Verwerkersovereenkomst – Klankkamer

Versie 2026-08-11 (11-08-2026). Opgesteld volgens de modelbepalingen van de Europese Commissie voor verwerkersovereenkomsten, Uitvoeringsbesluit (EU) 2021/915 bij artikel 28 lid 7 AVG.

Partijen

De Verwerkingsverantwoordelijke: de muziekvereniging die gebruikmaakt van Klankkamer, hierna “de Vereniging”. De identiteit van de Vereniging, de naam van degene die namens haar akkoord geeft, de datum en de versie van deze overeenkomst worden bij het akkoord digitaal vastgelegd. Die vastlegging geldt als bijlage A (lijst van partijen) en als bewijs van de overeenkomst.

De Verwerker: Klankkamer, ingeschreven in het handelsregister onder KvK-nummer 97165352, e-mail info@klankkamer.nl, hierna “Klankkamer”.

Partijen komen deze verwerkersovereenkomst overeen om te voldoen aan artikel 28 lid 3 van de Algemene verordening gegevensbescherming (AVG) en om de rechten en vrijheden van betrokkenen te waarborgen.

Clausule 1 – Doel en toepassingsgebied

Deze overeenkomst is van toepassing op alle verwerkingen van persoonsgegevens die Klankkamer uitvoert ten behoeve van de Vereniging in het kader van het gebruik van het platform, zoals beschreven in bijlage B.

De bijlagen maken integraal onderdeel uit van deze overeenkomst.

Clausule 2 – Onveranderlijkheid van de bepalingen

Partijen wijzigen de clausules van deze overeenkomst niet, behalve om aanvullende waarborgen toe te voegen of om de bijlagen bij te werken. Dit belet partijen niet om deze overeenkomst op te nemen in een ruimere overeenkomst, of om aanvullende bepalingen af te spreken, mits die niet in strijd zijn met deze overeenkomst of afbreuk doen aan de rechten van betrokkenen.

Clausule 3 – Uitleg

Begrippen die in deze overeenkomst worden gebruikt en die in de AVG zijn gedefinieerd, hebben dezelfde betekenis als in de AVG. Deze overeenkomst wordt uitgelegd in het licht van de bepalingen van de AVG en op een wijze die niet indruist tegen de rechten van betrokkenen.

Clausule 4 – Rangorde

Bij tegenstrijdigheid tussen deze overeenkomst en de algemene voorwaarden of andere afspraken tussen partijen, gaat deze verwerkersovereenkomst voor waar het de verwerking van persoonsgegevens betreft.

Clausule 5 – Beschrijving van de verwerking

De categorieën betrokkenen, de soorten persoonsgegevens, de aard en het doel van de verwerking en de duur ervan zijn beschreven in bijlage B.

Clausule 6 – Verplichtingen van partijen

6.1 Instructies

Klankkamer verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de Vereniging. Het gebruik van het platform door de Vereniging en haar gebruikers geldt als zodanige instructie, evenals deze overeenkomst en aanvullende schriftelijke instructies.

Klankkamer stelt de Vereniging onmiddellijk op de hoogte als een instructie naar haar oordeel in strijd is met de AVG of met andere gegevensbeschermingsregels, en mag de uitvoering van die instructie in dat geval opschorten.

Verwerkt Klankkamer persoonsgegevens op grond van een wettelijke verplichting, dan stelt zij de Vereniging daarvan vooraf op de hoogte, tenzij die wetgeving dit verbiedt om gewichtige redenen van algemeen belang.

6.2 Doelbinding

Klankkamer verwerkt de persoonsgegevens uitsluitend voor de in bijlage B beschreven doeleinden, tenzij de Vereniging aanvullende instructies geeft. Klankkamer gebruikt de gegevens niet voor eigen doeleinden, verstrekt ze niet aan derden buiten de in bijlage D genoemde subverwerkers, en gebruikt ze niet voor het trainen van modellen, voor reclame of voor profilering.

6.3 Duur

Klankkamer verwerkt de persoonsgegevens zolang de Vereniging gebruikmaakt van het platform, en daarna uitsluitend voor zover nodig om uitvoering te geven aan clausule 9.

6.4 Beveiliging van de verwerking

Klankkamer treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, waaronder maatregelen ter bescherming tegen een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van of toegang tot persoonsgegevens. De getroffen maatregelen zijn beschreven in bijlage C.

Klankkamer verleent alleen toegang aan personen voor wie dat noodzakelijk is voor de uitvoering van de overeenkomst, en bindt die personen aan geheimhouding.

6.5 Bijzondere categorieën van persoonsgegevens

Het platform is niet bedoeld voor de verwerking van bijzondere categorieën van persoonsgegevens. Legt de Vereniging in vrije velden (zoals opmerkingen) toch dergelijke gegevens vast, dan gebeurt dat op haar eigen verantwoordelijkheid en dient zij te zorgen voor een geldige grondslag en passende aanvullende waarborgen.

6.6 Documentatie en naleving

Klankkamer toont op verzoek aan dat zij deze overeenkomst naleeft, en stelt de Vereniging de informatie beschikbaar die daarvoor nodig is.

Klankkamer werkt mee aan audits van de verwerkingen, waaronder inspecties door de Vereniging of een door haar gemachtigde onafhankelijke auditor. Partijen stemmen tijdstip en omvang vooraf met elkaar af, waarbij een audit ten hoogste eenmaal per jaar plaatsvindt, tenzij er concrete aanwijzingen zijn van een tekortkoming of een toezichthouder daartoe aanleiding geeft. De kosten van een door de Vereniging geïnitieerde audit komen voor haar rekening, tenzij daaruit een wezenlijke tekortkoming van Klankkamer blijkt.

6.7 Inschakelen van subverwerkers

De Vereniging geeft Klankkamer algemene toestemming om subverwerkers in te schakelen. De op dit moment ingeschakelde subverwerkers staan in bijlage D.

Klankkamer informeert de Vereniging ten minste dertig dagen voordat zij een nieuwe subverwerker inschakelt of een bestaande vervangt, zodat de Vereniging bezwaar kan maken. Maakt de Vereniging gemotiveerd bezwaar en komen partijen er niet uit, dan kan de Vereniging de overeenkomst beëindigen zonder kosten voor de resterende looptijd.

Klankkamer legt aan iedere subverwerker dezelfde verplichtingen op als in deze overeenkomst zijn opgenomen, en blijft jegens de Vereniging volledig aansprakelijk voor de nakoming door de subverwerker.

6.8 Doorgifte buiten de Europese Economische Ruimte

Persoonsgegevens worden opgeslagen binnen de Europese Economische Ruimte. Doorgifte naar een derde land vindt alleen plaats als daarvoor een geldige grondslag onder hoofdstuk V van de AVG bestaat, en na melding aan de Vereniging. Op dit moment zijn er twee structurele uitzonderingen, beide toegelicht in bijlage D: de technische aflevering van pushmeldingen via de pushdienst van de browser of het besturingssysteem van de ontvanger, en enkele onderdelen van de dienstverlening van Brevo waarvoor Amerikaanse leveranciers worden ingeschakeld onder het EU-US Data Privacy Framework en de modelcontractbepalingen van de Europese Commissie.

Clausule 7 – Bijstand aan de Vereniging

Klankkamer stelt de Vereniging onverwijld op de hoogte van een verzoek dat zij rechtstreeks van een betrokkene ontvangt. Klankkamer beantwoordt een dergelijk verzoek niet zelf, tenzij de Vereniging haar daartoe machtigt.

Klankkamer verleent de Vereniging passende bijstand bij het nakomen van haar verplichtingen, waaronder:

  • het afhandelen van verzoeken van betrokkenen tot inzage, rectificatie, wissing, beperking, bezwaar en overdraagbaarheid van gegevens;
  • het informeren van betrokkenen bij een inbreuk in verband met persoonsgegevens;
  • het uitvoeren van een gegevensbeschermingseffectbeoordeling en, indien nodig, de voorafgaande raadpleging van de toezichthoudende autoriteit;
  • het waarborgen van de beveiliging van de verwerking.

Voor bijstand die redelijkerwijs binnen het normale gebruik van het platform valt, brengt Klankkamer geen kosten in rekening.

Clausule 8 – Melding van een inbreuk in verband met persoonsgegevens

Klankkamer stelt de Vereniging zonder onredelijke vertraging en uiterlijk binnen 24 uur nadat zij daarvan kennis heeft genomen, op de hoogte van een inbreuk in verband met persoonsgegevens. Die melding bevat ten minste:

  • de aard van de inbreuk, waar mogelijk met vermelding van de categorieën en het aantal betrokkenen en gegevens;
  • de waarschijnlijke gevolgen van de inbreuk;
  • de getroffen en voorgestelde maatregelen om de inbreuk aan te pakken en de nadelige gevolgen ervan te beperken;
  • de contactgegevens van het aanspreekpunt bij Klankkamer.

Is niet alle informatie direct beschikbaar, dan wordt deze in fasen verstrekt, zonder dat dit de eerste melding vertraagt. Het is aan de Vereniging om te beoordelen of melding bij de Autoriteit Persoonsgegevens of aan de betrokkenen nodig is; Klankkamer levert daarvoor de benodigde informatie.

Klankkamer documenteert alle inbreuken, inclusief de feiten, de gevolgen en de getroffen maatregelen.

Clausule 9 – Teruggave en verwijdering na afloop

Na beëindiging van het gebruik van het platform verstrekt Klankkamer de Vereniging op verzoek een volledige export van haar gegevens in een gangbaar, machinaal leesbaar formaat.

Vervolgens verwijdert Klankkamer de persoonsgegevens binnen dertig dagen, inclusief bestaande kopieën, tenzij de Vereniging om een andere termijn verzoekt of het Unierecht of het lidstatelijke recht bewaring voorschrijft. Back-ups die uitsluitend voor calamiteitenherstel bestaan, verlopen volgens de reguliere back-upcyclus van de hostingpartij en zijn uiterlijk één maand na verwijdering verlopen. Klankkamer bevestigt de verwijdering desgevraagd schriftelijk.

Clausule 10 – Niet-naleving en beëindiging

De Vereniging kan de overeenkomst beëindigen indien Klankkamer haar verplichtingen uit deze overeenkomst niet nakomt en dit niet binnen een redelijke termijn herstelt, indien Klankkamer een bindende beslissing van een toezichthouder of rechter niet naleeft, of indien Klankkamer in staat van faillissement verkeert.

Klankkamer stelt de Vereniging op de hoogte wanneer zij door wetgeving die op haar van toepassing wordt, niet langer aan deze overeenkomst kan voldoen. In dat geval kan de Vereniging de overeenkomst beëindigen.

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde Nederlandse rechter.


Bijlage A – Lijst van partijen

Verwerkingsverantwoordelijke: de Vereniging, zoals vastgelegd bij het digitale akkoord op deze overeenkomst. Daarbij worden bewaard: de naam van de vereniging, de naam en het e-mailadres van degene die namens haar akkoord gaf, het tijdstip, de versie van deze overeenkomst en het IP-adres waarmee het akkoord is gegeven.

Verwerker: Klankkamer, KvK 97165352. Contactpersoon voor gegevensbescherming: info@klankkamer.nl.

Bijlage B – Beschrijving van de verwerking

Categorieën betrokkenen

  • leden en aspirant-leden van de Vereniging, en hun eventuele ouders of verzorgers;
  • muzikanten, dirigenten, docenten en bestuursleden;
  • gebruikers met een account in de omgeving van de Vereniging;
  • relaties van de Vereniging, zoals contactpersonen van andere verenigingen en leveranciers;
  • kopers van kaarten, vrienden en donateurs;
  • bezoekers die zich via een publiek formulier van de Vereniging aanmelden.

Categorieën persoonsgegevens

  • Identificatie- en contactgegevens: naam, adres, postcode, woonplaats, e-mailadres, telefoonnummer, geboortedatum, geslacht, lidnummer.
  • Lidmaatschapsgegevens: status, start- en einddatum, instrument, instrumentgroep, sectie, functies en rollen, jubilea.
  • Financiële gegevens: bankrekeningnummer (IBAN), contributiegegevens en betaalstatus van bestellingen.
  • Deelnamegegevens: aanwezigheid bij repetities en optredens, deelname aan evenementen, antwoorden op peilingen, ingediende ideeën en stemmen.
  • Communicatiegegevens: onderlinge berichten en reacties, meldingen, verzonden e-mails en de status daarvan.
  • Materiaalgegevens: uitgeleende instrumenten en bladmuziek, bruikleenovereenkomsten inclusief digitale handtekening.
  • Bestandsgegevens: geüploade foto's, documenten en bijlagen.
  • Technische gegevens: inlog- en sessiegegevens, audit-log van wijzigingen aan gebruikers en rollen, pushabonnementen, foutmeldingen.
  • Vrije velden: opmerkingen en notities die de Vereniging zelf invult.

Aard en doel van de verwerking

Het opslaan, ordenen, raadplegen, wijzigen, verstrekken aan geautoriseerde gebruikers, exporteren en wissen van gegevens, met als doel het beschikbaar stellen van een platform voor ledenadministratie, planning, aanwezigheidsregistratie, muziekbibliotheek en -planning, materiaalbeheer, communicatie met leden, bestuursondersteuning, kaartverkoop en donaties, en het beheer, de beveiliging en de ondersteuning van dat platform.

Duur van de verwerking

Voor de duur van het gebruik van het platform door de Vereniging, en daarna zoals bepaald in clausule 9. De Vereniging bepaalt zelf de bewaartermijnen van de inhoudelijke gegevens en kan die op elk moment verwijderen. Voor gegevens die Klankkamer voor eigen beheer en beveiliging vastlegt, gelden de volgende termijnen: inlogcodes tien minuten, e-maillog maximaal twaalf maanden, sessielog maximaal 24 maanden (een gehashte gebruikerscode, geen naam of e-mailadres), audit-log zolang de omgeving bestaat. Deze termijnen worden automatisch afgedwongen door een opschoontaak die ten minste wekelijks draait.

Bijlage C – Technische en organisatorische maatregelen

Toegangsbeveiliging

  • Inloggen zonder wachtwoord: een eenmalige code of inloglink per e-mail, tien minuten geldig en eenmalig bruikbaar. Er worden dus geen wachtwoorden van gebruikers opgeslagen die kunnen lekken of worden hergebruikt.
  • Beperking van het aantal inlogaanvragen per e-mailadres en per IP-adres, tegen misbruik en mailbombardementen.
  • Vernieuwing van de sessie bij het inloggen, ter voorkoming van sessieovername.
  • Rollen- en rechtenmodel per vereniging, waarbij schermen en gegevens standaard gesloten zijn en alleen opengaan bij een expliciet toegekend recht.
  • Onthoud-mij-functie op basis van een willekeurig token dat afzonderlijk kan worden ingetrokken.

Scheiding van gegevens

  • Strikte scheiding tussen verenigingen: elke vereniging heeft een eigen, afgeschermde gegevensopslag. Er is geen gedeelde ledenlijst en geen toegang tussen omgevingen.
  • Gegevensopslag en configuratie zijn op de webserver afgeschermd voor directe toegang van buitenaf.
  • Geüploade bestanden zijn niet via een raadbaar webadres op te vragen: elke aanvraag loopt langs een rechtencontrole.

Integriteit van de verwerking

  • Alle wijzigende handelingen zijn centraal beschermd tegen misbruik vanaf andere websites (CSRF).
  • Invoer wordt gevalideerd en uitvoer wordt geëscaped ter voorkoming van code-injectie.
  • Foutmeldingen tonen in productie geen technische details, maar worden wel gelogd.
  • Alle scripts en stijlbestanden worden vanaf de eigen server geladen; er worden geen externe content delivery networks gebruikt.

Transport en opslag

  • Al het verkeer verloopt versleuteld via HTTPS.
  • Servers staan binnen de Europese Unie (Nederland).
  • De hostingomgeving maakt ten minste eenmaal per dag een back-up. Er zijn dagelijkse back-ups (zeven dagen bewaard), wekelijkse (twee weken) en maandelijkse (één maand); de oudste beschikbare back-up is daarmee maximaal één maand oud.

Controleerbaarheid

  • Audit-log van wijzigingen aan gebruikers en rollen, met wie, wat en wanneer.
  • Sessielogging van inlogmomenten.
  • Log van verzonden e-mails met adres, onderwerp, tijdstip en status.
  • Beveiligingsheaders op elke pagina (HSTS, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy en Permissions-Policy), zodat er geen scripts van externe herkomst kunnen worden geladen en de omgeving niet door een vreemde site in een frame kan worden gezet.
  • Het beheerdersaccount van het platform is beveiligd met een gehasht wachtwoord en een limiet op het aantal inlogpogingen per IP-adres.

Organisatorisch

  • Toegang tot productiegegevens is beperkt tot het beheer van Klankkamer, en uitsluitend voor beheer en ondersteuning.
  • Geheimhouding is van toepassing op iedereen met toegang.
  • Alle wijzigingen aan het platform verlopen via versiebeheer met beoordeling per wijziging; wijzigingen die toegang of persoonsgegevens raken krijgen een aanvullende beveiligingsbeoordeling.
  • Beveiligingsmeldingen kunnen worden gedaan via info@klankkamer.nl en worden vertrouwelijk behandeld.

Bijlage D – Subverwerkers

Partij Dienst Locatie
MijnDomein Hosting: opslag en beschikbaarheid van het platform en de back-ups Nederland (EU)
Brevo Verzending van e-mail: inlogcodes, meldingen en mailings. Brevo schakelt op haar beurt subverwerkers in; de e-mailverwerking draait op servers in Frankrijk en Duitsland, en voor enkele onderdelen worden Amerikaanse leveranciers ingezet onder het EU-US Data Privacy Framework en de modelcontractbepalingen. Frankrijk (EU), deels VS met waarborgen
Mollie Afhandeling van online betalingen bij kaartverkoop en donaties. Mollie is voor de betaalgegevens zelf verwerkingsverantwoordelijke. Nederland (EU)
Pushdiensten van browsers en besturingssystemen Technische aflevering van pushmeldingen op het apparaat van de gebruiker, alleen als die gebruiker pushmeldingen zelf heeft aangezet. Er worden uitsluitend de meldingstekst en een technisch adres verstuurd, geen ledengegevens. Afhankelijk van de browser, mogelijk buiten de EER
Privacyverklaring Algemene voorwaarden Naar de homepage