Gegevens van je deelnemers.

Deze overeenkomst hoort bij de voorwaarden voor organisatoren. Ze geldt vanaf het moment dat je een event op Revena maakt, en zolang Revena gegevens van je deelnemers verwerkt.

Verwerkingsverantwoordelijke: jij, de organisator, zoals ingevuld in je beheer onder Instellingen. Verwerker: Revena, een handelsnaam van Marco Castermans, eenmanszaak, 3700 Tongeren-Borgloon, ondernemingsnummer 1036.559.717.

1. Waarover het gaat

Doel

Inschrijvingen voor je events beheren: tickets, betalingen opvolgen, startlijst, check-in, kassa, vrijwilligers, uitslag, mails aan je deelnemers, terugkomers, en de import en export van je deelnemers.

Wie

Je deelnemers, de mensen die zij inschrijven, hun noodcontacten, je vrijwilligers en je teamleden.

Welke gegevens

Naam, e-mailadres, geboortedatum, categorie, gsm-nummer, club, T-shirtmaat, noodnummer, antwoorden op je eigen vragen, bestellingen en betaalstatus, startnummer, check-in, tijd en plaats in de uitslag, uitschrijvingen voor mails, en wat je zelf importeert.

Gevoelige gegevens

Geen. Revena laat geen vragen over gezondheid toe.

Duur

Zolang je Revena gebruikt, en daarna tot de gegevens gewist zijn zoals in punt 9.

Wat Revena als eigen verantwoordelijke doet, valt niet onder deze overeenkomst: de Revena-pas, de punten, het klassement, de community, en de bestelling als dienst aan de sporter. Dat staat in de privacyverklaring van Revena.

2. Alleen op jouw instructie

Revena verwerkt de gegevens alleen om de dienst te leveren die in de voorwaarden staat, en volgens wat jij in het beheer instelt. Dat zijn je instructies. Vind Revena dat een instructie tegen de wet ingaat, dan laten we het je meteen weten.

Revena gebruikt de gegevens niet voor zichzelf, verkoopt ze niet en geeft ze aan niemand anders, behalve aan de subverwerkers in bijlage 1 of als de wet het verplicht. Moet Revena gegevens afgeven aan een overheid, dan laten we het je eerst weten, tenzij de wet dat verbiedt.

3. Geheimhouding

Wie bij Revena aan de gegevens kan, is gebonden door geheimhouding en kijkt alleen als het nodig is voor de dienst of om je te helpen.

4. Beveiliging

Revena neemt de maatregelen uit bijlage 2. We passen ze aan als de techniek of de risico's veranderen, en nooit zo dat de bescherming zwakker wordt.

5. Subverwerkers

Je geeft Revena de toestemming om de subverwerkers uit bijlage 1 in te schakelen. Revena legt hen dezelfde plichten op als in deze overeenkomst, en blijft verantwoordelijk voor wat zij doen.

Wil Revena een subverwerker toevoegen of vervangen, dan krijg je dat minstens 30 dagen vooraf per mail. Heb je een gegronde reden om bezwaar te maken, laat het ons dan weten in die 30 dagen. Vinden we samen geen oplossing, dan kan je stoppen zonder kosten.

6. Buiten de EU

Revena bewaart de gegevens in de EU. Kan een subverwerker van buiten de EU erbij, dan alleen met een geldige grond uit de AVG, zoals de standaardcontractbepalingen van de Europese Commissie of het EU-VS-kader voor gegevensbescherming.

7. Hulp bij rechten en verplichtingen

• Vragen van deelnemers. Vraagt een deelnemer Revena om inzage, verbetering of wissen van gegevens over zijn deelname, dan sturen we die vraag binnen 3 werkdagen naar jou. In het beheer kan je zelf gegevens opzoeken, verbeteren, exporteren en wissen.
• Een effectbeoordeling (DPIA) of een vraag van de toezichthouder. Revena geeft je de informatie die je nodig hebt.

8. Een datalek

Merkt Revena een inbreuk op de gegevens van je deelnemers, dan laten we het je zonder onnodige vertraging weten, en binnen 48 uur. We zeggen wat er gebeurde, welke gegevens en hoeveel mensen het raakt, wat de gevolgen kunnen zijn en wat we doen. Zo kan jij binnen 72 uur de Gegevensbeschermingsautoriteit verwittigen als dat moet.

9. Als het stopt

Stop je met Revena, dan heb je 30 dagen om je gegevens te exporteren. Binnen 60 dagen daarna wist Revena ze, ook bij de subverwerkers, behalve wat de wet ons laat bewaren. Back-ups worden overschreven binnen 30 dagen daarna. Op vraag bevestigen we dat alles gewist is.

Tijdens het gebruik gelden deze termijnen, die je niet zelf kan verlengen:

• het noodnummer en het gsm-nummer: 30 dagen na het event;
• deelnemers van vorige edities zijn alleen te mailen als ze de laatste drie jaar meededen;
• de lijst op de scanner en de kassa: tot alles doorgestuurd is, hoogstens 7 dagen na het event.

10. Controle

Revena geeft je op vraag de informatie die aantoont dat het deze overeenkomst naleeft. Wil je een audit, dan kan dat één keer per jaar, op je eigen kosten, met 30 dagen aankondiging en door iemand die geheimhouding belooft. Na een datalek kan het altijd.

11. Aansprakelijkheid

De aansprakelijkheid volgt de voorwaarden voor organisatoren en artikel 82 van de AVG.

Bijlage 1. Subverwerkers

• Supabase Inc.
  WatDatabase, inloggen, opslag en serverfuncties
  WaarEU (Parijs)
• Resend Inc.
  WatMails versturen
  WaarEU (Ierland), met de standaardcontractbepalingen
• Vercel Inc.
  WatHosting van de website en de serverfuncties
  WaarEU (Parijs), met de standaardcontractbepalingen

Stripe Payments Europe Ltd. en Mollie B.V. zijn geen subverwerkers. Zij verwerken betaalgegevens als eigen verantwoordelijke, op basis van je eigen contract met Stripe of Mollie.

Billit NV verwerkt alleen de facturen van Revena aan jou, en valt daarom niet onder deze overeenkomst.

Bijlage 2. Beveiliging

• Alles tussen toestel en server gaat versleuteld (TLS). De database en de back-ups zijn versleuteld.
• Elke organisator ziet alleen zijn eigen gegevens. Dat ligt vast in de database zelf, met regels per rij (row level security), zodat ook een fout in de app er niet omheen kan.
• Teamleden hebben een rol: Beheerder of Medewerker. Elke rol ziet alleen wat hij nodig heeft. Vrijwilligers aan de kassa of de scanner krijgen geen account maar een pincode per editie, en zien alleen de lijst van die editie.
• Inloggen gaat met een eenmalige code per mail. Vrijwilligers aan de kassa en de scanner gebruiken een pincode die alleen voor dat event werkt.
• Een logboek houdt bij wie wat deed in het beheer. Het logboek blijft twee jaar bewaard.
• In QR-codes, links en bestandsnamen staan geen persoonsgegevens, alleen willekeurige codes.
• Betalingsmeldingen van Stripe en Mollie worden één keer verwerkt, ook als ze twee keer binnenkomen.
• Echte deelnemersgegevens komen nooit in testomgevingen, logs of voorbeelden.
• Dagelijkse back-ups, en een plan om ze terug te zetten.
• Wie bij Revena toegang heeft tot productiegegevens, gebruikt een sterke tweestapsverificatie.
• Updates van software en afhankelijkheden worden opgevolgd.