Data Processing Addendum (DPA) — AmmoSuite Club

Laatste update: 31 oktober 2026

Dit Data Processing Addendum ("DPA") beschrijft hoe AmmoSuite Club persoonsgegevens verwerkt in opdracht van de klant, in het kader van het leveren van de AmmoSuite Club-dienst (de "Dienst"). Dit DPA is Bijlage 1 (Verwerkersovereenkomst) bij de Algemene voorwaarden. Zie ook de Privacyverklaring.

1. Partijen en rollen

Klant: de schietclub of vereniging die de Dienst gebruikt en bepaalt welke persoonsgegevens van leden worden verwerkt (verwerkingsverantwoordelijke / "controller").
AmmoSuite, handelsnaam van Davy Bammens (eenmanszaak), Zonhovenstraat 39, 3500 Hasselt, ondernemingsnummer 0699.928.640: levert de Dienst AmmoSuite Club (hierna in dit DPA ook "AmmoSuite Club") en verwerkt persoonsgegevens uitsluitend in opdracht van de klant (verwerker / "processor").

2. Onderwerp, aard en doel van de verwerking

AmmoSuite Club verwerkt persoonsgegevens om de Dienst te kunnen leveren, onderhouden en beveiligen, waaronder: ledenbeheer en -goedkeuring, reservaties, sessies en evenementen, klassementen, de aanmeldkiosk, de onderlinge marktplaats, communicatie (e-mail en pushmeldingen), accountbeheer en authenticatie (incl. 2FA), activiteitenlogging, back-ups, herstel bij incidenten en support. AmmoSuite Club verwerkt gegevens niet voor eigen onafhankelijke doeleinden zoals advertentieprofilering, en verkoopt geen gegevens aan derden.

3. Categorieën persoonsgegevens

Naargelang de ingeschakelde modules van de klant kunnen volgende gegevens verwerkt worden:

Identificatie- en contactgegevens: voornaam, achternaam, e-mailadres, telefoonnummer, adres, geboortedatum, rijksregisternummer.
Lidmaatschapsgegevens: lidmaatschapstype en -einddatum, registratiedatum, goedkeurings- en blokkeringsstatus, voorkeurstaal.
Vergunnings- en documentgegevens: wapenvergunningen (Model 4: nummer, uitgiftedatum, wapengegevens), jachtverlof, en andere geüploade documenten/attesten met hun goedkeuringsstatus en vervaldatum.
Clubwapens: naam, kaliber en notities — bewust een beperkt gegevensmodel zonder serienummer of foto, om deze module niet nodeloos gevoelig te maken.
Gebruiksgegevens: reservaties, sessie-inschrijvingen, aanwezigheid, klassementen/scores, berichten en advertenties op de onderlinge marktplaats (met prijs, zonder betaalgegevens).
Technische en beveiligingsgegevens: IP-adres, sessiegegevens, inloggeschiedenis, pushmeldingsabonnementen, apparaat-/browserinformatie.

Er worden geen betaalkaartgegevens of medische gegevens verwerkt. Bankrekeningnummers (IBAN) worden enkel verwerkt als de klant de CODA-import gebruikt (een bètafunctie). Geüploade foto's worden bij opslag automatisch ontdaan van EXIF- en locatiemetadata.

4. Categorieën betrokkenen

Leden en gastdeelnemers van de club.
Gebruikers van de Dienst (beheerders, bestuur, baanverantwoordelijken).
Niet-leden die zich inschrijven voor een openbaar evenement.

5. Duur van de verwerking en bewaartermijnen

De verwerking loopt gedurende de looptijd van het abonnement en/of zolang de testomgeving actief is. Een lid kan volledig uit het systeem verwijderd worden ("recht op verwijdering"): daarbij worden reservaties, sessie- en evenementinschrijvingen, klassementscores, federatiegegevens, documenten, marktplaatsadvertenties en lidmaatschapshistoriek gewist, en geüploade bestanden verwijderd. Activiteitenlog-records blijven bewust bewaard zonder koppeling naar het verwijderde account, zodat de audittrail van de club intact blijft. Verzonden e-mails worden na 30 dagen opgeruimd, mislukte verzendpogingen na 90 dagen. Leden kunnen daarnaast hun eigen gegevens opvragen in een exporteerbaar formaat (gegevensoverdraagbaarheid).

De beheerders van de klant kunnen op elk moment het volledige archief van de club downloaden: alle gegevens als CSV-bestanden (één per tabel) en alle opgeladen bestanden, in één zip-bestand met uitleg. Wachtwoorden, sleutels voor tweestapsverificatie en geheime links zitten daar bewust niet in.

Na het einde van de overeenkomst blijft de Dienst nog 30 dagen beschikbaar voor de beheerders van de klant, alleen-lezen: zij kunnen alle gegevens bekijken en het volledige archief downloaden. Leden kunnen in die periode niet meer aanmelden en de Dienst verstuurt geen herinneringen of meldingen meer. Na die 30 dagen verwijdert AmmoSuite de clubdatabase, alle bestanden, de feedback en de e-mails van de klant; uit de back-ups verdwijnen ze binnen 30 dagen daarna, tenzij een wettelijke bewaarplicht van toepassing is. AmmoSuite bevestigt de verwijdering op verzoek schriftelijk met een verwijderbewijs.

6. Instructies en vertrouwelijkheid

AmmoSuite verwerkt persoonsgegevens uitsluitend op schriftelijke instructies van de klant. Deze overeenkomst en de instellingen die de klant in de Dienst kiest, gelden als zulke instructies. Acht AmmoSuite een instructie onrechtmatig, dan meldt AmmoSuite dat aan de klant. AmmoSuite verwerkt de gegevens niet voor eigen doeleinden, met uitzondering van geanonimiseerde, geaggregeerde gebruiksstatistieken waarin geen klant of persoon herkenbaar is.

Iedereen die voor AmmoSuite werkt en toegang heeft tot de persoonsgegevens, is tot geheimhouding verplicht. Die toegang wordt enkel gebruikt wanneer dat nodig is voor support, onderhoud of beveiliging.

7. Beveiligingsmaatregelen

AmmoSuite Club neemt passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen. Voorbeelden (niet-limitatief):

Versleutelde verbindingen (TLS) tussen gebruikers en het platform.
Wachtwoorden worden gehasht opgeslagen; na herhaalde mislukte aanmeldpogingen wordt een account tijdelijk geblokkeerd.
Optionele tweefactorauthenticatie per account via een authenticator-app (TOTP), met herstelcodes; aanbevolen voor beheerders.
Toegangscontrole met rollen en rechten per lid (beheerder, of een rol met enkel de rechten die nodig zijn, bv. baanverantwoordelijke of penningmeester), beheerd door de klant. Gevoelige gegevens zoals vergunningen vragen een apart recht.
Een activiteitenlog die vastlegt wie welke actie uitvoerde, op welk gegeven en wanneer.
Een aparte database per klant (multi-tenant met database-isolatie), niet gedeeld met andere klanten.
Privé-documenten (licenties, attesten) enkel toegankelijk via een beveiligde, geauthenticeerde download na aanmelding — niet rechtstreeks via een publieke URL.
Automatische verwijdering van EXIF- en locatiegegevens uit geüploade foto's.
Dagelijkse automatische back-ups, die 30 dagen bewaard worden.
Hosting in een beveiligd datacenter in de EU, met versleuteling van de databank en fysieke toegangscontrole bij de hostingpartner.
De databank is niet publiek bereikbaar: de applicatie verbindt ermee via een afgeschermd privénetwerk. Serverbeheer gebeurt enkel via SSH met sleutels.

AmmoSuite mag deze maatregelen aanpassen, op voorwaarde dat het beschermingsniveau niet daalt.

8. Subverwerkers

De klant geeft AmmoSuite algemene toestemming om de volgende subverwerkers in te schakelen:

DigitalOcean, LLC (Verenigde Staten): hosting van servers, databanken, bestanden en back-ups. De gegevens staan in het datacenter in Amsterdam (Nederland). Grond voor doorgifte: het EU-VS Data Privacy Framework, met standaardcontractbepalingen als terugvaloptie (DPA van DigitalOcean).
SMTP2GO (Sand Dune Mail Ltd, Nieuw-Zeeland): verzenden van e-mails vanuit de Dienst, gehost in de EU. Voor eventuele toegang vanuit Nieuw-Zeeland geldt het adequaatheidsbesluit van de Europese Commissie.

Bestanden (documenten, afbeeldingen) worden per klantomgeving op onze eigen servers opgeslagen, niet bij een externe opslagdienst. Pushmeldingen gebruiken het open webstandaard-protocol Web Push: ze lopen via de pushdienst van de browser van het lid (bv. Google, Mozilla of Apple), maar de inhoud is end-to-end versleuteld zodat die diensten ze niet kunnen lezen. Lettertypes, iconen en scripts van de Dienst komen van onze eigen servers, niet van een externe CDN of lettertypedienst. Er is geen betaalverwerker of SMS-dienst gekoppeld aan de Dienst. Subverwerkers krijgen enkel toegang tot persoonsgegevens voor zover nodig en onder passende contractuele waarborgen. Een nieuwe of vervangende subverwerker melden we minstens 30 dagen vooraf; de klant kan binnen die termijn gemotiveerd bezwaar maken.

9. Bijstand bij rechten van betrokkenen

AmmoSuite Club ondersteunt het recht op inzage, correctie, verwijdering en overdraagbaarheid met ingebouwde functies: de klant kan gegevens inzien, corrigeren, exporteren (per lid of als volledig archief) en verwijderen, leden kunnen hun gegevens exporteren, en een beheerder kan een lid, op diens verzoek, volledig en onherroepelijk uit het systeem verwijderen. Ontvangt AmmoSuite zelf een verzoek van een betrokkene, dan stuurt AmmoSuite dat binnen 5 werkdagen door naar de klant en beantwoordt AmmoSuite het niet zelf. AmmoSuite verleent redelijke bijstand bij een gegevensbeschermingseffectbeoordeling (DPIA), bij een vraag van de gegevensbeschermingsautoriteit en bij verzoeken die niet via de ingebouwde functies afgehandeld kunnen worden. Bijstand die verder gaat dan het standaardplatform kan aangerekend worden aan het gebruikelijke uurtarief.

10. Databreach / beveiligingsincident

Bij een inbreuk in verband met persoonsgegevens ("datalek") informeert AmmoSuite de klant zonder onredelijke vertraging en uiterlijk 48 uur nadat AmmoSuite het datalek ontdekt heeft. AmmoSuite vermeldt daarbij, voor zover bekend:

wat er gebeurd is;
welke gegevens en hoeveel betrokkenen getroffen zijn;
de vermoedelijke gevolgen;
de genomen of voorgestelde maatregelen.

Ontbrekende informatie volgt zo snel mogelijk. De klant beslist of het datalek gemeld wordt aan de gegevensbeschermingsautoriteit en aan de betrokkenen; AmmoSuite doet dat niet in naam van de klant.

11. Audit en informatie

Op verzoek, en maximaal één keer per jaar, bezorgt AmmoSuite de klant de informatie die nodig is om de naleving van dit DPA aan te tonen, waaronder beschikbare auditrapporten van de hostingpartner, voor zover die partner dat toelaat. Volstaat die informatie niet, dan kan de klant een audit laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding verplicht is, na een aankondiging van minstens 30 dagen en op kosten van de klant.

12. Aansprakelijkheid

Voor de aansprakelijkheid onder dit DPA geldt artikel 13 van de Algemene voorwaarden, onverminderd artikel 82 AVG.

13. Contact

Vragen over dit DPA? Contacteer contact@ammosuite.com.
Ondernemingsnummer: 0699.928.640.