Verwerkersovereenkomst SoulPlanner

Versie 1.1. Hoort bij de algemene voorwaarden SoulPlanner versie 1.6. Peildatum 1 oktober 2026.

Partijen

Mediumschool Amsterdam HemelsWijs B.V., statutair gevestigd te Amsterdam, kantoorhoudend aan de TT Vasumweg 122, 1033 SH Amsterdam, ingeschreven in het handelsregister onder nummer 86201409, btw-identificatienummer NL863894100B01, hierna HemelsWijs.
De klant, zoals aangeduid in de overeenkomst waarbij deze verwerkersovereenkomst hoort, hierna de klant.

Artikel 1. Partijen en de rolverdeling

Deze verwerkersovereenkomst hoort bij de overeenkomst tussen de klant en Mediumschool Amsterdam HemelsWijs B.V. over het gebruik van SoulPlanner. In deze verwerkersovereenkomst staat verder HemelsWijs.
De klant is verwerkingsverantwoordelijke voor de persoonsgegevens van haar cliënten en van de personen die namens haar in SoulPlanner werken. Zij bepaalt het doel van de verwerking en de middelen die zij daarvoor inzet.
HemelsWijs is verwerker. Zij verwerkt die persoonsgegevens uitsluitend voor de klant en op haar instructie.
Voor de gegevens die HemelsWijs voor haar eigen bedrijfsvoering verwerkt, zoals de contact- en factuurgegevens van de klant zelf, is HemelsWijs zelf verwerkingsverantwoordelijke. Die verwerking valt buiten deze verwerkersovereenkomst en staat beschreven in de privacyverklaring op soulplanner.nl/privacy.
Deze verwerkersovereenkomst voldoet aan artikel 28 lid 3 van de Algemene verordening gegevensbescherming en komt langs elektronische weg tot stand, zoals artikel 28 lid 9 uitdrukkelijk toestaat. Een handtekening is niet nodig. De aanvaarding bij de aanmelding wordt vastgelegd zoals artikel 5 lid 5 van de algemene voorwaarden beschrijft.

Artikel 2. Rangorde

Wijkt deze verwerkersovereenkomst af van de algemene voorwaarden, dan gaat deze verwerkersovereenkomst voor. Dat volgt ook uit artikel 10 lid 2 van die voorwaarden.
De bijlagen horen bij deze verwerkersovereenkomst en hebben dezelfde werking als de artikelen.
Wat hier niet is geregeld, valt onder de algemene voorwaarden.

Artikel 3. Duur

Deze verwerkersovereenkomst gaat in op de dag waarop de overeenkomst tussen partijen ingaat en loopt zolang die overeenkomst loopt.
De verplichtingen die naar hun aard bedoeld zijn om daarna voort te duren, blijven gelden. Dat zijn in elk geval de geheimhouding uit artikel 6 en de teruggave en verwijdering uit artikel 11.

Artikel 4. Waar het over gaat

Bijlage 1 beschrijft het onderwerp, de aard en het doel van de verwerking, de soorten persoonsgegevens en de categorieën betrokkenen.
HemelsWijs verwerkt niet meer persoonsgegevens en niet voor andere doeleinden dan Bijlage 1 beschrijft.
Wil HemelsWijs buiten Bijlage 1 treden, dan is daarvoor een aanvulling op deze verwerkersovereenkomst nodig. Een aankondiging is niet genoeg.

Artikel 5. Uitsluitend op instructie van de klant

HemelsWijs verwerkt de persoonsgegevens uitsluitend op gedocumenteerde instructie van de klant. Doorgifte naar een land buiten de Europese Economische Ruimte valt daar uitdrukkelijk onder.
Wat als instructie geldt: deze verwerkersovereenkomst met haar bijlagen, de algemene voorwaarden, en de handelingen die de klant zelf in haar account verricht. Daaronder valt de bewaartermijn die de klant in haar account kiest, of, als zij er geen kiest, de termijn uit Bijlage 1 onderdeel 6. Een aanvullende instructie geeft de klant schriftelijk of per e-mail.
Een aanvullende instructie die redelijkerwijs buiten het bereik van de overeenkomst valt of die extra werk meebrengt, voert HemelsWijs uit nadat partijen daarover afspraken hebben gemaakt. HemelsWijs weigert een instructie niet zonder opgaaf van reden.
Meent HemelsWijs dat een instructie in strijd is met de wetgeving over gegevensbescherming, dan meldt zij dat onmiddellijk aan de klant en voert zij die instructie niet uit zolang de klant haar niet schriftelijk bevestigt. Dit is de meldplicht van artikel 28 lid 3, slotzin, AVG.
Verplicht een wettelijk voorschrift HemelsWijs tot een verwerking waarvoor de klant geen instructie heeft gegeven, dan meldt HemelsWijs dat vooraf, tenzij dat voorschrift die melding verbiedt om gewichtige redenen van algemeen belang.
HemelsWijs gebruikt de gegevens nooit voor eigen doeleinden, verstrekt ze niet aan derden buiten deze verwerkersovereenkomst, en gebruikt ze niet voor reclame, voor profilering of om haar eigen dienst te trainen of te verbeteren. Geanonimiseerde en geaggregeerde gebruikscijfers zoals bedoeld in artikel 15 lid 5 van de algemene voorwaarden vallen hierbuiten, omdat die geen persoonsgegevens zijn. Die cijfers zijn niet tot een klant of een cliënt herleidbaar en worden nooit teruggebracht tot een individu.

Artikel 6. Geheimhouding

HemelsWijs houdt de persoonsgegevens geheim, ook nadat deze verwerkersovereenkomst is geëindigd.
HemelsWijs zorgt ervoor dat de personen die onder haar gezag toegang hebben tot de persoonsgegevens tot geheimhouding zijn verplicht, hetzij op grond van hun arbeids- of opdrachtovereenkomst, hetzij op grond van een afzonderlijke verklaring, en dat zij die gegevens uitsluitend verwerken voor zover hun taak dat vergt. Wie die personen zijn en waar hun toegang uit bestaat, staat in Bijlage 2.
De geheimhouding geldt niet voor zover een wettelijk voorschrift of een rechterlijk bevel tot verstrekking verplicht. HemelsWijs meldt zo’n verplichting vooraf aan de klant, tenzij dat haar verboden is, en beperkt de verstrekking tot wat werkelijk wordt verlangd.

Artikel 7. Beveiliging

HemelsWijs neemt passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG, en ten minste de maatregelen die in Bijlage 2 staan beschreven.
Bijlage 2 beschrijft uitsluitend maatregelen die op de peildatum van die bijlage feitelijk zijn getroffen. Vervalt een maatregel of vervangt HemelsWijs hem door een andere, dan werkt zij Bijlage 2 bij en meldt zij dat langs de weg van artikel 8 lid 3.
De klant kan uitsluitend bij haar eigen gegevens.
HemelsWijs beoordeelt periodiek of de maatregelen nog passend zijn, mede gelet op de stand van de techniek en op de aard van de gegevens.
De klant is zelf verantwoordelijk voor haar eigen kant: haar inloggegevens, wie zij namens haar toegang geeft, en de gegevens die zij in SoulPlanner zet. Artikel 8 en artikel 9 van de algemene voorwaarden gelden onverkort.

Artikel 8. Subverwerkers

De klant geeft HemelsWijs hierbij algemene schriftelijke toestemming om andere verwerkers in te schakelen, als bedoeld in artikel 28 lid 2 AVG. De subverwerkers die HemelsWijs op de ingangsdatum inschakelt, staan in Bijlage 3.
HemelsWijs legt elke subverwerker bij overeenkomst dezelfde verplichtingen op als in deze verwerkersovereenkomst staan, voor zover die op zijn werkzaamheden van toepassing zijn. Komt een subverwerker zijn verplichtingen niet na, dan blijft HemelsWijs tegenover de klant volledig aansprakelijk voor het nakomen van diens verplichtingen.
Wil HemelsWijs een subverwerker toevoegen of vervangen, dan meldt zij dat ten minste dertig dagen vooraf per e-mail, met vermelding van de naam, de vestiging, de werkzaamheden en de verwerkingsregio.
De klant kan binnen die dertig dagen bezwaar maken door dat per e-mail te melden, met opgave van reden. Partijen overleggen dan of er een oplossing is. Komen zij er niet uit, dan kan de klant de overeenkomst beëindigen tegen de dag waarop de wijziging ingaat, zonder opzegtermijn en zonder kosten, en betaalt HemelsWijs het niet-gebruikte deel van een al betaalde periode naar rato terug.
Dit is geen vetorecht, en dat staat hier met opzet. SoulPlanner draait op een handvol partijen die de dienst dragen. Eén klant kan de keuze van een hostingpartij niet blokkeren voor alle andere klanten. Wat de klant wél heeft, is het recht om niet mee te gaan: zij kan weg, zonder termijn en zonder kosten, met haar gegevens mee volgens artikel 14 van de algemene voorwaarden.
Is een wijziging nodig om een acuut beveiligingsprobleem op te lossen, dan kan HemelsWijs haar eerder doorvoeren. Zij meldt dat dan onverwijld, met de reden erbij, en de klant houdt het recht uit lid 4.

Artikel 9. Bijstand bij de rechten van betrokkenen

Wendt een cliënt of een andere betrokkene zich rechtstreeks tot HemelsWijs met een verzoek over haar rechten, dan handelt HemelsWijs dat verzoek niet zelf af. Zij stuurt het binnen drie werkdagen door naar de klant en laat de betrokkene weten dat zij dat heeft gedaan en bij wie zij moet zijn.
HemelsWijs helpt de klant, met passende technische en organisatorische maatregelen, om te voldoen aan haar plicht om verzoeken van betrokkenen te beantwoorden: inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar.
Die hulp is zo tijdig dat de klant de termijn van artikel 12 lid 3 AVG kan halen, en in elk geval binnen tien werkdagen na het verzoek van de klant. Wat HemelsWijs daarbij feitelijk kan leveren aan uitvoer en verwijdering, staat in Bijlage 2.
HemelsWijs brengt voor deze hulp geen kosten in rekening, tenzij een verzoek door zijn omvang of herhaling kennelijk onredelijk is. In dat geval overlegt zij eerst.

Artikel 10. Bijstand bij beveiliging, inbreuken en beoordelingen

HemelsWijs helpt de klant bij het nakomen van haar verplichtingen uit de artikelen 32 tot en met 36 AVG, rekening houdend met de aard van de verwerking en met de gegevens waarover HemelsWijs beschikt.
Wordt HemelsWijs bekend met een inbreuk in verband met persoonsgegevens, dan meldt zij dat onverwijld aan de klant, en in elk geval binnen achtenveertig uur nadat zij daarmee bekend is geworden. Is de inbreuk haar door een subverwerker gemeld, dan meldt zij die door aan de klant binnen vierentwintig uur na ontvangst van die melding. Wat HemelsWijs feitelijk kan opmerken en hoe snel, staat in Bijlage 2. Welke meldtermijn elke subverwerker aanhoudt tegenover de laag boven zich, staat in Bijlage 3.
De melding bevat ten minste: wat er is gebeurd, wanneer, welke categorieën gegevens en betrokkenen het raakt en om hoeveel het bij benadering gaat, wat de waarschijnlijke gevolgen zijn, welke maatregelen zijn genomen of worden voorgesteld, en de contactgegevens van degene die bij HemelsWijs meer informatie kan geven. Is niet alles meteen bekend, dan meldt HemelsWijs wat er wél is en vult zij aan zodra zij meer weet.
HemelsWijs meldt niet zelf aan de toezichthouder en niet aan betrokkenen. Dat is de taak van de klant, want zij is verwerkingsverantwoordelijke. HemelsWijs levert haar wat zij daarvoor nodig heeft.
Voert de klant een gegevensbeschermingseffectbeoordeling uit of raadpleegt zij vooraf de toezichthouder, dan verleent HemelsWijs daarbij redelijke medewerking met de informatie waarover zij beschikt.

Artikel 11. Teruggave en verwijdering na afloop

Bij het einde van de overeenkomst kan de klant tot dertig dagen na de einddatum een uitvoer van haar gegevens opvragen. Wat die uitvoer bevat en in welke vorm, staat in artikel 14 van de algemene voorwaarden. HemelsWijs brengt daarvoor geen kosten in rekening en schort de uitvoer nooit op wegens een betalingsachterstand.
De klant kiest of HemelsWijs de persoonsgegevens na afloop wist of terugbezorgt. Kiest zij niets, dan wist HemelsWijs ze, na afloop van de termijn uit lid 1.
HemelsWijs wist de persoonsgegevens binnen dertig dagen na afloop van de termijn uit lid 1, met inbegrip van bestaande kopieën, tenzij een wettelijk voorschrift bewaring voorschrijft. In dat laatste geval bewaart zij alleen wat dat voorschrift verlangt, zolang als het dat verlangt, en verwerkt zij die gegevens verder niet.
Reservekopieën volgen hun eigen ritme, en dat staat hier opgeschreven in plaats van weggelaten. Gegevens die in een reservekopie staan, worden niet afzonderlijk uit die kopie verwijderd. Zij verdwijnen zodra de kopie zelf vervalt. HemelsWijs gebruikt gegevens uit een reservekopie na afloop uitsluitend om een storing te herstellen en voor niets anders. Hoe lang een reservekopie loopt, staat in Bijlage 2.
HemelsWijs bevestigt de wissing schriftelijk op verzoek van de klant.

Artikel 12. Informatie en controle

HemelsWijs stelt de klant op verzoek alle informatie ter beschikking die nodig is om aan te tonen dat de verplichtingen uit artikel 28 AVG worden nagekomen.
De klant kan een audit laten uitvoeren, ten hoogste eenmaal per kalenderjaar, en daarnaast telkens wanneer daarvoor een concrete aanleiding bestaat, zoals een inbreuk die haar gegevens raakt.
Voor een audit gelden vier voorwaarden: de klant kondigt haar ten minste dertig dagen vooraf schriftelijk aan; zij wordt uitgevoerd door een onafhankelijke deskundige die tot geheimhouding is gehouden; zij verstoort de bedrijfsvoering van HemelsWijs niet meer dan nodig; en de bevindingen worden vertrouwelijk behandeld en uitsluitend gebruikt om te beoordelen of deze verwerkersovereenkomst wordt nagekomen.
De kosten van een audit draagt de klant, tenzij uit de audit blijkt dat HemelsWijs in een wezenlijk opzicht tekortschiet. Dan draagt HemelsWijs de redelijke kosten en herstelt zij het gebrek op eigen kosten binnen een redelijke termijn.
Beschikt HemelsWijs over een recent rapport van een onafhankelijke deskundige dat de vraag van de klant beantwoordt, dan mag zij dat rapport aanbieden in plaats van een eigen audit. Aanvaardt de klant dat niet, dan gaat de audit gewoon door. Deze bepaling geeft HemelsWijs een alternatief, geen uitweg.

Artikel 13. Doorgifte buiten de Europese Economische Ruimte

HemelsWijs geeft persoonsgegevens alleen door aan een land buiten de Europese Economische Ruimte wanneer daarvoor een geldige grondslag bestaat volgens hoofdstuk V AVG, en zij vermeldt die grondslag in Bijlage 3.
Welke partijen buiten de Europese Economische Ruimte verwerken en op welk mechanisme dat rust, staat in Bijlage 3.
Vervalt een mechanisme waarop een doorgifte rust, dan meldt HemelsWijs dat binnen dertig dagen aan de klant, met wat zij doet om de doorgifte alsnog te dekken of te beëindigen. Deze bepaling staat er omdat een adequaatheidsbesluit een stand van vandaag is en geen eigenschap. Twee voorgangers van het huidige besluit zijn door het Hof van Justitie vernietigd.

Artikel 14. Bijzondere categorieën persoonsgegevens

HemelsWijs heeft SoulPlanner niet ingericht om gegevens over gezondheid, over levensovertuiging of andere gegevens uit artikel 9 lid 1 AVG vast te leggen. Artikel 9 van de algemene voorwaarden beschrijft wat het systeem wel en niet kan, en wat de klant daarbij zelf doet.
De klant zorgt zelf voor een geldige grondslag. Verwerkt zij, ondanks artikel 9 van de algemene voorwaarden, gegevens die onder een bijzondere categorie vallen, dan is zij degene die daarvoor een grondslag als bedoeld in artikel 9 lid 2 AVG moet hebben en die haar cliënten daarover moet informeren.
Eén verwachting staat hier uitgeschreven in plaats van aangenomen. De uitzondering voor zorgverleners van artikel 9 lid 2 onderdeel h AVG veronderstelt verwerking door of onder verantwoordelijkheid van een beroepsbeoefenaar met een wettelijk beroepsgeheim. Werkt de klant niet in zo’n hoedanigheid, dan blijft in de praktijk de uitdrukkelijke toestemming van haar cliënt over als grondslag. Die toestemming vraagt de klant zelf. HemelsWijs vraagt haar niet namens haar.
De klant vrijwaart HemelsWijs voor aanspraken van derden die voortkomen uit het ontbreken van een grondslag als bedoeld in lid 2 en lid 3.

Artikel 15. Aansprakelijkheid

Voor de aansprakelijkheid tussen partijen geldt artikel 16 van de algemene voorwaarden, met de beperkingen die daar staan.
De aansprakelijkheid tegenover een betrokkene wordt hier niet geregeld en kan hier ook niet worden geregeld. Artikel 82 AVG bepaalt zelf wie tegenover een betrokkene aansprakelijk is. Een afspraak tussen partijen verandert daar niets aan. Wat partijen onderling wél kunnen afspreken, is wie het uiteindelijk draagt, en dat staat in lid 3.
Betaalt een van beide partijen een vergoeding aan een betrokkene of een boete aan de toezichthouder, dan kan zij die verhalen op de andere partij voor zover die schade of boete aan die andere partij is toe te rekenen. Een partij verhaalt nooit het deel dat aan haar eigen tekortschieten is toe te rekenen.
De beperkingen uit lid 1 gelden niet bij opzet of bewuste roekeloosheid.

Artikel 16. Slot

Wijziging van deze verwerkersovereenkomst gaat langs artikel 19 lid 2 van de algemene voorwaarden. Een wijziging die nodig is om te voldoen aan een verandering in de wet of in het oordeel van een toezichthouder, kan HemelsWijs eerder doorvoeren. Zij meldt dat dan, met de reden erbij.
Is een bepaling nietig of wordt zij vernietigd, dan blijven de overige bepalingen gelden en vervangen partijen de getroffen bepaling door een geldige die zo dicht mogelijk bij de bedoeling komt.
Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Artikel 20 van de algemene voorwaarden wijst de bevoegde rechter aan.

Bijlage 1. Wat er wordt verwerkt

1. Onderwerp en aard van de verwerking

HemelsWijs stelt SoulPlanner ter beschikking: het online plannen, bevestigen, wijzigen en annuleren van sessies tussen de praktijk en haar cliënten, de bijbehorende agenda en werktijden, en het versturen van de e-mail die daarbij hoort. De verwerking bestaat uit het opslaan, raadplegen, wijzigen, verzenden en verwijderen van de gegevens die de klant en haar cliënten zelf invoeren. HemelsWijs verricht geen enkele bewerking op de inhoud. HemelsWijs toont op de boekingspagina van de klant haar praktijkgegevens en, zolang de klant geen link naar een eigen privacyverklaring heeft opgegeven, een privacytekst op haar naam die uit een model is gemaakt.

2. Doel

Uitvoering van de overeenkomst tussen de klant en HemelsWijs, en niets anders. Er is geen profilering, geen analyse op individueel niveau en geen training van welk model dan ook op deze gegevens.

3. De soorten persoonsgegevens, per categorie betrokkene

Cliënten van de klant.

Naam: naam van de cliënt
E-mailadres: in kleine letters opgeslagen
Telefoonnummer
Moment van verificatie: het moment waarop het e-mailadres met een code is bevestigd
Inlogaccount: het e-mailadres waarmee de cliënt een code heeft aangevraagd, met de momenten van aanmaken, bevestigen en laatste inlog. Het staat in het inlogdeel van de databank, één keer per e-mailadres en niet per praktijk. Het inlogdeel kan bij een inlog ook technische gegevens vastleggen, zoals het IP-adres
Moment van vastlegging: het moment van eerste vastlegging
Begin en einde van de sessie
Naam van het sessietype: een momentopname bij het boeken. Dit gegeven reist mee in de bevestigings- en de herinneringsmail aan de cliënt
Tarief: een momentopname bij het boeken
Status: bevestigd, afgerond, geannuleerd door de cliënt, geannuleerd door de praktijk, of niet verschenen
Beheersleutel: een geheime sleutel van 64 tekens per afspraak. Wie de sleutel heeft, kan daarmee zonder in te loggen van die ene afspraak de tijd, het sessietype, het tarief en de naam van de behandelaar zien, en de afspraak annuleren. De naam en de contactgegevens van de cliënt geeft de sleutel niet prijs. Bij SoulPlanner krijgt de cliënt deze sleutel niet: hij staat in geen enkele mail. De teamleden van de eigen praktijk kunnen hem zien. Afzeggen en verzetten lopen via de praktijk
Maillogboek: per afspraak welk soort mail wanneer is verzonden. Geen inhoud

Ten minste één van e-mailadres of telefoonnummer is verplicht. Dat is afgedwongen in het schema.

De personen die namens de klant in SoulPlanner werken. Naam, een functieaanduiding, actief of niet, de werktijden per weekdag, de afwezigheden met soort (dicht, vakantie, ziek, afwijkend open), periode en een vrije omschrijving, de koppeling aan een inlogaccount, de rol (eigenaar of medewerker), en bij een uitnodiging het e-mailadres met een token en de momenten van verzenden, inwisselen en intrekken. Het e-mailadres en de wachtwoordsleutel van een inlogaccount staan in het inlogdeel van de databank en niet bij de persoon zelf. Daarnaast is er per vestiging een meldadres: het e-mailadres waarop de praktijk bericht krijgt van een nieuwe boeking en van een annulering. Bij de aanmelding wordt daar het e-mailadres van de aanmelder ingevuld, en dat kan een persoonlijk adres zijn. Bezoekers en cliënten kunnen het meldadres niet zien. Wijzigen gebeurt op verzoek van de klant door HemelsWijs. Is een vestiging niet meer actief of is de overeenkomst opgezegd, dan wordt het meldadres gewist zodra er negentig dagen geen afspraakactiviteit meer is geweest.

4. De categorieën betrokkenen

Twee: de cliënten van de klant, en de personen die namens de klant in SoulPlanner werken.

5. Wat er niet wordt verwerkt

Er is geen notitieveld over een cliënt. Het enige vrije tekstveld over een persoon in het hele systeem gaat over een afwezigheid van een medewerker van de praktijk en niet over een cliënt. Dat veld verlaat het systeem niet: het komt in geen enkele uitgaande mail voor en het staat achter beveiligingsregels die het bij het team van de eigen praktijk houden.

6. Duur

Zoals artikel 3 en artikel 11 bepalen. Tijdens de looptijd verwijdert HemelsWijs de gegevens van een cliënt, met de afspraken en het maillogboek die daarbij horen, zodra de bewaartermijn is verstreken die de klant in haar account heeft gekozen, gerekend vanaf de laatste afspraak van die cliënt. Een cliënt met een afspraak in de toekomst wordt niet verwijderd. Heeft de klant geen termijn gekozen, dan is die termijn vierentwintig maanden.

Het inlogaccount van een cliënt (onderdeel 3) valt daar vandaag niet onder. Het wordt niet automatisch verwijderd, omdat één inlogaccount bij meer praktijken kan horen. HemelsWijs verwijdert het met de hand, op verzoek van de klant, zodra die cliënt bij geen enkele praktijk meer gegevens heeft. Komt er een automatische verwijdering, dan werkt HemelsWijs deze bijlage bij.

Voor reservekopieën geldt Bijlage 2 onderdeel 5. Ook het inlogdeel gaat daarin mee.

Bijlage 2. Beveiliging, toegang, detectie, uitvoer en reservekopieën

Peildatum 1 oktober 2026. Deze bijlage beschrijft alleen wat feitelijk is gemeten. Waar een maatregel bij een leverancier ligt en niet bij HemelsWijs, staat dat erbij, met de bron.

Onderdeel 1. De maatregelen van artikel 32 AVG die feitelijk zijn getroffen

Scheiding per praktijk op databaseniveau. Alle tabellen dragen row level security. 32 regels bepalen per tabel en per handeling wie welke rij ziet. 20 tabellen dragen die beveiliging zonder enkele regel. Dat betekent weigeren voor bezoekers en voor ingelogde gebruikers. Alleen de dienstrol van de server (onderdeel 2) kan erbij
Minimale rechten voor bezoekers. Een niet ingelogde bezoeker heeft nul rechten op de tabellen met cliëntgegevens, afspraken, aanmeldingen en contactberichten
Schrijven is begrensd tot de eigen praktijk en bewaakt. Een ingelogd teamlid leest de afspraken en leest en wijzigt de cliënten van de eigen praktijk. Daarnaast beheert het de eigen sessietypen, werktijden, roosters en praktijkgegevens. Een afspraak aanmaken kan alleen via een functie die de regels controleert. De status van een afspraak verandert alleen langs toegestane overgangen, en die bewaking zit in de databank zelf. Cliënten verwijderen kan een teamlid niet
Versleuteld transport. De browser mag alleen met de eigen website en via HTTPS met de eigen databank verbinden; dat legt de inhoudsbeveiligingspolicy vast. De mail gaat uitsluitend over HTTPS naar de EU-host van de mailpartij, en die host wordt als host gecontroleerd en niet als begin van een tekst. De verbinding voor de reservekopie is versleuteld
Beveiligingskoppen op de website. Een volledige inhoudsbeveiligingspolicy zonder uitzonderingen, no-referrer, nosniff, DENY op inbedding, een uitgezette camera, microfoon en locatie, en HTTPS-afdwinging (HSTS) met een opbouwtermijn van vijf minuten
Beperking van misbruik op de invoerkanalen. Op het contactformulier: een vangveld, een dubbelklikzeef van vijf minuten, ten hoogste twee berichten per adres per uur en vijf per vierentwintig uur, en ten hoogste twintig berichten per uur en honderd per vierentwintig uur in totaal. Boeken kan alleen binnen vijftien minuten na een e-mailcode, met ten hoogste drie boekingen per vijftien minuten en tien openstaande afspraken per cliënt. Er zijn grenzen op uitnodigingen (25 open per praktijk, 10 per uur per praktijk, 3 per uur per adres), op dashboardvolumes en op de herroepingsfunctie
Gescheiden databanken per product. SoulPlanner en het andere product van de infrastructuurhouder draaien in aparte databankprojecten en delen geen enkele tabel
Vastgezet zoekpad op alle 117 functies met verhoogde rechten, zodat een tijdelijke tabel er geen functie kan kapen
Geheim in de header van de mailroute, met een vergelijking in constante tijd
Wachtwoorden en codes. Wachtwoorden worden niet leesbaar bewaard. Het inlogdeel van de databank slaat alleen een afgeleide (hash) op, en die gaat mee in de reservekopieën van onderdeel 5. Elk wachtwoordscherm in SoulPlanner vraagt ten minste acht tekens. Een cliënt bevestigt haar e-mailadres met een eenmalige code van zes cijfers
Vastlegging. Per afspraak, per aanmelding, per contactbericht en per herroeping wordt vastgelegd welk soort mail wanneer is verzonden, zonder inhoud. Storingen in de mailroute worden apart vastgelegd. Elke run van de reservekopie wordt gelogd

Wat hier niet staat, is ook niet getroffen. Er is geen tweestapsverificatie op de inlog van een praktijk. Er is geen logboek dat vastlegt wie welke cliëntgegevens heeft ingezien of gewijzigd. De ondergrens voor wachtwoorden en de geldigheid van een code worden aan de serverkant bepaald door de instellingen van het databankproject, en niet door de schermen. Versleuteling in rust is een maatregel van de databankleverancier en niet van HemelsWijs. Die leverancier verklaart dat alle klantgegevens in rust met AES-256 zijn versleuteld en onderweg via TLS (supabase.com/security, geraadpleegd op 1 oktober 2026).

Onderdeel 2. Wie toegang heeft

Eén persoon heeft toegang tot de persoonsgegevens, in de rol van beheerder van het systeem. Die persoon werkt voor HemelsWijs op grond van de overeenkomst tussen HemelsWijs en CijferZaak B.V., de subverwerker uit Bijlage 3, van 1 oktober 2026. Die persoon heeft op 1 oktober 2026 een geheimhoudingsverklaring tegenover HemelsWijs ondertekend, en op 1 oktober 2026 een tegenover CijferZaak B.V. Verder heeft niemand toegang: er zijn geen medewerkers, en er is geen ondersteuningsafdeling met inzage. Toegang wordt uitsluitend gebruikt voor beheer, storingsonderzoek en de bijstand die deze verwerkersovereenkomst voorschrijft.

CijferZaak B.V. houdt en beheert de infrastructuur. Die toegang berust op dezelfde overeenkomst van 1 oktober 2026, die CijferZaak B.V. de verplichtingen van artikel 8 lid 2 oplegt.

Verder gelden de volgende toegangsniveaus, alle vier gemeten op de opbouw van de databank zoals die in de code vastligt:

Een bezoeker zonder inlog: de openbare boekingsgegevens van een praktijk: naam, adres, plaats, telefoon, de sessietypen en de namen van de personen die sessies geven, en de privacygegevens die de praktijk zelf openbaar maakt (de links naar haar eigen privacyverklaring en afzegafspraken, de bewaartermijn en het e-mailadres voor vragen over privacy). Nul rechten op cliënten, afspraken, aanmeldingen en contactberichten. Wie de geheime beheersleutel van één afspraak heeft, kan daarmee van die ene afspraak de tijd, het sessietype, het tarief en de naam van de behandelaar opvragen en de afspraak annuleren, maar niet de naam of de contactgegevens van de cliënt zien. Bij SoulPlanner krijgt de cliënt die sleutel niet: hij staat in geen enkele mail
Een ingelogde cliënt (na de e-mailcode): kan boeken, binnen de grenzen van onderdeel 1, maatregel 6. Ze kan geen rijen lezen uit de tabellen met cliënten, afspraken, roosters of abonnementen
Een ingelogd teamlid van een praktijk: lezen van de afspraken en lezen en wijzigen van de cliënten van de eigen praktijk, op elke regel afgedwongen
De dienstrol van de server: alle gegevens, want die rol gaat om de beveiligingsregels heen. Wordt gebruikt door de mailfunctie, door de geplande taken en door de beheerscripts, waaronder de reservekopie

Onderdeel 3. Wat HemelsWijs kan opmerken, en hoe snel

SoulPlanner draait geplande controles die storingen in de bedrijfsvoering opsporen: een mail die niet is aangekomen, een aanmelding die is blijven hangen, een privacyverzoek dat op zijn antwoordtermijn afkoerst. Die controles draaien elk uur en melden aan HemelsWijs. Er is geen bewaking die een inbreuk op de beveiliging uit zichzelf opmerkt, en er is geen wachtdienst buiten kantooruren. HemelsWijs wordt in de praktijk bekend met een inbreuk door een melding van een leverancier, van een klant of van een derde, of door eigen waarneming. De termijn in artikel 10 lid 2 loopt vanaf dat moment en niet vanaf het ontstaan van de inbreuk.

Onderdeel 4. Wat HemelsWijs kan leveren bij een verzoek van een betrokkene

Inzage: de praktijk ziet haar eigen gegevens in het dashboard. Een cliënt vindt de gegevens van haar afspraak in haar bevestigingsmail. Een volledig overzicht per cliënt stelt HemelsWijs met de hand samen
Rectificatie: de praktijk corrigeert cliëntgegevens zelf, begrensd tot de eigen praktijk
Wissing: met de hand, in de juiste volgorde vanwege de onderlinge verwijzingen. Na de bewaartermijn uit Bijlage 1 onderdeel 6 automatisch
Beperking: met de hand
Overdraagbaarheid: met de hand
Bezwaar: organisatorisch afgehandeld

Inzage en rectificatie van cliëntgegevens kan de klant zelf in SoulPlanner doen. Voor uitvoer, wissing op verzoek, beperking en bezwaar is er vandaag geen knop in het product: HemelsWijs stelt die gegevens met de hand samen uit de databank en levert ze binnen de termijn van artikel 9 lid 3. Bij de huidige omvang van de dienst is dat uitvoerbaar. De verwijdering na de bewaartermijn die de klant kiest, gebeurt automatisch, met een geplande taak die dagelijks draait. Die taak is sinds 1 oktober 2026 ingepland en draait elke dag om 03:59 uur (UTC). Komt er een functie in het product die het handwerk automatiseert, dan werkt HemelsWijs deze bijlage bij.

Onderdeel 5. Reservekopieën

HemelsWijs laat elke dag een reservekopie van de databank maken, op een vaste computer van de beheerder. Die kopie bevat alle gegevens van SoulPlanner, ook het inlogdeel. Zij wordt tijdens het maken versleuteld met AES-256 en zo weggeschreven. Direct daarna wordt gecontroleerd of zij leesbaar is. Daarvoor wordt de kopie kort ontsleuteld naar een tijdelijk bestand op diezelfde computer, dat na de controle meteen wordt verwijderd. Wordt de controle onderbroken, dan ruimt de volgende run dat bestand op. De taak draait alleen als die computer aan staat en de beheerder is aangemeld. Op een dag waarop dat niet zo is, wordt er geen kopie gemaakt.

Waar de versleutelde kopieën staan. Op drie plaatsen: op die computer, in de cloudopslag van Google (Bijlage 3), waarnaar de computer elke dag een spiegel zet, en op een externe schijf die van tijd tot tijd op die computer wordt aangesloten. Die schijf is zelf in zijn geheel versleuteld. De sleutel van de kopieën staat niet in de cloudopslag. Op de computer staat hij in een andere map dan de kopieën. Op de versleutelde externe schijf staat hij naast de kopieën.

Hoe lang een kopie blijft. Op de computer blijven de veertien nieuwste kopieën staan, en geen kopie wordt opgeruimd voordat zij veertien dagen oud is. De laatste kopie waarvan de leesbaarheid is vastgesteld, blijft altijd staan. Wat op de computer wordt opgeruimd, verdwijnt bij de volgende spiegeling ook uit de cloudopslag, en staat daarna nog dertig dagen in de prullenbak daarvan. Op de externe schijf blijft een opgeruimde kopie dertig dagen bewaard. Daarnaast blijft van elke maand de eerste bewaarde stand twaalf maanden staan. Gegevens die uit de databank zijn verwijderd, kunnen daardoor nog ruim twaalf maanden in een versleutelde reservekopie staan.

Waarvoor een kopie wordt gebruikt. Uitsluitend om na een storing of een fout gegevens terug te zetten. Gegevens worden niet afzonderlijk uit een kopie verwijderd. Zij verdwijnen wanneer de kopie zelf vervalt. Wordt een kopie teruggezet, dan verwijdert HemelsWijs opnieuw wat vóór het terugzetten al was verwijderd, voordat de gegevens weer in gebruik worden genomen.

Onderdeel 6. De scheiding tussen klanten

De scheiding tussen praktijken is gemeten en niet aangenomen. Alle 32 tabellen dragen row level security, er zijn 32 regels actief, en een niet ingelogde bezoeker kan afspraken, cliënten, aanmeldingen noch contactberichten lezen. Deze meting draagt artikel 7 lid 3.

Bijlage 3. Subverwerkers

Stand 1 oktober 2026.

De keten

De klant is verwerkingsverantwoordelijke. Mediumschool Amsterdam HemelsWijs B.V. is verwerker. CijferZaak B.V. (Amsterdam) is subverwerker: zij houdt en beheert de hosting-, databank- en mailvoorzieningen waarop SoulPlanner draait. Dat is vastgelegd in een overeenkomst tussen HemelsWijs en CijferZaak B.V. van 1 oktober 2026. De hieronder genoemde leveranciers zijn verdere subverwerkers en contracteren met CijferZaak B.V.

De partijen

CijferZaak B.V.

Werkzaamheid: houder en beheerder van de hosting-, databank- en mailvoorzieningen
Contractspartij en grondslag: rechtstreeks met HemelsWijs; overeenkomst van 1 oktober 2026
Verwerkingsregio en doorgifte: Nederland; geen doorgifte
Meldtermijn tegenover de laag erboven: 24 uur

Supabase

Werkzaamheid: databank, inlogaccounts, de functie die mail aanbiedt
Contractspartij en grondslag: CijferZaak B.V.; Data Processing Addendum versie 1 van 1 augustus 2026, opgenomen in de gebruiksvoorwaarden
Verwerkingsregio en doorgifte: Europese Unie, Frankfurt. Voor beheer en ondersteuning van buiten de EER gelden de standaardcontractbepalingen, module 3
Meldtermijn tegenover de laag erboven: zonder onnodige vertraging, waar mogelijk binnen 48 uur

Mailgun (Sinch)

Werkzaamheid: verzending van de e-mail aan cliënten en aan de praktijk
Contractspartij en grondslag: CijferZaak B.V.; Sinch Data Processing Agreement versie 6 van 7 juli 2023, automatisch onderdeel van de dienstenovereenkomst, geen aparte ondertekening
Verwerkingsregio en doorgifte: Europese Unie, EU-host, in code afgedwongen. Voor doorgifte daarbuiten gelden de standaardcontractbepalingen, module 3, met daarnaast de certificering van Mailgun Technologies, Inc. onder het EU-U.S. Data Privacy Framework
Meldtermijn tegenover de laag erboven: onverwijld, zonder vaste termijn

Netlify

Werkzaamheid: levering van de website en de applicatie
Contractspartij en grondslag: CijferZaak B.V.; Data Processing Agreement, laatst gewijzigd 9 juni 2026, door verwijzing opgenomen in de Self-Serve Subscription Agreement, geen aparte ondertekening
Verwerkingsregio en doorgifte: Verenigde Staten. Doorgifte op grond van het EU-U.S. Data Privacy Framework. Vervalt dat besluit of hercertificeert Netlify zich niet, dan gelden de standaardcontractbepalingen, module 3
Meldtermijn tegenover de laag erboven: onverwijld, in elk geval binnen 48 uur

TransIP

Werkzaamheid: de mailbox ikwil@soulplanner.nl en de registratie van het domein soulplanner.nl
Contractspartij en grondslag: CijferZaak B.V.; subverwerkersovereenkomst versie 6, aanvaard op 18 augustus 2026
Verwerkingsregio en doorgifte: Europese Unie. Daarnaast buiten de Europese Unie voor zover dat nodig is voor de uitvoering; TransIP geeft op verzoek aan om welke landen het gaat
Meldtermijn tegenover de laag erboven: onverwijld, zonder vaste termijn

Google

Werkzaamheid: bestemming van de doorsturing van ikwil@soulplanner.nl; en opslag van de versleutelde reservekopieën van de databank, zonder de sleutel (Bijlage 2 onderdeel 5)
Contractspartij en grondslag: CijferZaak B.V.; de verwerkersvoorwaarden van Google Workspace
Verwerkingsregio en doorgifte: Verenigde Staten. Adequaatheidsbesluit EU-U.S. Data Privacy Framework. De reservekopieën zijn versleuteld voordat zij de computer van de beheerder verlaten; Google heeft de sleutel niet
Meldtermijn tegenover de laag erboven: niet vastgesteld

Waarom er een kolom met contractspartijen staat. De voorzieningen worden gehouden door CijferZaak B.V. Maar met welke rechtspersoon elke leverancier heeft gecontracteerd, is een apart gegeven, en het is het gegeven dat telt op het moment dat iemand de keten wil natrekken. Deze kolom noemt daarom per partij wie werkelijk de wederpartij is, en op grond waarvan.

Waarom er een kolom met meldtermijnen staat. Artikel 10 lid 2 kent een tweede trap voor het geval een subverwerker een inbreuk al heeft gemeld. Zonder deze kolom zou de klant die keten moeten afleiden in plaats van lezen. Waar “niet vastgesteld” staat, is dat een openstaand punt en geen afwezigheid van een termijn.

Aantekening bij de partij die het domein en de mailbox houdt

Deze partij werkt op één punt anders dan de andere, en de klant hoort dat te weten, omdat het de reikwijdte van artikel 8 lid 3 begrenst.

Artikel 5 van haar subverwerkersovereenkomst geeft haar een algemene, vooraf gegeven toestemming om onderaannemers in te schakelen. Zij verplicht zich die onderaannemers schriftelijk dezelfde plichten op te leggen en zich in te spannen voor de naleving daarvan. Wat er niet in staat, is een lijst en een aankondiging. Er is dus geen openbaar overzicht van wie zij inschakelt en geen verplichting om een wijziging vooraf te melden.

De andere leveranciers publiceren wel zo’n lijst en kondigen wijzigingen ten minste dertig dagen vooraf aan.

Wat dat betekent. HemelsWijs belooft de klant in artikel 8 lid 3 dertig dagen. Die belofte kan zij bij deze partij niet waarmaken op het niveau van de onderaannemers, omdat zij zelf niet hoort wanneer die wisselen. Bij een wisseling van de leverancier zelf kan zij het wel. Dit staat hier omdat een belofte waarvan de grens niet is benoemd, een belofte is die op het verkeerde moment wordt ontdekt.

Aantekening bij de verzendpartij

Achter de partij die de e-mail verzendt, hangt een eigen keten van subverwerkers. Die staat op https://sinch.com/legal/data-protection-agreement-sub-processors/, met per partij het land, en zij wordt ten minste dertig dagen voordat een nieuwe subverwerker wordt ingeschakeld bijgewerkt. Op die lijst staan onder meer partijen in de Verenigde Staten en een verzendpartij in Frankrijk. De klant machtigt deze keten mee zodra zij artikel 8 lid 1 aanvaardt.

Deze partij en de partij die de mailbox levert, kennen geen vaste meldtermijn. Beide beloven te melden zonder onnodige vertraging, maar noemen geen aantal uren. De tweede trap van artikel 10 lid 2 steunt bij hen dus op “onverwijld” en niet op een getal. Dat is geen tekortkoming in hun overeenkomst. Het is een gegeven dat de klant hoort te kennen, omdat het bepaalt hoe snel de keten in het slechtste geval kan lopen.

Aantekening bij de leveringspartij

Achter de partij die de website levert, hangt een eigen keten van verdere subverwerkers, gevestigd in de Verenigde Staten. Die keten staat op https://www.netlify.com/legal/subprocessors/, met de werkzaamheid en het land per partij. Wijzigingen daarin worden ten minste dertig dagen vooraf aangekondigd, met een bezwaartermijn van dertig dagen. De klant machtigt deze keten mee zodra zij artikel 8 lid 1 aanvaardt. Die lijst is daarmee onderdeel van deze bijlage zonder dat hij hier wordt uitgeschreven, omdat hij bij de bron actueel is en hier niet.

Aantekening bij de mailpartij

De mailvoorziening van SoulPlanner loopt via een account bij deze subverwerker dat op naam staat van CijferZaak B.V., die datzelfde account ook voor een eigen dienst gebruikt. De toegang binnen dat account is op dit moment niet per dienst en niet per vennootschap gescheiden. Wordt daarin een scheiding aangebracht of aangescherpt, dan meldt HemelsWijs dat onverwijld achteraf en werkt zij deze bijlage en Bijlage 2 bij. Wordt een eenmaal aangebrachte scheiding ongedaan gemaakt of verzwakt, dan is dat het vervallen van een maatregel en geldt artikel 7 lid 2. Wordt deze subverwerker vervangen of komt er een andere partij bij, dan geldt artikel 8 lid 3.

Bijlage 4. Contactgegevens

De contactpersoon voor gegevensbescherming bij HemelsWijs: ikwil@soulplanner.nl. Er is geen functionaris voor gegevensbescherming aangesteld, en dat is ook niet verplicht.

Verwerkersovereenkomst SoulPlanner, versie 1.1, peildatum 1 oktober 2026. Hoort bij de algemene voorwaarden SoulPlanner versie 1.6. Mediumschool Amsterdam HemelsWijs B.V., handelsregister 86201409.