Verwerkersovereenkomst

Ingangsdatum: juni 2026

Deze Bijlage vormt een integraal onderdeel van de toepasselijke Servicevoorwaarden voor Zakelijke Klanten of Algemene Voorwaarden voor Klanten van Service Club. Zij is automatisch van toepassing wanneer, en voor zover, Service Club persoonsgegevens namens de Klant verwerkt als verwerker in de zin van artikel 28 van Verordening (EU) 2016/679. Zij is niet van toepassing op verwerking die Service Club uitvoert als zelfstandige verwerkingsverantwoordelijke, noch op verwerking waarvoor de partijen zelfstandige verwerkingsverantwoordelijken of gezamenlijke verwerkingsverantwoordelijken zijn, tenzij uitdrukkelijk anders is bepaald.

1. Status en opname

• 1.1. Deze Verwerkersovereenkomst (DPA) maakt deel uit van de overeenkomst tussen Service Club en de Klant wanneer, en voor zover, Service Club persoonsgegevens namens de Klant verwerkt als verwerker in de zin van artikel 4, onder 8), en artikel 28 AVG.
• 1.2. Deze DPA is uitsluitend van toepassing op verwerkingsactiviteiten waarbij de Klant de doeleinden en de essentiële middelen van de verwerking bepaalt en Service Club handelt op basis van de gedocumenteerde instructies van de Klant.
• 1.3. Wanneer Service Club optreedt als zelfstandige verwerkingsverantwoordelijke, is deze DPA niet van toepassing op die verwerking. Op die verwerking als verwerkingsverantwoordelijke zijn de privacyverklaring van Service Club en de toepasselijke wetgeving inzake gegevensbescherming van toepassing. Wanneer de partijen gezamenlijk de doeleinden en de middelen bepalen, komen zij een afzonderlijke regeling op grond van artikel 26 AVG overeen.

2. Onderwerp, duur, aard en doel

• 2.1. Het onderwerp, de duur, de aard en het doel van de verwerking zijn die welke nodig zijn om de betreffende diensten van Service Club te verlenen op grond van de toepasselijke Voorwaarden, het Orderformulier en Bijlage A bij deze DPA.
• 2.2. De verwerking duurt voort gedurende de looptijd van de betreffende diensten en gedurende elke periode na beëindiging die noodzakelijk is voor verwijdering, teruggave, wettelijke bewaring, geschillenbeheer, beveiliging, audits of complianceverplichtingen.

2.3. Beschrijving van de verwerking

3. Categorieën betrokkenen en persoonsgegevens

• 3.1. Betrokkenen kunnen onder meer zijn: Werkenden, koeriers, logistieke medewerkers, magazijnmedewerkers, fulfilmentmedewerkers, heftruckchauffeurs, cursisten, kandidaten, beheerders van de Klant, personeel van de Klant, trainers, supportcontactpersonen en andere personen van wie de gegevens worden verwerkt in verband met de diensten.
• 3.2. Categorieën van persoonsgegevens kunnen onder meer zijn: identificatiegegevens, contactgegevens, cv- of profielgegevens, bewijs van het recht om te werken, voertuiggerelateerde informatie, geschiktheidsgegevens, functie- en locatiegegevens, accountgegevens, aanwezigheid bij opleidingen, VR- en telematicagegevens, aandachtsgerelateerde indicatoren, AI-ondersteunde leeranalyses, inwisselgegevens, sollicitatiegegevens, documentmetadata, communicatie, supportdossiers, beveiligingslogs, fraude-indicatoren en andere gegevens die in Bijlage A zijn afgesproken.
• 3.3. Bijzondere categorieën van gegevens, strafrechtelijke gegevens, gezondheidsgegevens, gegevens over lidmaatschap van een vakbond, biometrische gegevens met het oog op identificatie, gegevens van kinderen of andere gegevens met een hoog risico worden niet verwerkt, tenzij dit uitdrukkelijk schriftelijk is overeengekomen, strikt noodzakelijk is en wordt ondersteund door een rechtsgrondslag en passende waarborgen.

4. Verplichtingen van de Klant

• 4.1. De Klant zorgt ervoor dat de verwerkingsinstructies rechtmatig, gedocumenteerd en specifiek zijn en in overeenstemming zijn met de AVG, de LOPDGDD en de toepasselijke wetgeving.
• 4.2. De Klant is verantwoordelijk voor het bepalen van de rechtsgrondslag, het verstrekken van de vereiste transparantie-informatie, het afhandelen van zijn eigen verzoeken van betrokkenen, het vaststellen van bewaartermijnen, het waarborgen van minimale gegevensverwerking, het beoordelen van verwerking met een hoog risico en het uitvoeren van elke DPIA die op grond van artikel 35 AVG vereist is voor doeleinden aan de zijde van de Klant.
• 4.3. De Klant mag Service Club geen opdracht geven om persoonsgegevens onrechtmatig, buitensporig, ondoorzichtig of discriminerend te verwerken, of op een wijze die in strijd is met de toepasselijke regels op het gebied van arbeid, gegevensbescherming, elektronische communicatie, AI of grondrechten.

5. Verplichtingen van de verwerker

• 5.1. Service Club verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Klant, onder meer met betrekking tot doorgiften aan een derde land of een internationale organisatie, tenzij Unierecht of het recht van een lidstaat Service Club daartoe verplicht. In dat geval stelt Service Club de Klant vóór de verwerking in kennis van dat wettelijke voorschrift, tenzij die wetgeving deze kennisgeving verbiedt om gewichtige redenen van algemeen belang.
• 5.2. Service Club zorgt ervoor dat de tot het verwerken van persoonsgegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting tot vertrouwelijkheid zijn gebonden.
• 5.3. Service Club treft passende technische en organisatorische maatregelen in overeenstemming met artikel 32 AVG, rekening houdend met de aard van de verwerking, de risico's, de stand van de techniek, de uitvoeringskosten en de categorieën van persoonsgegevens.
• 5.4. Service Club verleent de Klant, rekening houdend met de aard van de verwerking en de informatie waarover Service Club beschikt, bijstand bij verzoeken van betrokkenen, beveiliging, meldingen van inbreuken, DPIA's en raadplegingen van toezichthoudende autoriteiten, voor zover dat op grond van de artikelen 28 en 32 tot en met 36 AVG vereist is.

5.5. Subverwerkers

1. De Klant machtigt Service Club om subverwerkers in te schakelen voor hosting, communicatie, analyse, betalingen, support, beveiliging, infrastructuur, CRM, LMS, VR-platforms, het leveren van AI-modellen, telematica, berichtenverkeer, documentbeheer en vergelijkbare diensten die nodig zijn om de diensten te verlenen.
2. Service Club legt subverwerkers verplichtingen op het gebied van gegevensbescherming op die niet minder beschermend zijn dan die welke in deze DPA zijn opgenomen, en zorgt er in het bijzonder voor dat zij afdoende garanties bieden met betrekking tot het treffen van passende technische en organisatorische maatregelen.
3. Service Club houdt een actuele lijst bij van wezenlijke subverwerkers en stelt deze beschikbaar aan de Klant (bijvoorbeeld via een specifieke link, een onderdeel van het platform of op verzoek). Service Club stelt de Klant ten minste veertien (14) dagen voordat een wezenlijke wijziging van kracht wordt in kennis van die voorgenomen wijziging, zodat de Klant de gelegenheid krijgt daartegen bezwaar te maken op redelijke gronden van gegevensbescherming.

5.6. Internationale doorgiften

1. Service Club geeft geen persoonsgegevens door buiten de EER, tenzij de doorgifte voldoet aan hoofdstuk V AVG, met inbegrip van een adequaatheidsbesluit, modelcontractbepalingen, aanvullende maatregelen waar vereist, afwijkingen of een ander rechtmatig doorgiftemechanisme.
2. De Klant erkent dat bepaalde aanbieders support-, communicatie- of infrastructuurdiensten kunnen leveren van buiten de EER. Waar van toepassing implementeert Service Club waarborgen voor de doorgifte en verstrekt zij op verzoek redelijke informatie aan de Klant.

5.7. Beveiligingsmaatregelen

1. Service Club handhaaft maatregelen die passend zijn gezien het risico, die kunnen bestaan uit toegangscontroles, authenticatie, op rollen gebaseerde rechten, versleuteling tijdens verzending, back-ups, logging, scheiding, veilige ontwikkelpraktijken, kwetsbaarhedenbeheer, geheimhoudingsverplichtingen, incidentrespons en processen voor veilige verwijdering.
2. De specifieke maatregelen kunnen in de loop van de tijd veranderen, mits het beschermingsniveau niet wezenlijk wordt verlaagd. Bijlage B beschrijft de basismaatregelen.

5.8. Inbreuk in verband met persoonsgegevens

1. Service Club stelt de Klant zonder onnodige vertraging in kennis nadat zij kennis heeft gekregen van een inbreuk in verband met persoonsgegevens die betrekking heeft op persoonsgegevens die namens de Klant worden verwerkt.
2. De kennisgeving bevat, voor zover bekend en beschikbaar, de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en registraties waarop de inbreuk betrekking heeft, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen en een contactpunt. De Klant blijft verantwoordelijk voor meldingen aan toezichthoudende autoriteiten of betrokkenen wanneer de Klant verwerkingsverantwoordelijke is.

5.9. Rechten van betrokkenen

1. Service Club verleent de Klant, rekening houdend met de aard van de verwerking en door middel van passende technische en organisatorische maatregelen, voor zover mogelijk bijstand bij het vervullen van de plicht van de Klant om te reageren op verzoeken om inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar en rechten met betrekking tot geautomatiseerde besluitvorming.
2. Als Service Club een verzoek ontvangt dat betrekking heeft op verwerking waarvoor de Klant verwerkingsverantwoordelijke is, kan Service Club de betrokkene doorverwijzen naar de Klant of de Klant informeren, tenzij dit wettelijk verboden is.

5.10. AI, geautomatiseerde tools en verwerking met een hoog risico

1. Wanneer Service Club als verwerker namens de Klant AI-ondersteunde of geautomatiseerde tools gebruikt, is de Klant verantwoordelijk voor het bevestigen van het beoogde doel, de rechtsgrondslag, de transparantie, de evenredigheid, het menselijk toezicht en elke beoordeling die vereist is op grond van de AVG, de LOPDGDD, het arbeidsrecht en de AI Act.
2. Service Club is niet verplicht AI of geautomatiseerde tools te configureren voor arbeidsgerelateerde besluitvorming, ranking, ontslag, toegang tot werk of vergelijkbare rechtens relevante doeleinden, tenzij dit afzonderlijk is overeengekomen en rechtmatig is beoordeeld. Wanneer de Klant AI of geautomatiseerde tools van Service Club voor dergelijke doeleinden gebruikt, blijft de Klant als enige verantwoordelijk voor de naleving van artikel 22 AVG, de toepasselijke arbeidswetgeving en de AI Act.

6. Audit- en informatierechten

• 6.1. Service Club stelt aan de Klant de informatie ter beschikking die redelijkerwijs nodig is om de naleving van artikel 28 AVG en deze DPA aan te tonen.
• 6.2. Audits zijn onderworpen aan een redelijke aankondigingstermijn, vertrouwelijkheid, beveiligingsbeperkingen, beperkingen tot kantooruren en het vermijden van verstoring. De Klant krijgt geen toegang tot gegevens van andere klanten, vertrouwelijke platformarchitectuur, bedrijfsgeheimen of informatie die de beveiliging in gevaar zou brengen.

7. Verwijdering en teruggave

• 7.1. Naar keuze van de Klant en behoudens technische haalbaarheid, wettelijke bewaring en de verplichtingen van Service Club als verwerkingsverantwoordelijke, verwijdert Service Club de namens de Klant verwerkte persoonsgegevens na afloop van de diensten of geeft zij deze terug.
• 7.2. Service Club mag kopieën bewaren wanneer Unierecht of het recht van een lidstaat dat vereist, of voor juridische vorderingen, beveiligingslogs, boekhouding, fraudepreventie of compliancedoeleinden, mits die bewaarde gegevens beschermd blijven en niet worden verwerkt voor onverenigbare doeleinden.

8. Aansprakelijkheid en voorrang

• 8.1. De aansprakelijkheid op grond van deze DPA wordt beheerst door de aansprakelijkheidsbepalingen van de toepasselijke Voorwaarden of schriftelijke overeenkomst, onverminderd de dwingende aansprakelijkheidsregels van de AVG die niet kunnen worden uitgesloten.
• 8.2. In geval van strijdigheid tussen deze DPA en de Voorwaarden met betrekking tot de verplichtingen van de verwerker, prevaleert deze DPA voor de betreffende verwerking.

9. Toepasselijk recht

Op deze DPA zijn het Spaanse recht en de toepasselijke EU-wetgeving inzake gegevensbescherming van toepassing. De in de toepasselijke Voorwaarden aangewezen rechtbanken zijn bevoegd, onverminderd de dwingende bevoegdheden van toezichthoudende autoriteiten en de rechten van betrokkenen.

Bijlage A - Details van de verwerking

Deze Bijlage maakt deel uit van de Verwerkersovereenkomst en beschrijft de verwerking van persoonsgegevens die Service Club namens de Klant uitvoert.

1. Onderwerp en duur van de verwerking

• Onderwerp: De verwerking van persoonsgegevens wordt uitgevoerd om het Service Club Platform en aanverwante diensten (waaronder Perks, Jobs, Academy, Micro Academy, Marketplace en Shop) te leveren zoals overeengekomen in het betreffende Orderformulier of de betreffende Servicevoorwaarden.
• Duur: De verwerking duurt voort gedurende de looptijd van de betreffende diensten en gedurende elke periode na beëindiging die strikt noodzakelijk is voor verwijdering, teruggave, wettelijke bewaring, geschillenbeheer, beveiliging, audits of complianceverplichtingen.

2. Aard en doel van de verwerking

De aard van de verwerking omvat het verzamelen, vastleggen, ordenen, structureren, opslaan, aanpassen, opvragen, gebruiken, verstrekken en wissen van persoonsgegevens. De doeleinden zijn onder meer:

• Het aanmaken van accounts, toegangscontrole en geschiktheidsbeheer.
• Ondersteuning bij werving, matching van kandidaten en ondersteuning bij onboarding.
• Het verzorgen van opleidingen (waaronder klassikale, virtuele, VR-, praktijk- en AI-ondersteunde opleidingen).
• Platformcommunicatie, rapportage, support, beveiliging en fraudepreventie.

3. Categorieën betrokkenen

De doorgegeven persoonsgegevens hebben betrekking op de volgende categorieën betrokkenen:

• Werkenden, koeriers, bezorgers, magazijnmedewerkers, fulfilmentmedewerkers en heftruckchauffeurs.
• Cursisten, kandidaten en logistieke medewerkers.
• Beheerders van de Klant, personeel van de Klant, trainers en supportcontactpersonen.

4. Soorten verwerkte persoonsgegevens

De doorgegeven persoonsgegevens hebben betrekking op de volgende categorieën van gegevens:

• Identificatie- en contactgegevens: naam, achternaam, e-mailadres, telefoonnummer, locatie en accountidentificatoren.
• Profiel- en geschiktheidsgegevens: cv-gegevens, arbeidsverleden, beschikbaarheid, geschiktheidscriteria, rijbewijzen en bewijs van het recht om te werken waar daarom wordt gevraagd.
• Opleidings- en prestatiegegevens: inschrijvingsgegevens, aanwezigheid, opleidingsscores, VR- en telematicagegevens, aandachtsgerelateerde indicatoren en AI-ondersteunde leeranalyses.
• Operationele gegevens: inwisselgegevens voor Perks, sollicitatiestatussen, documentmetadata, supporttickets, communicatie, beveiligingslogs en fraude-indicatoren.

5. Gevoelige gegevens / Bijzondere categorieën van gegevens

• Service Club verwerkt namens de Klant geen bijzondere categorieën van gegevens, strafrechtelijke gegevens, biometrische gegevens met het oog op identificatie of gezondheidsgegevens, tenzij dit uitdrukkelijk schriftelijk is overeengekomen, strikt noodzakelijk is en wordt ondersteund door een rechtsgrondslag en passende waarborgen.

Bijlage B - Technische en organisatorische maatregelen (TOMs)

Deze Bijlage maakt deel uit van de Verwerkersovereenkomst en beschrijft de technische en organisatorische beveiligingsmaatregelen die Service Club heeft geïmplementeerd om een op het risico afgestemd beveiligingsniveau te waarborgen, zoals vereist door artikel 32 AVG. Deze basismaatregelen kunnen worden aangevuld met meer gedetailleerde interne documentatie over informatiebeveiliging, die Service Club op redelijk verzoek aan de Klant beschikbaar kan stellen, met inachtneming van vertrouwelijkheidsbeperkingen.

1. Maatregelen om de voortdurende vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerkingssystemen en -diensten te waarborgen

• Toegangscontroles: Implementatie van op rollen gebaseerde toegangscontroles (RBAC), waarmee wordt gewaarborgd dat personeel uitsluitend toegang heeft tot de gegevens die voor hun rol noodzakelijk zijn.
• Versleuteling: Persoonsgegevens worden tijdens verzending versleuteld met TLS 1.3 en in rust met AES-256-versleuteling.
• Systeemveerkracht: De infrastructuur wordt gehost op AWS (Ierland). Om veerkracht te waarborgen zijn de systemen zo geconfigureerd dat zij bij een storing hun werking hervatten in een alternatieve Availability Zone, in overeenstemming met de toepasselijke SLA's.

2. Maatregelen voor het vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot persoonsgegevens tijdig te herstellen

• Back-ups: Van kritieke databases worden dagelijks geautomatiseerde, versleutelde back-ups gemaakt, die met een bewaartermijn van 7 dagen worden bewaard.

3. Procedures voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van de technische en organisatorische maatregelen

• Kwetsbaarhedenbeheer: Implementatie van beveiligingsscans in de CI/CD-pipeline; code wordt vóór productie automatisch gescand op kwetsbaarheden en deployments worden geblokkeerd wanneer er kwetsbaarheden worden gedetecteerd.
• Penetratietests: Jaarlijkse penetratietests van het Service Club Platform door een derde partij.
• Beveiligingslogs: Actieve logging van systeemhandelingen en beveiligingsgebeurtenissen binnen de kerninfrastructuur.

4. Maatregelen voor gebruikersidentificatie en -autorisatie

• Implementatie van afzonderlijke, individuele gebruikersaccounts en inloggegevens voor al het personeel.
• Gedocumenteerde checklistprocessen voor IT-onboarding en -offboarding om te waarborgen dat systeemtoegang op passende wijze wordt verleend en handmatig wordt ingetrokken bij het einde van het dienstverband of bij een rolwijziging van een werknemer.

5. Maatregelen voor de bescherming van gegevens tijdens de verzending

• Alle persoonsgegevens die via externe netwerken worden verzonden, worden beveiligd met TLS 1.3-versleutelingsprotocollen.

6. Maatregelen om de fysieke beveiliging te waarborgen van locaties waar persoonsgegevens worden verwerkt

• Service Club maakt gebruik van toonaangevende cloud- en SaaS-aanbieders (AWS, Google Workspace, Holded) die in hun respectieve datacenters strenge fysieke beveiligingsmaatregelen op enterpriseniveau handhaven (bijvoorbeeld biometrische toegang en 24/7 bewaking).
• De kantoren van Service Club zijn uitsluitend toegankelijk met een toegangspas om ongeoorloofde fysieke toegang te voorkomen.