1. Partijen en rol
Deze verwerkersovereenkomst hoort bij iedere overeenkomst tussen EventKit B.V., gevestigd aan Kaap Hoorndreef 66, ruimte 4.12, 3563 AW Utrecht, ingeschreven bij de Kamer van Koophandel onder nummer 85007137 (hierna: EventKit), en een klant die gebruikmaakt van EventKit.
Voor persoonsgegevens die de klant via EventKit laat verwerken, is de klant de verwerkingsverantwoordelijke en is EventKit de verwerker in de zin van artikel 28 van de Algemene verordening gegevensbescherming (AVG).
Deze verwerkersovereenkomst is uitsluitend van toepassing op persoonsgegevens die EventKit namens de klant verwerkt. Voor persoonsgegevens die EventKit voor eigen doeleinden verwerkt, zoals de eigen klantadministratie en facturatie, treedt EventKit op als zelfstandig verwerkingsverantwoordelijke. De privacyverklaring van EventKit is daarop van toepassing.
Indien de klant zelf persoonsgegevens verwerkt in opdracht van een andere organisatie, zorgt de klant ervoor dat hij bevoegd is EventKit in te schakelen en dat de daarvoor vereiste instructies en afspraken aanwezig zijn.
Deze overeenkomst geldt vanaf het moment dat de klant persoonsgegevens in EventKit invoert of laat verwerken, ook tijdens een proefperiode, en blijft van toepassing zolang EventKit deze gegevens namens de klant verwerkt.
Wil je een ondertekend exemplaar voor je administratie of werkt jouw organisatie met een eigen model? Neem dan contact op via info@eventkit.nl.
2. Onderwerp en aard van de verwerking
EventKit verwerkt persoonsgegevens uitsluitend voor het leveren en ondersteunen van de dienstverlening waarvoor de klant EventKit gebruikt.
Dit omvat onder meer het opslaan, ordenen, beheren, tonen, versturen en exporteren van gegevens die nodig zijn voor het plannen en administreren van markten, evenementen, festivals, producties en andere activiteiten.
De verwerking vindt plaats gedurende de looptijd van de overeenkomst en zolang dat nodig is voor het leveren van de dienstverlening, met inachtneming van artikel 12 van deze verwerkersovereenkomst.
3. Soorten gegevens en betrokkenen
Afhankelijk van de gebruikte functionaliteiten en de gegevens die de klant invoert, kan EventKit de volgende persoonsgegevens verwerken.
| Betrokkenen | Soorten persoonsgegevens |
|---|---|
| Medewerkers en gebruikers van de klant | Naam, contactgegevens, functie, accountgegevens, rollen en autorisaties, beschikbaarheid en roosters |
| Vrijwilligers en crew | Naam, contactgegevens, geboortedatum, beschikbaarheid, voorkeuren, dieetwensen en accreditatiegegevens |
| Standhouders en leveranciers | Namen, bedrijfsgegevens, contactgegevens, vergunninggegevens en gegevens voor facturatie |
| Artiesten, musici en vertegenwoordigers | Naam, contactgegevens, contractgegevens en gegevens voor betaling |
| Bezoekers, gasten en ticketkopers | Naam, e-mailadres, bestelgegevens en ticketgegevens |
De klant bepaalt welke persoonsgegevens via EventKit worden verwerkt en is verantwoordelijk voor de rechtmatigheid daarvan.
De klant voert geen bijzondere persoonsgegevens, zoals gezondheidsgegevens, in tenzij dit noodzakelijk is, daarvoor een geldige wettelijke grondslag en toepasselijke uitzondering bestaan en de verwerking rechtmatig is. Dieetwensen kunnen bijvoorbeeld informatie over iemands gezondheid of overtuiging onthullen. De klant is verantwoordelijk voor een rechtmatige verwerking daarvan.
4. Verwerken volgens instructies en verantwoordelijkheden
EventKit verwerkt persoonsgegevens uitsluitend op basis van de gedocumenteerde instructies van de klant. Deze instructies volgen onder meer uit de overeenkomst, de overeengekomen dienstverlening, de instellingen en het gebruik van EventKit en eventuele aanvullende schriftelijke of elektronische verzoeken.
EventKit gebruikt de persoonsgegevens niet voor eigen doeleinden en verstrekt deze niet aan anderen, tenzij dit noodzakelijk is voor de overeengekomen dienstverlening, de klant daarvoor toestemming heeft gegeven of EventKit daartoe wettelijk verplicht is.
Als EventKit van mening is dat een instructie in strijd is met de AVG of andere toepasselijke privacywetgeving, informeert EventKit de klant daarover zonder onredelijke vertraging.
Indien EventKit wettelijk verplicht is persoonsgegevens te verwerken of te verstrekken, informeert EventKit de klant vooraf, tenzij dit wettelijk verboden is.
De klant is verantwoordelijk voor een geldige grondslag voor de verwerking, het informeren van betrokkenen, de rechtmatigheid en juistheid van de ingevoerde gegevens en het bepalen van passende bewaartermijnen. De klant beheert de toegangsrechten van de eigen gebruikers en zorgt ervoor dat persoonsgegevens niet langer worden bewaard dan noodzakelijk.
5. Geheimhouding
Iedereen die namens EventKit toegang heeft tot persoonsgegevens, is tot geheimhouding verplicht, tenzij een wettelijke verplichting tot verstrekking geldt.
EventKit beperkt de toegang tot persoonsgegevens tot personen die deze toegang nodig hebben voor het leveren, beheren, beveiligen of ondersteunen van de dienstverlening.
EventKit zorgt ervoor dat medewerkers en andere bevoegde personen persoonsgegevens uitsluitend verwerken volgens de geldende instructies en binnen de grenzen van hun werkzaamheden.
6. Beveiliging
EventKit neemt passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies, ongeoorloofde toegang, wijziging, openbaarmaking en andere vormen van onrechtmatige verwerking.
Deze maatregelen omvatten, voor zover van toepassing en daadwerkelijk ingericht, onder meer:
- Beveiligde verbindingen tussen gebruikers en de dienst.
- Scheiding van gegevens en toegangsrechten tussen klanten.
- Toegang op basis van persoonlijke accounts en rollen.
- Regelmatige back-ups en maatregelen voor herstel van beschikbaarheid en toegang na incidenten.
- Periodieke beoordeling en verbetering van de beveiligingsmaatregelen.
EventKit houdt bij het treffen en onderhouden van deze maatregelen rekening met de stand van de techniek, de uitvoeringskosten, de aard van de verwerking en de mogelijke risico's voor betrokkenen.
7. Subverwerkers
De klant geeft EventKit algemene toestemming om de onderstaande subverwerkers in te schakelen voor de genoemde diensten.
| Subverwerker | Dienst | Land van verwerking |
|---|---|---|
| Snel.nl | Hosting van de software en database | Nederland |
| Strato | Hosting van de software en database | Duitsland |
| Microsoft | Hosting van de software en database | West-Europa |
| Flexmail | Verzenden van e-mail vanuit EventKit | België |
EventKit legt aan subverwerkers die persoonsgegevens verwerken dezelfde relevante verplichtingen op als die welke voor EventKit uit deze verwerkersovereenkomst voortvloeien. EventKit blijft tegenover de klant verantwoordelijk voor de nakoming van deze verplichtingen door zijn subverwerkers.
EventKit informeert de klant minimaal één maand vooraf over een voorgenomen toevoeging of vervanging van een subverwerker, zodat de klant gemotiveerd bezwaar kan maken.
Als de klant bezwaar maakt, proberen partijen in overleg tot een passende oplossing te komen. Indien geen passende oplossing wordt bereikt, kunnen partijen de gevolgen voor de betreffende dienstverlening bespreken. De klant kan de betreffende dienstverlening beëindigen overeenkomstig de toepasselijke overeenkomst en algemene voorwaarden.
Voor online betalingen waarbij de klant zelf een overeenkomst met Mollie aangaat en gebruikmaakt van een eigen Mollie-rekening, geldt de overeenkomst tussen de klant en Mollie voor die betaaldienstverlening.
8. Doorgifte buiten de Europese Economische Ruimte
EventKit laat persoonsgegevens in beginsel binnen de Europese Economische Ruimte (EER) verwerken.
Doorgifte van persoonsgegevens naar landen buiten de EER, of toegang vanuit dergelijke landen, vindt uitsluitend plaats wanneer dit is toegestaan op grond van de AVG en de vereiste waarborgen zijn getroffen. Dit kan bijvoorbeeld op basis van een adequaatheidsbesluit of passende waarborgen zoals de toepasselijke standaardcontractbepalingen van de Europese Commissie.
EventKit informeert de klant over relevante doorgiften voor zover dit op grond van de toepasselijke wetgeving of de afspraken tussen partijen vereist is.
9. Datalekken
EventKit informeert de klant zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat EventKit kennis heeft genomen van een inbreuk in verband met persoonsgegevens die betrekking heeft op de dienstverlening voor de klant.
De melding bevat, voor zover de informatie beschikbaar is:
- Een beschrijving van de aard van het incident en, indien mogelijk, de betrokken categorieën en aantallen personen en gegevens.
- De mogelijke gevolgen van het incident.
- De maatregelen die EventKit heeft genomen of voorstelt om de gevolgen te beperken en herhaling te voorkomen.
- De contactgegevens van een persoon bij EventKit voor nadere informatie.
Als nog niet alle informatie beschikbaar is, verstrekt EventKit de aanvullende informatie gefaseerd zodra deze beschikbaar komt.
EventKit neemt passende maatregelen om de gevolgen van het incident te beperken en ondersteunt de klant bij de beoordeling van het incident en eventuele meldingen aan de Autoriteit Persoonsgegevens en betrokkenen.
10. Bijstand aan de klant
EventKit helpt de klant, voor zover redelijkerwijs mogelijk en rekening houdend met de aard van de verwerking en de beschikbare informatie, bij het nakomen van diens verplichtingen op grond van de AVG.
Dit omvat onder meer ondersteuning bij verzoeken van betrokkenen, zoals verzoeken om inzage, correctie, verwijdering of overdracht van persoonsgegevens, en bij beveiligingsincidenten, gegevensbeschermingseffectbeoordelingen (DPIA's) en eventuele voorafgaande raadpleging van de toezichthouder.
Veel gegevens kan de klant zelf via EventKit bekijken, aanpassen, exporteren of verwijderen.
Ontvangt EventKit rechtstreeks een verzoek van een betrokkene over persoonsgegevens die namens de klant worden verwerkt, dan stuurt EventKit dit verzoek zonder onredelijke vertraging door aan de klant, tenzij de wet anders voorschrijft. EventKit behandelt het verzoek namens de klant alleen op diens instructie.
11. Controle en audit
De klant mag controleren of EventKit deze verwerkersovereenkomst naleeft. De klant kan hiervoor zelf een controle uitvoeren of een onafhankelijke deskundige aanwijzen.
EventKit verstrekt de informatie die redelijkerwijs nodig is om naleving van deze overeenkomst aan te tonen en werkt mee aan passende audits en inspecties.
Een audit wordt vooraf met EventKit afgestemd, met een redelijke aankondiging en rekening houdend met de continuïteit en beveiliging van de dienstverlening en de gegevens van andere klanten.
De redelijke kosten van een audit zijn voor rekening van de klant, tenzij uit de audit blijkt dat EventKit wezenlijk tekortgeschoten is in de naleving van deze verwerkersovereenkomst. In dat geval dragen partijen de kosten in onderling overleg op een passende manier.
12. Einde van de verwerking
Na beëindiging van de overeenkomst kan de klant gedurende drie maanden de voor hem beschikbare persoonsgegevens uit EventKit exporteren.
Na afloop van deze periode verwijdert EventKit de persoonsgegevens die namens de klant worden verwerkt, tenzij een wettelijke verplichting tot bewaring geldt. EventKit verwijdert ook kopieën, waaronder kopieën in back-ups, volgens de normale back-upcyclus.
Gegevens die op grond van een wettelijke verplichting langer moeten worden bewaard, worden niet langer verwerkt dan voor die verplichting noodzakelijk is en worden passend afgeschermd.
De klant is zelf verantwoordelijk voor het tijdig exporteren van de gegevens die hij wil behouden en voor het bewaren daarvan overeenkomstig de eigen wettelijke verplichtingen.
13. Aansprakelijkheid, samenhang en toepasselijk recht
Voor de aansprakelijkheid van EventKit en de klant in verband met deze verwerkersovereenkomst gelden de bepalingen uit de algemene voorwaarden van EventKit, voor zover deze niet in strijd zijn met toepasselijke wetgeving.
Bij tegenstrijdigheid tussen deze verwerkersovereenkomst en de algemene voorwaarden prevaleert deze verwerkersovereenkomst voor zover de tegenstrijdigheid betrekking heeft op de verwerking van persoonsgegevens.
Op deze verwerkersovereenkomst is Nederlands recht van toepassing.
EventKit B.V.
Kaap Hoorndreef 66, ruimte 4.12
3563 AW Utrecht
KvK: 85007137
E-mail: info@eventkit.nl