Verwerkersovereenkomst

Partijen

1. Waar deze overeenkomst over gaat

1. 1.1Jullie gebruiken Quiz Playground om een feest te organiseren, met een Opwarmdeck, een show en een herinneringspagina. Daarbij verwerken wij persoonsgegevens voor jullie. Deze overeenkomst legt vast hoe, zoals artikel 28 van de AVG vraagt.
2. 1.2Woorden als persoonsgegevens, verwerken, betrokkene en datalek betekenen hier hetzelfde als in de AVG.
3. 1.3Deze overeenkomst hoort bij onze algemene voorwaarden. Spreken ze elkaar tegen over persoonsgegevens, dan geldt deze overeenkomst.

2. Wat we verwerken en waarom

1. 2.1We verwerken persoonsgegevens alleen om jullie feest te laten werken: bijdragen verzamelen, er een show van maken, de show spelen en de herinneringspagina tonen. Bijlage 1 zegt welke gegevens, van wie en hoe lang.
2. 2.2We gebruiken de gegevens nergens anders voor. We verkopen ze niet, en gebruiken ze niet voor reclame of om AI te trainen.

3. Alleen op jullie instructie

1. 3.1We verwerken de gegevens alleen op jullie instructie. Hoe jullie Quiz Playground gebruiken en instellen, geldt als die instructie.
2. 3.2Verplicht de wet ons iets anders te doen, dan laten we jullie dat vooraf weten, tenzij de wet dat verbiedt. Vinden we dat een instructie in strijd is met de AVG, dan zeggen we dat meteen.

4. Geheimhouding

1. 4.1Wie bij ons bij de gegevens kan, moet ze geheimhouden.
2. 4.2We kijken alleen in de inhoud van een bijdrage als jullie of een gast om hulp vraagt, of als iemand iets meldt.

5. Beveiliging

1. 5.1We beveiligen de gegevens passend, zoals artikel 32 van de AVG vraagt. Onder meer zo:
   • De database en de bestanden staan in de EU (Frankfurt), en alle verbindingen zijn versleuteld.
   • Regels in de database zorgen dat alleen wie erbij mag, bij de gegevens kan. Links naar het Opwarmdeck en de herinneringspagina bevatten een sleutel die niet te raden is.
   • Foto’s slaan we opnieuw op, zonder locatie en andere metadata. Er is geen gezichtsherkenning.
   • Pogingen om kamercodes te raden of het systeem te overspoelen, worden begrensd.
   • Onze eigen logboeken en foutmeldingen bevatten geen namen, e-mailadressen of herinneringen.
2. 5.2We houden deze maatregelen bij en passen ze aan als dat nodig is.

6. Subverwerkers

1. 6.1Jullie geven ons toestemming om de subverwerkers uit bijlage 2 in te schakelen.
2. 6.2Een nieuwe of andere subverwerker melden we minstens 14 dagen van tevoren. Hebben jullie een goede reden voor bezwaar, dan zoeken we samen een oplossing. Lukt dat niet, dan kunnen jullie deze overeenkomst opzeggen en krijgen jullie het geld terug voor een feest dat nog niet gespeeld is.
3. 6.3We leggen elke subverwerker minstens dezelfde plichten op als in deze overeenkomst staan, en blijven tegenover jullie verantwoordelijk voor wat zij doen.

7. Buiten de EU

1. 7.1Gegevens gaan alleen naar een land buiten de Europese Economische Ruimte als daar afspraken voor zijn die de EU goedkeurt: een besluit van de Europese Commissie, zoals het EU-VS-dataprivacykader, of standaardcontractbepalingen. Bijlage 2 zegt per subverwerker welke.

8. Rechten van betrokkenen

1. 8.1Wil een collega zijn gegevens inzien, laten verbeteren of verwijderen, of meenemen, dan helpen we jullie daarbij. In de Studio verwijderen jullie een feest met alles erop en eraan. Een bijdrage verbergen haalt hem uit de show, maar verwijdert hem niet: één bijdrage verwijderen doen we op jullie verzoek.
2. 8.2Krijgen wij zo’n verzoek rechtstreeks, dan sturen we het binnen twee werkdagen naar jullie door.

9. Datalekken

1. 9.1Ontdekken we een datalek dat jullie gegevens raakt, dan melden we dat zonder onnodige vertraging, en uiterlijk binnen 48 uur nadat we het ontdekten.
2. 9.2We vertellen wat er gebeurde, welke gegevens en hoeveel mensen het raakt, wat de gevolgen kunnen zijn en wat we eraan doen. Zo kunnen jullie het binnen 72 uur bij de Autoriteit Persoonsgegevens melden als dat nodig is.

10. Hulp bij een DPIA

1. 10.1Moeten jullie een gegevensbeschermingseffectbeoordeling (DPIA) doen of de Autoriteit Persoonsgegevens vooraf raadplegen, dan geven we de informatie die jullie daarvoor nodig hebben.

11. Controle

1. 11.1We geven jullie alle informatie die nodig is om te laten zien dat we ons aan deze overeenkomst houden.
2. 11.2Willen jullie dat laten controleren, dan kan dat één keer per jaar, door een onafhankelijke deskundige die geheimhouding belooft, na 30 dagen aankondiging en op jullie kosten.

12. Bewaren en verwijderen

1. 12.1We bewaren de gegevens niet langer dan in bijlage 1 staat.
2. 12.2Eindigt deze overeenkomst, dan verwijderen we de gegevens binnen 30 dagen, tenzij de wet ons verplicht iets langer te bewaren. Willen jullie eerst een kopie, vraag het ons dan voor die tijd.
3. 12.3Jullie kunnen ook zelf alles eerder verwijderen, met Verwijder alles in de Studio.

13. Aansprakelijkheid

1. 13.1Voor aansprakelijkheid geldt wat onze algemene voorwaarden en de wet zeggen. Ieder van ons is aansprakelijk voor schade die hij zelf veroorzaakt door deze overeenkomst of de AVG niet na te leven.

14. Looptijd

1. 14.1Deze overeenkomst geldt vanaf de ondertekening, zolang wij persoonsgegevens voor jullie verwerken.
2. 14.2Afspraken die ook daarna moeten blijven gelden, zoals geheimhouding, blijven gelden.

15. Recht en geschillen

1. 15.1Op deze overeenkomst is Nederlands recht van toepassing. Komen we er samen niet uit, dan beslist de bevoegde rechter in Nederland.

Bijlage 1: de verwerking

Van wie

Organisatoren van jullie organisatie, collega’s en andere gasten die bijdragen insturen, en spelers.

Welke gegevens

Namen en e-mailadressen van organisatoren en hun relatie tot de hoofdpersoon; bijnamen en relaties van gasten; bijdragen (tekst, foto’s, spraakberichten) met de labels van de AI-controle (onderwerp, periode, genoemde namen); de bevestiging dat een gast 16 jaar of ouder is en wanneer hij toestemming gaf; antwoorden en punten; sessies met IP-adres en browser; tegen misbruik ook IP-adressen, in onze tellers alleen onherkenbaar gemaakt.

Bijzondere gegevens

Niet de bedoeling. Onderwerpen als gezondheid horen niet in een show: de AI-controle markeert zulke bijdragen en verbergt ze tot de organisator ernaar kijkt. Er is geen gezichtsherkenning.

Wat we ermee doen

Opslaan, met AI controleren, er quizvragen van maken, tonen op de tv en de telefoons, en op de herinneringspagina.

Hoe lang

Losse bijdragen, foto’s en spraakberichten: 30 dagen na het feest. De herinneringspagina: zolang de pas zegt (7 dagen, 30 dagen of 12 maanden). Anonieme sessies: 60 dagen zonder activiteit. Alles eerder als jullie Verwijder alles kiezen.

Bijlage 2: subverwerkers

Deze lijst is dezelfde als in onze privacyverklaring. Verandert hij, dan melden we dat zoals artikel 6 zegt.

Supabase

Database, inloggen en opslag van bijdragen, foto’s en spraakberichten. Bij elke inlogsessie bewaart het inlogsysteem je IP-adres en browser.

EU (Frankfurt). Supabase zelf zit in de VS: standaardcontractbepalingen.Verwerkersovereenkomst van Supabase

Vercel

Hosting van de website en de app

EU (Frankfurt). Vercel zelf zit in de VS: standaardcontractbepalingen.Verwerkersovereenkomst van Vercel

Anthropic

AI die bijdragen controleert en er quizvragen van maakt

VS: standaardcontractbepalingen. Na hooguit 30 dagen weg, en nooit gebruikt om AI te trainen.Verwerkersovereenkomst van Anthropic

Stripe

Betalingen met iDEAL | Wero en creditcard, en bonnetjes

EU (Ierland) en VS: EU-VS-dataprivacykader en standaardcontractbepalingen.Verwerkersovereenkomst van Stripe

Resend

E-mails versturen

Verzonden vanuit de EU (Ierland); account en logboek in de VS: EU-VS-dataprivacykader en standaardcontractbepalingen.Verwerkersovereenkomst van Resend

Sentry

Foutmeldingen, met een gebruikers-id en het adres van de pagina (dat de sleutel van een uitnodigingslink kan bevatten). Zonder namen, e-mailadressen of inhoud.

VS: EU-VS-dataprivacykader en standaardcontractbepalingen.Verwerkersovereenkomst van Sentry

Cloudflare

Controleren dat er een mens is en geen bot (Turnstile): als je als gast begint, bij inloggen en aanmelden in de Studio, en bij het koppelen van een tv

Wereldwijd netwerk, bedrijf in de VS: EU-VS-dataprivacykader en standaardcontractbepalingen.Verwerkersovereenkomst van Cloudflare