Privacy reglement van PreAct Software BV
Versie: 1.01
Datum: 1-9-2019
1. Begripsbepalingen
In dit reglement wordt verstaan onder:
• PreAct Software B.V: Een dienstverlener welke onder toepassing van de bepalingen van dit privacyreglement opereert;
• de wet: De Algemene Verordening Gegevensbescherming (AVG);
• persoonsgegeven: elk gegeven over een geïdentificeerde of identificeerbare natuurlijke persoon;
• verwerking van persoonsgegevens: elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens. Daaronder wordt in ieder geval verstaan het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwisselen of vernietigen van gegevens;
• bestand: elk samenhangend geheel van persoonsgegevens, ongeacht of dit geheel van gegevens bij elkaar of gescheiden van elkaar wordt verzameld, dat volgens bepaalde criteria toegankelijk is en betrekking heeft op verschillende personen;
• verantwoordelijke: degene die alleen of samen met anderen het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt, doorgaans de klant van PreAct Software B.V. Verantwoordelijke kan zijn: een natuurlijke persoon, een rechtspersoon of een bestuursorgaan;
• verwerker: degene die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt, zonder aan zijn rechtstreekse gezag te zijn onderworpen;
• betrokkene: degene op wie een persoonsgegeven betrekking heeft;
• Functionaris gegevensbescherming (FG): degene welke toeziet op de toepassing en naleving van de AVG. Tevens belast met het melden van datalekken;
• derde: ieder ander dan de betrokkene, de verantwoordelijke, de verwerker of enig persoon die onder rechtstreeks gezag van de verantwoordelijke of de verwerker gemachtigd is om persoonsgegevens te verwerken;
• ontvanger: degene aan wie de persoonsgegevens worden verstrekt;
• toestemming van de betrokkene: elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat persoonsgegevens over hem worden verwerkt;
• verstrekken van persoonsgegevens: het bekend maken of ter beschikking stellen van persoonsgegevens;
• verzamelen van persoonsgegevens: het verkrijgen van persoonsgegevens.
2. Bereik
1. Dit reglement is van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens. Het is eveneens van toepassing op de niet geautomatiseerde verwerking van persoonsgegevens welke in een bestand of systeem zijn opgenomen of welke bestemd zijn om daarin te worden opgenomen.
2. Dit reglement is van toepassing binnen PreAct Software B.V. en heeft betrekking op de verwerkingen van persoonsgegevens van voornamelijk werknemers van klanten, of werknemers van de klanten van klanten, maar kan ook van toepassing zijn op medewerkers van PreAct Software zelf.
3. Doel
1. Het doel van het verzamelen en het verwerken van persoonsgegevens is: het aan klanten van PreAct Software B.V. kunnen bieden van geautomatiseerde diensten welke hen ondersteunen bij (kritische) bedrijfsprocessen, in de breedste zin van het woord. Genoemde gegevens zijn tevens noodzakelijk voor het uitvoeren van werkzaamheden zoals contractueel is vastgelegd tussen PreAct Software en haar klanten. Een verwerkersovereenkomst maakt onderdeel uit van het contract tussen PreAct Software B.V. en haar klanten, alsmede haar partners.
2. PreAct Software neemt niet meer persoonsgegevens op in haar registratie dan strikt noodzakelijk voor het uitvoeren van haar taken zoals beschreven in punt 3.1.
4. Vertegenwoordiging betrokkene
1. Betrokkene is vertegenwoordigd door zijn/ haar werkgever in de vorm van een personeelsvertegenwoordiger of Centrale Ondernemingsraad.
2. Een toestemming kan door de betrokkene of diens vertegenwoordiger te allen tijde worden ingetrokken.
5. Verantwoordelijkheid voor het beheer, aansprakelijkheid en meldplicht datalekken
1. Binnen PreAct Software B.V. is er een Functionaris Gegevensbescherming aangesteld wiens taak het is om binnen de organisatie toezicht te houden op de toepassing en naleving van de AVG.
2. De Functionaris Gegevensbescherming draagt er zorg voor dat er passende technische en organisatorische maatregelen worden uitgevoerd ter beveiliging tegen enig verlies of enige vorm van onrechtmatige verwerking van gegevens.
3. De in lid 1 bedoelde gegevensverantwoordelijkheid en het in lid 2 bepaalde geldt onverminderd indien de verwerking plaats vindt door een verwerker; dit wordt geregeld in een verwerkersovereenkomst (of door middel van een andere rechtshandeling) tussen verwerker en verantwoordelijke.
4. De Functionaris Gegevensbescherming is aansprakelijk voor de schade of het nadeel, dat wordt veroorzaakt door het niet-nakomen van de voorschriften uit de wet of dit reglement. De verwerker is aansprakelijk voor die schade of dat nadeel, voor zover die/dat is ontstaan door zijn handelen.
5. De Functionaris Gegevensbescherming is binnen PreAct Software B.V. tevens belast met de meldplicht datalekken. Indien zich een datalek voordoet, wordt deze zorgvuldig gedocumenteerd waarna via het meldloket datalekken melding wordt gemaakt van het lek.
6. Jaarlijks wordt er een Privacy Impact Assessment uitgevoerd. De uitkomsten van dit onderzoek worden gebruikt om de verwerking van privacygevoelige informatie verder te verbeteren.
6. Rechtmatige verwerking
1. Persoonsgegevens worden op een transparante wijze en in overeenstemming met de wet en dit reglement op behoorlijke en zorgvuldige wijze verwerkt.
2. Persoonsgegevens worden alleen voor de in dit reglement bedoelde doeleinden verzameld en worden niet verder verwerkt op een manier die onverenigbaar is met de doeleinden waarvoor ze zijn verkregen.
3. Persoonsgegevens dienen – gelet op de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt – toereikend en ter zake dienend te zijn; er dienen niet meer persoonsgegevens te worden verzameld of verwerkt dan voor het doel van de registratie nodig is.
4. Persoonsgegevens mogen slechts worden verwerkt indien:
• de betrokkene voor de verwerking zijn ondubbelzinnige toestemming heeft verleend, hetzij rechtstreeks, hetzij via een vertegenwoordiger;
• de gegevensverwerking noodzakelijk is voor de uitvoering van een overeenkomst waarbij betrokkene partij is (bijvoorbeeld arbodienstverlening) of voor handelingen, op verzoek van betrokkene, die noodzakelijk zijn voor het sluiten van een overeenkomst;
• de gegevensverwerking noodzakelijk is om een wettelijke verplichting van de verantwoordelijke na te komen;
• de gegevensverwerking noodzakelijk is in verband met een vitaal belang van betrokkene;
• de gegevensverwerking noodzakelijk is met het oog op een belang van de verantwoordelijke of van een derde, tenzij dat belang strijdig is met het belang van degene van wie de gegevens worden verwerkt en dát belang voorgaat.
5. De registratie van het Burgerservicenummer (bsn) vindt alleen dan plaats wanneer daarvoor een wettelijke basis bestaat en/of dat er door verantwoordelijke of verwerker bedrijfsgeneeskundige dienstverlening wordt verleend.
6. Ieder welke handelt onder het gezag van de verantwoordelijke of van de verwerker – en ook de verwerker zelf – verwerkt alleen persoonsgegevens in opdracht van de verantwoordelijke, behalve in geval van afwijkende wettelijke verplichtingen.
7. De gegevens worden alleen verwerkt door personen welke uit hoofde van beroep, wettelijk voorschrift, of op basis van een overeenkomst tot geheimhouding zijn verplicht.
7. Verwerking van persoonsgegevens
1. De verwerking vindt alleen plaats, voor zover dat met het oog op de dienstverlening van PreAct Software B.V. aan haar klanten noodzakelijk is.
2. De verwerking geschiedt op basis van de grondslag(en) voor gegevensverwerking, zoals overeengekomen in de verwerkersovereenkomst met klanten
8. Bijzondere persoonsgegevens
1. PreAct Software B.V. verwerkt geen persoonsgegevens over iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, het lidmaatschap van een vakvereniging of van strafrechtelijke persoonsgegevens is verboden, behalve in de gevallen waarin de wet uitdrukkelijk bepaalt door wie, met welk doel en onder welke voorwaarden dergelijke gegevens wel mogen worden verwerkt (artikelen 17 tot en met 22 van de wet).
2. Het in het vorige lid bedoelde verbod geldt, onverminderd het bepaalde in de artikelen 17 tot en met 22 van de wet, niet voor zover er sprake is van een uitzondering zoals bedoeld in artikel 23 van de wet.
3. Er worden door PreAct Software BV geen (medische) gegevens verstrekt aan derden, tenzij noodzakelijk en betrokkene daarvoor zijn / haar uitdrukkelijke toestemming heeft gegeven (toestemming wordt vastgelegd in medisch dossier)
9. Gegevensverwerving
1. Indien bij de betrokkene zelf de persoonsgegevens worden verkregen, deelt de verantwoordelijke de betrokkene vóór het moment van verkrijging mede:
• zijn identiteit;
• het doel van de verwerking waarvoor de gegevens zijn bestemd, tenzij de betrokkene dat doel al kent.
2. De verantwoordelijke verstrekt de betrokkene nadere informatie voor zover dat – gelet op de aard van de gegevens, de omstandigheden waaronder zij zijn verkregen of het gebruik dat ervan wordt gemaakt – nodig is om tegenover de betrokkene een behoorlijke en zorgvuldige verwerking te waarborgen.
3. Bij verkrijging van gegevens buiten de betrokkene om deelt de verantwoordelijke de betrokkene of de vertegenwoordiger van de betrokkene mede:
• zijn identiteit;
• de aard van de gegevens en het doel van de verwerking waarvoor de gegevens zijn bestemd.
Het moment waarop dat moet gebeuren is:
• het moment dat de verantwoordelijke de gegevens vastlegt
of
• als de verantwoordelijke de gegevens uitsluitend verzamelt om deze aan een derde te verstrekken: uiterlijk op het moment van eerste verstrekking aan die derde.
4. De verantwoordelijke verstrekt nadere informatie voor zover dat – gelet op de aard van de gegevens, de omstandigheden waaronder zij worden verkregen of het gebruik dat ervan wordt gemaakt – nodig is om tegenover de betrokkene een behoorlijke en zorgvuldige verwerking te waarborgen.
5. Het onder 3 bepaalde is niet van toepassing indien de daar bedoelde mededeling onmogelijk blijkt of een onevenredige inspanning kost. In dat geval legt de verantwoordelijke de herkomst van de gegevens vast.
6. Het onder 3 bepaalde is evenmin van toepassing indien de vastlegging of verstrekking bij of krachtens de wet is voorgeschreven. In dat geval dient de verantwoordelijke de betrokkene op diens verzoek te informeren over het wettelijk voorschrift dat tot vastlegging of verstrekking van de hem betreffende gegevens.
10. Recht op inzage
1. De betrokkene heeft het recht kennis te nemen van de verwerkte gegevens die op zijn persoon betrekking hebben en mag hiervan een kopie ontvangen. Wanneer betrokkene inzage wenst in de over hem / haar vastgelegde gegevens dient betrokkene zich te wenden tot de verantwoordelijk. Verantwoordelijke kan vervolgens een schriftelijk verzoek indienen bij PreAct Software. Informatie wordt vervolgens rechtstreeks aan betrokkene verstrekt. Inzage is kosteloos.
2. PreAct Software zal, na het verzoek van verantwoordelijke te hebben ontvangen, binnen 4 weken een schriftelijk gemotiveerde reactie geven en, indien er geen zwaarwegende bezwaren zijn, een kopie van de verwerkte gegevens van betrokkene verstrekken, met uitzondering van die gegevens waarop een wettelijke geheimhoudingsplicht rust.
3. Indien een verzoek om recht van inzage wordt gedaan, zal PreAct Software B.V. deze gegevens altijd via verantwoordelijke verstrekken, nooit aan betrokkene rechtstreeks, tenzij op uitdrukkelijke verzoek van verantwoordelijke én betrokkene beide.
11. Verstrekking van persoonsgegevens
1. Verstrekking van persoonsgegevens aan een derde geschiedt in beginsel niet anders dan na toestemming van betrokkene of diens vertegenwoordiger, behoudens een daartoe strekkend wettelijk voorschrift of de noodtoestand.
2. Indien verantwoordelijke zonder toestemming van betrokkene of diens vertegenwoordiger persoonsgegevens aan derden verstrekt, stelt verantwoordelijke betrokkene of diens vertegenwoordiger daarvan onverwijld in kennis, tenzij dit gevaar oplevert voor personen en of zaken.
12. Recht op correctie, aanvulling, verwijdering
1. Betrokkene dient een verzoek tot verbetering, aanvulling, verwijdering en/of afscherming (het vergeetrecht) van de over de verzoeker verwerkte persoonsgegevens, indien en voor zover deze gegevens feitelijk onjuist, voor het doel van de verwerking onvolledig, niet ter zake dienend zijn of meer omvatten dan voor het doel van de registratie nodig is, dan wel anderszins in strijd met een wettelijk voorschrift worden verwerkt, in te dienen bij verantwoordelijke. Het verzoek van betrokkene bevat de aan te brengen wijzigingen.
2. Op schriftelijk verzoek van verantwoordelijke, en voor zover verantwoordelijke deze wijzigingen niet zelf kan uitvoeren, voert PreAct Software B.V. deze door in de betreffende bestanden van verantwoordelijke.
13. Bewaren van gegevens
1. Persoonsgegevens worden niet langer bewaard in een vorm die het mogelijk maakt de betrokkene te identificeren, dan noodzakelijk is voor de realisatie van de doelen waarvoor zij worden verzameld of vervolgens worden bewerkt.
2. Na het verstrijken van de (wettelijke) bewaartermijn worden gegevens van betrokkenvolledig geautomatiseerd aangeboden ter vernietiging door verantwoordelijke.
3. De bewaartermijn voor medische gegevens is minimaal vijftien jaren, te rekenen vanaf het tijdstip waarop zij zijn vervaardigd, of zoveel langer als redelijkerwijs uit de zorg van een goed hulpverlener of verantwoordelijke voortvloeit.
4. Gegevens van niet medische aard worden niet langer bewaard dan noodzakelijk is voor de realisatie van de doelen waarvoor zij worden verzameld of vervolgens worden verwerkt, tenzij ze uitsluitend voor historische, statistische of wetenschappelijke doeleinden worden bewaard. Indien de desbetreffende gegevens zodanig zijn bewerkt dat herleiding tot individuele personen onmogelijk is, kunnen zij in geanonimiseerde vorm bewaard blijven.
5. Verwijdering blijft echter achterwege wanneer redelijkerwijs is aan te nemen dat
• het bewaren van groot belang is voor een ander dan de betrokkene;
• het bewaren op grond van een wettelijk voorschrift vereist is
of
• indien daarover tussen de betrokkene en de verantwoordelijke overeenstemming bestaat.
14. Klachtenregeling
1. Indien de betrokkene van mening is dat de bepalingen van dit reglement niet worden nageleefd, kan hij zich richten tot de verantwoordelijke;
2. Indien verantwoordelijke na bestudering van de klacht van betrokkene van mening is dat de klacht gegrond is en toe te wijzen is aan PreAct Software B.V., kan hij een klacht indienen bij PreAct Software B.V., voorzien van be-argumentatie.
3. De klacht zal door PreAct Software B.V. afgehandeld worden overeenkomstig het klachtenreglement op de website (https://preact-verzuim.nl/klachtenregelement/)
4. Verantwoordelijke stelt betrokkene in kennis van de beslissing, voorzien van voldoende be-argumentatie;
5. Indien de betrokkene het niet eens is met de be- dan wel afhandeling van de klacht kan men zich wenden tot:
• de rechtbank, in de gevallen als bedoeld in artikel 46 van de wet
• de Autoriteit Persoonsgegevens met het verzoek te bemiddelen en te adviseren in het geschil tussen de betrokkene en de verantwoordelijke.
17. Wijzigingen inwerkingtreding en afschrift
1. Wijzigingen in dit reglement worden aangebracht door PreAct Software B.V.
2. Dit reglement treedt in werking per 1 september 2019.
3. Dit reglement is bij PreAct Software B.V in te zien. Verantwoordelijke ontvangt bij aanvang overeenkomst een kopie van de meest recente versie van het reglement.
18. Onvoorzien
1. In gevallen waarin dit reglement niet voorziet, beslist PreAct Software B.V., met inachtneming van het bepaalde in de wet en het doel en de strekking van dit reglement.