Verwerkersovereenkomst

1. Rollen

Voor persoonsgegevens van ticketkopers is de organisator de verwerkingsverantwoordelijke (controller) en is RaveDragons V.O.F., exploitant van RaveTickets, de verwerker (processor). We verwerken deze gegevens alleen om de dienst te leveren en alleen op basis van je schriftelijke (gedocumenteerde) instructies, waaronder je gebruik van het platform en de Algemene voorwaarden.

2. Reikwijdte en duur

• Onderwerp en doel: het verkopen en leveren van tickets, het personaliseren van passes, het scannen bij de toegang, en het afhandelen van bijbehorende support en terugbetalingen.
• Betrokkenen: de ticketkopers en bezoekers van je evenementen.
• Categorieën van gegevens: naam, e-mailadres, bestel- en ticketgegevens, namen van bezoekers per ticket als je die inschakelt, registraties van deurscans en toestel-ID's voor Wallet-passes. Gegevens van betaalkaarten worden rechtstreeks door Stripe verwerkt en niet door ons.
• Duur: zolang je de dienst gebruikt, en daarna zoals beschreven in artikel 6.

3. Onze verplichtingen als verwerker

• de gegevens alleen verwerken op jouw instructies en voor de doelen hierboven;
• de gegevens vertrouwelijk houden en ervoor zorgen dat de mensen die er toegang toe hebben aan geheimhouding zijn gebonden;
• passende technische en organisatorische beveiligingsmaatregelen treffen (artikel 5);
• je, rekening houdend met de aard van de verwerking, bijstaan bij het beantwoorden van verzoeken van betrokkenen en bij het nakomen van je verplichtingen rond beveiliging, het melden van datalekken en gegevensbeschermingseffectbeoordelingen;
• je zonder onredelijke vertraging informeren nadat we kennis hebben gekregen van een inbreuk in verband met persoonsgegevens (datalek) die jouw gegevens raakt;
• de informatie beschikbaar stellen die nodig is om naleving aan te tonen, en redelijke audits mogelijk maken en eraan bijdragen.

4. Subverwerkers

Je geeft ons een algemene toestemming om subverwerkers in te schakelen om de dienst te leveren. We leggen hun verplichtingen voor gegevensbescherming op die vergelijkbaar zijn met die in deze verwerkersovereenkomst. De huidige subverwerkers zijn:

• Stripe (betalingen en verificatie voor payouts)
• Supabase (authenticatie en database, EU / Ierland)
• Vercel (hosting van de webapplicatie en de ticketshop, functies in de EU / Ierland)
• Een server in Duitsland (VPS) (verwerking van deurscans, statistieken en crashrapporten)
• Een externe opslagdienst voor back-ups (back-ups, versleuteld vóór het uploaden)
• Upstash (kortstondige tellers tegen misbruik, EU / Ierland)
• Resend en onze SMTP-e-mailprovider (transactionele e-mail)
• Mapbox (locatie van het evenement op tickets)
• Apple Wallet en Google Wallet (levering van passes)

We laten je vooraf weten als we deze lijst willen wijzigen, en geven je de gelegenheid daartegen bezwaar te maken.

5. Beveiliging en internationale doorgifte

Persoonsgegevens worden opgeslagen binnen de Europese Economische Ruimte: bij Supabase en Upstash in Ierland, bij Vercel in Ierland en op een server in Duitsland. Versleutelde back-upkopieën worden daarnaast opgeslagen bij een externe opslagdienst in een land waarvan de Europese Commissie heeft erkend dat het een passend beschermingsniveau biedt. We beschermen de gegevens met versleuteling tijdens het transport, toegangscontrole en functiescheiding, en we houden identiteits- en betaalgegevens afgeschermd bij Stripe in plaats van op onze eigen systemen. Wanneer een subverwerker gegevens buiten de EER verwerkt, is de doorgifte gedekt door passende waarborgen, met name de standaardcontractbepalingen (Standard Contractual Clauses) van de Europese Commissie.

Ons platformpersoneel met een supportrol, financiële rol of eigenaarsrol kan de bestellingen van je evenementen en de kopergegevens daarin inzien om support te geven. Elke bestelling die zij in onze platform-backoffice openen, wordt vastgelegd in een auditlog. Ze kunnen ook je backoffice alleen-lezen openen om support te geven; het begin van elke zo'n sessie, en het einde ervan wanneer het personeel de sessie beëindigt, worden vastgelegd in je eigen auditlog. Een sessie eindigt na 30 minuten vanzelf.

6. Teruggave en verwijdering

Bij beëindiging verwijderen we de gegevens of geven we ze aan je terug, naar jouw keuze, behalve wanneer we bepaalde gegevens moeten bewaren om aan een wettelijke verplichting te voldoen, zoals de bewaartermijn van 7 jaar voor financiële en factuurgegevens onder de Nederlandse belastingwetgeving. Kopieën in onze versleutelde back-ups worden verwijderd wanneer die back-ups verlopen, uiterlijk ongeveer 14 maanden later.

7. Voorrang

Als deze verwerkersovereenkomst over de verwerking van persoonsgegevens in strijd is met de Algemene voorwaarden, gaat deze verwerkersovereenkomst voor. Onze eigen verwerking als verwerkingsverantwoordelijke staat beschreven in het Privacybeleid.