Verwerkersovereenkomst
Versie van 25 oktober 2026
Een vereniging of stichting die Kringwerk gebruikt, zet er gegevens van mensen in: leden, vrijwilligers, bestuurders. De organisatie bepaalt waarvoor die gegevens zijn; wij verwerken ze alleen om Kringwerk te laten werken. Dat moet volgens de AVG (artikel 28) worden vastgelegd. Deze overeenkomst hoort bij de algemene voorwaarden en geldt zodra een organisatie een omgeving aanmaakt.
1. Partijen en rollen
- Verwerkingsverantwoordelijke: de organisatie die een omgeving in Kringwerk aanmaakt.
- Verwerker: Outdare (KVK 83468463), aanbieder van Kringwerk.
2. Welke gegevens, van wie en waarvoor
Doel
Het beschikbaar stellen van Kringwerk: begroting, offertes, bonnetjes en declaraties, activiteiten, programma, taken, het vrijwilligersrooster, het dossier per uitgave en het logboek, met de mails die daarbij horen (inloglinks, goedkeurverzoeken, meldingen en roosters).
Van wie
Gebruikers (bestuurders, werkgroepleden, penningmeester, kascommissie), vrijwilligers zonder account die in het rooster staan, en contactpersonen van leveranciers en andere partijen die de organisatie invoert.
Welke gegevens
- Naam, e-mailadres en telefoonnummer.
- Rol en werkgroep, en wie welke offerte, bon of uitgave indiende of goedkeurde (het logboek).
- Bij declaraties: het rekeningnummer (IBAN) van wie iets voorschoot, versleuteld opgeslagen.
- Diensten in het rooster, taken en notities die de organisatie invult.
- Bestanden: offertes, facturen, betaalbewijzen en bonnetjes. Daar kunnen namen en adressen op staan.
- Bij het inloggen: het IP-adres, dat we na 30 dagen verwijderen.
Kringwerk is niet bedoeld voor bijzondere persoonsgegevens (zoals gezondheid of geloof) of een burgerservicenummer. De organisatie zet die er niet in.
3. Wat wij als verwerker afspreken
- We verwerken de gegevens alleen voor het doel hierboven en volgens de instructies van de organisatie. De instructies zijn de manier waarop de organisatie Kringwerk gebruikt en instelt.
- Wie bij ons toegang heeft tot de gegevens, heeft geheimhoudingsplicht.
- We helpen de organisatie als iemand zijn rechten uitoefent (inzage, verbeteren, verwijderen). In Kringwerk kan een beheerder gegevens zelf aanpassen, exporteren en een gebruiker wissen.
- We helpen de organisatie bij een gegevensbeschermingseffectbeoordeling (DPIA) of een vraag van de Autoriteit Persoonsgegevens, als dat over Kringwerk gaat.
- We geven de organisatie de informatie die nodig is om te laten zien dat deze afspraken worden nagekomen.
4. Beveiliging
- Elke organisatie heeft een eigen database. Gebruikers zien alleen wat bij hun rol hoort.
- Kringwerk werkt alleen via een versleutelde verbinding (HTTPS). Inloggen gaat met een persoonlijke link per mail, zonder wachtwoorden.
- Bestanden staan buiten het publieke deel van de server en zijn alleen te openen door wie ze mag zien. Rekeningnummers staan versleuteld in de database.
- Het logboek legt vast wie wat deed, kan door niemand worden aangepast en bevat zelf geen namen of e-mailadressen.
- De database is niet van buitenaf bereikbaar, en alleen wij hebben toegang tot de server.
5. Subverwerkers
Voor een deel van het werk schakelen we andere partijen in. De organisatie geeft daarvoor toestemming. Een nieuwe subverwerker melden we minstens 30 dagen vooraf aan de beheerders; de organisatie kan daartegen bezwaar maken en zo nodig opzeggen. Met elke subverwerker maken we dezelfde afspraken als in deze overeenkomst.
| Partij | Waarvoor | Waar |
|---|---|---|
| OVHcloud | Hosting van de server en de databases | Frankrijk (EU) |
| Anthropic | Inlezen van offertes, facturen en bonnetjes met AI; alleen als dat aanstaat, per organisatie uit te zetten | Verenigde Staten |
Het inlezen met AI stuurt de inhoud van het document naar een partij buiten de Europese Unie. Een beheerder kan het inlezen voor de hele organisatie uitzetten; dan gaat er niets naartoe.
6. Datalekken
Ontdekken we een beveiligingsincident met gegevens van de organisatie, dan melden we dat zonder onnodige vertraging, en uiterlijk binnen 48 uur na ontdekking, aan de beheerders. We vertellen wat er gebeurd is, welke gegevens het betreft en wat we eraan doen. De organisatie beslist of ze het meldt bij de Autoriteit Persoonsgegevens en de betrokkenen; wij helpen daarbij.
7. Duur en einde
- Deze overeenkomst loopt zolang de organisatie een omgeving in Kringwerk heeft.
- Na het einde blijft de omgeving 30 dagen beschikbaar om te exporteren. Daarna verwijderen we de omgeving met alle gegevens en bestanden.
- Een begrotingsjaar met alles erbij verwijdert Kringwerk ook zelf, op 1 januari na zeven jaar. De beheerders krijgen drie maanden vooraf een mail met de export.
8. Overig
Voor aansprakelijkheid gelden de afspraken in de algemene voorwaarden. Wijzigingen melden we op dezelfde manier als bij de voorwaarden.
Vragen over privacy of deze overeenkomst? Mail naar info@kringwerk.nl.