Verwerkersovereenkomst (Art. 28 AVG)

§ 1 Onderwerp en duur

Onderwerp is de verwerking van persoonsgegevens voor zenyogi: gehoste studiowebsite, rooster, boeking, wachtlijst, leden- en docentenbeheer, e-mail, shop, video’s, challenges en bijbehorende betalingen.

De duur is het gebruik van zenyogi door de studio plus de termijn voor wissen of teruggeven na afloop van de dienst.

§ 2 Aard en doel

De verwerker verwerkt gegevens alleen op gedocumenteerde instructie van de studio, zodat die de site kan runnen, lessen verkopen, boekingen bijhouden en leerlingen mailen.

Eigen doelen van de verwerker (bijv. facturatie van het zenyogi-studioaccount) vallen buiten deze overeenkomst.

§ 3 Soorten gegevens en betrokkenen

Betrokkenen en gegevenssoorten staan in bijlage A.

§ 4 Gedocumenteerde instructies

De verwerker verwerkt persoonsgegevens alleen op gedocumenteerde instructie van de verantwoordelijke, ook voor doorgifte naar een derde land, tenzij Unierecht of lidstaatrecht dit vereist.

Instructies lopen via de software, e-mail naar het adres in het colofon, of deze overeenkomst. Als de verwerker een instructie onrechtmatig acht, meldt hij dat onverwijld aan de studio.

§ 5 Vertrouwelijkheid

Iedereen met toegang tot de gegevens is tot geheimhouding verplicht en verwerkt ze alleen voor zover nodig voor de taak.

§ 6 Beveiliging van de verwerking

De verwerker treft passende technische en organisatorische maatregelen volgens Art. 32 AVG. De actuele maatregelen staan in bijlage B. Materiële verslechtering wordt aan de studio gemeld.

§ 7 Subverwerkers

De studio geeft algemene schriftelijke toestemming voor de subverwerkers in bijlage C.

zenyogi kondigt een nieuwe of vervangende subverwerker minstens 14 dagen van tevoren aan op deze pagina of per e-mail. De studio kan bezwaar maken op redelijke privacygronden. Zonder bezwaar is de wijziging goedgekeurd.

Met subverwerkers worden contracten met dezelfde plichten gesloten. Stripe, PayPal en SumUp worden alleen gebruikt als de studio ze koppelt; hun eigen DPA’s gelden ook.

§ 8 Rechten van betrokkenen

De verwerker helpt de studio bij inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar, met de producttools (export en verwijdering via het studioaccount) waar die bestaan.

§ 9 Hulp bij artikelen 32 tot 36

De verwerker ondersteunt de studio bij beveiliging, datalekken, informatie aan betrokkenen en DPIA’s, voor zover hij over de informatie beschikt.

§ 10 Datalek

Als een datalek gegevens uit deze overeenkomst raakt, meldt de verwerker dat onverwijld aan de studio zodra hij het weet, met de informatie die hij heeft voor Art. 33 en 34 AVG.

§ 11 Wissen en teruggeven

Na afloop wist de verwerker de studiogegevens of geeft ze terug, naar keuze van de studio, tenzij bewaarplicht geldt.

Tijdens de looptijd kan de studio ledenprofielen exporteren en laten wissen via het account.

§ 12 Informatie en audits

De verwerker verstrekt de informatie die nodig is om naleving aan te tonen en laat audits toe, inclusief inspecties, door de studio of een gemachtigde auditor.

Audits worden tijdig aangekondigd, verstoren de dienst niet onevenredig en vinden hoogstens jaarlijks plaats, tenzij er een concrete aanleiding is (bijv. een lek). Vertrouwelijkheid blijft gewaarborgd.

§ 13 Internationale doorgifte

De verwerker is gevestigd in de Verenigde Staten. Subverwerkers in bijlage C kunnen gegevens ook in de VS of andere derde landen verwerken.

Doorgiften steunen op een adequaatheidsbesluit (inclusief het EU-VS Data Privacy Framework als de ontvanger is gecertificeerd) of op de standaardcontractbepalingen van de Commissie (Besluit 2021/914), module 2 en/of 3, plus aanvullende maatregelen indien nodig.

Door zenyogi te gebruiken instrueert de studio de verwerker deze doorgiften te doen voor zover nodig voor de dienst.

§ 14 Aansprakelijkheid

Aansprakelijkheid volgt Art. 82 AVG en het toepasselijke recht. De verwerker is jegens de studio aansprakelijk voor schade door verwerking in strijd met deze overeenkomst of de AVG, voor zover hem schuld treft.

§ 15 Looptijd en einde

Deze overeenkomst geldt zolang de studio zenyogi gebruikt en eindigt met de dienstverleningsovereenkomst, zonder de plichten tot wissen, geheimhouding en audits te beëindigen die van nature doorlopen.

§ 16 Slotbepalingen

zenyogi publiceert wijzigingen op deze pagina of per e-mail. Maakt de studio binnen 14 dagen geen bezwaar op privacygronden, dan geldt de nieuwe versie.

Is een beding ongeldig, dan blijft de rest in stand. De AVG geldt. Is aanvullend nationaal recht nodig, dan geldt Duits recht voor studio’s gevestigd in de EU of de EER.

Deze pagina toont de overeenkomst in de gekozen taal. Bij afwijking geldt voor studio’s in Duitsland of Oostenrijk de Duitse tekst, anders de Engelse.

Bijlage A — Verwerking

Betrokkenen: leerlingen en andere klanten van de studio; docenten en medewerkers die de studio in zenyogi zet; noodcontacten als de studio die bewaart.

Soorten gegevens: naam, e-mail, telefoon, adres, geboortedatum, taal, marketing- en herinneringsopt-in, waiver, boekingen, wachtlijst, aanwezigheid, lidmaatschappen en aankopen, notities van de studio, docentenprofielen en betalingsstatus. Kaartnummers blijven bij de gekoppelde betaaldienst. De studio kan ook beelden of video’s van personen opslaan.

Bijlage B — Technische en organisatorische maatregelen

De verwerker onderhoudt minstens:

• Versleuteling in transit (HTTPS/TLS)
• Toegang beperkt tot geauthenticeerde studio-accounts; rollen voor studio en docenten
• Scheiding van studiogegevens via businessId
• Versleuteling at rest waar hosting- en databaseproviders dat bieden
• Regelmatige back-ups via Convex
• Geheimhouding voor personen met supporttoegang
• Export en verwijdering van profielen via het studioaccount
• Beveiligingslogging in de gebruikelijke omvang van de gebruikte diensten

Bijlage C — Subverwerkers

Lijst per 2026-08-25. Marketingtrackers op zenyogi.io (Vercel Analytics of Microsoft Clarity) verwerken geen ledendata van de studio en vallen buiten deze overeenkomst.

• Convex, Inc. — Database, backendfuncties en authenticatie. Locatie: Verenigde Staten.
• Vercel Inc. — Hosting van de applicatie en CDN. Locatie: Verenigde Staten / wereldwijde edge.
• Cloudflare, Inc. — Objectopslag (R2) voor afbeeldingen en video’s. Locatie: Verenigde Staten / Cloudflare-netwerk.
• Resend, Inc. — Transactionele en studio-e-mail. Locatie: Verenigde Staten.
• Stripe, Inc. / Stripe Payments Europe, Ltd. — Kaartbetalingen als de studio Stripe koppelt. Locatie: EU / Verenigde Staten. Alleen als de studio Stripe gebruikt. Stripe’s eigen DPA geldt ook.
• PayPal (Europe) S.à r.l. et Cie, S.C.A. / PayPal, Inc. — Betalingen als de studio PayPal koppelt. Locatie: EU / Verenigde Staten. Alleen als de studio PayPal gebruikt. PayPal’s eigen DPA geldt ook.
• SumUp Limited — Betalingen als de studio SumUp koppelt. Locatie: EU / Verenigd Koninkrijk. Alleen als het platform SumUp heeft aangezet en de studio het gebruikt.