ClubKas is in ontwikkeling.Functies, beschikbaarheid en productinformatie kunnen nog wijzigen. Aan voorlopige informatie kunnen geen rechten worden ontleend; geaccepteerde overeenkomsten blijven leidend.
ClubKas

Verwerkersovereenkomst ClubKas

Deze overeenkomst regelt de verwerking van persoonsgegevens door ClubKas in opdracht van de vereniging en maakt integraal deel uit van de ClubKas-overeenkomst.

1. Partijen en begrippen

De vereniging of organisatie die bij elektronische acceptatie en in de ClubKas-omgeving wordt genoemd is de verwerkingsverantwoordelijke. ClubKas is de verwerker. Contact: info@clubkas.app.

Begrippen uit de AVG, waaronder persoonsgegevens, verwerking, betrokkene, datalek en subverwerker, hebben dezelfde betekenis als in de AVG. De vertegenwoordiger die elektronisch accepteert verklaart bevoegd te zijn de vereniging te binden. ClubKas legt gebruiker, organisatie, tijdstip, versie en documenthash vast.

2. Onderwerp, aard, doel en duur

ClubKas verwerkt persoonsgegevens om de online ClubKas-dienst te leveren: authenticatie, rollen en toegang, kassaregistratie, ledenbeheer, ledenrekeningen, ouder-/kind- en contactrelaties, voorraad, rapportage, audit, synchronisatie, kantineschermen, back-up en herstel, ondersteuning, het ledenportaal, e-mailherinneringen en de technische koppeling met door de vereniging gekozen diensten zoals SumUp en Spotify.

De verwerking bestaat uit verzamelen, vastleggen, structureren, opslaan, raadplegen, synchroniseren, wijzigen, tonen, exporteren, verzenden aan geïnstrueerde ontvangers, beveiligen, herstellen en verwijderen. Zij duurt gedurende de hoofdovereenkomst en daarna uitsluitend zolang teruggaaf, verwijdering, back-uprotatie of een wettelijke uitzondering dit vereist.

3. Betrokkenen en persoonsgegevens

Betrokkenen kunnen zijn: leden, minderjarige leden, ouders/verzorgers, financiële contacten, vrijwilligers, medewerkers, beheerders, kassaklanten, leveranciers, contactpersonen en andere personen die de vereniging rechtmatig in haar administratie opneemt.

ClubKas is niet bedoeld voor bijzondere persoonsgegevens, strafrechtelijke gegevens, burgerservicenummers of volledige betaalkaartgegevens. De vereniging voert die niet in zonder voorafgaande schriftelijke afspraak en passende aanvullende waarborgen.

4. Instructies en verantwoordelijkheid

ClubKas verwerkt uitsluitend op gedocumenteerde instructie van de vereniging. Instructies blijken uit deze overeenkomst, de gekozen instellingen, handelingen van bevoegde gebruikers, een supportverzoek en een schriftelijk overeengekomen aanvulling. ClubKas gebruikt verenigingsgegevens niet voor eigen advertenties, verkoop van gegevens of eigen profilering.

Als ClubKas meent dat een instructie in strijd is met de AVG of andere privacywetgeving, informeert zij de vereniging onmiddellijk en mag zij uitvoering opschorten totdat de instructie is verduidelijkt of aangepast. Wanneer Unierecht of Nederlands recht verwerking buiten een instructie verplicht, informeert ClubKas de vereniging vooraf, tenzij de wet dat verbiedt.

De vereniging bepaalt doelen, grondslagen, bewaarplichten en wie toegang krijgt. Zij staat in voor rechtmatige invoer, informatie aan betrokkenen, juistheid van gegevens en passende instellingen, in het bijzonder voor minderjarigen, verjaardagen, ledenrekeningen en betaalherinneringen.

5. Medewerkers, geheimhouding en toegang

ClubKas geeft alleen toegang aan personen die deze voor beheer, beveiliging of ondersteuning nodig hebben. Zij zijn contractueel of wettelijk tot geheimhouding verplicht, ontvangen passende instructie en gebruiken persoonlijke accounts. Beheerrechten worden beperkt, periodiek beoordeeld en waar passend met MFA beschermd. Geheimhouding blijft na beëindiging gelden.

6. Beveiliging

ClubKas treft passende technische en organisatorische maatregelen volgens artikel 32 AVG, rekening houdend met stand van techniek, kosten, aard, omvang, context en risico. De actuele maatregelen staan in Bijlage B en worden getest en verbeterd. Een maatregel mag worden vervangen door een gelijkwaardige of betere maatregel zonder het beschermingsniveau te verlagen.

De vereniging blijft verantwoordelijk voor sterke wachtwoorden en pincodes, passende rollen, tijdige intrekking van gebruikers en apparaten, beveiliging van haar netwerk en apparatuur en het veilig bewaren van het back-upwachtwoord.

7. Subverwerkers en andere ontvangers

De vereniging geeft algemene schriftelijke toestemming voor de subverwerkers in Bijlage C. ClubKas legt aan iedere subverwerker materieel dezelfde privacyverplichtingen op en blijft tegenover de vereniging verantwoordelijk voor haar verplichtingen.

ClubKas meldt een voorgenomen toevoeging of vervanging ten minste 30 dagen vooraf via het bekende e-mailadres of account. De vereniging kan binnen 14 dagen gemotiveerd bezwaar maken op aantoonbare privacygronden. Partijen zoeken een redelijk alternatief. Als dat niet mogelijk is, kan ClubKas de betreffende functie beëindigen of kan de vereniging het getroffen deel zonder aanvullende opzegkosten beëindigen.

Stripe verwerkt het ClubKas-abonnement primair voor ClubKas als eigen verwerkingsverantwoordelijke. SumUp verwerkt betaaldiensten op grond van de rechtstreekse overeenkomst met de vereniging en haar wettelijke rol. Voor zover ClubKas gegevens uitsluitend technisch namens de vereniging doorstuurt, blijft deze verwerkersovereenkomst op ClubKas van toepassing.

8. Doorgifte buiten de EER

ClubKas gebruikt waar beschikbaar een Europese primaire projectregio. Doorgifte of toegang vanuit een land buiten de EER vindt alleen plaats met een geldige grondslag uit hoofdstuk V AVG, zoals een adequaatheidsbesluit of de standaardcontractbepalingen van de Europese Commissie. Waar nodig beoordeelt ClubKas het doorgifterisico en past aanvullende technische of organisatorische maatregelen toe. De actuele regio, landen en mechanismen staan in Bijlage C.

9. Rechten van betrokkenen

ClubKas helpt de vereniging, rekening houdend met de aard van de verwerking, met passende technische en organisatorische maatregelen bij inzage, correctie, verwijdering, beperking, bezwaar, overdraagbaarheid en informatieverzoeken. Een verzoek dat rechtstreeks bij ClubKas binnenkomt en op verenigingsgegevens ziet, wordt zonder inhoudelijk oordeel naar de vereniging doorgestuurd, tenzij de wet anders vereist.

De vereniging blijft verantwoordelijk voor identiteitstoetsing, wettelijke beoordeling en tijdige reactie. ClubKas verstrekt beschikbare informatie binnen een termijn die de vereniging redelijkerwijs in staat stelt de AVG-termijn te halen.

10. Ondersteuning bij artikelen 32 tot en met 36 AVG

ClubKas helpt, voor zover relevant en met de beschikbare informatie, bij beveiligingsbeoordelingen, datalekmeldingen, communicatie aan betrokkenen, gegevensbeschermingseffectbeoordelingen en voorafgaand overleg met een toezichthouder. Reguliere hulp is inbegrepen; uitzonderlijk omvangrijk maatwerk kan na voorafgaande afspraak tegen redelijke kosten worden uitgevoerd.

11. Datalekken en beveiligingsincidenten

ClubKas informeert de vereniging zonder onredelijke vertraging nadat zij een inbreuk op verenigingsgegevens heeft vastgesteld en streeft naar een eerste melding binnen 24 uur. De melding bevat zodra beschikbaar: aard van het incident, categorieën en geschat aantal betrokkenen en records, waarschijnlijke gevolgen, getroffen en voorgenomen maatregelen en een contactpunt. Ontbrekende informatie wordt gefaseerd aangevuld.

ClubKas beperkt verdere schade, bewaart relevant bewijs en werkt mee aan onderzoek. De vereniging beslist over melding aan de Autoriteit Persoonsgegevens en betrokkenen. Een melding door ClubKas is geen erkenning van aansprakelijkheid.

12. Informatie en audits

ClubKas stelt informatie beschikbaar die redelijkerwijs nodig is om naleving van artikel 28 AVG aan te tonen. De vereniging mag eenmaal per kalenderjaar, en aanvullend na een relevant incident of op verzoek van een toezichthouder, een audit laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding is verplicht.

Een audit wordt ten minste 30 dagen vooraf afgestemd, vindt tijdens normale uren plaats, beperkt zich tot relevante systemen en beschermt andere klanten, broncode en beveiligingsgevoelige informatie. De vereniging draagt haar auditkosten; als een wezenlijke tekortkoming van ClubKas wordt vastgesteld, draagt ClubKas haar redelijke herstelkosten en de redelijke verificatiekosten.

13. Teruggaaf, verwijdering en einde

De vereniging kan gedurende de overeenkomst beschikbare exports en versleutelde back-ups maken. Na beëindiging kiest zij binnen 30 dagen voor teruggaaf/export of verwijdering. Zonder instructie verwijdert ClubKas de actieve verenigingsomgeving na afloop van die termijn, tenzij een wettelijke verplichting of gedocumenteerd geschil langer bewaren vereist.

Technisch niet afzonderlijk wijzigbare veiligheidskopieën worden niet hersteld voor ander gebruik en verdwijnen door de normale rotatie zodra tien nieuwere exemplaren bestaan. Als herstel noodzakelijk is, worden eerder verwijderde gegevens opnieuw afgeschermd en verwijderd. Op verzoek bevestigt ClubKas schriftelijk dat de actieve kopie is verwijderd.

14. Aansprakelijkheid, looptijd en recht

De aansprakelijkheidsregeling uit de gebruiksvoorwaarden geldt ook voor deze overeenkomst, voor zover artikel 82 AVG en ander dwingend recht dit toestaan. Deze overeenkomst geldt zolang ClubKas namens de vereniging persoonsgegevens verwerkt. Bepalingen over geheimhouding, audits, verwijdering en aansprakelijkheid blijven daarna gelden voor zover hun aard dat vereist.

Nederlands recht is van toepassing. Bij tegenstrijdigheid over de verwerking van persoonsgegevens gaat deze verwerkersovereenkomst vóór de gebruiksvoorwaarden. Een materiële wijziging vraagt om nieuwe elektronische acceptatie of een schriftelijke aanvulling.

Bijlage A — Verwerkingsopdracht

Bijlage B — Technische en organisatorische maatregelen

Bijlage C — Subverwerkers, locaties en doorgifte

Stripe, SumUp en Spotify staan hierboven als andere ontvangers of zelfstandig verantwoordelijken beschreven en zijn alleen subverwerker voor zover zij in een concrete gegevensstroom aantoonbaar uitsluitend namens ClubKas verwerken. ClubKas controleert het subverwerkersregister en de toepasselijke doorgiftebijlagen minimaal jaarlijks en bij een aangekondigde leverancierswijziging.

Versie 2026-07-23.1 · gepubliceerd 23 juli 2026.