Versie 2.0 · Download
A.1 De klant is verwerkingsverantwoordelijke en Coachdeck is verwerker, zoals omschreven in artikel 2 van de algemene voorwaarden. Begrippen uit de AVG hebben in deze overeenkomst dezelfde betekenis.
A.2 Coachdeck verwerkt persoonsgegevens uitsluitend om de dienst aan de klant te leveren, te onderhouden en te beveiligen, en alleen op gedocumenteerde instructie van de klant, ook wat betreft doorgifte buiten de Europese Economische Ruimte (EER). De instructies zijn: deze overeenkomst met bijlagen, de algemene voorwaarden, en de instellingen en handelingen die de klant en zijn gebruikers in de dienst verrichten.
A.3 Coachdeck gebruikt de gegevens niet voor eigen doeleinden, niet voor profilering of marketing, en niet om modellen voor kunstmatige intelligentie te trainen.
A.4 Is Coachdeck op grond van de wet verplicht gegevens anders te verwerken of te verstrekken, dan meldt Coachdeck dat vooraf aan de klant, tenzij de wet dat verbiedt.
A.5 Vindt Coachdeck dat een instructie in strijd is met de AVG of andere regels over gegevensbescherming, dan meldt Coachdeck dat direct aan de klant. Coachdeck mag de uitvoering van die instructie opschorten tot de klant haar heeft bevestigd of aangepast.
A.6 Bijlage 1 beschrijft het onderwerp, de aard, het doel en de duur van de verwerking, de soorten gegevens en de categorieën betrokkenen.
B.1 De klant bepaalt doel en middelen van de verwerking en zorgt voor een geldige grondslag, ook voor bijzondere persoonsgegevens zoals gegevens over gezondheid. Waar dat nodig is, vraagt de klant uitdrukkelijke toestemming.
B.2 De klant informeert zijn cliënten, deelnemers en medewerkers juist en volledig over de verwerking, waaronder het gebruik van Coachdeck als verwerker.
B.3 Bij assessments, tests en vergelijkbare onderdelen waarvoor een bedrijf deelnemers aanlevert, is dat bedrijf verwerkingsverantwoordelijke. Het coachbureau dat het assessment uitvoert is verwerker van dat bedrijf, en Coachdeck subverwerker volgens onderdeel J. Het coachbureau sluit daarvoor zelf een verwerkersovereenkomst met het bedrijf en zorgt dat de deelnemer vooraf weet wie de uitkomsten en rapporten te zien krijgt en waarvoor ze worden gebruikt.
B.4 Zet de klant een koppeling aan waarmee gegevens naar een andere partij gaan, zoals een cursusplatform van een opdrachtgever of methode-eigenaar, dan is die verstrekking een instructie van de klant. De klant zorgt voor de grondslag en de informatie aan de betrokkene. Coachdeck is niet verantwoordelijk voor wat de ontvanger met de gegevens doet.
B.5 De klant legt niet meer gegevens vast dan nodig, houdt ze juist en stelt de bewaartermijnen in de dienst passend in.
B.6 De klant vrijwaart Coachdeck voor aanspraken van derden, waaronder betrokkenen en toezichthouders, voor zover die het gevolg zijn van het niet nakomen van dit onderdeel B door de klant.
C.1 Iedereen die namens Coachdeck toegang heeft tot de gegevens is gebonden aan geheimhouding, ook na het einde van het dienstverband of de opdracht. Toegang krijgt alleen wie die nodig heeft voor de dienst.
C.2 Medewerkers van Coachdeck bekijken de inhoud van dossiers alleen: (a) met toestemming van de klant, bijvoorbeeld bij een supportverzoek, tijdelijk en vastgelegd in een logboek dat de klant kan inzien; (b) als dat strikt nodig is om een storing te herstellen of de beveiliging te waarborgen, in welk geval Coachdeck de toegang beperkt, vastlegt en achteraf meldt aan de klant; of (c) als de wet het verplicht.
C.3 Coachdeck neemt passende technische en organisatorische maatregelen om de gegevens te beveiligen (artikel 32 AVG), afgestemd op het feit dat de dienst gezondheidsgegevens kan bevatten. Bijlage 2 beschrijft de huidige maatregelen. Coachdeck mag ze aanpassen zolang het beschermingsniveau niet daalt, en evalueert ze ten minste eenmaal per jaar.
C.4 Coachdeck helpt de klant, rekening houdend met de aard van de verwerking, bij verzoeken van betrokkenen om inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar. De klant kan veel daarvan zelf doen met de export- en verwijderfuncties. Richt een betrokkene zich rechtstreeks tot Coachdeck, dan stuurt Coachdeck het verzoek binnen 5 werkdagen door naar de klant en geeft Coachdeck er zelf geen gevolg aan, tenzij de klant dat opdraagt.
C.5 Coachdeck helpt de klant bij zijn plichten uit de artikelen 32 tot en met 36 AVG, zoals beveiliging, het melden van datalekken, een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging, met de informatie die Coachdeck heeft.
C.6 De hulp onder C.4 en het beschikbaar stellen van bestaande documentatie zijn kosteloos. Voor hulp bij een DPIA of raadpleging die verder gaat dan bestaande documentatie, en voor verzoeken die buitensporig of herhaaldelijk zijn, mag Coachdeck na een vooraf opgegeven schatting een uurtarief van 125 euro exclusief btw rekenen.
C.7 Ontvangt Coachdeck een verzoek of bevel van een overheid om gegevens van de klant te verstrekken, dan meldt Coachdeck dat vooraf aan de klant, tenzij de wet dat verbiedt, en verstrekt Coachdeck niet meer dan wettelijk verplicht.
D.1 Coachdeck meldt een inbreuk in verband met persoonsgegevens die de gegevens van de klant raakt zonder onredelijke vertraging aan de klant, uiterlijk binnen 48 uur nadat Coachdeck ervan op de hoogte is. Dat geldt ook voor een inbreuk bij een subverwerker.
D.2 Heeft de klant Coachdeck vooraf schriftelijk laten weten dat hij gegevens verwerkt in opdracht van een opdrachtgever die een kortere meldtermijn eist, dan geldt voor de gegevens in de betreffende omgeving een termijn van 24 uur. Voor de omgeving Re-integratie geldt deze termijn van 24 uur altijd.
D.3 Coachdeck legt zijn subverwerkers verplichtingen op die het mogelijk maken deze termijnen te halen, of neemt aanvullende maatregelen waar dat niet lukt. Zo bevatten e-mails geen inhoud van dossiers en verlopen persoonlijke links.
D.4 De melding bevat, voor zover bekend: wat er is gebeurd, wanneer, welke soorten en ongeveer hoeveel gegevens en betrokkenen het betreft, de waarschijnlijke gevolgen, de maatregelen die Coachdeck neemt of voorstelt, en een contactpersoon. Ontbrekende informatie volgt zo snel mogelijk.
D.5 De klant beslist of hij het datalek meldt bij de Autoriteit Persoonsgegevens en bij betrokkenen. Coachdeck meldt niet namens de klant, tenzij partijen dat schriftelijk afspreken. Coachdeck werkt redelijk mee aan het onderzoek en het herstel.
D.6 Coachdeck houdt een register bij van alle inbreuken die gegevens van de klant raken en stelt het deel dat de klant betreft op verzoek beschikbaar.
E.1 De klant geeft algemene toestemming voor het inschakelen van subverwerkers. Bijlage 3 noemt de huidige subverwerkers, met hun taak, de plaats van verwerking en de waarborg bij doorgifte buiten de EER.
E.2 Coachdeck sluit met elke subverwerker een schriftelijke overeenkomst met ten minste dezelfde verplichtingen als in deze overeenkomst en blijft tegenover de klant volledig verantwoordelijk voor de subverwerker.
E.3 Coachdeck meldt een voorgenomen toevoeging of vervanging ten minste 30 dagen vooraf per e-mail aan de beheerder van de klant. De klant kan binnen die termijn gemotiveerd en op gronden van gegevensbescherming bezwaar maken. Partijen overleggen dan over een oplossing. Komen zij er niet uit, dan mag de klant de overeenkomst opzeggen tegen de datum waarop de wijziging ingaat. Coachdeck betaalt vooruitbetaalde bedragen over de periode daarna naar rato terug.
E.4 Bij een dringende vervanging, bijvoorbeeld omdat een subverwerker plotseling stopt of de beveiliging niet meer waarborgt, mag Coachdeck de termijn van 30 dagen verkorten. Het recht op bezwaar en opzegging blijft dan gelden.
F.1 Coachdeck slaat de gegevens op in de EER. Verwerkt een subverwerker gegevens buiten de EER of is toegang van buiten de EER mogelijk, dan gebeurt dat alleen met een waarborg uit hoofdstuk V AVG, zoals een adequaatheidsbesluit, waaronder het EU-VS Data Privacy Framework, of de standaardcontractbepalingen van de Europese Commissie, en waar nodig met aanvullende maatregelen. Bijlage 3 noemt per subverwerker welke waarborg geldt.
F.2 Wordt de plaats van opslag binnen de EER gewijzigd, dan geldt de procedure van E.3.
G.1 Coachdeck stelt de klant op verzoek de informatie beschikbaar die nodig is om naleving aan te tonen: deze overeenkomst, bijlage 2, een ingevulde beveiligingsvragenlijst en, als die er zijn, rapporten van onafhankelijke tests of certificeringen.
G.2 Vindt de klant die informatie naar redelijk oordeel onvoldoende, dan mag de klant een audit laten uitvoeren door een onafhankelijke deskundige die gebonden is aan geheimhouding. De klant kondigt een audit ten minste 30 dagen vooraf aan en doet dit ten hoogste eenmaal per kalenderjaar. Na een datalek dat de gegevens van de klant raakt, of op aanwijzing van een toezichthouder, mag de klant daarnaast een audit laten doen met een aankondiging van 10 werkdagen.
G.3 Een audit vindt plaats op werkdagen, verstoort de bedrijfsvoering van Coachdeck zo min mogelijk en strekt zich niet uit tot gegevens van andere klanten.
G.4 De kosten van de audit zijn voor de klant, inclusief de tijd van Coachdeck tegen het tarief uit C.6, na een vooraf opgegeven schatting. Blijkt uit de audit dat Coachdeck wezenlijk tekortschiet, dan draagt Coachdeck de redelijke kosten van de deskundige en herstelt Coachdeck de tekortkoming op eigen kosten.
H.1 Na het einde van de overeenkomst kan de klant de gegevens exporteren volgens artikel 12 van de algemene voorwaarden. Daarmee geeft Coachdeck de gegevens terug.
H.2 Na afloop van de exporttermijn verwijdert Coachdeck alle persoonsgegevens van de klant binnen 30 dagen, tenzij de klant vóór dat moment schriftelijk vraagt om eerdere verwijdering of een wet Coachdeck verplicht tot bewaren. Versleutelde back-ups worden uiterlijk 90 dagen na hun aanmaak overschreven.
H.3 Op verzoek bevestigt Coachdeck de verwijdering schriftelijk, met een verwijderbewijs met controlegetal.
H.4 Gegevens die Coachdeck als verwerkingsverantwoordelijke bewaart, zoals het logboek van akkoorden en de eigen facturatie, vallen onder de privacyverklaring van Coachdeck.
I.1 Voor schade doordat Coachdeck deze overeenkomst of de AVG niet nakomt, geldt artikel 17.2 van de algemene voorwaarden: de grens is tweemaal het bedrag dat de klant in de 12 maanden voor het schadeveroorzakende feit aan Coachdeck betaalde. Coachdeck is aansprakelijk voor subverwerkers als voor zichzelf.
I.2 De beperking geldt niet bij opzet of bewuste roekeloosheid en laat de rechten van betrokkenen op grond van artikel 82 AVG onverlet. Heeft een partij aan een betrokkene meer betaald dan haar aandeel in de schade, dan kan zij het verschil verhalen op de andere partij.
I.3 Een boete of last onder dwangsom van een toezichthouder komt voor rekening van de partij aan wie de overtreding is toe te rekenen. Betaalt een partij een boete voor een overtreding die aan de andere partij is toe te rekenen, dan vrijwaart de andere partij haar daarvoor.
I.4 Coachdeck is niet aansprakelijk voor schade door het opvolgen van een instructie van de klant die in strijd is met de AVG, als Coachdeck de klant daarop volgens A.5 heeft gewezen.
J.1 Is de klant zelf verwerker voor een opdrachtgever, zoals UWV of een gemeente, dan is Coachdeck subverwerker en geldt deze overeenkomst als subverwerkersovereenkomst.
J.2 Coachdeck neemt in dat geval de verplichtingen van de klant tegenover die opdrachtgever over die de klant vooraf schriftelijk aan Coachdeck heeft gemeld en die Coachdeck schriftelijk heeft aanvaard. Coachdeck laat binnen 10 werkdagen na zo'n melding weten welke eisen het aanvaardt. Eisen die Coachdeck niet aanvaardt, gelden niet.
J.3 Voor de omgeving Re-integratie heeft Coachdeck de volgende eisen aanvaard: meldtermijn voor datalekken van 24 uur, opslag in de EER en een bewaartermijn van dossiers van 1 jaar na afronding van het traject, tenzij de klant een andere termijn instelt die de opdrachtgever toestaat.
K.1 Coachdeck mag deze overeenkomst wijzigen als dat nodig is door wetgeving, richtlijnen van een toezichthouder, een uitspraak of een wijziging van de dienst. Coachdeck meldt een wijziging ten minste 30 dagen vooraf. Is de wijziging wezenlijk nadelig voor de klant, dan mag de klant de overeenkomst opzeggen tegen de datum waarop zij ingaat.
K.2 Bij een nieuwe versie vraagt Coachdeck opnieuw om akkoord en legt Coachdeck vast welke versie de klant heeft geaccepteerd.
L.1 Bij strijd tussen deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.
L.2 Is een bepaling nietig of wordt zij vernietigd, dan blijven de andere gelden en vervangen partijen de bepaling door een geldige die het doel zo dicht mogelijk benadert.
L.3 Deze overeenkomst duurt zolang Coachdeck persoonsgegevens voor de klant verwerkt. Bepalingen die naar hun aard doorlopen, zoals geheimhouding en aansprakelijkheid, blijven daarna gelden.
Onderwerp: het leveren van een online dienst waarmee de klant zijn coach-, begeleidings- of re-integratiepraktijk administreert.
Aard: opslaan, ordenen, raadplegen, wijzigen, exporteren, verwijderen en beveiligen van gegevens; e-mail en pushmeldingen versturen namens de klant; persoonlijke links aanmaken en registreren wanneer ze worden geopend; back-ups maken; gegevens doorgeven aan koppelingen die de klant zelf aanzet; spraak omzetten naar tekst en tekstvoorstellen maken voor verslagen via een AI-dienst, als de klant die functies aanzet.
Doel: de dienst beschikbaar stellen en onderhouden, de functies uitvoeren die de klant gebruikt, en support verlenen.
Duur: zolang de overeenkomst loopt, plus de termijnen van onderdeel H.
Betrokkenen: cliënten en deelnemers van de klant; medewerkers en coaches van de klant; contactpersonen van opdrachtgevers; bezoekers die zich via een pagina van de klant inschrijven voor informatie (leads).
| Soort gegevens | Voorbeelden |
|---|---|
| Identificatie en contact | naam, e-mailadres, telefoonnummer, adres, geboortedatum |
| Traject en dossier | trajectgegevens, notities, verslagen, intakeantwoorden, doelen en scores, coachplannen |
| Afspraken en uren | datum, tijd, locatie, ruimte, bestede uren |
| Contracten en financiën | offertes met handtekening, facturen, betaalstatus |
| Assessments | deelnemers, testcodes, voortgangsstatus, resultaten en rapporten |
| Documenten | bestanden die de klant uploadt |
| Leads | naam, e-mailadres, bevestiging van inschrijving, verzonden mails, afmelding |
| Gebruik | accountgegevens van medewerkers, IP-adres, logboek van acties, momenten waarop een persoonlijke link is geopend |
| Bijzondere gegevens | gegevens over gezondheid, afhankelijk van wat de klant vastlegt |
Bewaartermijnen: per cliënt in te stellen door de klant, standaard 1 jaar na afronding (instelbaar van 6 maanden tot 7 jaar; in de omgeving Re-integratie 1 jaar). Leads: verwijderd na 1 jaar zonder activiteit of direct na afmelding van alle mails. Na het einde van de overeenkomst: onderdeel H. Verwijdert de klant een cliënt, dan wist Coachdeck conceptfacturen. Definitieve facturen blijven, vanwege de fiscale bewaarplicht, ongewijzigd bewaard zoals ze zijn uitgereikt, in een afgeschermd archief dat alleen via de factuuradministratie te zien en te exporteren is. Ze worden automatisch gewist 7 jaar na het einde van het boekjaar van de factuur; de klant kan ze eerder wissen na een uitdrukkelijke bevestiging. Namen in het logboek worden vervangen door "[cliënt]". Opnames en teksten voor de AI-functies bewaart Coachdeck niet na het verwerken; Mistral evenmin (zero data retention). Logboek: inlogpogingen, ongeldige links, openbare formulieren en IP-adressen 90 dagen; overige logregels 1 jaar.
Alleen maatregelen die nu werken staan hier. Ze worden ten minste eenmaal per jaar herzien.
Toegang
Scheiding
Verbindingen en opslag
Persoonlijke links
Toegang door Coachdeck
Vastleggen en herstel
Organisatie
| Subverwerker | Taak | Gegevens | Plaats van opslag | Waarborg buiten EER |
|---|---|---|---|---|
| Vercel Inc. | Hosting van de applicatie en opslag van bestanden (Vercel Blob) | Alle klantgegevens tijdens verwerking; geüploade bestanden | EU, Frankfurt | Moederbedrijf in de VS; gecertificeerd onder het EU-VS Data Privacy Framework; verwerkersovereenkomst met standaardcontractbepalingen |
| Neon (onderdeel van Databricks) | Database | Alle klantgegevens | EU, Frankfurt | Moederbedrijf in de VS; verwerkersovereenkomst met standaardcontractbepalingen |
| We Wesender (WeSender) | Verzending van e-mail, sinds 9 oktober 2026 | Naam, e-mailadres, afspraakgegevens, persoonlijke links | Duitsland en Finland (Hetzner) | Geen doorgifte |
| Mistral AI | Spraak naar tekst en hulp bij verslagen; alleen als de klant deze functies aanzet | Geluidsopname of tekst van een verslag | Frankrijk (EU) | Geen doorgifte; zero data retention: invoer en uitvoer worden niet bewaard |
| 650 Industries (Expo) en Google (Firebase Cloud Messaging) | Pushmeldingen naar de app | Pushtoken en een neutrale tekst zonder inhoud | Mogelijk VS | Expo en Google onder het EU-VS Data Privacy Framework |
| GitHub Inc. | Opslag van de dagelijkse back-up | Alleen een versleuteld bestand; GitHub heeft de sleutel niet | Mogelijk VS | Standaardcontractbepalingen, met versleuteling als aanvullende maatregel |
Resend is op 25 oktober 2026 beëindigd. Sentry (foutmeldingen) is nog niet in gebruik; Coachdeck voegt het pas toe na een aankondiging van 30 dagen, in de EU-regio, zonder IP-adressen en zonder persoonsgegevens.
Mollie is geen subverwerker: Mollie verwerkt betalingen als zelfstandige betaaldienst.