Veiligheid en AVG
Gegevens van leden, goed bewaard.
Een vereniging bewaart namen, adressen, rekeningnummers en soms gegevens van kinderen. Daar gaan we zorgvuldig mee om. Dit is hoe.
Eigen installatie per vereniging
Elke vereniging krijgt een eigen omgeving met een eigen database. Gegevens van verenigingen staan nooit door elkaar.
Servers in de Europese Unie
Orkesto draait bij Hetzner in een datacenter in de EU. Alleen pushmeldingen naar telefoons lopen via Apple en Google, met passende waarborgen.
Versleuteld, onderweg en in de back-up
Alle verbindingen lopen via HTTPS. Elke nacht een versleutelde back-up op een andere locatie: 14 dagen dagelijks, 8 weken wekelijks.
Rollen en rechten
Iedereen ziet alleen wat bij zijn rol hoort. De penningmeester ziet de financiën, een leider zijn onderdeel, een lid zijn eigen gegevens.
Logboek van wijzigingen
Belangrijke acties worden vastgelegd, zodat je kunt nagaan wie wat heeft gedaan.
Updates en bewaking
Wij houden de software en de server bij en bewaken of alles werkt. Jullie hoeven daar niets voor te doen.
AVG
De AVG zit erin.
De vereniging is verantwoordelijk voor de gegevens van haar leden; wij verwerken ze in opdracht. Orkesto helpt jullie om dat goed te doen.
- Een verwerkersovereenkomst, standaard bij de start
- Het register van verwerkingen, al voor jullie ingevuld
- Toestemmingen per lid, zoals voor foto's
- Inzage en export van de gegevens van een lid
- Verwijderen op verzoek, en vaste bewaartermijnen
- Meldingen per push of mail alleen voor wie dat wil
Wie ons helpt, en waar.
Voor een paar onderdelen werken we met andere partijen (subverwerkers). Met elk van hen zijn afspraken gemaakt over beveiliging en geheimhouding. Voor de statistieken van deze website gebruiken we Umami op onze eigen server, zonder cookies en zonder persoonsgegevens.
| Partij | Waarvoor | Waar |
|---|---|---|
| Hetzner Online GmbH | Servers en opslag van de back-ups (Storage Box) | EU, datacenter Neurenberg (Duitsland) |
| Resend | Versturen van e-mails uit het portaal | EU (regio Ierland) |
| Mollie B.V. | Betalingen van het abonnement | Nederland (EU) |
| Apple en Google | Pushmeldingen naar de app | Met passende waarborgen (EU-VS-dataprivacykader) |
AVG-checklist voor besturen
Acht vragen voor de bestuursvergadering.
Ook als jullie geen Orkesto gebruiken. Kun je ze allemaal met ja beantwoorden, dan zit het goed.
- Weten jullie welke gegevens van leden je bewaart, en waarom?
- Is er met elke leverancier die ledengegevens verwerkt een verwerkersovereenkomst?
- Hebben alleen de mensen die het nodig hebben toegang tot de ledenlijst?
- Staat de ledenlijst niet meer los in Excel, in de mail of op een USB-stick?
- Vragen jullie toestemming voor foto's en publicaties, en leggen jullie die vast?
- Kunnen jullie een lid binnen een maand laten zien welke gegevens er zijn?
- Worden gegevens van oud-leden na een vaste termijn verwijderd?
- Weet het bestuur wat te doen bij een datalek, en binnen welke termijn?
En als jullie stoppen?
De gegevens blijven van de vereniging. Na het einde van het abonnement kunnen jullie nog 30 dagen inloggen om alles te exporteren: de ledenlijst, de financiën en de bestanden. Daarna verwijderen we de installatie; de back-ups lopen binnen hun bewaartermijn vanzelf af.
Stopt Novant zelf met Orkesto, dan krijgen alle verenigingen dat minimaal zes maanden vooraf te horen. In die periode blijft het portaal gewoon werken, kunnen jullie alles exporteren en helpen we bij de overstap naar een alternatief. De broncode van het portaal wordt dan beschikbaar gesteld aan een opvolger of aan de verenigingen zelf, zodat niemand zonder zijn gegevens of zonder werkend portaal komt te zitten.
Klaar om jullie avonden terug te krijgen?
Open de demovereniging De Eendracht en kijk rond als lid, secretaris of penningmeester. Zonder account.