Verwerkersovereenkomst

Deze overeenkomst hoort bij de algemene voorwaarden en geldt tussen de organisatie die Scripty gebruikt (de verwerkingsverantwoordelijke) en [bedrijfsnaam], KvK [KvK-nummer], [adres, postcode en plaats] (de verwerker). Ze gaat in zodra de organisatie een productie start, een abonnement afneemt of (bij een school) akkoord geeft in de app, en loopt zolang wij persoonsgegevens voor de organisatie verwerken. Wil je een ondertekende versie? Mail [contact-e-mailadres].

Wie zelf een script leert (Solo) is geen organisatie; voor die gegevens zijn wij zelf verantwoordelijk volgens de privacyverklaring.

1. Onderwerp en doel

Wij verwerken persoonsgegevens alleen om Scripty te leveren: tekst leren, repetities plannen, notes, live meelezen en het beheren van rekwisieten, kostuums, zenders en checklists voor de productie, en (met de module Lessen) het plannen en bijhouden van lessen: leerlingen, lessenkaarten, roosters, voorbereiding, feedback en huiswerk. We doen niets anders met de gegevens en gebruiken ze nooit om AI te trainen.

2. Instructies

We verwerken alleen op instructie van de organisatie. De instellingen en keuzes die de regie in Scripty maakt, gelden als die instructie. Vinden we een instructie in strijd met de wet, dan melden we dat meteen.

3. Geheimhouding

Iedereen die bij ons toegang heeft tot de gegevens, is tot geheimhouding verplicht. Toegang door beheer gebeurt alleen voor support of onderhoud en wordt vastgelegd in een logboek.

4. Beveiliging

We nemen passende technische en organisatorische maatregelen; zie bijlage 2. We passen ze aan als dat nodig is om het beveiligingsniveau op peil te houden.

5. Subverwerkers

De organisatie geeft algemene toestemming voor de subverwerkers in bijlage 3. Een nieuwe subverwerker melden we minstens 30 dagen van tevoren; de organisatie kan dan bezwaar maken en zo nodig opzeggen. We leggen subverwerkers dezelfde plichten op als in deze overeenkomst.

6. Rechten van betrokkenen

Spelers en crew kunnen veel zelf: hun gegevens inzien en aanpassen, opnames verwijderen en hun account laten verwijderen. Bij een school beheert de school de gegevens van leerlingen en ouders; die kan een leerling aanpassen, op non-actief zetten of verwijderen. Krijgen wij rechtstreeks een verzoek, dan sturen we het door naar de organisatie en helpen we bij het afhandelen. Zijn leerlingen jonger dan 16, dan zorgt de organisatie dat de ouder of verzorger toestemming geeft. Scripty legt die toestemming vast en toont ze aan de school.

7. Datalekken

Ontdekken we een datalek dat de gegevens van de organisatie raakt, dan melden we dat zonder onnodige vertraging en uiterlijk binnen 48 uur, met wat we weten over de aard, de gevolgen en de maatregelen. De organisatie beslist over een melding aan de Autoriteit Persoonsgegevens en betrokkenen; wij helpen daarbij.

8. Hulp en controle

We helpen de organisatie waar redelijk bij een gegevensbeschermingseffectbeoordeling (DPIA) en geven de informatie die nodig is om te laten zien dat we deze overeenkomst nakomen. Een audit kan eens per jaar, na overleg, op kosten van de organisatie tenzij er een tekortkoming blijkt.

9. Bewaren en einde

• Stemopnames, choreo-video's, smoelenboekfoto's en -contactgegevens en maten worden automatisch gewist drie maanden na de laatste voorstelling die de regie invult.
• Na het einde van het abonnement worden de producties gearchiveerd. Op verzoek van de organisatie verwijderen we alle gegevens, of geven we ze eerst terug in een gangbaar formaat.
• Gegevens van leerlingen blijven bewaard tot de organisatie de leerling verwijdert; dan gaan ook lessen, kaarten, feedback en huiswerk weg.
• Back-ups worden binnen de bewaartermijn van de hostingpartij (maximaal 30 dagen) overschreven.

10. Akkoord in de app en wijzigingen

Schoolbeheer geeft akkoord in Scripty (vinkje en knop). We bewaren wie akkoord gaf, wanneer en voor welke versie van deze tekst. Wijzigen we de tekst inhoudelijk, dan krijgt de versie een nieuw nummer en vragen we opnieuw om akkoord; kleine verbeteringen van de formulering melden we vooraf. Wil je een ondertekende versie of een kopie van het akkoord? Mail [contact-e-mailadres].

11. Aansprakelijkheid

Voor aansprakelijkheid geldt wat in de algemene voorwaarden staat, voor zover de wet dat toelaat.

Bijlage 1 — Gegevens en betrokkenen

Betrokkenen: spelers, crew, regie, productieleiding en andere deelnemers van een productie; met de module Lessen ook leerlingen (ook kinderen onder de 16), hun ouders of verzorgers, docenten en schoolbeheer.

Gegevens:

• e-mailadres en naam;
• rollen en afdelingen, en oproepen voor repetities;
• presentie, afmeldingen met reden, notes en regelnotes;
• oefengegevens: wanneer en per regel of die gekend werd;
• stemopnames, vrijwillige foto, antwoorden en contactgegevens (socials, telefoon) in het smoelenboek, kostuummaten;
• technische gegevens: adressen voor pushmeldingen en foutmeldingen;
• module Lessen: van leerlingen naam, e-mail, telefoon, geboortedatum en vaste docent; van ouders of verzorgers naam, e-mail en toestemming; lessenkaarten met prijs en betaalstatus; lessen met status en afzegreden; voorbereiding, feedback, huiswerk en een privé-aantekening van de docent; doelen die leerling, ouder en docent samen opschrijven; de gegevens van wie een factuur betaalt (naam, e-mail, adres) en de facturen zelf; en een adres voor herinneringen op de telefoon als de leerling dat aanzet.

Bijzondere persoonsgegevens worden niet gevraagd. Vul ze ook niet in bij notes, afmeldingen, feedback of aantekeningen over leerlingen; houd een reden algemeen (bijvoorbeeld "ziek").

Bijlage 2 — Beveiliging

• Opslag en verwerking in de EU (Ierland).
• Versleutelde verbindingen (HTTPS) en versleutelde opslag bij de hostingpartij.
• Toegang per rij in de database (row level security): iedereen ziet alleen wat voor hem bedoeld is. Dit wordt bij elke wijziging automatisch getest.
• Inloggen zonder wachtwoord, met een eenmalige code per e-mail.
• Bestanden (scripts, opnames, foto's) in afgeschermde opslag, alleen via tijdelijke links.
• Beheertoegang alleen voor aangewezen beheerders, met een logboek.
• Automatisch opruimen volgens de bewaartermijnen; een foutenlogboek om storingen snel te zien.

Bijlage 3 — Subverwerkers

• Supabase — database, inloggen en bestandsopslag. Locatie: EU (Ierland).
• Vercel — hosting van de website en app. Verwerking in de EU (Dublin); Vercel Inc. is gevestigd in de VS, met EU-standaardcontractbepalingen.
• Cloudflare — controle of een bezoeker een mens is, bij inloggen en openbare formulieren. Cloudflare Inc. is gevestigd in de VS.
• Brevo — versturen van e-mail (inlogcodes, welkomstmail, mails over lessen). Locatie: EU (Frankrijk).
• Pushdiensten van Apple, Google en Mozilla — afleveren van pushmeldingen als iemand die aanzet. Er gaat alleen een korte meldingstekst mee.