Verwerkersovereenkomst

Versie 1.2, geldt sinds 30 september 2026.

Deze verwerkersovereenkomst geldt tussen de Organisator, als verwerkingsverantwoordelijke, en Tickable, onderdeel van H-POPS, Zicht 18, 8061 MS Hasselt, ingeschreven bij de Kamer van Koophandel onder nummer 68682670, als verwerker.

Ze legt vast hoe Tickable de persoonsgegevens verwerkt die zij voor de Organisator verwerkt bij het leveren van de ticketservice, zoals artikel 28 van de Algemene Verordening Gegevensbescherming (AVG) vraagt.

Met een account bij Tickable heb je deze overeenkomst al gesloten: ze maakt deel uit van de algemene voorwaarden. Heeft je organisatie een getekend exemplaar nodig, download dan de PDF hieronder.

1. Begrippen en samenhang

1.1 Begrippen als persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, betrokkene en inbreuk in verband met persoonsgegevens (hierna: datalek) hebben de betekenis die de AVG eraan geeft. Andere begrippen met een hoofdletter, zoals Organisator, Bezoeker, Event en Ticketshop, hebben de betekenis uit de algemene voorwaarden van Tickable.

1.2 Deze verwerkersovereenkomst hoort bij de overeenkomst tussen de Organisator en Tickable over het gebruik van de ticketservice (hierna: de Hoofdovereenkomst) en maakt deel uit van de algemene voorwaarden. Ze geldt voor elke Organisator vanaf het aanmaken van een account, ook zonder ondertekening. Een ondertekend exemplaar heeft dezelfde inhoud.

1.3 Bij strijdigheid tussen deze verwerkersovereenkomst en de algemene voorwaarden gaat deze verwerkersovereenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.

2. Onderwerp en rollen

2.1 De Organisator is verwerkingsverantwoordelijke voor de persoonsgegevens van Bezoekers en andere betrokkenen die Tickable bij het leveren van de ticketservice voor hem verwerkt. Tickable is daarbij verwerker. Bijlage 1 beschrijft welke gegevens dat zijn, van wie, waarvoor en hoe lang.

2.2 Buiten deze verwerkersovereenkomst valt wat Tickable als verwerkingsverantwoordelijke zelf verwerkt: de gegevens van de Organisator en zijn teamleden, haar eigen administratie en het voorkomen van fraude en misbruik van de ticketservice. Daarvoor geldt het privacy statement op tickable.nl/privacy-statement. Ook buiten deze overeenkomst valt wat een Betaaldienstverlener voor zijn eigen wettelijke verplichtingen verwerkt, zoals identiteitsverificatie en fraudepreventie.

3. Instructies

3.1 Tickable verwerkt de persoonsgegevens alleen op schriftelijke instructie van de Organisator, ook bij een doorgifte buiten de EER, tenzij een wettelijke plicht haar tot een verwerking verplicht. Tickable meldt die plicht dan vooraf aan de Organisator, tenzij de wet dat verbiedt.

3.2 Als instructies gelden de Hoofdovereenkomst, deze verwerkersovereenkomst en wat de Organisator in het dashboard instelt of aanzet, zoals de velden in zijn Ticketshop, de e-mails die hij verstuurt en de koppelingen die hij gebruikt.

3.3 Vindt Tickable dat een instructie in strijd is met de AVG of andere wetgeving, dan meldt zij dat direct aan de Organisator. Tickable mag de uitvoering van die instructie opschorten tot de Organisator haar heeft bevestigd of aangepast.

3.4 Tickable gebruikt de persoonsgegevens niet voor eigen doeleinden, verkoopt ze niet en gebruikt gegevens van Bezoekers niet voor eigen marketing.

4. Verplichtingen van de Organisator

4.1 De Organisator staat ervoor in dat hij een geldige grondslag heeft voor elke verwerking die hij Tickable laat uitvoeren, waaronder de gegevens die hij in zijn Ticketshop uitvraagt, de e-mails die hij verstuurt en de pixels of andere meetinstrumenten die hij koppelt.

4.2 De Organisator informeert Bezoekers over de verwerking van hun gegevens, zoals de artikelen 13 en 14 AVG vragen.

4.3 De Organisator vraagt via Tickable geen bijzondere persoonsgegevens (zoals gegevens over gezondheid), strafrechtelijke gegevens of burgerservicenummers uit, tenzij hij daarvoor een grondslag heeft en Tickable daarover vooraf heeft geïnformeerd.

4.4 Gegevens die op instructie van de Organisator naar een partij gaan die hij zelf kiest, vallen onder zijn eigen verantwoordelijkheid. Die partij is geen subverwerker van Tickable, en de Organisator maakt zelf de nodige afspraken met haar. Het gaat bijvoorbeeld om:

• advertentiepixels zoals die van Meta, Google of Reddit;
• koppelingen met andere diensten, zoals een doorverkoopplatform;
• een eigen betaalaccount bij Mollie of SumUp, dat valt onder de overeenkomst tussen de Organisator en die partij.

5. Geheimhouding

5.1 Tickable houdt de persoonsgegevens geheim. Iedereen die namens Tickable toegang heeft tot de gegevens, is door een overeenkomst of de wet tot geheimhouding verplicht.

5.2 Toegang is beperkt tot wie die nodig heeft voor het leveren van de ticketservice, voor support aan de Organisator of zijn Bezoekers, of voor het nakomen van een wettelijke plicht.

6. Beveiliging

6.1 Tickable neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen, afgestemd op de risico's van de verwerking, zoals artikel 32 AVG vraagt. Bijlage 3 beschrijft de maatregelen.

6.2 Tickable mag de maatregelen aanpassen aan nieuwe ontwikkelingen, zolang het beveiligingsniveau daardoor niet lager wordt.

6.3 De Organisator is verantwoordelijk voor de beveiliging aan zijn kant: wie hij toegang geeft tot het dashboard, met welke rechten, en het geheimhouden van de inloggegevens.

7. Subverwerkers

7.1 De Organisator geeft Tickable algemene toestemming om subverwerkers in te schakelen. Bijlage 2 bevat de actuele lijst. Die staat ook op tickable.nl/verwerkersovereenkomst.

7.2 Tickable legt elke subverwerker schriftelijk ten minste dezelfde verplichtingen op als deze verwerkersovereenkomst haar oplegt, en blijft tegenover de Organisator verantwoordelijk voor de nakoming door de subverwerker.

7.3 Tickable meldt een nieuwe of vervangende subverwerker ten minste 30 dagen vooraf per e-mail. De Organisator kan binnen die termijn gemotiveerd bezwaar maken. Komen partijen er samen niet uit, dan kan de Organisator de Hoofdovereenkomst kosteloos opzeggen per de datum waarop de nieuwe subverwerker begint.

7.4 Vraagt een storing of beveiligingsincident bij een bestaande subverwerker om een snelle overstap, dan mag Tickable eerder overstappen. Zij meldt dat dan zo snel mogelijk, en de Organisator houdt het recht op bezwaar en opzegging uit het vorige lid.

8. Doorgifte buiten de EER

8.1 Tickable slaat de persoonsgegevens op in de Europese Economische Ruimte (EER). Een subverwerker mag gegevens alleen buiten de EER verwerken met een waarborg uit hoofdstuk V AVG, zoals een adequaatheidsbesluit (waaronder het EU-VS Data Privacy Framework) of de standaardcontractbepalingen van de Europese Commissie. Bijlage 2 noemt per subverwerker de locatie en de waarborg.

9. Rechten van betrokkenen

9.1 Tickable helpt de Organisator met passende maatregelen bij verzoeken van betrokkenen om hun rechten uit te oefenen, zoals inzage, correctie, verwijdering, beperking, overdracht en bezwaar. Waar het dashboard dat mogelijk maakt, handelt de Organisator een verzoek zelf af.

9.2 Komt een verzoek van een betrokkene bij Tickable binnen, dan stuurt Tickable het binnen 5 werkdagen door naar de Organisator. Tickable handelt het niet zelf af, tenzij de Organisator daarom vraagt.

10. Datalekken

10.1 Tickable meldt een datalek dat persoonsgegevens onder deze verwerkersovereenkomst raakt zonder onredelijke vertraging aan de Organisator, en uiterlijk binnen 48 uur nadat zij het heeft ontdekt. De melding gaat naar het e-mailadres van het account van de Organisator.

10.2 De melding bevat, voor zover bekend:

• wat er is gebeurd en wanneer;
• welke soorten gegevens en betrokkenen het raakt, en om ongeveer hoeveel het gaat;
• de waarschijnlijke gevolgen;
• de maatregelen die Tickable heeft genomen of voorstelt;
• een contactpersoon bij Tickable.

10.3 Wat bij de eerste melding nog niet bekend is, vult Tickable aan zodra het bekend is.

10.4 De Organisator beslist of hij het datalek meldt aan de Autoriteit Persoonsgegevens en aan betrokkenen. Tickable helpt daarbij en meldt niet zelf namens de Organisator, tenzij de wet dat van haar vraagt.

10.5 Tickable neemt direct maatregelen om het datalek te beperken en herhaling te voorkomen, en legt elk datalek vast.

11. Bijstand

11.1 Tickable helpt de Organisator, rekening houdend met de aard van de verwerking en de informatie waarover zij beschikt, bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij een voorafgaande raadpleging van de Autoriteit Persoonsgegevens, zoals de artikelen 35 en 36 AVG vragen.

12. Informatie en audit

12.1 Tickable stelt de informatie beschikbaar die nodig is om aan te tonen dat zij deze verwerkersovereenkomst en artikel 28 AVG naleeft, en beantwoordt redelijke vragen van de Organisator daarover binnen een redelijke termijn.

12.2 De Organisator mag eens per jaar, en na een datalek, een audit laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding is verplicht. Hij kondigt de audit ten minste 30 dagen vooraf aan. De audit verstoort de bedrijfsvoering van Tickable niet meer dan nodig. Tickable mag eerst schriftelijke informatie of rapporten van haar subverwerkers aanbieden, als die de vraag van de Organisator beantwoorden.

12.3 De kosten van een audit zijn voor de Organisator, tenzij de audit laat zien dat Tickable deze verwerkersovereenkomst op een wezenlijk punt niet naleeft. Tickable herstelt een tekortkoming die uit een audit blijkt zo snel als redelijkerwijs mogelijk.

13. Bewaren, teruggeven en verwijderen

13.1 Tickable bewaart de persoonsgegevens van Bezoekers zolang de Organisator een account bij Tickable heeft. Deze gegevens verwijdert zij eerder, vanzelf:

• onbetaalde bestellingen: zodra ze verlopen;
• antwoorden van Bezoekers op e-mails van de Organisator: 12 maanden na het laatste bericht;
• verzonden e-mails en hun bezorgstatus: 24 maanden na verzending;
• contacten zonder toestemming voor marketingberichten: 3 jaar na hun laatste bestelling.

13.2 De Organisator kan Tickable vragen gegevens van Bezoekers eerder te verwijderen, bijvoorbeeld van een afgelopen Event of van één Bezoeker. Tickable doet dat binnen vier weken, behalve wat zij wettelijk moet bewaren, zoals transactiegegevens voor de fiscale bewaarplicht.

13.3 Eindigt de Hoofdovereenkomst, dan kan de Organisator zijn gegevens tot dat moment zelf exporteren uit het dashboard. Vraagt hij daarom binnen 30 dagen na het einde, dan helpt Tickable hem daarbij. Uiterlijk 3 maanden na het einde verwijdert Tickable de gegevens, behalve wat zij wettelijk moet bewaren. Op verzoek bevestigt Tickable de verwijdering schriftelijk.

13.4 Kopieën in back-ups verdwijnen in de normale cyclus van de back-ups.

14. Aansprakelijkheid

14.1 Voor de aansprakelijkheid van Tickable onder deze verwerkersovereenkomst geldt de regeling over aansprakelijkheid in de algemene voorwaarden. Het recht van betrokkenen op schadevergoeding onder artikel 82 AVG blijft daarbij onverlet.

14.2 De Organisator vrijwaart Tickable voor aanspraken van derden en boetes van toezichthouders die het gevolg zijn van een verwerking die hij zonder geldige grondslag liet uitvoeren, of van een instructie van hem.

15. Looptijd en wijziging

15.1 Deze verwerkersovereenkomst loopt zolang Tickable voor de Organisator persoonsgegevens verwerkt. Verplichtingen die naar hun aard doorlopen, zoals geheimhouding, verwijdering en aansprakelijkheid, blijven daarna gelden.

15.2 Tickable kan deze verwerkersovereenkomst wijzigen op dezelfde manier als de algemene voorwaarden: een wijziging die nadelig is voor de Organisator maakt zij ten minste 30 dagen vooraf per e-mail bekend. Een nieuwe subverwerker loopt via artikel 7. Een wijziging verlaagt nooit de bescherming die de AVG vraagt.

15.3 Heeft de Organisator een exemplaar ondertekend, dan gelden ook daarvoor de wijzigingen die volgens het vorige lid zijn aangekondigd. Gaat de Organisator niet akkoord, dan kan hij de Hoofdovereenkomst opzeggen voor de ingangsdatum.

16. Toepasselijk recht en geschillen

16.1 Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Voor geschillen geldt de regeling uit de algemene voorwaarden.

Bijlage 1. Beschrijving van de verwerking

Betrokkenen

• Bezoekers: kopers van Tickets en de mensen op wier naam een Ticket staat;
• mensen die zich bij de Organisator aanmelden voor berichten of een wachtlijst;
• gasten en andere mensen die de Organisator zelf in Tickable invoert.

Persoonsgegevens

• naam en e-mailadres;
• bestelgegevens: welke Tickets, bedrag, datum, betaalstatus en terugbetalingen;
• aanvullende gegevens die de Organisator in zijn Ticketshop uitvraagt, zoals een telefoonnummer of adres;
• gegevens van de toegangscontrole, zoals het moment van scannen;
• e-mails die in opdracht van de Organisator zijn verstuurd of ontvangen, en hun bezorgstatus;
• toestemming voor marketingberichten en de tekst waarmee die werd gevraagd;
• technische gegevens zoals IP-adres en browsertype, voor beveiliging en fraudepreventie.

Doelen

• verkopen en leveren van Tickets en het afhandelen van betalingen en terugbetalingen;
• toegangscontrole bij het Event;
• versturen van tickets en berichten in opdracht van de Organisator;
• overzichten en rapportages voor de Organisator;
• support aan Bezoekers namens de Organisator;
• beveiliging van de ticketservice en het voorkomen van fraude.

Duur

Zolang de Hoofdovereenkomst loopt, met de bewaartermijnen uit artikel 13.

Locatie

Opslag in een datacentrum in de EER (Duitsland). Doorgifte buiten de EER alleen zoals artikel 8 beschrijft.

Bijlage 2. Subverwerkers

Tickable schakelt deze subverwerkers in voor de verwerking onder deze verwerkersovereenkomst.

Bijlage 3. Beveiligingsmaatregelen

• De gegevens staan in een datacentrum in de EER, versleuteld opgeslagen, en zijn alleen bereikbaar via versleutelde verbindingen (TLS).
• De database scheidt organisaties op rijniveau (row level security): een Organisator ziet alleen de gegevens van zijn eigen organisatie.
• De Organisator bepaalt per teamlid met rollen en rechten wie bestellingen mag zien of wijzigen.
• Serverfuncties en databasefuncties krijgen alleen de rechten die ze nodig hebben.
• Wachtwoorden worden alleen versleuteld (gehasht) opgeslagen.
• Betaalgegevens zoals kaartnummers komen niet bij Tickable: de Betaaldienstverlener verwerkt ze.
• De hostingpartij maakt dagelijks back-ups, ook in de EER.
• Wijzigingen in de database lopen via vastgelegde migraties die vooraf worden gecontroleerd.
• Foutmeldingen worden automatisch verzameld, en teksten van Organisatoren worden automatisch gecontroleerd op phishing en ander misbruik.
• Medewerkers hebben alleen toegang als dat voor hun werk nodig is, met een persoonlijk account.
• Datalekken worden gemeld en vastgelegd zoals artikel 10 beschrijft.

Versiegeschiedenis

• 1.0, 13 februari 2025. Directieverklaring inzake gegevensbescherming: de beveiligingsmaatregelen en de partijen die met gegevens werken vastgelegd.
• 1.1, 30 september 2026. Verwerkersovereenkomst opgenomen in artikel 9 van de algemene voorwaarden, en daarmee gesloten met elke Organisator.
• 1.2, 20 oktober 2026. Uitgewerkt als losse verwerkersovereenkomst met bijlagen, om te ondertekenen. Bewaartermijnen afgestemd op wat de ticketservice doet.