AVG (GDPR)

Data en veiligheid, in het kort

Je vereniging houdt haar eigen administratie en haar eigen sponsordata; OnzeSponsors verstuurt zelf geen facturen en int geen geld. Maar waar staat die data, en hoe veilig is dat? Hieronder het eerlijke verhaal, vóór de juridische uitwerking.

De AVG als uitgangspunt

We volgen de richtlijnen van de Algemene Verordening Gegevensbescherming (AVG): we bewaren niet méér gegevens dan nodig, en we wijzen je erop wanneer het ertoe doet, bijvoorbeeld met een melding in het systeem op het moment dat je data exporteert.

Waar je gegevens staan

• E-mail met gevoelige gegevens, inlogcodes en persoonlijke beheerlinks lopen via Scaleway, een Europese aanbieder van e-mail, cloud en AI: veilig, betaalbaar en volledig Europees.
• Hosting en opslag, draaien in datacenters binnen de EU, waar nodig versleuteld. De opslag is verspreid over meerdere leveranciers; niet allemaal volledig Europees, maar wel gebonden aan de Europese wet- en regelgeving. Volledig Europese alternatieven zijn voor sommige diensten nog niet beschikbaar; waar het kan, kiezen we die wel.

Als er tóch iets misgaat: een datalek

Een datalek is een inbreuk op de beveiliging waarbij persoonsgegevens verloren gaan of in verkeerde handen (kunnen) komen. Dan volgen we de procedure van de Autoriteit Persoonsgegevens: onderzoeken wat er is gebeurd, de schade beperken, en een lek dat een risico vormt binnen 72 uur melden bij de toezichthouder. Levert het lek een hoog risico op voor de betrokkenen, dan lichten we ook hen in.

Het grootste risico zit dichterbij dan je denkt

Een lek is lang niet altijd een hacker. Vaak is het iemand mét toegang die data exporteert en met derden deelt, bedoeld of onbedoeld. Techniek vangt dat niet af; afspraken wel. Maak binnen je vereniging duidelijk wie er bij welke gegevens mag, en zorg voor bewustzijn over wat je wel en niet deelt.

Hoe gevoelig is sponsordata eigenlijk?

De meeste sponsordata is niet kritisch: bedrijfsnaam, adres en contactgegevens zijn vaak openbaar te vinden, bijvoorbeeld in het KvK-register, en vallen daarmee niet direct onder persoonsgegevens. Wat je wél wilt beschermen zijn de contracten en de bedragen; die horen niet zomaar voor iedereen inzichtelijk te zijn.

Transparantie is belangrijk, en dat gaat het makkelijkst als je zoveel mogelijk vasthoudt aan standaardcontracten. Maar afwijkende afspraken met een grote (hoofd)sponsor deel je niet per se verenigingsbreed: niet iedereen kent de context achter zo’n uitzondering, en zonder die context ontstaan er snel misverstanden.

Dit was de menselijke versie. Wil je het echt tot achter de komma weten? De juridisch dichtgetimmerde uitwerking, verwerkersafspraken, subverwerkers, bewaartermijnen en je rechten als betrokkene, staat hieronder. Smakelijk.

1. Privacyverklaring

Dit is de privacyverklaring van Finch Company B.V., die ook handelt onder de naam ‘OnzeSponsors’, is gevestigd aan de Jelle Zijlstraweg 192 te (1689 ZX) Zwaag en is ingeschreven in het handelsregister onder nummer 69065195, hierna genoemd ‘OnzeSponsors’.

OnzeSponsors verwerkt persoonsgegevens volgens de in Nederland geldende regels omtrent de bescherming van persoonsgegevens, waaronder de Algemene Verordening Gegevensbescherming (AVG). In deze privacyverklaring leggen wij uit hoe wij dat doen.

Deze privacyverklaring is van toepassing op:

• alle verenigingen die onze dienst afnemen en hun beheerders en teamleden;
• sponsors en leveranciers van wie gegevens in het platform worden vastgelegd;
• alle bezoekers van onze websites en de clubpagina’s op onze subdomeinen;
• alle ontvangers van e-mails die wij namens het platform versturen; en
• alle personen van wie wij anderszins persoonsgegevens verwerken.

Deze privacyverklaring en de bijbehorende afspraken kunnen van tijd tot tijd worden aangepast op nieuwe ontwikkelingen. De meest recente versie delen wij altijd op deze pagina.

1.1 Websitebezoek

Bij een bezoek aan onze website verwerken wij beperkte technische gegevens, zoals het IP-adres, het browsertype en de bezochte pagina’s. Deze gegevens gebruiken wij uitsluitend om de website veilig en goed te laten werken. Wij gebruiken geen tracking- of marketingcookies en geen analytics van derden; er wordt alleen een functionele cookie geplaatst wanneer je inlogt, om je sessie te onthouden.

1.2 Inloggen en accounts

Inloggen op OnzeSponsors gebeurt zonder wachtwoord, met een eenmalige inlogcode of inloglink per e-mail. Daarvoor verwerken wij je e-mailadres en het tijdstip van inloggen. Inlogcodes bewaren wij uitsluitend versleuteld (als hash) en ze verlopen automatisch. Van beheerders en teamleden leggen wij daarnaast vast bij welke vereniging zij horen en welke rol zij daar hebben.

1.3 Onze dienstverlening

OnzeSponsors is een platform waarmee verenigingen hun sponsoring beheren. In dat kader verwerken wij in opdracht van de vereniging onder meer: namen en contactgegevens van sponsors en leveranciers, contactpersonen van clubrollen, bestellingen en contractgegevens, aangeleverd materiaal zoals logo’s, en e-mailberichten die bij de workflow horen (zoals een uploadverzoek of een leveranciersopdracht). Voor de abonnementsbetaling van de vereniging gebruiken wij betaaldienstverlener Mollie; wij slaan zelf geen rekening- of kaartgegevens op.

Wij versturen geen nieuwsbrieven of reclame. E-mails vanuit het platform horen altijd bij de dienst zelf: inlogcodes, uitnodigingen en berichten die uit de sponsorworkflow van een vereniging volgen.

1.4 Bewaartermijnen

Wij bewaren persoonsgegevens niet langer dan nodig. Gegevens die bij het account van een vereniging horen, bewaren wij zolang de overeenkomst loopt. Bij het einde van de overeenkomst kan de vereniging haar gegevens exporteren; daarna verwijderen wij de gegevens, tenzij een wettelijke bewaarplicht (zoals de fiscale bewaartermijn) zich daartegen verzet.

2. Verwerkingsverantwoordelijke en verwerker

Voor de gegevens van sponsors, leveranciers en clubcontacten die een vereniging in het platform vastlegt, is de vereniging zelf de ‘verwerkingsverantwoordelijke’ in de zin van de AVG en is OnzeSponsors de ‘verwerker’. De afspraken in deze paragraaf gelden als verwerkersafspraken en zijn van toepassing op alle diensten die wij aan verenigingen leveren, tenzij schriftelijk anders overeengekomen. Voor de gegevens van onze eigen relaties, zoals de accountgegevens van beheerders en de gegevens van websitebezoekers, zijn wij zelf verwerkingsverantwoordelijke.

2.1 Algemene plichten van de verwerker

• Wij verwerken persoonsgegevens uitsluitend om de dienst te leveren en volgen daarbij de instructies van de vereniging; wij gebruiken de gegevens nooit voor eigen doeleinden en verkopen ze nooit door.
• Wij zorgen ervoor dat alleen personen die dat voor hun werk nodig hebben toegang hebben tot persoonsgegevens en dat zij tot geheimhouding verplicht zijn.
• Wij helpen de vereniging bij het beantwoorden van verzoeken van betrokkenen (zoals inzage of verwijdering) en bij haar overige AVG-verplichtingen.
• Na afloop van de overeenkomst geven wij de gegevens op verzoek terug in een gangbaar formaat en verwijderen wij ze vervolgens.

2.2 Subverwerkers

Voor de dienst schakelen wij een beperkt aantal subverwerkers in. Met elk van hen zijn verwerkersafspraken gemaakt en alle opslag en verwerking vindt plaats binnen de Europese Unie:

• Supabase, database- en bestandsopslag (datacenter Frankfurt, Duitsland);
• Vercel, hosting van de applicatie (EU-regio);
• Scaleway, het versturen van transactionele e-mail (Frankrijk);
• Mollie, betaalverwerking van abonnementen (Nederland).

Bij een voorgenomen wijziging van subverwerkers informeren wij de verenigingen vooraf, zodat zij daartegen bezwaar kunnen maken.

2.3 Beveiliging

Wij nemen passende technische en organisatorische maatregelen, waaronder: versleutelde verbindingen (TLS) voor al het verkeer, strikte scheiding van de gegevens per vereniging tot op databaseniveau (row level security), wachtwoordloos inloggen met kortlevende, versleuteld opgeslagen inlogcodes, toegangsbeperking op basis van rollen, en opslag uitsluitend in EU-datacenters. Uploads zijn alleen bereikbaar via unieke, niet te raden links.

2.4 Datalekken

Ontdekken wij een inbreuk in verband met persoonsgegevens (een datalek), dan informeren wij de getroffen verenigingen zonder onredelijke vertraging en leveren wij de informatie die nodig is om aan de meldplicht bij de Autoriteit Persoonsgegevens te kunnen voldoen.

3. Rechten van betrokkenen

Betrokkenen hebben het recht om, wanneer wij verantwoordelijk zijn voor de betreffende verwerking, ons te verzoeken om inzage, correctie of verwijdering van hun persoonsgegevens, of om beperking van de verwerking. Ook bestaat het recht om bezwaar te maken tegen een verwerking en het recht op overdraagbaarheid van gegevens. Deze rechten zijn niet onbegrensd; de privacyregels stellen daaraan ook grenzen. Gaat het om gegevens die een vereniging in het platform heeft vastgelegd, dan is de vereniging het eerste aanspreekpunt, wij helpen haar bij de afhandeling.

4. Nadere informatie

Voor vragen over ons privacybeleid of het uitoefenen van je rechten kun je contact opnemen via info@onzesponsors.nl. De Autoriteit Persoonsgegevens is de bevoegde toezichthouder; daar kunnen ook klachten worden ingediend over onze verwerkingen van persoonsgegevens.