Verwerkersovereenkomst

1. Partijen en rollen

Deze verwerkersovereenkomst geldt tussen de sportclub die NaarDeMatch gebruikt en Louis De Jaeger, Cornelis De Schepperestraat 36, 9810 Nazareth, ondernemingsnummer BE0642719921.

• De club is verwerkingsverantwoordelijke voor de persoonsgegevens in haar omgeving: supporters, abonnees, leden en haar eigen medewerkers. Zij bepaalt waarom en hoe die gegevens worden verwerkt.
• NaarDeMatch is verwerker. Wij verwerken die gegevens uitsluitend in opdracht van de club en nooit voor eigen doeleinden.

Dit onderscheid staat ook zo in ons privacybeleid. Voor de gegevens waarvoor wij zelf verwerkingsverantwoordelijke zijn — bezoekers van onze website, aanvragen van clubs en onze eigen commerciële communicatie — geldt dat beleid en niet deze overeenkomst.

Deze overeenkomst maakt integraal deel uit van de algemene voorwaarden en vult daaraan de verplichtingen van artikel 28 AVG toe. Bij tegenstrijdigheid over de verwerking van persoonsgegevens gaat deze overeenkomst voor.

2. Onderwerp, duur, aard en doel

Onderwerp en doel. Wij verwerken persoonsgegevens om de club in staat te stellen tickets en abonnementen te verkopen en te beheren: online verkoop, betaalafhandeling via het Mollie-account van de club, ticketlevering per e-mail en in Apple en Google Wallet, toegangscontrole aan de deur, ruil en terugbetaling, en de facturatie en rapportering van die verkoop.

Aard van de verwerking. Verzamelen, vastleggen, opslaan, raadplegen, wijzigen, doorgeven aan subverwerkers, exporteren en wissen — telkens beperkt tot wat de dienst vereist.

Duur. Deze overeenkomst loopt zolang de club NaarDeMatch gebruikt en eindigt samen met de algemene voorwaarden. De bepalingen over verwijdering, vertrouwelijkheid en aansprakelijkheid blijven daarna gelden voor zover nodig.

3. Categorieën betrokkenen en persoonsgegevens

Categorie betrokkenen	Persoonsgegevens
Kopers van tickets	Naam, e-mailadres, bestelnummer, gekochte tickets, betaalstatus en betaalreferentie, taal
Abonnees en houders van een abonnementskaart	Naam, e-mailadres, abonnementstype, geldigheidsperiode, eventueel een uitgeleende kaart
Bezoekers aan de deur	Scanmoment van hun ticket, en of de toegang werd toegestaan of geweigerd
Clubmedewerkers en beheerders	Naam, e-mailadres, rol, aanmeldgegevens, handelingen in het auditlogboek
Contactpersonen voor facturatie	Naam, e-mailadres, factuuradres, btw-nummer

Wij verwerken geen bijzondere categorieën van persoonsgegevens (artikel 9 AVG) en het platform vraagt er niet naar. Plaatst de club zulke gegevens toch in vrije tekstvelden, dan gebeurt dat op haar verantwoordelijkheid.

De betaalgegevens zelf — kaartnummers, rekeningnummers — komen nooit in ons systeem. Die worden rechtstreeks door Mollie verwerkt, onder de overeenkomst tussen de club en Mollie. Wij zien enkel de status en de referentie van een betaling.

De QR-code op een ticket bevat geen persoonsgegevens: het is een willekeurige code die enkel in de databank van de club naar een ticket verwijst.

4. Instructies van de verwerkingsverantwoordelijke

Wij verwerken de persoonsgegevens uitsluitend op gedocumenteerde instructie van de club. Deze overeenkomst, de algemene voorwaarden en het gebruik dat de club van de functies van het platform maakt, vormen samen die instructie. Bijkomende instructies stuurt de club naar info@naardematch.be.

• Wij gebruiken de gegevens niet voor eigen doeleinden, verkopen ze nooit door, en gebruiken ze niet om supporters van de ene club te benaderen namens een andere.
• Zijn wij op grond van Unierecht of Belgisch recht verplicht een verwerking uit te voeren waarvoor de club geen instructie gaf, dan melden wij dat vooraf, tenzij die wetgeving die melding verbiedt.
• Menen wij dat een instructie in strijd is met de AVG, dan melden wij dat onmiddellijk aan de club.

5. Vertrouwelijkheid

Iedereen die bij ons toegang heeft tot de gegevens van de club is tot vertrouwelijkheid gehouden, ook na afloop van de samenwerking. Toegang wordt enkel verleend voor zover die nodig is om de dienst te leveren of om een concreet ondersteuningsverzoek af te handelen.

6. Beveiligingsmaatregelen

Wij nemen passende technische en organisatorische maatregelen (artikel 32 AVG). Onderstaande lijst beschrijft wat het platform vandaag effectief doet — geen voornemens:

• Versleuteld transport. Alle verkeer naar het platform loopt over TLS.
• Versleuteling in rust van gevoelige velden. Tickettokens en abonnee-tokens worden versleuteld opgeslagen, net als de credentials die de club toevertrouwt: de Mollie API-sleutel, SMTP-wachtwoorden en de toegangssleutels van facturen.
• Rolgebaseerde toegangscontrole. Het platform kent vier rollen — clubbeheerder, ticketbeheer, scanner en financieel lezer — en elke rol geeft toegang tot precies wat ze nodig heeft. De club beheert die toewijzing zelf.
• Scheiding per club. Elke club heeft een eigen omgeving; gegevens van verschillende clubs worden op elke laag van elkaar gescheiden gehouden.
• Auditlogboek. Handelingen op gevoelige objecten worden gelogd met wie ze uitvoerde en wanneer, zodat achteraf te reconstrueren valt wat er gebeurde.
• Hosting in de Europese Unie. Het platform en de databank draaien bij Scaleway in Parijs.

Wij evalueren deze maatregelen periodiek en passen ze aan wanneer de risico’s of de stand van de techniek dat vragen. Deze lijst kan dus wijzigen zolang het beschermingsniveau minstens gelijkwaardig blijft.

De club draagt zelf verantwoordelijkheid voor het deel van de beveiliging dat binnen haar bereik ligt: sterke en unieke wachtwoorden, tijdig intrekken van toegang van vertrokken medewerkers, en het toekennen van de kleinst passende rol.

7. Subverwerkers

De club geeft ons een algemene toestemming om subverwerkers in te schakelen. Wij leggen elke subverwerker dezelfde verplichtingen op als in deze overeenkomst, en blijven tegenover de club aansprakelijk voor hun handelen.

Dit is de volledige lijst van subverwerkers waarmee wij werken:

Verwerker	Waarvoor	Waar
Brevo (Sendinblue, FR)	Mailings, contactbeheer en de websitetracker	EU (Frankrijk, Duitsland, België)
Scaleway (FR)	Hosting van het platform en de databank	EU (Parijs)
Scaleway Transactional Email (FR)	Verzenden van onze e-mails	EU (Parijs)
Cloudflare (US)	Spambescherming op onze formulieren	US, met EU-VS Data Privacy Framework en standaardcontractbepalingen
Mollie (NL)	Betalingen in de ticketshops van clubs	EU (Nederland)
Europese Commissie (VIES)	Controle van BTW-nummers	EU

De betaalstroom via Mollie loopt bovendien onder de eigen overeenkomst tussen de club en Mollie; wij koppelen enkel het account van de club aan haar ticketshop.

Willen we een subverwerker toevoegen of vervangen, dan laten we dat minstens 30 dagen vooraf weten. Heeft de club daartegen een gemotiveerd bezwaar, dan zoeken we samen een oplossing; komen we er niet uit, dan kan de club de overeenkomst opzeggen tegen de datum waarop de wijziging ingaat, zonder kosten.

8. Bijstand bij rechten van betrokkenen

Krijgt de club een verzoek van een supporter, abonnee of medewerker over inzage, correctie, verwijdering, beperking, bezwaar of overdraagbaarheid, dan helpen wij haar dat te beantwoorden binnen de wettelijke termijn.

• Voor de meeste verzoeken volstaan de functies in het beheer: de club raadpleegt, corrigeert, exporteert of verwijdert de gegevens zelf.
• Lukt dat niet, dan helpen wij op eenvoudig verzoek en zonder bijkomende kosten, voor zover de inspanning in verhouding staat.
• Richt een betrokkene zich rechtstreeks tot ons, dan beantwoorden wij zijn verzoek niet zelf: we verwijzen hem naar de club en verwittigen de club onverwijld.

9. Bijstand bij verplichtingen van de verwerkingsverantwoordelijke

Wij helpen de club, rekening houdend met de aard van de verwerking en de informatie waarover wij beschikken, bij haar verplichtingen uit de artikelen 32 tot 36 AVG: de beveiliging van de verwerking, de melding van datalekken, en een gegevensbeschermingseffectbeoordeling of voorafgaande raadpleging wanneer die nodig blijkt.

10. Datalekken

Stellen wij een inbreuk in verband met persoonsgegevens vast die de gegevens van de club raakt, dan melden wij dat onverwijld na kennisname aan het bij ons gekende contactadres van de club — ook wanneer nog niet alle details bekend zijn.

De melding bevat, voor zover beschikbaar op dat moment:

• de aard van de inbreuk, de betrokken categorieën gegevens en een inschatting van het aantal betrokkenen;
• de vermoedelijke gevolgen;
• de maatregelen die wij hebben genomen of voorstellen om de inbreuk aan te pakken en de gevolgen te beperken;
• een contactpunt voor meer informatie.

Ontbrekende gegevens leveren we na zodra we ze hebben. De club beslist zelf of er gemeld moet worden aan de Gegevensbeschermingsautoriteit en aan de betrokkenen; die meldingen doen wij niet in haar plaats. Wij bezorgen haar de informatie die ze daarvoor nodig heeft.

11. Audit- en informatierecht

Wij stellen de club alle informatie ter beschikking die nodig is om de naleving van artikel 28 AVG aan te tonen, en maken audits mogelijk.

• Een informatieverzoek beantwoorden wij binnen een redelijke termijn.
• Een audit of inspectie wordt minstens 30 dagen vooraf aangekondigd, gebeurt tijdens de kantooruren, verstoort de dienstverlening niet en gebeurt onder vertrouwelijkheid. Behoudens een concrete aanleiding — bijvoorbeeld een datalek — is één audit per kalenderjaar redelijk.
• De club draagt de kosten van een audit die zij zelf laat uitvoeren, tenzij die een tekortkoming van onze kant blootlegt.

12. Bewaartermijnen tijdens de overeenkomst

Wij bewaren de gegevens niet langer dan nodig voor het doel waarvoor ze verwerkt worden:

Gegevens	Termijn
Bestellingen, tickets, abonnementen en facturatiegegevens	7 jaar, de termijn die de boekhoudwetgeving oplegt
Scanmomenten aan de deur en toegangsbeslissingen	1 jaar nadat de wedstrijd heeft plaatsgevonden
Auditlogboek van handelingen in het beheer	7 jaar, als onderdeel van de verantwoordingsplicht

Scan- en toegangsgegevens dienen om de toegang tot één wedstrijd te controleren en om betwistingen kort nadien te kunnen uitklaren; ze horen niet bij de boekhouding en verdwijnen daarom sneller. De termijn begint te lopen op de dag van de wedstrijd zelf, niet op het moment van scannen of van aankoop.

Gegevens die de club niet langer wil bewaren, kan ze zelf uit het beheer verwijderen. Heeft ze op grond van haar eigen bewaarbeleid een kortere termijn nodig dan hierboven, dan vraagt ze dat aan via info@naardematch.be en bekijken we samen wat haalbaar is. Voor de gegevens die wij wettelijk moeten bijhouden — in de praktijk de facturatie — kunnen wij niet korter gaan dan de wet toelaat.

13. Verwijdering of teruggave na afloop

Bij het einde van de overeenkomst kiest de club of wij de persoonsgegevens wissen dan wel terugbezorgen.

• Zolang de omgeving bestaat, exporteert de club haar gegevens zelf uit het beheer, in CSV-formaat. Wij bezorgen op verzoek een export wanneer dat zelf niet lukt.
• Doet de club binnen 30 dagen na het einde van de overeenkomst geen keuze, dan wissen wij de gegevens.
• Wordt een omgeving wegens niet-betaling opgeschort, dan wordt ze 30 dagen na die opschorting definitief verwijderd, met een waarschuwing per mail vooraf. De termijnen staan in artikel 6 van de algemene voorwaarden.
• Wij houden enkel bij wat het Unierecht of het Belgisch recht ons oplegt, in de praktijk de facturatiegegevens voor onze boekhoudverplichting. Die blijven onder deze overeenkomst beschermd zolang wij ze bewaren.
• Ook back-ups verlopen: die worden volgens hun eigen rotatieschema overschreven.

14. Doorgifte buiten de Europese Unie

De gegevens van de club worden in de Europese Economische Ruimte verwerkt. Hosting, databank en e-mailverzending draaien bij Scaleway in Parijs.

De enige subverwerker buiten de EU is Cloudflare, voor de spambescherming op onze formulieren. Die doorgifte steunt op het EU-VS Data Privacy Framework en op de standaardcontractbepalingen van de Europese Commissie. Cloudflare krijgt geen toegang tot de ticket- of abonneegegevens van de club.

Willen wij op een andere plaats buiten de EER gaan verwerken, dan geldt de procedure voor subverwerkers uit artikel 7, en zorgen wij vooraf voor een geldig doorgiftemechanisme.

15. Slot

Deze overeenkomst is onderworpen aan het Belgisch recht; de bevoegde rechtbanken zijn dezelfde als in de algemene voorwaarden.

Passen we deze overeenkomst aan, dan verandert de datum bovenaan en verwittigen we de club per e-mail. De omgeving van de club vind je op https://naardematch.app.

Vragen over deze verwerkersovereenkomst? Mail info@naardematch.be.