Verwerkersovereenkomst DiveOpsHub

Versie: 1.1 — 3 september 2026

Deze verwerkersovereenkomst («Verwerkersovereenkomst») hoort bij en maakt deel uit van de overeenkomst tussen:

• Verwerkingsverantwoordelijke: de Klant (de duikschool/het bedrijf) die gebruikmaakt van DiveOpsHub («Verantwoordelijke»); en
• Verwerker: IJsselmuiden Management B.V., handelend onder de naam DiveOpsHub, gevestigd te Hillegom (DiveOpsHub).

Artikel 1 — Begrippen

Begrippen als persoonsgegevens, verwerking, betrokkene, datalek, subverwerker en toezichthoudende autoriteit hebben de betekenis uit de Algemene Verordening Gegevensbescherming (AVG).

Artikel 2 — Onderwerp, aard en doel van de verwerking

2.1 DiveOpsHub verwerkt persoonsgegevens uitsluitend ten behoeve van het leveren van de Dienst aan de Verantwoordelijke, zoals nader omschreven in Bijlage 1. 2.2 De aard van de verwerking betreft het opslaan, raadplegen, bewerken, verzenden en verwijderen van gegevens binnen de Dienst (o.a. klantadministratie, verhuur, kassa/facturatie, cursussen, onderhoud, nieuwsbrief, klantportaal). 2.3 Het doel is het faciliteren van de bedrijfsvoering van de Verantwoordelijke via de Dienst. 2.4 DiveOpsHub verwerkt de persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Verantwoordelijke, waaronder deze Verwerkersovereenkomst, tenzij een wettelijke verplichting anders bepaalt (in welk geval DiveOpsHub dit vooraf meldt, tenzij die wet dat verbiedt). 2.5 DiveOpsHub verwerkt de gegevens niet voor eigen doeleinden en verkoopt deze niet.

Artikel 3 — Duur

3.1 Deze Verwerkersovereenkomst geldt zolang DiveOpsHub in het kader van de Dienst persoonsgegevens voor de Verantwoordelijke verwerkt. 3.2 Verplichtingen die naar hun aard doorlopen (zoals geheimhouding), blijven na beëindiging van kracht.

Artikel 4 — Categorieën betrokkenen en persoonsgegevens

De categorieën betrokkenen en (bijzondere) persoonsgegevens staan in Bijlage 1.

Artikel 5 — Verplichtingen van DiveOpsHub

5.1 DiveOpsHub verwerkt de gegevens uitsluitend volgens de instructies van de Verantwoordelijke. 5.2 DiveOpsHub zorgt dat personen die toegang hebben tot de gegevens tot geheimhouding zijn verplicht. 5.3 DiveOpsHub verleent de Verantwoordelijke redelijke medewerking bij het voldoen aan diens verplichtingen onder de AVG, waaronder verzoeken van betrokkenen (artikel 8), beveiliging (artikel 6), datalekken (artikel 7) en gegevensbeschermingseffectbeoordelingen (DPIA's). 5.4 DiveOpsHub informeert de Verantwoordelijke als naar haar oordeel een instructie in strijd is met de AVG of andere wetgeving.

Artikel 6 — Beveiliging

6.1 DiveOpsHub treft passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG om de gegevens te beveiligen tegen verlies of onrechtmatige verwerking. Een overzicht staat in Bijlage 2. 6.2 De maatregelen zijn afgestemd op de stand van de techniek, de uitvoeringskosten en de aard en risico's van de verwerking. DiveOpsHub mag maatregelen actualiseren zolang het beschermingsniveau ten minste gelijkwaardig blijft.

Artikel 7 — Datalekken

7.1 DiveOpsHub informeert de Verantwoordelijke zonder onredelijke vertraging, en waar mogelijk binnen 48 uur, nadat zij kennis heeft gekregen van een datalek dat de gegevens van de Verantwoordelijke betreft. 7.2 DiveOpsHub verstrekt daarbij de informatie die de Verantwoordelijke redelijkerwijs nodig heeft om te voldoen aan diens meldplicht bij de Autoriteit Persoonsgegevens en (indien van toepassing) de betrokkenen. 7.3 De melding aan de toezichthouder en/of betrokkenen is de verantwoordelijkheid van de Verantwoordelijke, tenzij anders overeengekomen.

Artikel 8 — Rechten van betrokkenen

8.1 DiveOpsHub verleent, rekening houdend met de aard van de verwerking, redelijke medewerking zodat de Verantwoordelijke kan voldoen aan verzoeken van betrokkenen (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid, bezwaar). 8.2 Ontvangt DiveOpsHub een verzoek rechtstreeks van een betrokkene, dan verwijst zij de betrokkene door naar de Verantwoordelijke of stelt de Verantwoordelijke daarvan op de hoogte, en handelt niet zelfstandig af.

Artikel 9 — Subverwerkers

9.1 De Verantwoordelijke geeft DiveOpsHub algemene toestemming om subverwerkers in te schakelen voor de uitvoering van de Dienst. De op dit moment ingeschakelde subverwerkers staan in Bijlage 3. 9.2 DiveOpsHub legt aan subverwerkers ten minste dezelfde verplichtingen op als in deze Verwerkersovereenkomst en blijft jegens de Verantwoordelijke verantwoordelijk voor hun handelen. 9.3 DiveOpsHub informeert de Verantwoordelijke over voorgenomen wijzigingen in subverwerkers, zodat de Verantwoordelijke daartegen bezwaar kan maken. Bij gegrond bezwaar treden partijen in overleg; leidt dit niet tot een oplossing, dan mag de Verantwoordelijke de betrokken dienst(en) beëindigen.

Artikel 10 — Doorgifte buiten de EER

10.1 DiveOpsHub verwerkt de gegevens in beginsel binnen de Europese Economische Ruimte (EER). 10.2 Vindt doorgifte naar een land buiten de EER plaats, dan zorgt DiveOpsHub voor een passend overdrachtsmechanisme conform hoofdstuk V AVG (zoals een adequaatheidsbesluit of de EU-modelcontractbepalingen).

Artikel 11 — Audits

11.1 DiveOpsHub stelt de Verantwoordelijke op verzoek de informatie ter beschikking die nodig is om naleving van dit artikel 28 AVG aan te tonen. 11.2 De Verantwoordelijke mag maximaal eenmaal per jaar een audit (laten) uitvoeren, na redelijke aankondiging en zonder de bedrijfsvoering onnodig te verstoren. De redelijke kosten hiervan komen voor rekening van de Verantwoordelijke, tenzij uit de audit een wezenlijke tekortkoming van DiveOpsHub blijkt.

Artikel 12 — Teruggave en verwijdering

12.1 Bij het einde van de Dienst verwijdert DiveOpsHub de persoonsgegevens of geeft deze op verzoek terug, naar keuze van de Verantwoordelijke, en verwijdert bestaande kopieën, behoudens wettelijke bewaarplichten. 12.2 De Verantwoordelijke krijgt hiervoor een redelijke termijn van 30 dagen om zelf een export te maken.

Artikel 13 — Aansprakelijkheid

13.1 Op deze Verwerkersovereenkomst is de aansprakelijkheidsregeling uit de Algemene Voorwaarden van DiveOpsHub van toepassing, onverminderd dwingend recht en artikel 82 AVG.

Artikel 14 — Slotbepalingen

14.1 Bij strijdigheid tussen deze Verwerkersovereenkomst en de Algemene Voorwaarden gaat, voor zover het de verwerking van persoonsgegevens betreft, deze Verwerkersovereenkomst voor. 14.2 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing.

---

Bijlage 1 — Overzicht van de verwerking

• Categorieën betrokkenen: klanten/cursisten van de Verantwoordelijke, medewerkers/gebruikers van de Verantwoordelijke, contactpersonen.
• Categorieën persoonsgegevens: naam, adres, e-mail, telefoon, klant-/factuurgegevens, aankoop- en verhuurhistorie, apparatuur-/servicegegevens, vulkaart-/saldogegevens, inloggegevens, certificeringsgegevens. Duikmedische/gezondheidsgegevens indien de Verantwoordelijke die invoert zijn bijzondere persoonsgegevens; deze worden alleen verwerkt met een geldige grondslag.
• Doel: administratie en bedrijfsvoering van de Verantwoordelijke via de Dienst.
• Bewaartermijn: zolang het account bestaat en daarna conform artikel 12 en de wettelijke bewaartermijnen (bijv. fiscale bewaarplicht 7 jaar voor factuurgegevens).

Bijlage 2 — Beveiligingsmaatregelen (indicatief)

• Versleutelde verbindingen (HTTPS/TLS) voor alle toegang tot de Dienst.
• Strikte scheiding van gegevens per klant (multi-tenant isolatie).
• Toegangsbeheer op basis van rollen en rechten; wachtwoorden versleuteld opgeslagen.
• Beperking van inlogpogingen en beveiligingsheaders tegen misbruik.
• Regelmatige back-ups en herstelprocedures.
• Beveiligingsupdates en periodieke controle van de code/afhankelijkheden.
• Logging en monitoring van relevante gebeurtenissen.
• Locatie hosting/datacenter: datacenters van Hetzner Online GmbH in Duitsland en/of Finland (binnen de EER).

Bijlage 3 — Subverwerkers

Subverwerker	Dienst	Locatie
Mollie B.V.	Betalingsverwerking (iDEAL/SEPA-incasso)	Nederland/EER
Hetzner Online GmbH	Hosting van de Dienst en gegevensopslag	Duitsland / Finland (EER)
Sendinblue SAS (Brevo)	Verzending van transactionele e-mail namens de Dienst (uitnodigingen, bevestigingen, cadeaubonnen, statusberichten)	Frankrijk / Duitsland (EER)
Google Ireland Limited (Google Workspace)	E-mailpostbussen voor contact-, support- en privacyverzoeken aan DiveOpsHub	Ierland / EER