Verwerkersovereenkomst

Deze overeenkomst regelt de verwerking van persoonsgegevens die Watersportpas in opdracht van de school uitvoert via het beheerportaal en de onderliggende platformdiensten. Zij gaat in bij aansluiting, is onlosmakelijk verbonden met de aansluitovereenkomst (WSP-AV) en eindigt van rechtswege wanneer de aansluiting eindigt, onverminderd artikel 10.

Watersportpas verwerkt persoonsgegevens uitsluitend voor het leveren van de platformdiensten aan de school:

• het registreren en beheren van cursistprofielen en hun schoolkoppeling;
• het bijhouden, aftekenen en overdragen van digitale vorderingenstaten;
• het activeren en registreren van diploma's en certificaten;
• het uitgeven, beheren en deactiveren van fysieke Watersportpassen, inclusief het toestemmingslog;
• het beheren van portaalaccounts van schoolmedewerkers;
• ondersteunende verwerkingen: bestellingen, facturatie, e-mailnotificaties en beveiligingslogging.

Watersportpas verwerkt de gegevens niet voor eigen doeleinden en nooit voor marketing of profilering.

Betrokkenen: cursisten (veelal minderjarig), hun ouders/verzorgers en portaalgebruikers van de school.

• Cursisten: voornaam, optioneel een achternaam-initiaal (alleen intern zichtbaar), schoolkoppeling(en), vorderingen, behaalde diploma's/certificaten, pasnummers en het toestemmingslog. Het platform kent bewust géén geboortedata, adressen, e-mailadressen of foto's van cursisten (dataminimalisatie, zie WSP-PG).
• Ouders/verzorgers: uitsluitend het feit en moment van toestemming, vastgelegd door een medewerker van de school.
• Portaalgebruikers: naam/e-mailadres, rol en inloggegevens (via AWS Cognito).

Watersportpas verwerkt uitsluitend op basis van deze overeenkomst en de instructies die de school via het beheerportaal geeft (activeren, aftekenen, uitgeven, hernoemen, ontkoppelen, anonimiseren). Watersportpas informeert de school onverwijld wanneer een instructie naar haar oordeel in strijd is met de AVG. Medewerkers van Watersportpas zijn tot vertrouwelijkheid verplicht en hebben alleen toegang voor beheer en ondersteuning.

De school geeft algemene toestemming voor de volgende subverwerkers; Watersportpas informeert de school ten minste 30 dagen vooraf over wijzigingen, waarna de school bezwaar kan maken:

• Amazon Web Services EMEA SARL — hosting, database en opslag in regio eu-west-1 (Ierland); e-mailverzending via Amazon SES.
• Mollie B.V. — betalingsverwerking van bestellingen en contributie (geen cursistgegevens).
• PrintAPI B.V. — drukken van diploma's en certificaten; ontvangt uitsluitend de print-PDF's zonder cursistnamen (naamregels worden met de hand ingevuld).
• De pasjesdrukker van fysieke Watersportpassen — ontvangt bewust géén persoonsgegevens: passen worden blanco gedrukt met alleen een pasnummer en QR-code.

Watersportpas legt aan subverwerkers dezelfde verplichtingen op als in deze overeenkomst en blijft jegens de school aansprakelijk voor hun nakoming.

• versleuteling van alle gegevens in transit (TLS) en at rest (AWS-beheerde sleutels);
• strikte tenant-scheiding: elke schrijfactie wordt óók in de database afgedwongen op school-id, aangetoond met geautomatiseerde isolatietests;
• toegangsbeheer met rollen (schoolbeheerder, instructeur) via AWS Cognito; platformtoegang beperkt tot noodzakelijk beheer;
• niet-raadbare identificatienummers (40 bits entropie) en snelheidsbegrenzing op publieke opvragingen;
• geen cursistnamen in systeemlogs; logbestanden met beperkte bewaartermijn;
• dagelijkse back-ups (point-in-time recovery) en maandelijkse back-upkopieën;
• een audittrail van beheeracties op cursistdossiers.

Watersportpas informeert de school zonder onredelijke vertraging, en uiterlijk binnen 48 uur na ontdekking, over een inbreuk in verband met persoonsgegevens die de cursisten of medewerkers van de school raakt, met de informatie die de school nodig heeft voor haar eigen melding aan de Autoriteit Persoonsgegevens (72-uurskader). De interne meld- en registratieprocedure staat in WSP-DL (Procedure datalekken).

Watersportpas stelt op verzoek alle informatie ter beschikking die nodig is om naleving van deze overeenkomst aan te tonen, waaronder het verwerkingsregister en de resultaten van de geautomatiseerde isolatie- en privacytests. De school mag maximaal eenmaal per jaar, na redelijke aankondiging, een audit (laten) uitvoeren; ieder draagt de eigen kosten.

Watersportpas ondersteunt de school bij verzoeken van betrokkenen met ingebouwde voorzieningen: inzage-export (JSON en PDF), rectificatie via hernoemen, verwijdering via onomkeerbare anonimisering en intrekking van pastoestemming. Verzoeken die rechtstreeks bij Watersportpas binnenkomen worden onverwijld aan de school doorgeleid, tenzij ze het publieke register betreffen waarvoor Watersportpas zelf verantwoordelijke is.

Bij het einde van de aansluiting kan de school binnen 60 dagen een export van haar cursistgegevens opvragen. Daarna anonimiseert of verwijdert Watersportpas de cursistgegevens waarvoor de school verantwoordelijke is, met uitzondering van het publieke diplomaregister (eigen grondslag, zie WSP-P) en gegevens waarvoor een wettelijke bewaarplicht geldt.

De aansprakelijkheidsregeling van de aansluitovereenkomst (WSP-AV) is van toepassing. Bij strijd tussen deze overeenkomst en de aansluitovereenkomst gaat deze verwerkersovereenkomst voor waar het de verwerking van persoonsgegevens betreft. Op deze overeenkomst is Nederlands recht van toepassing.

Instemming gebeurt digitaal: bij aanmelding via het aansluitformulier, en voor bestaande scholen via de akkoordstap in het beheerportaal. Watersportpas legt per school vast wie (account), wanneer en met welke versie is ingestemd. Een nieuwe versie van dit document wordt opnieuw ter instemming voorgelegd bij de eerstvolgende aanmelding van de schoolbeheerder.