Verwerkersovereenkomst

Laatst bijgewerkt: 10 november 2026

Deze verwerkersovereenkomst hoort bij de clubvoorwaarden en geldt tussen de club (de verwerkingsverantwoordelijke) en Spectes, Dina Appeldoornlaan 52, 1421 TD Uithoorn (KvK-nummer 42205042), bereikbaar via info@nextdive.app (“Nextdive”, de verwerker), vanaf het moment dat de club met de clubvoorwaarden akkoord gaat. Ze geeft invulling aan artikel 28 van de Algemene verordening gegevensbescherming (AVG).

1. Onderwerp en doel

• Nextdive verwerkt persoonsgegevens namens de club om de clubfuncties te leveren: leden en rollen, groepsduiken en reizen, buddyteams, verhuur, cursussen en lessen, koppelingen met de website van de club, en Pro-licenties voor leden.
• Op verzoek van de staf van de club laat Nextdive een AI-model een samenvatting van de voortgang van een cursist schrijven uit wat de club over die cursist heeft vastgelegd (cursussen, aanwezigheid, vaardigheden, notities en opmerkingen), zonder de naam van de cursist, en bewaart die bij de inschrijving. Als het profiel van de cursist zichtbaar is voor dat staflid, gaan ook diens eigen gelogde duiken mee: die levert Nextdive als verwerkingsverantwoordelijke van het logboek, volgens de zichtbaarheidsinstelling van de cursist zelf.
• Hier valt niet onder wat Nextdive als verwerkingsverantwoordelijke zelf verwerkt: het account, logboek en de buddy's van een duiker zelf, en de facturatie aan de club (factuurgegevens en wie er meetelden voor een factuur). Betalingen verwerkt Mollie onder eigen verantwoordelijkheid.

2. Betrokkenen en soorten gegevens

• Betrokkenen: leden, staf, cursisten (ook zonder account), deelnemers aan groepsduiken en reizen, en contactpersonen van de club.
• Gegevens: naam, e-mailadres, telefoonnummer, geboortedatum (bij een cursus met een minimumleeftijd), lidmaatschap, rol en of iemand betalend lid is, inschrijvingen, wachtlijst en betaalstatus, buddyteams, gehuurde uitrusting en maten, aanwezigheid, afgeronde vaardigheden en notities van instructeurs, beschikbaarheid van staf, brevetniveau (volgens de zichtbaarheidsinstelling van het lid), of een gedeeld document geldig is op de dag van een duik of les (niet de inhoud), opmerkingen bij een inschrijving, en wat de website of webshop van de club doorstuurt.
• De club zet geen bijzondere persoonsgegevens, zoals gezondheidsgegevens, in vrije tekstvelden, tenzij dat noodzakelijk is en ze daarvoor een grondslag heeft.

3. Instructies

Nextdive verwerkt de gegevens alleen op schriftelijke instructie van de club. Die instructies zijn de clubvoorwaarden, deze overeenkomst, en wat eigenaren en staf in Nextdive instellen en doen. Vindt Nextdive dat een instructie in strijd is met de AVG, dan meldt ze dat direct. Verplicht de wet Nextdive tot een verwerking, dan meldt ze dat vooraf aan de club, tenzij de wet dat verbiedt.

4. Geheimhouding

Iedereen die namens Nextdive toegang heeft tot de gegevens, is tot geheimhouding verplicht en krijgt alleen toegang voor zover dat nodig is voor ondersteuning en beheer.

5. Beveiliging

Nextdive neemt passende technische en organisatorische maatregelen (artikel 32 AVG), zoals beschreven in bijlage 2, en past ze aan als de techniek of de risico's daarom vragen, zonder het beschermingsniveau te verlagen.

6. Subverwerkers

• De club geeft Nextdive algemene toestemming om de subverwerkers in bijlage 1 in te schakelen.
• Een nieuwe of vervangende subverwerker meldt Nextdive minstens 30 dagen vooraf per e-mail aan de eigenaar. De club kan daar op redelijke gronden bezwaar tegen maken; komen partijen er niet uit, dan kan de club de overeenkomst kosteloos beëindigen.
• Nextdive legt subverwerkers dezelfde verplichtingen op als deze overeenkomst en blijft tegenover de club verantwoordelijk voor hen.

7. Doorgifte buiten de EER

De gegevens van de club worden opgeslagen in de EU (Zweden). Doorgifte buiten de Europese Economische Ruimte vindt alleen plaats met passende waarborgen, zoals een adequaatheidsbesluit (waaronder het EU-VS Data Privacy Framework) of de standaardcontractbepalingen van de Europese Commissie.

8. Hulp aan de club

• Verzoeken van betrokkenen (inzage, correctie, verwijdering) kan de club grotendeels zelf afhandelen in Nextdive. Waar dat niet kan, helpt Nextdive binnen redelijke termijn. Verzoeken die bij Nextdive binnenkomen en over de club gaan, stuurt Nextdive door naar de club.
• Nextdive helpt de club, waar redelijk, bij een gegevensbeschermingseffectbeoordeling en een voorafgaande raadpleging van de toezichthouder.

9. Datalekken

Nextdive meldt een inbreuk in verband met persoonsgegevens van de club zonder onnodige vertraging, en uiterlijk binnen 48 uur nadat ze die ontdekte, aan de eigenaar. Ze geeft daarbij wat ze weet: wat er gebeurde, welke soorten gegevens en ongeveer hoeveel betrokkenen het raakt, de waarschijnlijke gevolgen en de genomen maatregelen. De club beslist of ze de Autoriteit Persoonsgegevens en de betrokkenen inlicht; Nextdive helpt daarbij.

10. Controle

Nextdive geeft de club op verzoek de informatie die nodig is om aan te tonen dat ze deze overeenkomst naleeft, zoals een ingevulde vragenlijst of een beschrijving van de maatregelen. De club kan daarnaast, hooguit één keer per jaar en met 30 dagen aankondiging, een audit laten doen door een onafhankelijke deskundige met geheimhoudingsplicht, op eigen kosten. Nextdive werkt daaraan mee.

11. Duur en einde

• Deze overeenkomst loopt zolang Nextdive persoonsgegevens voor de club verwerkt.
• Wordt de club verwijderd of eindigt de overeenkomst, dan verwijdert Nextdive de persoonsgegevens van de club binnen 30 dagen, en uit de back-ups binnen 7 dagen daarna, tenzij de wet bewaren verplicht. Daarvóór kan de club een export vragen.
• Ook terwijl de overeenkomst loopt, gelden deze bewaartermijnen: cursisten zonder account worden een jaar na de laatste les uit een cursus verwijderd, en wat de website van de club doorstuurt, wordt hooguit 30 dagen in het log van de club bewaard.

12. Aansprakelijkheid en rangorde

Voor aansprakelijkheid geldt artikel 10 van de clubvoorwaarden. Dat laat de aansprakelijkheid van partijen tegenover betrokkenen onder artikel 82 AVG onverlet. Waar het om persoonsgegevens gaat, gaat deze overeenkomst voor de clubvoorwaarden.

Bijlage 1: subverwerkers

Bijlage 2: beveiligingsmaatregelen

• Alle verbindingen gaan over HTTPS, met beveiligingsheaders. Database, back-ups en opslag zijn versleuteld in datacenters van Microsoft in de EU.
• De database is alleen bereikbaar voor de app, die geen databasewachtwoorden gebruikt maar een managed identity.
• Wachtwoorden worden gehasht met Argon2id en gecontroleerd tegen bekende datalekken. Tweestapsverificatie en passkeys zijn beschikbaar; geheimen voor tweestapsverificatie en toegangssleutels van koppelingen worden versleuteld opgeslagen.
• Inlogpogingen worden begrensd, en inloggen en wijzigingen van inloggegevens komen in een beveiligingslog.
• Binnen een club bepalen rollen en rechten wie wat ziet en mag. Toegang door Nextdive zelf is beperkt tot ondersteuning en beheer, met tweestapsverificatie.
• Back-ups worden automatisch gemaakt en 7 dagen bewaard; serverlogs 30 dagen.
• Afhankelijkheden worden maandelijks bijgewerkt, en wijzigingen aan inloggen, accounts en beveiliging krijgen een beveiligingsreview voordat ze live gaan.