Versie augustus 2026 (concept) — deze overeenkomst wordt nog juridisch getoetst.
Deze verwerkersovereenkomst hoort bij het gebruik van neurokracht.app door gecertificeerde Neurokracht Coaches. Lees de overeenkomst en onderteken onderaan digitaal.
Partijen
1. De Neurokracht Coach die deze overeenkomst onderaan digitaal ondertekent (naam en eventuele bedrijfsnaam en KvK-nummer zoals ingevuld bij de ondertekening), hierna te noemen: “Verwerkingsverantwoordelijke”;
en
2. Neurokracht (eenmanszaak van M. Bloemendal), gevestigd aan de Bermerstraat 15, 7731 CZ Ommen, hierna te noemen: “Verwerker”;
hierna gezamenlijk te noemen: “Partijen”.
Overwegingen
a. Verwerkingsverantwoordelijke maakt als gecertificeerd Neurokracht Coach gebruik van het online platform neurokracht.app van Verwerker, waarop de coach eigen clienten kan laten deelnemen aan het Neurokracht-programma, waaronder vragenlijsten en reflectieopdrachten (o.a. de PERMA-Profiler en de vragenlijst executieve functies);
b. Verwerker verwerkt daarbij in opdracht van Verwerkingsverantwoordelijke persoonsgegevens van diens clienten, waaronder gegevens die de gezondheid en het welzijn betreffen en daarmee bijzondere categorieen persoonsgegevens in de zin van artikel 9 AVG kunnen zijn;
c. Partijen wensen conform artikel 28 lid 3 van de Algemene Verordening Gegevensbescherming (AVG) hun afspraken over deze verwerking vast te leggen.
Artikel 1 – Definities
De begrippen in deze overeenkomst hebben de betekenis die de AVG daaraan geeft. “Platform” betekent de website en leeromgeving neurokracht.app inclusief de daarop draaiende vragenlijsten, analyses en rapportages.
Artikel 2 – Onderwerp van de verwerking
2.1 Verwerker verwerkt in opdracht van Verwerkingsverantwoordelijke persoonsgegevens van clienten die door Verwerkingsverantwoordelijke op het Platform zijn aangemeld, uitsluitend ten behoeve van: het aanbieden van het Neurokracht-programma aan die clienten, het afnemen van vragenlijsten en reflectieopdrachten, het automatisch genereren van analyses en rapportages, en het beschikbaar stellen daarvan aan Verwerkingsverantwoordelijke.
2.2 De categorieen betrokkenen, soorten persoonsgegevens en bewaartermijnen zijn gespecificeerd in Bijlage 1.
2.3 Verwerker verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van Verwerkingsverantwoordelijke, zoals vastgelegd in deze overeenkomst, tenzij een wettelijke verplichting tot verwerking dwingt; in dat geval informeert Verwerker de Verwerkingsverantwoordelijke voorafgaand aan de verwerking, tenzij die wetgeving dit verbiedt.
2.4 Verwerker gebruikt de persoonsgegevens van clienten van Verwerkingsverantwoordelijke niet voor eigen doeleinden, marketing of profilering en verstrekt ze niet aan derden, behoudens subverwerkers als bedoeld in artikel 5.
Artikel 3 – Vertrouwelijkheid
3.1 Verwerker waarborgt dat personen die onder zijn verantwoordelijkheid persoonsgegevens verwerken zich tot vertrouwelijkheid hebben verbonden.
3.2 Toegang tot clientgegevens is technisch zo ingericht dat iedere coach uitsluitend de gegevens van zijn of haar eigen clienten kan inzien.
Artikel 4 – Beveiliging
4.1 Verwerker treft passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG, rekening houdend met de stand van de techniek en de aard van de gegevens (waaronder gezondheidsgerelateerde gegevens). De actuele maatregelen zijn beschreven in Bijlage 2.
4.2 Verwerker mag de maatregelen aanpassen mits het beschermingsniveau ten minste gelijk blijft.
Artikel 5 – Subverwerkers
5.1 Verwerkingsverantwoordelijke geeft Verwerker een algemene toestemming voor het inschakelen van subverwerkers ten behoeve van hosting, e-mailverzending en aanverwante diensten. De actuele lijst is opgenomen in Bijlage 3.
5.2 Verwerker informeert Verwerkingsverantwoordelijke over voorgenomen wijzigingen in de lijst van subverwerkers. Verwerkingsverantwoordelijke kan binnen 14 dagen schriftelijk en gemotiveerd bezwaar maken; Partijen zoeken dan in overleg naar een redelijke oplossing.
5.3 Verwerker legt aan subverwerkers verplichtingen op die ten minste gelijkwaardig zijn aan deze overeenkomst.
Artikel 6 – Datalekken
6.1 Verwerker informeert Verwerkingsverantwoordelijke zonder onredelijke vertraging, doch uiterlijk binnen 48 uur na ontdekking, over een inbreuk in verband met persoonsgegevens die (mogelijk) betrekking heeft op clientgegevens van Verwerkingsverantwoordelijke.
6.2 Verwerker verstrekt daarbij alle redelijkerwijs beschikbare informatie die Verwerkingsverantwoordelijke nodig heeft voor een eventuele melding aan de Autoriteit Persoonsgegevens en/of betrokkenen. De melding aan de toezichthouder en betrokkenen is de verantwoordelijkheid van Verwerkingsverantwoordelijke.
Artikel 7 – Rechten van betrokkenen
7.1 Verwerker verleent redelijke bijstand bij verzoeken van betrokkenen (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid). Verzoeken die rechtstreeks bij Verwerker binnenkomen worden onverwijld doorgestuurd aan Verwerkingsverantwoordelijke.
7.2 Verwerker verleent voorts redelijke bijstand bij gegevensbeschermingseffectbeoordelingen (DPIA) en voorafgaande raadpleging, voor zover die op de verwerking op het Platform betrekking hebben.
Artikel 8 – Audit
8.1 Verwerker stelt alle informatie ter beschikking die nodig is om naleving van deze overeenkomst aan te tonen en maakt audits mogelijk, uit te voeren door Verwerkingsverantwoordelijke of een door deze gemachtigde derde, maximaal eenmaal per jaar en na redelijke aankondiging. De kosten van een audit draagt de verzoekende partij.
Artikel 9 – Bewaartermijnen, teruggave en verwijdering
9.1 Verwerker bewaart clientgegevens gedurende de looptijd van het traject van de betreffende client en maximaal 12 maanden na afronding, tenzij Verwerkingsverantwoordelijke eerder om verwijdering verzoekt.
9.2 Na beeindiging van deze overeenkomst verwijdert Verwerker, naar keuze van Verwerkingsverantwoordelijke, alle clientgegevens of stelt deze eerst in een gangbaar formaat ter beschikking, behoudens wettelijke bewaarplichten.
Artikel 10 – Aansprakelijkheid
10.1 Iedere partij is aansprakelijk overeenkomstig de verdeling van artikel 82 AVG. De aansprakelijkheid van Verwerker is per gebeurtenis beperkt tot het bedrag dat Verwerkingsverantwoordelijke in de twaalf maanden voorafgaand aan de gebeurtenis aan Verwerker heeft betaald voor het gebruik van het Platform, behoudens opzet of bewuste roekeloosheid.
Artikel 11 – Duur, beeindiging en toepasselijk recht
11.1 Deze overeenkomst geldt zolang Verwerkingsverantwoordelijke gebruikmaakt van het Platform en eindigt van rechtswege zodra Verwerker geen clientgegevens van Verwerkingsverantwoordelijke meer verwerkt.
11.2 Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter van de rechtbank Overijssel.
Ondertekening
Deze overeenkomst wordt digitaal ondertekend via het formulier onderaan deze pagina. Namens Verwerker: M. Bloemendal, Neurokracht.
Bijlage 1 – Specificatie van de verwerking
Categorieen betrokkenen
Clienten van Verwerkingsverantwoordelijke die door deze op het Platform zijn aangemeld om het Neurokracht-programma te doorlopen.
Soorten persoonsgegevens
Naam en e-mailadres; inloggegevens; voortgang in het programma; antwoorden op vragenlijsten en reflectieopdrachten, waaronder de PERMA-Profiler (welbevinden), de vragenlijst executieve functies en verdiepende vragenlijsten over prikkelverwerking, emoties, voorspelbaarheid, intentie en sterke kanten; automatisch gegenereerde analyses en rapportages op basis van die antwoorden; technische gegevens (IP-adres, tijdstippen van deelname).
Let op: de antwoorden en analyses kunnen informatie over gezondheid en welzijn bevatten en daarmee bijzondere categorieen persoonsgegevens zijn. Verwerkingsverantwoordelijke staat ervoor in dat een geldige grondslag en, waar vereist, uitdrukkelijke toestemming van de client aanwezig is.
Aard en doel van de verwerking
Hosting en beschikbaarstelling van de leeromgeving; afname en opslag van vragenlijsten; automatische scoreberekening en analyse; verzending van analyses en inzendingen per e-mail aan de behandelend coach; ondersteuning en technisch beheer.
Bijlage 2 – Technische en organisatorische maatregelen
Versleutelde verbindingen (TLS/SSL) voor alle verkeer van en naar het Platform; toegang tot clientgegevens uitsluitend na authenticatie; rolgebaseerde toegangsscheiding waardoor een coach alleen eigen clienten ziet; beheerderstoegang beperkt tot Verwerker; sterke-wachtwoordbeleid; beveiligingsmonitoring en malware-scanning (o.a. Sucuri); tijdige installatie van beveiligingsupdates van platformsoftware en plugins; periodieke back-ups; logging van beheerhandelingen; e-mailverzending via geauthenticeerde SMTP; bewaartermijnbeheer conform artikel 9.
Bijlage 3 – Subverwerkers
De actuele lijst van subverwerkers (hosting, e-mailverzending en aanverwante diensten) is op te vragen via [email protected].
Log in met je coach-account om deze verwerkersovereenkomst digitaal te ondertekenen.
