Verwerkersovereenkomst

Wie we zijn

xBase360 (eenmanszaak) levert het platform xBase360 en is verantwoordelijk voor de verwerking van je gegevens zoals hieronder beschreven.

• Postadres: Gravin Juliana van Stolberglaan 31, 2263 AB Leidschendam, Nederland (geen bezoekadres)
• KvK-nummer: 42093846
• Btw-nummer: NL005494735B95
• E-mail: support@xbase360.com
• Telefoon: +31 70 204 2081
• Privacyvragen: privacy@xbase360.com

1. Waar dit over gaat

Je gebruikt xBase360 om je leden te begeleiden. Daarbij verwerk je persoonsgegevens van je leden en medewerkers in ons systeem. Voor die gegevens ben jij verwerkingsverantwoordelijke en zijn wij verwerker (AVG artikel 28). Deze overeenkomst geldt automatisch zodra je een zakelijk account aanmaakt; op verzoek ondertekenen we hem ook.

Voor een aantal verwerkingen zijn wij zelf verantwoordelijke: het beheer van accounts en het platform, beveiliging en logging, de facturatie aan jou, en de diensten die een lid rechtstreeks bij ons afneemt zonder jouw tussenkomst. Die staan in bijlage 2 en vallen onder onze privacyverklaring.

2. Wat wij verwerken en waarvoor

De aard, het doel en de categorieën betrokkenen en gegevens staan in bijlage 1. Wij verwerken uitsluitend op jouw gedocumenteerde instructie; het gebruik van het platform volgens de handleiding en de instellingen die je zelf kiest, geldt als instructie. Een instructie die naar ons oordeel in strijd is met de wet, melden wij en voeren wij niet uit.

Wij verwerken de gegevens niet voor eigen doelen, verkopen ze niet, en gebruiken ze niet om modellen te trainen.

3. Onze verplichtingen als verwerker

• Geheimhouding. Iedereen die bij ons toegang heeft, is tot geheimhouding verplicht. Toegang tot leden- en dossiergegevens door onze medewerkers is alleen mogelijk via de support-meekijkfunctie die het lid voor maximaal twee uur aanzet, of die jij of je coach voor je dashboard voor maximaal 24 uur aanzet. In je dashboard kijken we dan alleen mee: niets aanpassen, hoogstens een uur per keer, zichtbaar voor wie het aanzette en gelogd.
• Beveiliging. Wij nemen de maatregelen in bijlage 3. Ze zijn afgeleid van de bouw van het systeem en worden bij elke wijziging bijgewerkt.
• Subverwerkers. Je geeft algemene toestemming voor de partijen in de lijst op onze privacypagina. Een wijziging kondigen wij minimaal 30 dagen vooraf aan per e-mail aan het beheerdersadres; je kunt binnen die termijn bezwaar maken, waarna wij in overleg een oplossing zoeken of je de overeenkomst kunt beëindigen. Met elke subverwerker sluiten wij een overeenkomst met ten minste dezelfde verplichtingen.
• Doorgifte buiten de EER alleen onder de standaardcontractbepalingen van de Europese Commissie of een adequaatheidsbesluit, en alleen voor de genoemde doelen. De database en de bestandsopslag staan in de EU.
• Rechten van betrokkenen. Het platform biedt inzage, correctie, overdraagbaarheid en verwijdering rechtstreeks aan het lid. Verzoeken die jou bereiken en die je niet zelf in het platform kunt afhandelen, ondersteunen wij binnen tien werkdagen.
• Hulp bij een DPIA. Wij leveren de informatie uit onze eigen gegevensbeschermingseffectbeoordeling en beveiligingsdocumentatie op eerste verzoek.
• Datalekken. Een inbreuk die jouw gegevens raakt, melden wij zonder onnodige vertraging en uiterlijk binnen 48 uur na ontdekking aan het beheerdersadres, met wat er bekend is over aard, betrokkenen, gevolgen en maatregelen. Wij melden niet namens jou bij de Autoriteit Persoonsgegevens, tenzij je dat schriftelijk vraagt.
• Audit. Eén keer per jaar, of na een incident, mag je onze naleving laten toetsen door een onafhankelijke deskundige onder geheimhouding, na overleg over moment en omvang. Wij leveren eerst onze bestaande rapportages; aanvullende toetsing volgt alleen als die onvoldoende zijn.

4. Jouw verplichtingen als verwerkingsverantwoordelijke

• Je zorgt voor een rechtsgrond, informeert je leden (voor het technische deel mag je naar onze privacyverklaring verwijzen) en beheert wie in je team welke rechten heeft.
• Gezondheidsgegevens die je leden invoeren, worden verwerkt op basis van hun uitdrukkelijke toestemming. Je vraagt zelf geen gezondheidsgegevens uit buiten de daarvoor bedoelde functies: intake, gespreksverslag en klinische voeding.
• Is een medewerker een geregistreerd zorgverlener (BIG of Kwaliteitsregister Paramedici), dan leg je dat in het platform bij die medewerker vast. Gespreksverslagen van zo'n medewerker gelden als zorgdossier met de bewaarplicht uit de WGBO van twintig jaar, en gaan niet mee bij een verwijderverzoek van het lid. Voor dat dossier ben je zelf verantwoordelijk.
• Je gebruikt het platform niet als medisch hulpmiddel en presenteert het niet als zodanig aan je leden. Zie ook de gebruiksvoorwaarden, onder “Wat de app níét is”.

5. Bewaren, teruggeven, wissen

Wij bewaren volgens de termijnen in onze privacyverklaring. Wat een lid zelf verwijdert, is weg; wat wettelijk bewaard moet blijven (financiële administratie, zorgdossiers van geregistreerde zorgverleners) blijft staan.

Bij het einde van je abonnement kun je 30 dagen lang je gegevens exporteren. Daarna wissen wij de gegevens die aan jouw organisatie hangen, behalve wat bewaard moet blijven. Leden houden hun eigen account en eigen gegevens: die zijn van hen, niet van jou. Een verwijderverzoek voor een dossier loopt via de functie “dossier verwijderen” met een bedenktermijn en naambevestiging; dat is jouw besluit, wij voeren uit.

6. Aansprakelijkheid en duur

De aansprakelijkheidsregeling uit de gebruiksvoorwaarden geldt. Boetes die de toezichthouder oplegt voor een overtreding die aan de andere partij toe te rekenen is, kunnen op die partij worden verhaald. Deze overeenkomst duurt zolang je abonnement duurt en zolang wij daarna gegevens voor je bewaren. Nederlands recht is van toepassing.

Bijlage 1. Waarvoor jij verantwoordelijke bent en wij verwerker

Bijlage 2. Waarvoor xBase360 zelf verantwoordelijke is

• Accounts en platformbeheer: login, sessies, beveiliging, rate limits, foutmeldingen.
• Logboek van dossiertoegang: wie las wat, wanneer en op welke grond; leesbaar voor het lid.
• Eigen gegevens van een lid zonder sportschool: alles wat een lid zonder organisatie vastlegt.
• Export “neem je gegevens mee”: op verzoek van het lid, via een link die 24 uur werkt, maximaal drie keer per dag.
• Support-meekijken: in de app maximaal twee uur als het lid het aanzet; in het dashboard maximaal 24 uur als de coach het aanzet, alleen lezen, zichtbaar en gelogd.
• Facturatie aan jou: contactpersoon en facturen.

Bijlage 3. Beveiligingsmaatregelen

• Wie welke rij mag zien, wordt afgedwongen in de database zelf, op eigenaar en organisatierol. Een fout in een scherm kan daardoor geen andermans gegevens tonen. De servicerol heeft geen algemene lees- of schrijfrechten.
• Rechten per teamlid instelbaar. Tweestapsverificatie is verplicht voor ons eigen team, voor zorgverleners met consultverslagen en, vanaf 14 oktober 2026, voor elke coach en eigenaar; ieder ander kan hem zelf aanzetten.
• Gezondheidsgegevens, foto's en documenten in afgeschermde opslag zonder publieke links, alleen bereikbaar via ondertekende, aflopende adressen.
• Logboek van dossiertoegang en export, leesbaar voor het lid.
• Versleutelde verbindingen; database en opslag in de EU; back-ups door de hostingpartij.
• Bewaartermijnen automatisch afgedwongen; bestanden via een opruimwachtrij; rate limiting met gehashte sleutels.
• Beveiligingsreview tegen OWASP ASVS 5.0; foutbewaking zonder tracing van persoonsgegevens; taakgeheimen geroteerd via script.
• AI-verzoeken bevatten geen contactgegevens; AI-uitkomsten worden pas bewaard na bevestiging door een mens en dragen een label.