderingen: in alle andere gevallen wordt het zonder procederen uitgevoerd, waarbij de gegevens binnen 30 dagen uit de productieomgeving en binnen de daaropvolgende 90 dagen uit de back-ups worden verwijderd.
11 · Melding van datalekken
De partij die een datalek ontdekt, meldt dit onmiddellijk aan de andere partij en beide stemmen zich af om de AEPD binnen 72 uur in kennis te stellen (art. 33 AVG) en, indien het lek een hoog risico inhoudt, de getroffen betrokkenen zonder onredelijke vertraging (art. 34). Elk datalek, ook als het niet gemeld hoeft te worden, wordt intern gedocumenteerd.
12 · Audit
De Club kan de naleving van deze DPA eenmaal per jaar laten controleren, met een aankondigingstermijn van 30 dagen en met inachtneming van de vertrouwelijkheid van andere klanten van DEKKO, door middel van een documentaire vragenlijst, een externe auditor (voor eigen rekening) of beoordeling van SOC2/ISO27001-rapporten zodra DEKKO die verkrijgt.
13 · Beëindiging
Bij beëindiging van de SaaS-overeenkomst is deze DPA niet langer van toepassing op nieuwe verwerkingen, maar blijven de verplichtingen inzake vertrouwelijkheid, wettelijke bewaring, afhandeling van rechten en melding van datalekken met betrekking tot reeds bestaande gegevens van kracht. DEKKO levert de Club binnen uiterlijk 30 dagen al haar operationele gegevens aan in gestructureerd CSV of JSON. De gegevens van het clubovergrijpende DEKKO-profiel (indien er een opt-in was) blijven bij DEKKO overeenkomstig de toestemming van de duiker, totdat deze zijn recht op wissing uitoefent.
14 · Openbaarmaking, wijzigingen en toepasselijk recht
Overeenkomstig art. 26.2 AVG wordt de wezenlijke inhoud van deze DPA via het Privacybeleid ter beschikking gesteld van de betrokkene. Deze DPA kan worden gewijzigd bij overeenkomst tussen de partijen of wegens regelgevende noodzaak, met een aankondigingstermijn van 30 dagen. Zij wordt beheerst door het Spaanse recht en de AVG; voor geschillen onderwerpen de partijen zich aan de rechtbanken van Tarragona.