Privacyverklaring

1. Gegevens die we verwerken

Club Wize is een SaaS-platform voor verenigingsbeheer. We verwerken de volgende gegevens:

Accountgegevens (beheerders)

• Contactgegevens: Naam, e-mailadres en verenigingsaffiliatie voor accountbeheer
• Authenticatie: Wachtwoord (versleuteld opgeslagen) en optioneel TOTP/2FA-instellingen voor extra beveiliging
• Beheerrechten: Rol binnen de vereniging, toegangsrechten en laatste login-tijdstip
• Beveiligingslogboek: IP-adres, browser-informatie (user agent) en tijdstippen van inlogpogingen, voor accountbeveiliging en fraudedetectie

Audit trail (wijzigingshistorie & inzage)

Conform AVG artikel 5(2) (verantwoordingsplicht) registreren we welke beheerders wanneer persoonsgegevens hebben ingezien of gewijzigd. Deze audit trail bevat geen inhoudelijke persoonsgegevens — alleen metagegevens (wie, wanneer, welke tabel, welke actie).

• Wijzigingshistorie: Automatische registratie van elke wijziging aan persoonsgegevens (wie, wanneer, welk veld) via database-triggers
• Inzage-logging: Registratie van welke beheerders welke profielen of dossiers hebben bekeken, zodat ongeautoriseerde inzage gedetecteerd kan worden
• Beveiligingsevents: Registratie van inlogpogingen, wachtwoordresets en portaal-toegang, inclusief IP-adres en user agent

Verenigingsdata

• Ledenadministratie: Namen, contactgegevens, lidmaatschapsgegevens van uw leden
• Teams en commissies: Teamindelingen, commissieleden, rollen
• Pasfoto's: De profielfoto van een lid is tegelijk de foto op zijn pas (clubpas of spelerspas). Die staat er om het lid te kunnen identificeren — bijvoorbeeld door een scheidsrechter vóór een wedstrijd — en niet om te publiceren; voor tonen op een website of in een nieuwsbrief geldt de aparte toestemming per lid.
• Invallers: De trainer, coach of teammanager van een team kan een speler uit een ander team van de club opzoeken om in te vallen bij een wedstrijd of training. Hij ziet daarbij alleen de naam en het team van actieve spelers die dit seizoen in een team spelen — geen e-mailadres, telefoonnummer, foto of geboortedatum. Wie in de app heeft gekozen zijn contactgegevens niet met trainers, coaches en teammanagers te delen, is ook niet vindbaar. Wie als invaller wordt toegevoegd, krijgt daarvan een melding in de app (bij een kind zonder eigen account de ouder) en kan zich afmelden. Een invaller staat in de opstelling, het wedstrijdverslag en de cijfers van het team waarbij hij invalt; iemand die geen lid is en meedoet als gast, wordt alleen met zijn naam vastgelegd.
• Medespelers bij baanreservering: Bij een club die banen laat reserveren, kan een lid bij het reserveren clubgenoten op naam zoeken om mee te spelen. Standaard zijn leden van 18 jaar en ouder vindbaar, tenzij ze dat zelf hebben uitgezet in het portaal of de app; de club kan deze standaard ook voor iedereen uitzetten. Leden onder de 18, leden van wie de geboortedatum niet bekend is en proefdeelnemers zijn alleen vindbaar als ze (of bij een kind de ouder) dat zelf hebben aangezet. Wie zoekt, ziet alleen de naam — een foto alleen als het lid zelf heeft gekozen vindbaar te zijn, en nooit een e-mailadres, telefoonnummer of geboortedatum. Wie in de afgelopen twaalf maanden met iemand speelde, kan die persoon ook na afmelden nog toevoegen. De grondslag is het gerechtvaardigd belang van de club; een lid maakt daartegen bezwaar door de vindbaarheid uit te zetten.
• Vrijwilligersgroepen: Welke leden u samen indeelt voor vrijwilligerstaken ("wie draait samen") — dit legt onderlinge samenwerkingsrelaties tussen leden vast
• Organisaties en contacten: Sponsoren, leveranciers, contactpersonen
• Contracten en financiën: Sponsorovereenkomsten, facturen, betalingsgegevens
• Inventaris: Materiaalbeheer, uitgiftes, locaties
• Wedstrijden en evenementen: Wedstrijdgegevens, uitslagen, evenementinschrijvingen
• Documenten: Door u geüploade bestanden en afbeeldingen

Berichten tussen leden

Leden kunnen binnen hun eigen vereniging tekstberichten uitwisselen in team- en commissiekanalen, mededelingen ontvangen van het bestuur, en een vertrouwelijk gesprek voeren met de vertrouwenscontactpersoon. Hierbij verwerken we:

• Berichtinhoud: De tekst van verstuurde berichten, met afzender, het kanaal en het tijdstip
• Meldingen: Als een lid een bericht meldt, leggen we de melding en de gekozen reden vast zodat de vereniging er opvolging aan kan geven

Berichten worden op EU-servers opgeslagen en blijven binnen de afgeschermde omgeving van uw vereniging — het zijn geen openbare berichten. Het vertrouwelijke gesprek met de vertrouwenscontactpersoon is hierop een uitzondering: dat is uitsluitend voor de vertrouwenscontactpersoon toegankelijk, beheerders kunnen daar niet meelezen. Bij de overige kanalen kunnen beheerders een bericht alleen inzien wanneer dat nodig is om een melding of incident af te handelen; dat gebeurt met opgave van reden en wordt vastgelegd in een audit-trail — het is geen vrije inzage. De vereniging kan berichten verwijderen en een lid de toegang tot de berichtenfunctie ontzeggen. Berichten bewaren we niet langer dan nodig (zie ‘Bewaartermijn’ hieronder).

Sociale veiligheid (bijzondere persoonsgegevens)

Club Wize biedt een module voor sociale veiligheid. Hierbij kunnen de volgende gevoelige gegevens worden verwerkt:

• VCP dossiers: Meldingen en vertrouwelijke gesprekken over grensoverschrijdend gedrag, inclusief namen van betrokkenen en melders. Deze gegevens worden uitsluitend ingevoerd door de vertrouwenscontactpersoon (VCP) van uw vereniging.
• Certificeringen: Verklaringen Omtrent het Gedrag (VOG), diploma's, vakbekwaamheidsbewijzen en verloopdatums
• Gedragscode akkoorden: Registratie van akkoordverklaringen op de gedragscode van uw vereniging, inclusief naam, datum en versie

Verwerking op basis van gerechtvaardigd belang: De verwerking van deze gegevens gebeurt op grond van het gerechtvaardigde belang van de vereniging om een veilig sportklimaat te waarborgen, conform de richtlijnen van NOC*NSF. Vertrouwelijke VCP dossiers zijn alleen toegankelijk voor gebruikers met specifieke bewerken-rechten op sociale veiligheid.

Wie is waarvoor verantwoordelijk: Voor alle persoonsgegevens die uw vereniging (of iemand namens haar) in het platform invoert, is en blijft uw vereniging de verwerkingsverantwoordelijke. Club Wize verwerkt die gegevens als verwerker: uitsluitend in opdracht van uw vereniging en alleen om de dienst te leveren. Welke afspraken daarbij gelden, leggen we vast in de verwerkersovereenkomst. Die werken we soms bij; bij een belangrijke wijziging vragen we de beheerder van uw vereniging in de beheeromgeving om opnieuw akkoord te geven.

2. Waarvoor we uw gegevens gebruiken

We gebruiken uw gegevens uitsluitend voor:

• Het leveren en verbeteren van onze diensten
• Toegang tot het beheerportaal van uw vereniging
• Contact bij supportvragen en technische hulp
• Accountbeveiliging via wachtwoord en TOTP/2FA
• Het versturen van belangrijke service-updates
• Het verwerken van betalingen en facturatie
• Compliance monitoring van sociale veiligheid (4 V's) en automatische herinneringen bij verlopen certificeringen
• Het versturen van gedragscode akkoord-verzoeken per e-mail met beveiligde links
• Het tonen van uw bewust openbaar geplaatste suggesties aan beheerders van andere organisaties (zie "Suggesties" hieronder)

Suggesties (ideeënbus)

Als beheerder kunt u via Suggesties een idee voor Club Wize plaatsen dat zichtbaar is voor beheerders van alle andere organisaties die Club Wize gebruiken. Daarbij tonen we uw naam, de naam van uw organisatie en de tekst van de suggestie of reactie die u plaatst. Dit gebeurt alleen wanneer u zelf een suggestie of reactie plaatst, en het scherm meldt vóór het verzenden uitdrukkelijk dat de inhoud openbaar wordt. Gewone supporttickets blijven altijd privé tussen uw organisatie en Club Wize.

Club Wize kan een suggestie terugzetten naar privé (moderatie). Wilt u een geplaatste suggestie of reactie laten verwijderen of uw naam eruit laten halen, dan regelt support dat op verzoek. Vertrekt een organisatie bij Club Wize, dan worden haar openbare suggesties en reacties geanonimiseerd: naam en organisatienaam worden verwijderd.

Audit trail, inzage-logging en beveiligingslogboek

Voor de volgende logtypes hanteren we specifieke rechtsgronden:

• Wijzigingshistorie (audit trail): vastleggen welke beheerders persoonsgegevens hebben gewijzigd. Rechtsgrond: wettelijke verplichting (AVG art. 5(2) verantwoordingsplicht, art. 6(1)(c)).
• Inzage-logging: vastleggen welke beheerders persoonsgegevens hebben ingezien. Rechtsgrond: gerechtvaardigd belang (art. 6(1)(f)) — het belang van de vereniging en haar leden om ongeautoriseerde inzage te detecteren en te onderzoeken.
• Beveiligingslogboek (auth events): vastleggen van inlogpogingen, IP-adressen en browsergegevens. Rechtsgrond: gerechtvaardigd belang (art. 6(1)(f)) — bescherming tegen ongeautoriseerde toegang en fraudedetectie.

4. Bewaartermijn

Uw gegevens worden niet langer bewaard dan noodzakelijk:

• Actieve accounts: Zolang u de dienst gebruikt
• Bij opzegging: Na opzegging of een verwerkt verwijderverzoek verwijderen wij persoonsgegevens uit actieve systemen voor zover daar geen wettelijke bewaarplicht of andere geldige grond voor geldt. Back-ups kunnen nog maximaal 10 dagen bewaard blijven en vallen daarna weg.
• Financiële gegevens: 7 jaar conform wettelijke bewaarplicht
• Audit trail (wijzigingshistorie): 12 maanden, daarna automatisch verwijderd
• Inzage-logs: 6 maanden, daarna automatisch verwijderd
• Beveiligingslogboek (auth events): 24 maanden, daarna automatisch verwijderd

5. Uw rechten

U heeft volledige controle over uw gegevens:

Binnen het platform

• Persoonlijke gegevens wijzigen (naam, e-mail)
• Wachtwoord aanpassen
• TOTP/2FA in- of uitschakelen
• Account en verenigingsgegevens verwijderen

Via contact

• Inzage vragen in al uw accountgegevens
• Data-export aanvragen (dataportabiliteit)
• Correcties laten doorvoeren
• Volledige verwijdering van uw account aanvragen
• Bezwaar maken tegen verwerking

Verwijderen van gegevens en bewaarplichten

Bij een verwijderverzoek verwijderen wij uw persoonsgegevens uit actieve systemen voor zover dat wettelijk is toegestaan en voor zover er geen bewaarplicht of verantwoordingsplicht geldt. Bepaalde log- en auditgegevens kunnen tijdelijk bewaard blijven om te kunnen aantonen wie toegang had of wijzigingen heeft gedaan. De audit trail wordt in beginsel 12 maanden bewaard en daarna verwijderd. Gegevens die wij op grond van een wettelijke verplichting of verantwoordingsplicht langer moeten bewaren, verwijderen wij pas zodra die grond vervalt.

6. Cookies

Club Wize gebruikt alleen functionele cookies die noodzakelijk zijn voor de werking van het platform:

• Sessie-cookies: Voor inloggen en authenticatie
• Beveiligings-cookies: Voor CSRF-bescherming

We gebruiken geen tracking cookies, analytics cookies of advertentie cookies. Er is geen cookie-banner nodig omdat we alleen strikt noodzakelijke cookies gebruiken.

7. Beveiliging van uw gegevens

We nemen passende technische en organisatorische maatregelen:

• Versleuteling in transit: Alle dataoverdracht gebeurt versleuteld via SSL/TLS (HTTPS)
• Versleutelde documentopslag: Geüploade documenten en bestanden worden versleuteld opgeslagen (server-side encryption)
• Wachtwoordbeveiliging: Wachtwoorden worden gehashed opgeslagen met moderne algoritmes (bcrypt)
• Twee-factor authenticatie: Optionele TOTP/2FA voor extra beveiliging
• Privé bestandsopslag: Geüploade documenten zijn nooit publiek toegankelijk en worden beveiligd via tijdelijke, ondertekende URLs
• Toegangsbeheer: Beperkte toegang tot gegevens op need-to-know basis. Vertrouwelijke VCP dossiers zijn alleen toegankelijk voor gebruikers met specifieke bewerken-rechten
• Beveiligde links: Gedragscode akkoord-links zijn beveiligd met HMAC-encryptie en 90 dagen geldig
• EU hosting: Secure hosting binnen de Europese Unie (GDPR-compliant)
• Regelmatige updates: Continue beveiligingsupdates en monitoring

9. Wijzigingen in deze privacyverklaring

We kunnen deze privacyverklaring van tijd tot tijd bijwerken om nieuwe functionaliteiten, wettelijke vereisten of verbeteringen in onze privacypraktijken te weerspiegelen. Wijzigingen worden bekendgemaakt via e-mail en op deze website. De datum van de laatste wijziging staat bovenaan dit document vermeld.