Verwerkersovereenkomst

Tussen de kinderopvang en 4V3D OÜ, voor de groepsdienst van Minute Mission. Versie 1.0, 23 september 2026.

Dit is de Nederlandse vertaling van de overeenkomst, gepubliceerd zodat je haar in je eigen taal kunt lezen. De Engelse en de Estse tekst zijn de teksten die gelden, en de Estse tekst is de tekst die Estse klanten ondertekenen. Wijkt er hier iets af van het Engels, dan geldt de Engelse tekst.

Hoe je hiermee akkoord gaat

Twee manieren, met hetzelfde gevolg.

Bij het afrekenen. Vink het vakje aan waarmee je deze overeenkomst, versie 1.0, aanvaardt. De versie en de datum worden bij je account vastgelegd, je krijgt een kopie van precies de tekst die je hebt aanvaard per e-mail, en die blijft beschikbaar in je account.
Op papier, als je organisatie een handtekening nodig heeft. Vraag ons erom via info@4v3d.ee en we sturen dezelfde tekst als document, met een tabel voor je gegevens. Onderteken het elektronisch (een gekwalificeerde eIDAS-handtekening, DocuSign, Adobe Sign of je eigen nationale systeem) en stuur het terug. 4V3D OÜ ondertekent hetzelfde bestand en stuurt het terug. De overeenkomst gaat in op de laatste van de twee handtekeningen.

Verwerker: 4V3D OÜ, registratienummer 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estland. Vertegenwoordiger: Oskar Viil, bestuurder. Contact: info@4v3d.ee.

1. Waar deze overeenkomst over gaat

De kinderopvang (de verwerkingsverantwoordelijke) gebruikt Minute Mission, een webapplicatie die 4V3D OÜ (de verwerker) beheert, waarin een pedagogisch medewerker een bord bijhoudt met de missies en beloningen van een groep. Daarvoor verwerkt 4V3D OÜ de persoonsgegevens die in Bijlage II staan, namens de kinderopvang en volgens haar instructies.

Deze overeenkomst bevat alles wat artikel 28, lid 3, van de AVG en van de UK GDPR schriftelijk geregeld wil zien tussen een verwerkingsverantwoordelijke en een verwerker. Ze geldt ongeacht of de kinderopvang in de EER of in het Verenigd Koninkrijk gevestigd is.

2. Welk recht op jou van toepassing is

Een kinderopvang in de EER. De AVG is van toepassing. Onderdeel 3 geldt ook.
Een kinderopvang in het Verenigd Koninkrijk. De UK GDPR en de Data Protection Act 2018 zijn van toepassing. Waar hieronder de AVG staat, lees je de UK GDPR, waar een toezichthoudende autoriteit staat, lees je de Information Commissioner, en onderdeel 3 geldt niet.
Een kinderopvang ergens anders. Je eigen wetgeving over gegevensbescherming is op jou van toepassing, en deze voorwaarden binden 4V3D OÜ als contract. 4V3D OÜ is in de Europese Unie gevestigd en is voor deze verwerking hoe dan ook aan de AVG gebonden. Niets hierin beperkt een recht dat je eigen wetgeving je geeft.

3. De standaardcontractbepalingen van de Europese Commissie

Is de kinderopvang in de EER gevestigd, dan passen partijen de standaardcontractbepalingen tussen verwerkingsverantwoordelijken en verwerkers toe uit de bijlage bij Uitvoeringsbesluit (EU) 2021/915 van de Commissie, in hun officiële Engelse bewoordingen. Die bepalingen maken deel uit van deze overeenkomst en de bijlagen hieronder zijn hun bijlagen. Bepaling 5 (toetreding) geldt niet. Bij bepaling 7.7 geldt optie 2: algemene schriftelijke toestemming voor subverwerkers, met 30 dagen aankondiging van elke wijziging. Spreken de bepalingen en deze overeenkomst elkaar tegen, dan winnen de bepalingen.

4. Wat beide kanten toezeggen

4V3D OÜ zal:

De persoonsgegevens alleen verwerken om de dienst te leveren en alleen volgens de gedocumenteerde instructies van de kinderopvang, ook wat doorgifte naar een derde land betreft. Deze overeenkomst en het gebruik van de dienst door de kinderopvang zijn die instructies. Moet 4V3D OÜ op grond van Unierecht of het recht van een lidstaat toch anders verwerken, dan meldt zij dat vooraf aan de kinderopvang, tenzij dat recht dat verbiedt.
De gegevens nooit voor eigen doeleinden gebruiken, nooit verkopen, nooit gebruiken om iets te trainen, en nooit laten zien aan iemand buiten de subverwerkers in Bijlage IV.
Ervoor zorgen dat iedereen met toegang tot geheimhouding verplicht is.
De beveiligingsmaatregelen uit Bijlage III in stand houden en niet afzwakken.
Alleen de subverwerkers uit Bijlage IV inschakelen. 4V3D OÜ mag er een toevoegen of vervangen en stelt de contactpersoon van de kinderopvang daar eerst 30 dagen van tevoren schriftelijk van op de hoogte. De kinderopvang kan binnen die 30 dagen bezwaar maken; komen we er samen niet uit, dan kan de kinderopvang de dienst beëindigen en wordt het ongebruikte deel van de maand terugbetaald.
De kinderopvang helpen bij het beantwoorden van een verzoek van een ouder of een medewerker. Pedagogisch medewerkers en de leidinggevende kunnen deze gegevens zelf al in de dienst inzien, corrigeren, exporteren en verwijderen. Komt een verzoek toch bij 4V3D OÜ binnen, dan geeft zij het binnen vijf werkdagen door aan de contactpersoon van de kinderopvang en beantwoordt het niet zelf.
De kinderopvang helpen met haar verplichtingen uit de artikelen 32 tot en met 36 (beveiliging, melding van inbreuken, effectbeoordelingen, voorafgaande raadpleging), rekening houdend met wat 4V3D OÜ feitelijk weet.
De contactpersoon van de kinderopvang binnen 24 uur na kennisname informeren over een inbreuk in verband met persoonsgegevens, met wat op dat moment bekend is en de rest zodra het is vastgesteld.
Bij het einde van de dienst de gegevens binnen 30 dagen verwijderen, of ze eerst teruggeven als de kinderopvang daarom vraagt. Uit de versleutelde back-ups verdwijnen ze binnen 90 dagen. 4V3D OÜ bevestigt schriftelijk wanneer ze weg zijn.
De informatie beschikbaar stellen die nodig is om aan te tonen dat deze verplichtingen worden nagekomen, en een audit toestaan. In de praktijk betekent dat schriftelijke antwoorden en documentatie op verzoek. Een audit op locatie of door een derde kan worden afgesproken met 30 dagen aankondiging, op kosten van de kinderopvang, niet vaker dan één keer per jaar, tenzij er een inbreuk is geweest.
De kinderopvang meteen waarschuwen als een instructie in strijd lijkt met het recht inzake gegevensbescherming.

De kinderopvang zal:

Ervoor zorgen dat er een rechtsgrond voor deze verwerking is en dat ouders zijn geïnformeerd. 4V3D OÜ ziet de ouders niet en kan dit niet voor je doen.
De gegevens in de dienst beperken tot wat Bijlage II beschrijft. Typ vooral geen achternaam van een kind, geen gezondheidsinformatie, geen beoordeling van een kind en niets over de situatie van een gezin in een vrij tekstveld.
De eigen accountgegevens kloppend houden en 4V3D OÜ laten weten wanneer de contactpersoon verandert.
De eigen personeelsaccounts beheren: verwijder de login van een pedagogisch medewerker die vertrekt.

5. Twee dingen die geen verwerking namens jou zijn

Hier met zoveel woorden gezegd, zodat niemand er later naar hoeft te raden.

Personeelsaccounts. De naam, het e-mailadres en het wachtwoord van een pedagogisch medewerker of leidinggevende zijn nodig om de dienst überhaupt te laten draaien, en 4V3D OÜ bepaalt hoe die draait. Voor dat smalle doel is 4V3D OÜ verwerkingsverantwoordelijke en geen verwerker, en geldt haar eigen privacybeleid. Alles wat over de kinderen gaat, is verwerking namens de kinderopvang en valt onder deze overeenkomst.
Betalen. Betaalt de kinderopvang met kaart, dan wordt de betaling afgehandeld door Stripe Payments Europe Ltd. Stripe ontvangt de factuurnaam, het adres, het btw-nummer, het e-mailadres en de kaartgegevens van de kinderopvang, en geen enkel gegeven over een kind. 4V3D OÜ is verwerkingsverantwoordelijke voor die factuurgegevens. Stripe is daarom geen subverwerker onder deze overeenkomst en staat niet in Bijlage IV.

6. Duur, recht en aansprakelijkheid

Deze overeenkomst loopt zolang 4V3D OÜ de gegevens van de kinderopvang verwerkt, en blijft na het einde van de dienst gelden tot de gegevens zijn verwijderd.

Ests recht is van toepassing en de rechtbanken van de provincie Harju zijn bevoegd, tenzij de kinderopvang een overheidsinstelling is waarvan de eigen regels het nationale recht en de nationale rechter voorschrijven; in dat geval spreken partijen dat voor ondertekening samen af.

Voor de aansprakelijkheid geldt wat in de Gebruiksvoorwaarden van Minute Mission staat, die deze overeenkomst aanvult en niet vervangt.

Bijlage I. De partijen

Verwerkingsverantwoordelijke: de kinderopvang, geïdentificeerd met de gegevens die ze bij het afrekenen opgeeft of in het ondertekende exemplaar invult. Rol: verwerkingsverantwoordelijke voor de gegevens van de kinderen op het groepsbord.

Verwerker: 4V3D OÜ, registratienummer 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estland. Contact: Oskar Viil, bestuurder, info@4v3d.ee. Er is geen functionaris voor gegevensbescherming aangesteld, omdat de AVG dat hier niet vereist.

Beide kanten kunnen hun contactpersoon wijzigen door dat schriftelijk aan de ander te laten weten.

Bijlage II. Beschrijving van de verwerking

Wiens gegevens	De kinderen in de groep, en de pedagogisch medewerkers en de leidinggevende die de dienst gebruiken.
Gegevens van kinderen	Voornaam of roepnaam, een gekozen plaatje (nooit een foto), punten, afgeronde missies, ontvangen beloningen, weekprijzen uit een vaste lijst, extra sterren met een reden uit een vaste lijst of een eigen notitie van de medewerker van maximaal 60 tekens, en een markering dat een kind er vandaag niet is, zonder reden.
Gegevens van personeel	Naam, e-mailadres, wachtwoord dat alleen als hash wordt bewaard, en inloggegevens: welke medewerker wat heeft afgevinkt, de browserstring van een sessie, en de IP-adressen van inlogpogingen, alleen bewaard om het raden van wachtwoorden tegen te gaan.
Niet verzameld	Achternamen, nationale identificatienummers, geboortedata, foto's, gezondheidsgegevens, adressen, contactgegevens van ouders. Foto's kunnen sowieso niet naar een groepsaccount worden geüpload.
Bijzondere categorieën	Geen. De dienst is er niet op gebouwd om die te bevatten, en de limiet op vrije tekst hierboven is er om dat zo te houden.
Doel	Een bord met missies en beloningen voor de groep, als hulpmiddel bij lesgeven en zorg.
Aard van de verwerking	Opslaan, tonen, corrigeren, exporteren en verwijderen, allemaal gestart door het eigen personeel van de kinderopvang binnen de dienst. Geen profilering, geen geautomatiseerde besluitvorming, geen analytics, geen advertenties.
Frequentie	Doorlopend, zolang de dienst wordt gebruikt.
Duur	Zolang de dienst wordt gebruikt, of voor de afgesproken proefperiode. Verwijdering zoals in onderdeel 4.

Bijlage III. Beveiligingsmaatregelen

De gegevens staan in de Europese Unie. De applicatie en haar back-ups draaien in het datacenter van Hetzner Online GmbH in Helsinki, Finland (ISO/IEC 27001-gecertificeerd). Dienst-e-mail wordt verstuurd via Scaleway SAS in Frankrijk. Er is geen doorgifte naar een derde land.
Alles onderweg is versleuteld (HTTPS, met een Content Security Policy actief). Wachtwoorden worden nooit opgeslagen, alleen een hash ervan, en sessietokens worden ook als hash bewaard, zodat een kopie van de database geen set werkende sleutels is.
Elke groep is een apart account. Een pedagogisch medewerker ziet alleen de kinderen in haar eigen groep. De leidinggevende heeft één login voor haar eigen groepen en geen toegang tot die van iemand anders.
Foto's kunnen niet naar een groepsaccount worden geüpload, pushmeldingen staan uit, en de plaatjes van de kinderen liggen vast in een set tekeningen.
Dagelijkse versleutelde back-ups, 14 dagen bewaard op de server en 90 dagen buiten de server. Ze zijn versleuteld met een publieke sleutel die de server zelf niet heeft, dus de server kan zijn eigen back-ups niet lezen. Terugzetten vanaf een back-up is getest.
Toegang tot de server is beperkt tot de bestuurder van 4V3D OÜ. Er is geen medewerker, opdrachtnemer of supportmedewerker met toegang.
Geen analytics, geen advertentietools en geen tracking van welke soort dan ook. De enige vaste rapportage is een dagelijkse telling van aanmeldingen, actieve accounts en fouten, waar geen namen in staan.
Snelheidslimieten op inloggen en aanmelden, en een limiet van 30 dagen op hoe ver terug een missie kan worden afgevinkt, zodat een vergissing of misbruik geen maanden geschiedenis kan herschrijven.
Een schriftelijke beveiligingsreview van de volledige broncode is twee keer uitgevoerd door een extern model, het laatst op 20 september 2026, en de bevindingen daarvan zijn afgehandeld.

Bijlage IV. Subverwerkers

Hetzner Online GmbH (Duitsland)	Serverhosting en back-ups.	Helsinki, Finland (EU)
Scaleway SAS (Frankrijk)	Versturen van dienst-e-mail aan personeel, bijvoorbeeld een wachtwoordherstel. In geen enkele e-mail staan gegevens van een kind.	Frankrijk (EU)

Beide zitten in de Europese Unie. Er is geen subverwerker buiten de EU en geen internationale doorgifte om te beoordelen.

Dit is een vertaling, gepubliceerd zodat je de overeenkomst in je eigen taal kunt lezen. De Engelse en de Estse tekst zijn de teksten die gelden, en op de overeenkomst is hoe dan ook Ests recht van toepassing. Is hier iets onduidelijk, of staat het er anders dan in het Engels, dan telt de Engelse tekst. Stel ons er gerust elke vraag over, we antwoorden schriftelijk.