Verwerkersovereenkomst (AVG)

Laatst bijgewerkt: 28/09/2026

Deze verwerkersovereenkomst (de “Overeenkomst”) wordt gesloten tussen de club die een abonnement op CtrlCourt afsluit (de “Club”, handelend als verwerkingsverantwoordelijke) en DEVBOX (de “Verwerker”), overeenkomstig artikel 28 van de Algemene Verordening Gegevensbescherming (AVG).

1. Partijen en aanvaarding

De Verwerker is:

Deze Overeenkomst maakt integraal deel uit van de Algemene gebruiks- en verkoopvoorwaarden. Zij wordt door de Club elektronisch aanvaard bij het aanmaken van zijn account, samen met de Voorwaarden, en geldt zolang de Verwerker persoonsgegevens namens de Club verwerkt.

2. Onderwerp

Deze Overeenkomst bepaalt de voorwaarden waaronder de Verwerker persoonsgegevens namens de Club verwerkt om de dienst CtrlCourt (de “Dienst”) te leveren. Zij heeft geen betrekking op gegevens waarvoor de Verwerker als verwerkingsverantwoordelijke optreedt (account, abonnement en facturatie van de Club), die onder de Privacyverklaring vallen.

3. Duur

Deze Overeenkomst geldt gedurende het gebruik van de Dienst door de Club (proefperiode en abonnement) en totdat de gegevens zijn verwijderd of teruggegeven overeenkomstig artikel 11.

4. Aard en doel van de verwerking

De verwerking bestaat uit het hosten, opslaan, ordenen, raadplegen, wijzigen, weergeven en verwijderen van gegevens via de Dienst, alsmede het verzenden van transactionele e-mails, voor de volgende doeleinden:

• beheer van accounts van spelers, trainers en personeel;
• reserveringen van banen, trainingen en lessen, evenementen en toernooien;
• beheer van vooraf betaalde credits en registratie van de door de Club gekozen betaalmethoden;
• verzending van service-e-mails (bevestigingen en herinneringen van reserveringen, wachtwoordherstel);
• statistieken voor eigen gebruik van de Club;
• support, onderhoud en beveiliging van de Dienst.

5. Categorieën betrokkenen en gegevens

Betrokkenen: de spelers en leden, trainers, personeelsleden en beheerders van de Club die de omgeving van de Club gebruiken.

Categorieën gegevens:

• identificatie- en contactgegevens: naam, e-mailadres, telefoonnummer;
• accountgegevens: wachtwoord (gehasht), rol, taal, optioneel speelniveau;
• activiteitsgegevens: reserveringen, aanwezigheid, inschrijvingen voor lessen en evenementen;
• financiële gegevens met betrekking tot de club: saldo en transacties van credits, bedragen en betaalmethoden geregistreerd door de Club (geen betaalkaartgegevens);
• voor trainers: beschikbaarheid, bio, uurtarief;
• technische gegevens: IP-adres, verbindings- en beveiligingslogs.

De Dienst is niet ontworpen voor de verwerking van bijzondere categorieën van gegevens (gezondheid, enz.). De Club verbindt zich ertoe dergelijke gegevens er niet in in te voeren.

6. Verplichtingen van de Club

De Club is als verwerkingsverantwoordelijke verantwoordelijk voor: de rechtmatigheid van de verwerking en de rechtsgrond ervan; het informeren van de betrokkenen; de juistheid van de gegevens die hij invoert; het beantwoorden van verzoeken van betrokkenen; en de instructies die hij aan de Verwerker geeft. Zijn instructies zijn vastgelegd in de Voorwaarden, deze Overeenkomst en de instellingen die hij in de Dienst toepast.

7. Verplichtingen van de Verwerker

De Verwerker verbindt zich ertoe:

• Instructies: de gegevens uitsluitend te verwerken op basis van gedocumenteerde instructies van de Club, ook wat doorgiften betreft, tenzij hij daartoe wettelijk verplicht is; in dat geval stelt hij de Club daarvan vooraf in kennis, tenzij de wet dit verbiedt. Hij stelt de Club in kennis wanneer hij van mening is dat een instructie inbreuk maakt op de regels inzake gegevensbescherming.
• Geheimhouding: ervoor te zorgen dat de personen die bevoegd zijn de gegevens te verwerken aan een geheimhoudingsplicht gebonden zijn en er alleen toegang toe hebben wanneer dat noodzakelijk is.
• Beveiliging: de technische en organisatorische maatregelen te nemen die artikel 32 AVG vereist, beschreven in artikel 8.
• Subverwerkers: de voorwaarden van artikel 9 na te leven.
• Rechten van betrokkenen: de Club voor zover mogelijk bij te staan bij het beantwoorden van verzoeken tot uitoefening van rechten (inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar), met name via de functies van de Dienst of door op verzoek een export te verstrekken. Wendt een betrokkene zich rechtstreeks tot de Verwerker, dan stuurt deze het verzoek onverwijld door naar de Club en beantwoordt hij het niet zelf, tenzij de Club hem daartoe opdracht geeft.
• Bijstand: de Club, rekening houdend met de informatie waarover hij beschikt, bij te staan bij zijn beveiligingsverplichtingen, gegevensbeschermingseffectbeoordelingen en de voorafgaande raadpleging van de toezichthoudende autoriteit wanneer die vereist is.
• Inbreuken: de Club binnen 48 uur nadat hij er kennis van heeft gekregen in kennis te stellen van elke inbreuk in verband met persoonsgegevens, met vermelding van de beschikbare informatie (aard van de inbreuk, categorieën en geschat aantal betrokken personen, waarschijnlijke gevolgen, genomen of voorgestelde maatregelen), en deze aan te vullen naarmate meer informatie beschikbaar komt.
• Register: een register bij te houden van de verwerkingsactiviteiten die namens de Club worden verricht.
• Transparantie: de Club alle informatie ter beschikking te stellen die nodig is om aan te tonen dat deze Overeenkomst wordt nageleefd (artikel 10).

8. Beveiligingsmaatregelen

• versleuteling van communicatie (HTTPS);
• een aparte database per club, waardoor haar gegevens gescheiden zijn van die van andere clubs;
• wachtwoorden gehasht opgeslagen, nooit in platte tekst;
• regelmatige back-ups van de databases;
• toegangsbeheer op basis van rollen binnen de Dienst (beheerder, trainer, speler);
• toegang tot productiesystemen beperkt tot bevoegde personen;
• hosting in datacenters in Frankrijk (OVH SAS), met fysieke beveiliging door de hostingprovider;
• beveiligingslogs en updates van softwarecomponenten.

De Verwerker kan deze maatregelen wijzigen, mits het algehele beveiligingsniveau niet wordt verlaagd.

9. Subverwerkers

De Club verleent algemene toestemming voor de inschakeling van de volgende subverwerkers:

Paddle.com verwerkt uitsluitend de verkoop en betaling van het abonnement van de Club, als Merchant of Record en zelfstandig verwerkingsverantwoordelijke; Paddle ontvangt geen gegevens van spelers en is daarom geen subverwerker in de zin van deze Overeenkomst. Wanneer de Club online betaling van reserveringen inschakelt, stuurt CtrlCourt op instructie van de Club de voor de betaling benodigde informatie (bedrag, e-mailadres van de speler) naar het eigen Stripe-account van de Club: Stripe handelt dan namens de Club, op grond van de overeenkomst die de Club rechtstreeks met Stripe heeft gesloten.

De Verwerker stelt de Club ten minste 30 dagen van tevoren per e-mail of in de beheeromgeving in kennis van elke voorgenomen toevoeging of vervanging van een subverwerker. De Club kan op redelijke gronden met betrekking tot gegevensbescherming bezwaar maken; wordt er geen oplossing gevonden, dan kan de Club zijn abonnement beëindigen voordat de wijziging ingaat. De Verwerker legt elke subverwerker verplichtingen inzake gegevensbescherming op die gelijkwaardig zijn aan die van deze Overeenkomst en blijft jegens de Club aansprakelijk voor de nakoming ervan. Elke doorgifte buiten de Europese Economische Ruimte wordt omkleed met passende waarborgen (met name de modelcontractbepalingen van de Europese Commissie).

10. Audits

De Club kan de informatie opvragen die nodig is om de naleving van deze Overeenkomst te controleren. Is die informatie niet toereikend, dan kan de Club op eigen kosten, ten hoogste eenmaal per jaar en met een schriftelijke aankondiging van ten minste 30 dagen, een audit uitvoeren, zelf of via een onafhankelijke auditor die aan geheimhouding gebonden is, op een wijze die de Dienst niet verstoort en de veiligheid of vertrouwelijkheid van de gegevens van andere clubs niet in gevaar brengt. Audits van subverwerkers verlopen via de certificeringen en rapporten die zij beschikbaar stellen.

11. Einde van de verwerking

Aan het einde van het abonnement kan de Club binnen de hieronder vermelde termijn om een export van zijn gegevens verzoeken. De gegevens worden vervolgens 30 dagen na het einde van het abonnement (of van een niet-omgezette proefperiode) verwijderd, met inbegrip van de database van de Club, onder voorbehoud van wettelijk vereiste bewaring; back-ups worden in hun normale rotatiecyclus overschreven. De Verwerker bevestigt de verwijdering op verzoek.

12. Aansprakelijkheid en rangorde

De aansprakelijkheid van elke partij wordt geregeld door de Algemene gebruiks- en verkoopvoorwaarden, onverminderd de bepalingen van de AVG. Bij strijdigheid tussen deze Overeenkomst en de Voorwaarden met betrekking tot persoonsgegevens gaat deze Overeenkomst voor.

13. Contact

Voor vragen over deze Overeenkomst of om een incident te melden: contact@ctrlcourt.com.