Verwerkersovereenkomst
TeamStride — Solidini
Versie 1.0
Ingangsdatum: 7 oktober 2026
Dit is een vertaling. Bij strijdigheid gaat de Engelse tekst voor (artikel 1.6).
Deze Verwerkersovereenkomst is gesloten op grond van artikel 28 van de Algemene verordening gegevensbescherming. Zij maakt deel uit van de Overeenkomst tussen Solidini en de Klant op grond van de Gebruiksvoorwaarden van TeamStride.
1. Partijen, totstandkoming en verhouding tot de Gebruiksvoorwaarden
1.1 Deze Verwerkersovereenkomst is gesloten tussen:
(a) Solidini, gevestigd in Nederland, ingeschreven bij de Kamer van Koophandel (KvK) onder nummer 97133981, met het adres zoals vermeld in de Juridische informatie op teamstride.app ("Solidini"); en
(b) de sportclub, vereniging, stichting, school of andere organisatie die de Gebruiksvoorwaarden heeft aanvaard ("Klant").
1.2 De Eigenaar aanvaardt deze Verwerkersovereenkomst namens de Klant op het moment dat de Eigenaar de Gebruiksvoorwaarden aanvaardt. De Eigenaar garandeert dat hij bevoegd is de Klant te binden.
1.3 Deze Verwerkersovereenkomst treedt op hetzelfde moment in werking als de Overeenkomst. Zij eindigt zodra Solidini geen Persoonsgegevens van de Klant meer verwerkt. Artikel 17 bepaalt welke artikelen daarna van kracht blijven.
1.4 Solidini stelt deze Verwerkersovereenkomst vóór of bij het sluiten van de Overeenkomst langs elektronische weg beschikbaar, op zodanige wijze dat de Klant haar kan opslaan en reproduceren.
1.5 Deze Verwerkersovereenkomst maakt deel uit van de Overeenkomst. Zijn deze Verwerkersovereenkomst en enig ander onderdeel van de Overeenkomst, waaronder een Aanvullende Overeenkomst, met elkaar in strijd over de verwerking of bescherming van persoonsgegevens, dan gaat deze Verwerkersovereenkomst voor.
1.6 De Engelse versie van deze Verwerkersovereenkomst is maatgevend. Vertalingen in het Nederlands, Frans en Duits dienen uitsluitend ter informatie. Is een vertaling in strijd met de Engelse versie, dan gaat de Engelse versie voor.
2. Definities en uitleg
2.1 De begrippen "persoonsgegevens", "verwerking", "verwerkingsverantwoordelijke", "verwerker", "betrokkene", "toezichthoudende autoriteit", "bijzondere categorieën van persoonsgegevens" en "inbreuk in verband met persoonsgegevens" hebben de betekenis die de AVG eraan geeft.
2.2 Begrippen die in de Gebruiksvoorwaarden zijn gedefinieerd, hebben in deze Verwerkersovereenkomst dezelfde betekenis. Daartoe behoren "Overeenkomst", "Geautoriseerde Gebruiker", "Klant", "Klantgegevens", "Vergoedingen", "Aanvullende Overeenkomst", "Organisatie", "Output", "Eigen Oefening", "Eigenaar", "Periode", "Spelergegevens", "Privacyverklaring", "Verboden Gegevens", "Alleen-lezen", "Dienst", "Bijzondere Persoonsgegevens", "Gebruiksvoorwaarden" en "Werkdag".
2.3 In deze Verwerkersovereenkomst wordt verstaan onder:
(a) Verwerkersovereenkomst: deze Verwerkersovereenkomst, met inbegrip van de Bijlagen.
(b) AVG: Verordening (EU) 2016/679.
(c) Gegevensbeschermingsrecht: de AVG, de Uitvoeringswet Algemene verordening gegevensbescherming en alle overige wetgeving van de EU of van een lidstaat inzake de bescherming van persoonsgegevens die van toepassing is op de verwerking onder deze Verwerkersovereenkomst.
(d) Persoonsgegevens van de Klant: de persoonsgegevens die deel uitmaken van de Klantgegevens.
(e) Inbreuk in verband met persoonsgegevens: een inbreuk in verband met persoonsgegevens (datalek) als bedoeld in artikel 4, punt 12, AVG die betrekking heeft op Persoonsgegevens van de Klant.
(f) Subverwerker: een verwerker die Solidini inschakelt om namens de Klant verwerkingsactiviteiten met Persoonsgegevens van de Klant uit te voeren.
(g) Lijst van Subverwerkers: de lijst van Subverwerkers die op de subverwerkerspagina van de Dienst is gepubliceerd, zoals weergegeven in Bijlage 3.
(h) Standaardcontractbepalingen: de standaardcontractbepalingen voor de doorgifte van persoonsgegevens aan derde landen, vastgesteld bij Uitvoeringsbesluit (EU) 2021/914 van de Commissie.
(i) Modelaanbieder: een Subverwerker die een groot taalmodel levert, zoals vermeld in Bijlage 3.
2.4 Onder "schriftelijk" valt ook e-mail. Solidini zendt kennisgevingen op grond van deze Verwerkersovereenkomst aan het e-mailadres van de Eigenaar, tenzij de Klant in de Dienst of per e-mail aan privacy@getteamstride.com een andere contactpersoon voor gegevensbescherming heeft opgegeven.
3. Onderwerp, aard, doel en duur
3.1 Solidini verwerkt Persoonsgegevens van de Klant namens de Klant om de Dienst op grond van de Overeenkomst te leveren.
3.2 Bijlage 1 beschrijft het onderwerp, de aard en het doel van de verwerking, de soorten persoonsgegevens, de categorieën van betrokkenen en de duur van de verwerking.
3.3 De Klant is verwerkingsverantwoordelijke voor de Persoonsgegevens van de Klant. Solidini is verwerker.
3.4 Voor de volgende verwerkingen is Solidini verwerkingsverantwoordelijke en geen verwerker. Deze Verwerkersovereenkomst is daarop niet van toepassing. De Privacyverklaring beschrijft deze verwerkingen. In artikel 9.3 van de Gebruiksvoorwaarden is vastgelegd dat de Klant ermee instemt dat Solidini delen van de Klantgegevens gebruikt voor (a), (b), (f) en (h).
(a) Accountbeheer voor inloggen, beveiliging en het voorkomen van fraude en misbruik.
(b) Het interne toegangslogboek van inzage door medewerkers van Solidini, waarin wordt vastgelegd welke medewerker welk trainingsdocument heeft ingezien.
(c) Facturering, facturen en fiscale administratie.
(d) Websiteanalyse en het contactformulier.
(e) Commercieel contact met clubs.
(f) Het lezen van feedback op oefeningen na de training, om de oefeningenbibliotheek te verbeteren. De Dienst informeert de Geautoriseerde Gebruiker hierover.
(g) De vastlegging van toestemming wanneer een Geautoriseerde Gebruiker een Eigen Oefening zo markeert dat Solidini de ideeën daarin mag gebruiken (artikel 8.7 van de Gebruiksvoorwaarden). Solidini gebruikt zo'n idee zonder de naam van de Geautoriseerde Gebruiker of de Klant.
(h) Productverbetering op basis van geaggregeerde, niet tot personen herleidbare gebruiksstatistieken.
3.5 Solidini gebruikt Persoonsgegevens van de Klant niet om een model voor kunstmatige intelligentie te trainen of te verfijnen. Artikel 13 is van toepassing.
4. Verplichtingen van de Klant
4.1 De Klant is verantwoordelijk voor de rechtmatigheid van de verwerking van Persoonsgegevens van de Klant. De Klant zorgt ervoor dat hij voor elke verwerkingsactiviteit waartoe hij opdracht geeft een rechtsgrond heeft.
4.2 De Klant informeert zijn Geautoriseerde Gebruikers over de verwerking van hun persoonsgegevens in de Dienst, zoals de artikelen 13 en 14 AVG vereisen.
4.3 De Klant zorgt ervoor dat elke Geautoriseerde Gebruiker 16 jaar of ouder is, en dat de Eigenaar 18 jaar of ouder is.
4.4 De Klant zorgt ervoor dat geen enkele Geautoriseerde Gebruiker Verboden Gegevens in de Dienst invoert. Dit geldt voor elk veld, waaronder het gesprek met de assistent, de wekelijkse check-in, het teamgeheugen, Eigen Oefeningen en feedback op oefeningen. Artikel 6 van de Gebruiksvoorwaarden bevat hetzelfde verbod. Een beperking die zonder identiteit is vastgelegd, zoals "2 spelers: niet springen", valt niet onder Spelergegevens zolang geen speler daaruit kan worden geïdentificeerd.
4.5 De Dienst is zo ontworpen dat hij niet om Verboden Gegevens vraagt en deze niet nodig heeft. Solidini verwerkt geen Verboden Gegevens als onderdeel van de Dienst.
4.6 Als Verboden Gegevens in de Dienst worden ingevoerd:
(a) handelt de Klant in strijd met de Overeenkomst, waaronder deze Verwerkersovereenkomst;
(b) blijft de Klant verwerkingsverantwoordelijke voor die gegevens en is hij daarvoor verantwoordelijk;
(c) geeft de Klant Solidini de instructie die gegevens zonder voorafgaande kennisgeving te verwijderen zodra Solidini ze aantreft, of het record waarin zij staan als de gegevens niet kunnen worden gescheiden. Solidini informeert de Eigenaar na de verwijdering per e-mail;
(d) is Solidini niet verplicht naar Verboden Gegevens te zoeken.
4.7 De Klant geeft zijn instructies in overeenstemming met het Gegevensbeschermingsrecht.
5. Verwerking op basis van schriftelijke instructies
5.1 Solidini verwerkt Persoonsgegevens van de Klant uitsluitend op basis van schriftelijke instructies van de Klant. Dit geldt ook voor doorgiften naar een derde land.
5.2 De volledige instructies van de Klant zijn:
(a) de Overeenkomst, waaronder deze Verwerkersovereenkomst; en
(b) het gebruik van de functies van de Dienst door de Klant en zijn Geautoriseerde Gebruikers.
5.3 De Klant kan schriftelijk een aanvullende instructie geven. Solidini volgt die instructie op als zij verenigbaar is met de Overeenkomst en de functies van de Dienst. Is dat niet het geval, dan overleggen partijen daarover te goeder trouw. Solidini mag redelijke kosten in rekening brengen voor een aanvullende instructie die werkzaamheden buiten de normale Dienst vereist, mits Solidini de Klant de kosten meedeelt voordat Solidini de werkzaamheden uitvoert.
5.4 Is Solidini op grond van het recht van de EU of van een lidstaat verplicht Persoonsgegevens van de Klant anders dan op instructie te verwerken, dan stelt Solidini de Klant daarvan vóór de verwerking in kennis. Dit geldt niet als dat recht deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.
5.5 Solidini stelt de Klant onmiddellijk in kennis als een instructie naar het oordeel van Solidini inbreuk maakt op het Gegevensbeschermingsrecht. Solidini mag de uitvoering van die instructie opschorten totdat de Klant haar bevestigt of wijzigt.
6. Geheimhouding
6.1 Solidini geeft alleen toegang tot Persoonsgegevens van de Klant aan personen die deze nodig hebben om de Dienst te leveren, te ondersteunen of te beveiligen.
6.2 Solidini zorgt ervoor dat elk van deze personen gebonden is aan een schriftelijke of een wettelijke geheimhoudingsplicht.
6.3 Deze plicht blijft gelden nadat de werkzaamheden van die persoon voor Solidini zijn beëindigd.
7. Beveiliging
7.1 Solidini treft de technische en organisatorische maatregelen uit Bijlage 2. Deze maatregelen waarborgen een op het risico afgestemd beveiligingsniveau, zoals artikel 32 AVG vereist.
7.2 De Klant heeft Bijlage 2 beoordeeld en erkent dat de maatregelen passend zijn voor de verwerking die in Bijlage 1 is beschreven. Bij deze beoordeling is meegewogen dat Verboden Gegevens niet mogen worden ingevoerd.
7.3 Solidini mag de maatregelen in Bijlage 2 wijzigen om de technische ontwikkelingen te volgen. Een wijziging mag het algehele beveiligingsniveau niet verlagen.
7.4 De Klant is verantwoordelijk voor de beveiliging van zijn eigen apparaten en e-mailaccounts, en voor de toegang die hij aan Geautoriseerde Gebruikers verleent. De Klant verwijdert een Geautoriseerde Gebruiker in de Dienst uit de Organisatie zodra die persoon niet meer namens de Klant optreedt.
8. Bijstand bij de rechten van betrokkenen
8.1 Solidini verleent de Klant door middel van passende technische en organisatorische maatregelen bijstand bij het beantwoorden van verzoeken van betrokkenen op grond van hoofdstuk III AVG.
8.2 Waar mogelijk biedt de Dienst deze bijstand in de vorm van selfservicefuncties. Daartoe behoren:
(a) de pagina van het teamgeheugen, waar een Geautoriseerde Gebruiker leest en verwijdert wat de assistent over een team onthoudt;
(b) de functie waarmee een Geautoriseerde Gebruiker zijn eigen gesprekken, check-ins, persoonlijke geheugennotities en feedback op oefeningen verwijdert;
(c) de functie waarmee een Geautoriseerde Gebruiker zijn eigen account verwijdert;
(d) de functies waarmee een Coördinator of de Eigenaar een Geautoriseerde Gebruiker verwijdert en waarmee de Eigenaar de Organisatie opheft;
(e) het weergeven, afdrukken en bewerken van plannen en trainingen in de Dienst.
8.3 De Dienst heeft geen selfservicefunctie voor export. Voor een kopie van de Klantgegevens geldt artikel 15.1.
8.4 Als de selfservicefuncties niet volstaan, kan de Klant Solidini schriftelijk om bijstand verzoeken via privacy@getteamstride.com. Solidini verleent de bijstand binnen 10 Werkdagen na ontvangst van het verzoek.
8.5 Richt een betrokkene een verzoek over Persoonsgegevens van de Klant rechtstreeks aan Solidini, dan stuurt Solidini het verzoek zonder onredelijke vertraging door aan de Klant. Solidini beantwoordt het verzoek niet zelf, behalve om de ontvangst te bevestigen, om de betrokkene naar de Klant te verwijzen of om de betrokkene naar een selfservicefunctie te verwijzen. Dit laat verzoeken over verwerkingen waarvoor Solidini op grond van artikel 3.4 verwerkingsverantwoordelijke is, onverlet.
8.6 Bijstand op grond van dit artikel maakt deel uit van de Dienst en wordt niet afzonderlijk in rekening gebracht.
9. Effectbeoordelingen, voorafgaande raadpleging en registers
9.1 Solidini verleent de Klant bijstand bij een gegevensbeschermingseffectbeoordeling op grond van artikel 35 AVG en bij een voorafgaande raadpleging van de toezichthoudende autoriteit op grond van artikel 36 AVG, voor zover de beoordeling of raadpleging betrekking heeft op de Dienst. Solidini verstrekt de informatie waarover Solidini beschikt, rekening houdend met de aard van de verwerking.
9.2 Solidini mag redelijke kosten in rekening brengen voor substantiële werkzaamheden op grond van artikel 9.1. Solidini deelt de Klant de geraamde kosten mee voordat Solidini de werkzaamheden uitvoert.
9.3 Solidini houdt een register bij van alle categorieën van verwerkingsactiviteiten die Solidini namens de Klant verricht, zoals artikel 30, lid 2, AVG vereist. Solidini stelt dit register op verzoek ter beschikking van de toezichthoudende autoriteit.
10. Inbreuk in verband met persoonsgegevens
10.1 Solidini meldt een Inbreuk in verband met persoonsgegevens zonder onredelijke vertraging aan de Klant, en uiterlijk 48 uur nadat Solidini daarvan kennis heeft gekregen. Dit geldt ook voor een Inbreuk in verband met persoonsgegevens bij een Subverwerker.
10.2 De melding bevat, voor zover beschikbaar:
(a) de aard van de Inbreuk in verband met persoonsgegevens, waar mogelijk onder vermelding van de categorieën van betrokkenen en persoonsgegevensregisters in kwestie en, bij benadering, het aantal betrokkenen en persoonsgegevensregisters in kwestie;
(b) de naam en de contactgegevens van het contactpunt bij Solidini, te weten privacy@getteamstride.com;
(c) de waarschijnlijke gevolgen van de Inbreuk in verband met persoonsgegevens;
(d) de maatregelen die Solidini heeft genomen of voorstelt te nemen om de Inbreuk in verband met persoonsgegevens aan te pakken, waaronder maatregelen ter beperking van de eventuele nadelige gevolgen daarvan.
10.3 Kan Solidini niet alle informatie tegelijk verstrekken, dan verstrekt Solidini de informatie zonder verdere onredelijke vertraging in fasen.
10.4 Solidini neemt de redelijke maatregelen die haar ter beschikking staan om de Inbreuk in verband met persoonsgegevens in te dammen en de gevolgen ervan te beperken. Solidini houdt de Klant op de hoogte van wezenlijke ontwikkelingen.
10.5 De Klant beslist of hij de inbreuk op grond van de artikelen 33 en 34 AVG meldt aan de toezichthoudende autoriteit en meedeelt aan de betrokkenen. Solidini verleent de Klant op verzoek bijstand bij deze meldingen.
10.6 Solidini doet namens de Klant geen melding aan de toezichthoudende autoriteit of aan betrokkenen, tenzij de Klant Solidini daartoe schriftelijk opdracht geeft. Dit beperkt geen verplichting die Solidini als verwerkingsverantwoordelijke heeft voor haar eigen verwerkingen op grond van artikel 3.4.
10.7 Solidini houdt een logboek bij van elke Inbreuk in verband met persoonsgegevens. Het logboek vermeldt de feiten, de gevolgen en de genomen corrigerende maatregelen. Solidini stelt de vermeldingen in het logboek die op de Klant betrekking hebben op verzoek aan de Klant ter beschikking.
10.8 Een melding op grond van dit artikel is geen erkenning van schuld of aansprakelijkheid door Solidini.
11. Subverwerkers
11.1 De Klant verleent Solidini een algemene schriftelijke toestemming om Subverwerkers in te schakelen. Op de ingangsdatum van deze Verwerkersovereenkomst geeft de Klant toestemming voor de Subverwerkers op de Lijst van Subverwerkers.
11.2 De Lijst van Subverwerkers op de subverwerkerspagina van de Dienst is de maatgevende lijst. Bijlage 3 geeft deze lijst weer zoals die luidt op de ingangsdatum van deze Verwerkersovereenkomst.
11.3 Solidini schakelt een Subverwerker alleen in op basis van een schriftelijke overeenkomst die de Subverwerker dezelfde verplichtingen inzake gegevensbescherming oplegt als deze Verwerkersovereenkomst, zoals artikel 28, lid 4, AVG vereist. Die overeenkomst moet afdoende garanties bieden voor passende technische en organisatorische maatregelen.
11.4 Solidini blijft jegens de Klant volledig aansprakelijk voor de nakoming van de verplichtingen van elke Subverwerker. Artikel 16.5 is van toepassing.
11.5 Solidini kondigt een voorgenomen toevoeging of vervanging van een Subverwerker ten minste 30 dagen vóór de inwerkingtreding van de wijziging aan. Solidini doet deze aankondiging per e-mail aan de Eigenaar en op de subverwerkerspagina van de Dienst. De aankondiging vermeldt de naam van de Subverwerker, het doel, de locatie van de verwerking en het doorgiftemechanisme.
11.6 De Klant kan binnen de aankondigingstermijn schriftelijk bezwaar maken tegen de wijziging. Het bezwaar moet berusten op redelijke gronden die verband houden met gegevensbescherming. De Klant stuurt het bezwaar naar privacy@getteamstride.com.
11.7 Maakt de Klant bezwaar, dan overleggen partijen daarover te goeder trouw. Solidini kan een redelijk alternatief voorstellen, zoals een aanpassing van de configuratie van de Dienst.
11.8 Vinden partijen binnen de aankondigingstermijn geen oplossing, dan kan de Klant de Overeenkomst vóór de inwerkingtreding van de wijziging schriftelijk opzeggen. Solidini betaalt dan de vooruitbetaalde Vergoedingen voor het deel van de Periode na de datum van beëindiging naar rato terug. Om zijn Klantgegevens buiten het bereik van de nieuwe Subverwerker te houden, kan de Eigenaar een kopie opvragen op grond van artikel 15.1 en de Organisatie opheffen voordat de wijziging ingaat.
11.9 Maakt de Klant binnen de aankondigingstermijn geen bezwaar, dan stemt de Klant in met de wijziging.
11.10 Solidini mag een Subverwerker vervangen zonder de aankondigingstermijn van artikel 11.5 in acht te nemen als dat in een noodsituatie noodzakelijk is, zoals bij een beveiligingsrisico, een wetsovertreding of een plotselinge beëindiging van de dienstverlening door de Subverwerker. Solidini doet dan zo spoedig mogelijk een aankondiging. De artikelen 11.6 tot en met 11.8 zijn van toepassing, en de bezwaartermijn begint op de datum van die aankondiging.
12. Internationale doorgiften
12.1 Solidini geeft Persoonsgegevens van de Klant alleen door aan een land buiten de Europese Economische Ruimte als aan de voorwaarden van hoofdstuk V AVG is voldaan.
12.2 Solidini hanteert voor elke doorgifte een van de volgende waarborgen:
(a) een adequaatheidsbesluit van de Europese Commissie, waaronder het adequaatheidsbesluit voor het EU-US Data Privacy Framework voor een ontvanger die daaronder is gecertificeerd, en het adequaatheidsbesluit voor het Verenigd Koninkrijk; of
(b) de Standaardcontractbepalingen, module drie (verwerker aan verwerker), tussen Solidini en de Subverwerker, of tussen de Subverwerker en diens eigen verwerker, zo nodig in combinatie met aanvullende maatregelen.
12.3 Solidini legt voor elke doorgifte op basis van de Standaardcontractbepalingen een doorgiftebeoordeling (transfer impact assessment) vast voordat de doorgifte begint. Solidini stelt op verzoek een samenvatting ter beschikking van de Klant.
12.4 De Klant geeft toestemming voor de doorgiften die in Bijlage 3 zijn vermeld, met de daar vermelde waarborgen.
12.5 Verliest een waarborg zijn geldigheid, dan informeert Solidini de Klant zonder onredelijke vertraging. Solidini neemt dan de maatregelen die nodig zijn om de doorgifte weer rechtmatig te maken, of beëindigt de doorgifte. Op een vervangende Subverwerker is artikel 11.10 van toepassing.
13. Taalmodellen en kunstmatige intelligentie
13.1 De Dienst gebruikt een Modelaanbieder om Output te genereren. Solidini stuurt Persoonsgegevens van de Klant alleen naar een Modelaanbieder om Output voor de Klant te genereren.
13.2 Solidini stuurt een Modelaanbieder alleen de inhoud die nodig is om de Output te genereren. Die inhoud bestaat uit de geaggregeerde teamgegevens, het plan, het teamgeheugen en de tekst die een Geautoriseerde Gebruiker in de Dienst schrijft.
13.3 Solidini zorgt ervoor dat elke Modelaanbieder contractueel verplicht is Persoonsgegevens van de Klant niet te gebruiken om zijn modellen te trainen of te verbeteren.
13.4 Een Modelaanbieder mag Persoonsgegevens van de Klant gedurende een beperkte termijn bewaren om misbruik van zijn dienst te monitoren. Bijlage 3 vermeldt deze termijn per Modelaanbieder. Na afloop van deze termijn verwijdert de Modelaanbieder de gegevens.
13.5 Solidini gebruikt Persoonsgegevens van de Klant niet om een model te trainen of te verfijnen, of het nu een eigen model is of een model van een derde.
13.6 Output wordt gegenereerd door een taalmodel en kan onjuist zijn. De Gebruiksvoorwaarden regelen de verantwoordelijkheden van partijen voor Output.
14. Informatie en audits
14.1 Solidini stelt de Klant alle informatie ter beschikking die nodig is om aan te tonen dat artikel 28 AVG en deze Verwerkersovereenkomst worden nageleefd. Deze informatie omvat:
(a) deze Verwerkersovereenkomst en Bijlage 2;
(b) de Lijst van Subverwerkers;
(c) op verzoek, de auditrapporten of certificeringen die een Subverwerker aan Solidini ter beschikking stelt, voor zover de Subverwerker openbaarmaking toestaat;
(d) op verzoek, schriftelijke antwoorden op redelijke vragen over de verwerking.
14.2 Volstaat de informatie op grond van artikel 14.1 niet om naleving aan te tonen, dan kan de Klant een audit laten uitvoeren. Daarbij gelden de volgende voorwaarden:
(a) een onafhankelijke auditor voert de audit uit;
(b) de auditor is gebonden aan een schriftelijke geheimhoudingsplicht en is geen concurrent van Solidini;
(c) de Klant kondigt de audit ten minste 30 dagen vooraf schriftelijk aan, met een voorstel voor de reikwijdte;
(d) er vindt niet vaker dan eenmaal per periode van twaalf maanden een audit plaats;
(e) de audit vindt plaats tijdens kantooruren op Werkdagen en verstoort de bedrijfsvoering van Solidini niet onredelijk;
(f) de auditor krijgt geen toegang tot gegevens van andere klanten van Solidini, of tot informatie waarvan de verstrekking in strijd zou zijn met geheimhoudingsverplichtingen van Solidini jegens derden;
(g) de audit omvat geen inspectie van de locaties van een Subverwerker; voor een Subverwerker geldt de informatie op grond van artikel 14.1, onder c;
(h) de Klant draagt de kosten van de audit, waaronder de kosten van de auditor.
14.3 In aanvulling op artikel 14.2, onder d, kan de Klant een audit laten uitvoeren na een Inbreuk in verband met persoonsgegevens die zijn Persoonsgegevens van de Klant treft. Die audit is beperkt tot de Inbreuk in verband met persoonsgegevens en de daarmee samenhangende maatregelen. De overige voorwaarden van artikel 14.2 zijn van toepassing.
14.4 De Klant verstrekt Solidini kosteloos een kopie van het auditrapport. Het rapport is vertrouwelijke informatie van Solidini. De Klant mag het rapport delen met een toezichthoudende autoriteit. Blijkt uit de audit dat Solidini deze Verwerkersovereenkomst niet naleeft, dan herstelt Solidini de tekortkoming zonder onredelijke vertraging.
14.5 Solidini staat een audit of inspectie door een bevoegde toezichthoudende autoriteit altijd toe en verleent daaraan medewerking.
15. Teruggave en verwijdering
15.1 Gedurende de Overeenkomst, ook in de status Alleen-lezen, kan de Eigenaar Solidini per e-mail aan support@getteamstride.com om een kopie van de Klantgegevens verzoeken. Solidini levert de kopie kosteloos in een machineleesbaar formaat (JSON of CSV), binnen 10 Werkdagen na het verzoek. Geautoriseerde Gebruikers kunnen gedurende die tijd ook Klantgegevens bekijken en afdrukken met de functies van de Dienst.
15.2 Heft de Eigenaar de Organisatie op, in de Dienst of per e-mail aan support@getteamstride.com, dan verwijdert Solidini de Klantgegevens van die Organisatie direct. Vóór de opheffing waarschuwt de Dienst de Eigenaar dat opheffing alle Klantgegevens verwijdert en niet ongedaan kan worden gemaakt. De Eigenaar doet er goed aan vóór de opheffing de kopie op grond van artikel 15.1 op te vragen.
15.3 Komt de Organisatie op grond van de Gebruiksvoorwaarden in de status Alleen-lezen, dan bewaart Solidini de Klantgegevens gedurende 12 maanden. Solidini stuurt de Eigenaar 30 dagen vóór de verwijdering een e-mail. Na afloop van de 12 maanden verwijdert Solidini de Klantgegevens. De Eigenaar kan de Organisatie vóór die datum opheffen. In dat geval is artikel 15.2 van toepassing.
15.4 Met de artikelen 15.1 tot en met 15.3 kiest de Klant tussen teruggave en verwijdering van de Persoonsgegevens van de Klant na afloop van de verwerking, zoals artikel 28, lid 3, onder g, AVG vereist.
15.5 Verwijderde Klantgegevens blijven maximaal 7 dagen in back-ups aanwezig. Back-ups worden binnen 7 dagen na de verwijdering doorlopend vervangen, waarna de verwijderde gegevens zijn overschreven. Gedurende deze termijn zet Solidini de verwijderde gegevens niet terug, behalve om de Dienst na een incident te herstellen. In dat geval verwijdert Solidini de teruggezette Klantgegevens opnieuw.
15.6 De artikelen 15.2, 15.3 en 15.5 zijn niet van toepassing voor zover Solidini op grond van het recht van de EU of van een lidstaat verplicht is de gegevens op te slaan.
15.7 Facturen en factuurgegevens zijn geen Klantgegevens. Solidini bewaart deze als verwerkingsverantwoordelijke gedurende 7 jaar, zoals het Nederlandse fiscale recht vereist (artikel 52 van de Algemene wet inzake rijksbelastingen, AWR).
15.8 De bewaartermijnen voor specifieke Klantgegevens gedurende de Overeenkomst staan in Bijlage 1. Deze termijnen gelden naast dit artikel.
15.9 Op verzoek van de Klant bevestigt Solidini de verwijdering schriftelijk.
16. Aansprakelijkheid en geldboeten
16.1 De aansprakelijkheid van Solidini op grond van deze Verwerkersovereenkomst is onderworpen aan artikel 15 van de Gebruiksvoorwaarden.
16.2 Die beperking geldt niet voor schade die is veroorzaakt door opzet of bewuste roekeloosheid van Solidini of haar bedrijfsleiding.
16.3 Deze Verwerkersovereenkomst beperkt de rechten van betrokkenen op grond van artikel 82 AVG niet.
16.4 Elke partij draagt de administratieve geldboeten die een toezichthoudende autoriteit haar oplegt. Een partij kan zo'n geldboete niet op de andere partij verhalen. Heeft een partij een betrokkene volledige schadevergoeding betaald, dan kan zij op de andere partij het deel van de schadevergoeding verhalen dat overeenkomt met het aandeel van de andere partij in de verantwoordelijkheid voor de schade, zoals artikel 82, lid 5, AVG bepaalt. Op een dergelijke vordering jegens Solidini is artikel 16.1 van toepassing.
16.5 De aansprakelijkheid van Solidini jegens de Klant voor haar Subverwerkers op grond van artikel 28, lid 4, AVG en artikel 11.4 is niet uitgesloten. Zij blijft onderworpen aan artikel 15 van de Gebruiksvoorwaarden, behalve voor schade die is veroorzaakt door opzet of bewuste roekeloosheid van Solidini of haar bedrijfsleiding.
17. Duur, beëindiging en voortdurende werking
17.1 Deze Verwerkersovereenkomst kan niet los van de Overeenkomst worden opgezegd.
17.2 Deze Verwerkersovereenkomst geldt zolang Solidini Persoonsgegevens van de Klant verwerkt, totdat de verwijdering op grond van artikel 15 is voltooid.
17.3 De artikelen 6, 10, 14, 15, 16 en 18 blijven na het einde van deze Verwerkersovereenkomst van kracht, voor zover dat voor hun doel nodig is.
18. Toepasselijk recht, bevoegde rechter en wijzigingen
18.1 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. Het Verdrag der Verenigde Naties inzake internationale koopovereenkomsten betreffende roerende zaken (CISG) is niet van toepassing.
18.2 De bevoegde rechter in het arrondissement waar Solidini is gevestigd, is bij uitsluiting bevoegd kennis te nemen van alle geschillen over deze Verwerkersovereenkomst, tenzij dwingend recht anders bepaalt.
18.3 Solidini kan deze Verwerkersovereenkomst wijzigen op grond van artikel 18 van de Gebruiksvoorwaarden. Solidini kan deze Verwerkersovereenkomst zonder die procedure wijzigen als een wijziging van het Gegevensbeschermingsrecht, een besluit van een toezichthoudende autoriteit of een rechterlijke uitspraak dat vereist. Een wijziging verlaagt de bescherming van Persoonsgegevens van de Klant niet, tenzij de wet dat vereist.
18.4 Is een bepaling van deze Verwerkersovereenkomst ongeldig, dan blijven de overige bepalingen van kracht. Partijen vervangen de ongeldige bepaling door een geldige bepaling die het doel ervan zo dicht mogelijk benadert.
18.5 Solidini zendt kennisgevingen op grond van deze Verwerkersovereenkomst aan de Eigenaar zoals bepaald in artikel 2.4. De Klant zendt kennisgevingen aan legal@getteamstride.com, en zaken over persoonsgegevens en Inbreuken in verband met persoonsgegevens aan privacy@getteamstride.com.
Bijlage 1: Beschrijving van de verwerking
A1.1 Onderwerp en aard
Solidini host, slaat op, structureert, raadpleegt, toont, verstuurt en verwijdert Persoonsgegevens van de Klant en genereert daaruit inhoud, om de Dienst te leveren.
A1.2 Doeleinden
| # | Doel |
|---|---|
| 1 | Geautoriseerde Gebruikers toegang geven tot de Organisatie, haar teams en hun plannen |
| 2 | Seizoensplannen, weekplannen en trainingen genereren, en Geautoriseerde Gebruikers via de assistent antwoorden |
| 3 | Het teamgeheugen bijhouden, zodat de assistent rekening houdt met eerdere informatie over het team |
| 4 | De inhoud opslaan die Geautoriseerde Gebruikers schrijven: gesprekken, check-ins, geheugennotities, Eigen Oefeningen en feedback op oefeningen |
| 5 | Uitnodigingen en andere service-e-mails versturen die betrekking hebben op de Organisatie |
| 6 | De Dienst ondersteunen, onderhouden en beveiligen, waaronder het opsporen van fouten |
| 7 | Een kopie van Persoonsgegevens van de Klant verstrekken en deze verwijderen op grond van deze Verwerkersovereenkomst en op instructie |
A1.3 Categorieën van betrokkenen
| Categorie | Toelichting |
|---|---|
| Geautoriseerde Gebruikers van de Klant | Eigenaar, Coördinatoren en Trainers. De Eigenaar is 18 jaar of ouder; Coördinatoren en Trainers zijn 16 jaar of ouder |
| Personen die voor de Organisatie zijn uitgenodigd | Alleen het e-mailadres, totdat de uitnodiging is aanvaard of is verlopen |
| Iedere persoon die in vrije tekst wordt genoemd | Alleen incidenteel, en in strijd met de Overeenkomst. Artikel 4.6 is van toepassing |
A1.4 Soorten persoonsgegevens
| Soort | Voorbeelden |
|---|---|
| Identiteit en contact | E-mailadres, optionele weergavenaam |
| Inloggen | Eenmalige inloglinks (tokens van inloglinks), sessies |
| Organisatie en rol | Lidmaatschappen, rollen, toewijzingen aan teams, uitnodigingen (uitgenodigd e-mailadres) |
| Inhoud geschreven door Geautoriseerde Gebruikers | Gesprekken met de assistent, wekelijkse check-ins, notities in het teamgeheugen, Eigen Oefeningen, feedback op oefeningen na de training |
| Gebruiks- en technische gegevens | Gebruikslogs, IP-adres in technische logs |
Teamgegevens zijn geaggregeerd: teamnaam, sport, leeftijdscategorie, aantal spelers, niveau, trainingsmomenten, wedstrijden en doelen. Het zijn geen persoonsgegevens van spelers. Een beperking die zonder identiteit is vastgelegd, zoals "2 spelers: niet springen", is geen persoonsgegeven zolang geen speler daaruit kan worden geïdentificeerd.
A1.5 Bijzondere categorieën van persoonsgegevens
Geen. Bijzondere categorieën van persoonsgegevens en andere Verboden Gegevens zijn verboden (artikel 4.4).
A1.6 Frequentie en duur
De verwerking vindt doorlopend plaats gedurende de Overeenkomst. Zij eindigt wanneer Solidini de Klantgegevens op grond van artikel 15 heeft verwijderd.
A1.7 Bewaartermijnen
| Gegevens | Bewaartermijn |
|---|---|
| Gesprek met de assistent | 90 dagen |
| Wekelijkse check-in incl. vrije tekst | 90 dagen |
| Feedback op oefeningen na de training | 180 dagen |
| Onvoltooide onboarding | 30 dagen |
| Intern toegangslogboek (wie bij Solidini welk trainingsdocument heeft ingezien) | 730 dagen |
| Aanvaardingsregistratie (wie de Gebruiksvoorwaarden en de Verwerkersovereenkomst heeft aanvaard, en wanneer) | zolang de Organisatie bestaat, daarna 7 jaar |
| Teamgeheugen | zolang het team bestaat |
| Account, organisatie, teams, plannen | totdat de Eigenaar de Organisatie opheft (direct verwijderd); anders verwijderd 12 maanden nadat de Organisatie in de status Alleen-lezen is gekomen, na een waarschuwing per e-mail 30 dagen vooraf |
| Facturen en factuurgegevens | 7 jaar (Nederlands fiscaal recht, art. 52 AWR) |
| Technische logs (Axiom) | 30 dagen |
| Back-ups (Supabase) | maximaal 7 dagen, doorlopend; de verwijdering werkt door wanneer de back-ups worden vervangen |
Het interne toegangslogboek, de aanvaardingsregistratie en de facturen en factuurgegevens zijn gegevens waarvoor Solidini verwerkingsverantwoordelijke is (artikel 3.4). Zij zijn volledigheidshalve in deze tabel opgenomen.
Bijlage 2: Technische en organisatorische maatregelen
A2.1 Toegangsbeheer voor gebruikers
- Solidini slaat geen wachtwoorden op. Een Geautoriseerde Gebruiker logt uitsluitend in met een eenmalige link die per e-mail wordt verstuurd (inloglink).
- Een inloglink verloopt en kan eenmaal worden gebruikt.
- Sessies worden aan de serverzijde opgeslagen en kunnen worden beëindigd.
- Uitnodigingstokens zijn willekeurig en eenmalig bruikbaar, en worden uitsluitend als cryptografische hash opgeslagen.
- De toegang is gebaseerd op rollen. De rollen zijn Eigenaar, Coördinator en Trainer. Alleen de Eigenaar beheert het abonnement en heft de Organisatie op.
- Een gesprek met de assistent, de persoonlijke geheugennotities van een trainer en feedback na de training zijn niet zichtbaar voor andere Geautoriseerde Gebruikers. Het teamgeheugen is zichtbaar voor de trainers van dat team.
- De Dienst beperkt het aantal inlogverzoeken per e-mailadres en per bron, en het aantal berichten aan de assistent per Geautoriseerde Gebruiker, om misbruik te voorkomen.
A2.2 Scheiding van klantomgevingen
- Elke Klant is een afzonderlijke Organisatie in het datamodel. Elke query op Klantgegevens is afgebakend per organisatie, en per team waar de rol dat vereist.
- Elke identificator die in een verzoek binnenkomt, wordt herleid tot de bijbehorende organisatie en getoetst aan de toegangsrechten van de Geautoriseerde Gebruiker voordat gegevens worden gelezen.
- De Dienst geeft hetzelfde antwoord op "niet van jou" en "bestaat niet", zodat niet kenbaar wordt welke records bestaan.
- Geautomatiseerde tests bewaken de regels voor de scheiding van klantomgevingen.
A2.3 Versleuteling
- Al het verkeer tussen de browser en de Dienst gebruikt TLS. De Dienst verstuurt HTTP Strict Transport Security-headers.
- Het verkeer tussen de Dienst en zijn Subverwerkers gebruikt TLS.
- De databaseaanbieder versleutelt de database en de back-ups daarvan in opgeslagen toestand.
A2.4 Applicatiebeveiliging
- Alle databasequery's gebruiken gebonden parameters.
- De Dienst geeft modeloutput weer als tekst, niet als code.
- De Dienst stelt beveiligingsheaders in, waaronder een content security policy en een beleid dat weergave in frames weigert.
- Geheimen worden bewaard in de omgevingsconfiguratie van de hostingaanbieder en niet opgeslagen in de broncode.
- Geplande interne endpoints vereisen een geheim dat in constante tijd wordt vergeleken.
A2.5 Logging en monitoring
- Technische logs worden 30 dagen in de EU bewaard.
- Elke logregel doorloopt een maskeringsstap voordat zij de Dienst verlaat. De maskering verwijdert e-mailadressen, IP-adressen, inloggegevens, tokens, cookies en verbindingsstrings van databases.
- Vrije tekst die Geautoriseerde Gebruikers schrijven, wordt in productie niet gelogd.
- Elke inzage door medewerkers van Solidini in trainingsdocumenten over organisaties heen, en in feedback op oefeningen, wordt vastgelegd in een intern toegangslogboek. Het logboek legt vast wie wat heeft ingezien en hoeveel records, niet de inhoud. Het wordt 730 dagen bewaard.
A2.6 Beschikbaarheid en back-up
- De databaseaanbieder maakt dagelijks back-ups en bewaart deze maximaal 7 dagen.
- De Dienst draait op de infrastructuur van de hostingaanbieder en de databaseaanbieder, zoals vermeld in Bijlage 3.
A2.7 Ontwikkeling en wijzigingsbeheer
- Test en productie gebruiken afzonderlijke databases.
- Wijzigingen in de databasestructuur verlopen uitsluitend via migraties onder versiebeheer.
- Productie wordt uitsluitend via één vastgesteld releaseproces uitgerold.
- Een testfunctie voor inloggen bestaat alleen buiten productie. Zij kan in productie niet worden ingeschakeld.
- Solidini controleert softwareafhankelijkheden op bekende kwetsbaarheden.
- Solidini beoordeelt de beveiliging van de Dienst wanneer Solidini een nieuwe, extern bereikbare functie toevoegt.
A2.8 Medewerkers en interne toegang
- Toegang tot productiesystemen is beperkt tot met naam aangewezen medewerkers van Solidini die deze toegang nodig hebben, volgens het beginsel van minimale rechten.
- Medewerkers gebruiken meervoudige authenticatie op de beheeromgevingen van de aanbieders in Bijlage 3.
- Medewerkers zijn gebonden aan geheimhoudingsverplichtingen (artikel 6).
- Toegangsrechten worden ingetrokken wanneer een medewerker deze niet meer nodig heeft.
A2.9 Incidentrespons
- Solidini heeft een procedure om een Inbreuk in verband met persoonsgegevens op te sporen, te beoordelen, in te dammen en te melden.
- Solidini stelt de Klant in kennis op grond van artikel 10 en houdt een logboek van inbreuken bij.
- Meldingen aan Solidini gaan naar
privacy@getteamstride.com.
A2.10 Minimale gegevensverwerking door ontwerp
- De Dienst vraagt niet om Spelergegevens. Teamgegevens zijn geaggregeerd.
- De Dienst stuurt een Modelaanbieder alleen de inhoud die nodig is om Output te genereren (artikel 13).
- Records met een bewaartermijn krijgen een verwijderdatum die de database vastlegt bij het aanmaken van het record. Een geplande taak verwijdert records zodra die datum is verstreken.
- Geautoriseerde Gebruikers kunnen hun eigen inhoud en het teamgeheugen verwijderen met selfservicefuncties (artikel 8.2).
Bijlage 3: Subverwerkers
De Lijst van Subverwerkers op de subverwerkerspagina van de Dienst is de maatgevende en actuele lijst (artikel 11.2). Deze tabel geeft die lijst weer zoals die luidt op de ingangsdatum van deze Verwerkersovereenkomst. "SCC's" betekent de Standaardcontractbepalingen. "EU-US DPF" betekent het EU-US Data Privacy Framework.
| Subverwerker | Doel | Locatie van de verwerking | Doorgiftemechanisme |
|---|---|---|---|
| Vercel Inc. (VS) | Hosting van de webapplicatie, serverless functies, CDN, cookieloze webanalyse | Wereldwijd edge-netwerk; functies in Frankfurt, Duitsland (fra1) | EU-US Data Privacy Framework (Vercel is gecertificeerd) + SCC's in de verwerkersovereenkomst van Vercel |
| Supabase Inc. (VS) | Hosting van de database (PostgreSQL), back-ups | Londen, Verenigd Koninkrijk (AWS eu-west-2) | Adequaatheidsbesluit voor het VK (EU 2021, verlengd op 19 december 2025); SCC's voor eventuele toegang vanuit de VS |
| OpenAI, L.L.C. / OpenAI Ireland Ltd | Groot taalmodel dat plannen en antwoorden van de assistent genereert. API-gegevens worden niet gebruikt voor training; OpenAI bewaart ze maximaal 30 dagen voor het monitoren van misbruik en verwijdert ze daarna | Verenigde Staten | SCC's (module 3) in de verwerkersovereenkomst van OpenAI |
| Resend (Plus Five Five Inc.) | Transactionele e-mail: inloglinks, uitnodigingen, factuurberichten | Verenigde Staten | EU-US DPF (Resend is gecertificeerd) + SCC's in de verwerkersovereenkomst van Resend |
| Axiom Inc. | Applicatielogs en foutdiagnose (gemaskeerd: geen e-mailadressen, geen vrije tekst) | EU (eu-central-1, Frankfurt) | Verwerking in de EU; SCC's voor eventuele toegang vanuit de VS voor ondersteuning |
De Modelaanbieder voor artikel 13 is OpenAI.
Stripe Payments Europe Ltd (Ierland) verwerkt betalingsgegevens. Stripe treedt voor betalingsgegevens op als zelfstandige verwerkingsverantwoordelijke onder zijn eigen voorwaarden. Betalingsgegevens zijn geen Klantgegevens. De subverwerkerspagina vermeldt Stripe met het oog op transparantie.