Verwerkersovereenkomst
Laatst bijgewerkt: 4 oktober 2026
Dit is een vertaling van onze Engelstalige verwerkersovereenkomst (DPA). Als de twee van elkaar verschillen, geldt de Engelse versie.
Deze verwerkersovereenkomst maakt deel uit van onze algemene voorwaarden. Ze geldt automatisch voor elke organisatie die High Fives gebruikt, dus je hoeft niets te ondertekenen. Wil je een ondertekend exemplaar voor je administratie? Mail naar info@highfives.team en we sturen er een.
1. Partijen en rollen
- De verwerkingsverantwoordelijke is de organisatie die een High Fives-scorebord bestelt en gebruikt ("jij"). Jij bepaalt wat de challenge is en wie meedoet.
- De verwerker is e-campaigne.me, Van Everdingenstraat 22, 5643 VB Eindhoven, KvK 99381435, die High Fives levert ("wij").
Deze overeenkomst gaat over de persoonsgegevens van de deelnemers op je scorebord. Gegevens over je organisatie als onze klant (je bestelling, facturen en contactgegevens) staan beschreven in ons privacybeleid; voor die gegevens zijn wij zelf de verwerkingsverantwoordelijke.
2. Wat we verwerken, en waarom
- Doel: alleen om je challengebord te leveren: het tonen, deelnemers laten meedoen en hun bijdragen laten invoeren, en het veilig houden en back-uppen.
- Betrokkenen: je deelnemers (meestal je medewerkers of leden) en de mensen die het scorebord voor je beheren.
- Persoonsgegevens: de weergavenaam die elke deelnemer kiest, het team, wat ze invoeren (bijvoorbeeld stappen, actieve minuten, gelezen pagina's, bingovakjes of verkochte producten) met het tijdstip van hun laatste invoer, de high fives die ze versturen en ontvangen op een High Five wall (met het korte bericht en het tijdstip), en de inhoud die je beheerders aan het bord toevoegen (teamnamen, de tekst van de beloning, de link naar je logo).
- Geen gevoelige gegevens: de dienst is niet bedoeld voor bijzondere categorieën persoonsgegevens, zoals medische informatie. Vraag deelnemers niet om die in te voeren.
- Duur: zolang je abonnement loopt, plus de periode van 30 dagen waarin het bord na afloop alleen nog te lezen is. Daarna wordt het bord verwijderd (zie artikel 8).
3. Jouw instructies
We verwerken de persoonsgegevens alleen volgens jouw schriftelijke instructies. Deze voorwaarden, deze overeenkomst en de instellingen die je op je scorebord kiest, zijn die instructies. Als we ooit wettelijk verplicht zijn gegevens op een andere manier te verwerken, laten we je dat eerst weten, tenzij de wet dat verbiedt. Als we denken dat een instructie in strijd is met de privacywetgeving, laten we het je weten.
4. Geheimhouding
Iedereen die voor ons aan High Fives werkt en toegang heeft tot persoonsgegevens, is tot geheimhouding verplicht.
5. Beveiliging
We nemen passende technische en organisatorische maatregelen om de persoonsgegevens te beschermen. Ze staan beschreven in bijlage 1 en we houden ze actueel.
6. Subverwerkers
Je geeft ons algemene toestemming om subverwerkers in te schakelen. De huidige staan in bijlage 2. Elk van hen is gebonden aan een schriftelijke overeenkomst met privacyverplichtingen die minstens zo streng zijn als deze overeenkomst. Een nieuwe of vervangende subverwerker melden we minstens 30 dagen van tevoren per e-mail aan het adres van je bestelling. Heb je een redelijk bezwaar, laat het ons dan binnen die periode weten; als we er samen niet uitkomen, kun je je abonnement beëindigen en betalen we het ongebruikte deel van een vooruitbetaalde periode terug.
7. Jou helpen
- Verzoeken van deelnemers: als een deelnemer vraagt zijn of haar gegevens in te zien, te corrigeren of te verwijderen, helpen we je om te reageren. Je kunt een scorebord op elk moment zelf resetten; om één deelnemer te verwijderen, mail je ons en doen wij het voor je. Neemt een deelnemer rechtstreeks contact met ons op, dan sturen we het verzoek naar jou door.
- Andere verplichtingen: waar nodig helpen we je met een gegevensbeschermingseffectbeoordeling (DPIA) en met vragen van een toezichthouder, voor zover die over onze dienst gaan.
8. Als je abonnement afloopt
Als je abonnement afloopt, blijft het scorebord nog 30 dagen te lezen, zodat je de eindstand kunt zien of kunt verlengen. Daarna verwijderen we het bord en alle persoonsgegevens erop. Kopieën in onze back-ups worden binnen hooguit 30 dagen daarna verwijderd. Wil je dat je scorebord eerder wordt verwijderd, mail ons dan.
9. Datalekken
Als we een datalek ontdekken dat je scorebord raakt, informeren we je zonder onnodige vertraging, en in elk geval binnen 48 uur nadat we het hebben ontdekt. We vertellen je wat er is gebeurd, om welke gegevens het gaat, wat we eraan doen en met wie je contact kunt opnemen, zodat je aan je eigen verplichtingen kunt voldoen, zoals de melding aan de toezichthouder binnen 72 uur.
10. Informatie en audits
Op verzoek geven we je de informatie die je nodig hebt om te controleren of we ons aan deze overeenkomst houden. Is dat niet genoeg, dan kun je een audit laten uitvoeren door een onafhankelijke auditor met geheimhoudingsplicht, op eigen kosten, met minstens 30 dagen vooraankondiging en hooguit één keer per jaar, tenzij een datalek of een toezichthouder reden geeft voor meer.
11. Doorgifte buiten de EU
De gegevens van je scorebord worden in de EU opgeslagen. Sommige subverwerkers zijn bedrijven die in de Verenigde Staten zijn gevestigd; waar hun dienst een doorgifte buiten de EU kan inhouden, valt die onder het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie.
12. Aansprakelijkheid, duur en recht
De aansprakelijkheidsregels in onze algemene voorwaarden gelden ook voor deze overeenkomst, voor zover de wet dat toestaat. Deze overeenkomst duurt zolang we persoonsgegevens voor je verwerken. Nederlands recht is van toepassing, en geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Oost-Brabant. Als deze overeenkomst en de algemene voorwaarden elkaar tegenspreken op het gebied van gegevensbescherming, gaat deze overeenkomst voor.
Bijlage 1: Beveiligingsmaatregelen
- Locatie: scoreborden en hun database worden gehost in de EU (Frankfurt, Duitsland).
- Versleuteling onderweg: elke verbinding gebruikt HTTPS, en browsers krijgen de opdracht dat altijd te doen (HSTS).
- Toegang tot een scorebord: een bord kan alleen worden geopend met de toegangscode; voor de instellingen is de admin-pincode nodig. Admin-pincodes worden alleen gehasht opgeslagen. Herhaaldelijk foute codes of pincodes worden een tijd geblokkeerd.
- Dataminimalisatie: deelnemers hebben geen account, e-mailadres of wachtwoord nodig; een weergavenaam is genoeg.
- Bescherming van de webpagina's: strikte beveiligingsheaders (zoals een content security policy) en geen tracking- of advertentiescripts van derden op de scoreborden.
- Back-ups: versleuteld voordat ze de server verlaten, opgeslagen in de EU, maximaal 30 dagen bewaard. Het terugzetten van een back-up is getest.
- Toegang tot systemen: alleen wij hebben toegang tot de hosting- en opslagaccounts, beveiligd met sterke, unieke wachtwoorden en tweestapsverificatie.
- Verwijderen: scoreborden worden 30 dagen na afloop van hun abonnement automatisch verwijderd.
Bijlage 2: Subverwerkers
- Render Services, Inc. — hosting van de scoreborden en hun database, in Frankfurt, Duitsland.
- Cloudflare, Inc. — netwerk en domeinnamen voor de adressen van de scoreborden, en opslag van de versleutelde back-ups binnen de EU.