Privacyreglement Human ConneXion

Transcriptie

1 Privacyreglement Human ConneXion Privacy en Verwerking Persoonsgegevens Dit Privacyregelement is opgesteld door Human ConneXion B.V., definities in het Privacyregelement hebben dezelfde betekenis als in Bijlage 1 van het Privacyregelement. Het Privacyregelement specificeert op welke wijze Human ConneXion omgaat met de verwerking van persoonsgegevens en wat de Werkgever ten aanzien van Privacy mag verwachten. 1 Verantwoordelijke en Bewerker 1.1 Human ConneXion is de Gegevensbewerker in opdracht van de Werkgever, die de Verantwoordelijke is, voor het Verwerken van HR Gegevens. 1.2 Human ConneXion is de Verantwoordelijke voor het Verwerken van Medische Gegevens. Artikelen 1.3, 2, 3, 4, 6.1, 7.1, 8, 9.2, 10, 12, 13.1 en 15.1 van het Privacyregelement zijn ook van toepassing op de Verwerking van Medische Gegevens door Human ConneXion. 1.3 Human ConneXion zal, zoals omschreven in Artikel 1.1 van het privacyregelement, de Verwerkingen uitvoeren. 1.4 Human ConneXion zal de in Artikel 1.3 vermelde Verwerkingen alleen uitvoeren op instructie van de Werkgever en in overeenstemming met de doeleinden zoals goedgekeurd door de Werkgever. 2 Toepasselijk recht 2.1 Human ConneXion voldoet bij de uitvoering van de verplichtingen van het contract tussen Human ConneXion en de Werkgever aan de Wbp en elke wet- en regelgeving die van toepassing is op de Verwerking van HR Gegevens en Medische Gegevens. 2.2 Human ConneXion verleent adequaat medewerking aan eventuele verzoeken van de Werkgever om ervoor te zorgen dat de Verwerking geschied in overeenstemming met de Wbp. 3 Beveiliging 3.1 Human ConneXion legt passende technische, fysieke en organisatorische maatregelen ten uitvoer om de Persoonsgegevens te beveiligen tegen onbedoeld of onrechtmatig tenietgaan of onbedoeld verlies, onbedoelde wijziging, onbevoegde Openbaarmaking of onbevoegde terbeschikkingstelling en tegen alle andere vormen van onrechtmatige Verwerking inclusief, maar niet beperkt tot, onnodige verzameling en verdere Verwerking. Deze maatregelen garanderen een passend beveiligingsniveau, rekening houdend met de stand van de techniek en kosten van de tenuitvoerlegging van de maatregelen, gelet op de risico's die de Verwerking en de aard van de te beschermen Persoonsgegevens met zich brengen. De maatregelen die Human ConneXion treft zijn nader gespecificeerd in Appendix I van dit privacyregelement, 1

2 welke Appendix Human ConneXion zal aanpassen wanneer dit nodig is om te voldoen aan de gebruikelijke marktstandaarden. 3.2 Human ConneXion zorgt ervoor dat elke hosting provider die Human ConneXion contracteert om de HR Gegevens en Medische Gegevens te hosten of the onderhouden voldoet aan de ISO standaarden voor het instellen, implementeren, controleren en verbeteren van een managementsysteem voor informatiebeveiliging. 4 Niet-openbaarmaking en geheimhouding 4.1 Human ConneXion zal Persoonsgegevens geheim houden en zal deze niet toegankelijk maken voor enige Medewerker of Derde zonder de vooraf verkregen schriftelijke toestemming van de Werkgever, behalve (i) wanneer Openbaarmaking conform Artikel van het Privacyregelement nodig is voor het uitvoeren van Verwerkingen, of (ii) conform Artikel 8.1(b) van het Privacyregelement, wanneer Persoonsgegevens moeten worden Geopenbaard aan een bevoegde publieke toezichthouder om te voldoen aan een wettelijke verplichting. 4.2 Human ConneXion zal elke Openbaarmaking minimaal zes maanden administreren, behalve wanneer de Wbp een andere termijn voorschrijft. De registratie omvat, maar is niet beperkt tot: (a) (b) (c) (d) de naam en adresgegevens van de Derde aan wie de Persoonsgegevens zijn Geopenbaard; de Persoonsgegevens die zijn Geopenbaard; de data en het tijdstip waarop de Persoonsgegevens zijn Geopenbaard; en de doeleinden van de Openbaarmaking. 4.3 Human ConneXion zal Medewerkers alleen toegang verlenen tot de Persoonsgegevens voor zover dit nodig is om de Verwerkingen uit te voeren. Human ConneXion zorgt ervoor dat elke Medewerker met toegang tot de Persoonsgegevens de geheimhouding en beveiliging van de Persoonsgegevens respecteert en handhaaft. Ten aanzien van medische gegevens geldt dat alleen de bedrijfsarts, diens waarnemers en medewerkers die rechtstreeks betrokken zijn bij de behandeling of verzuimbegeleiding van de betrokkene, toegang hebben tot de gegevens. 5 Sub-Bewerkers 5.1 Human ConneXion zal Sub-Bewerkers geen Persoonsgegevens laten Verwerken zonder vooraf verkregen toestemming van de Werkgever. Elke toestemming van de Werkgever om Sub- Bewerkers in te zetten bij de Verwerking van Persoonsgegevens is onder de voorwaarde dat Human ConneXion volledig aansprakelijk blijft jegens de Werkgever voor de uitvoering van het contract door Sub-Bewerkers en al het overige handelen of nalaten van Sub-Bewerkers in verband met de Verwerking. 5.2 Human ConneXion zorgt ervoor dat Sub-Bewerkers contractueel gebonden zijn aan dezelfde verplichtingen in verband met de Verwerking als die waar Human ConneXion op grond van het Privacyregelement aan is gebonden. 6 Audit en nakoming 6.1 Human ConneXion zal zelf een audit uitvoeren op de naleving van haar verplichtingen uit het Privacyregelement. De audit: 2

3 (a) (b) (c) (d) (e) dekt alle diensten van bewerking die Human ConneXion in het vorige kalenderjaar heeft geleverd; wordt minimaal één keer per twee jaar uitgevoerd; wordt uitgevoerd overeenkomstig de standaarden en kwaliteitseisen zoals vastgesteld door de branchevereniging Organisatie voor Vitaliteit, activering en Loopbaan; wordt voor rekening van Human ConneXion uitgevoerd door een onafhankelijke auditor, die Human ConneXion aanwijst; en resulteert in een auditrapport. Op verzoek van de Werkgever, zal Human ConneXion de Werkgever voorzien van een vertrouwelijke kopie van het auditrapport zodat de Werkgever in redelijkheid de naleving van het Privacyregelement door Human ConneXion kan nagaan. De Verwerker zal onmiddellijk maatregelen nemen om ervoor te zorgen dat eventuele tekortkomingen en problemen die zijn gerapporteerd in het auditrapport adequaat worden aangepakt. 7 Inspectie of onderzoek door publieke toezichthouder 7.1 Human ConneXion zal aan een bevoegde publieke toezichthouder toegang verlenen tot de voor Verwerking relevante systemen, faciliteiten en ondersteunende documentatie, indien dit nodig is om te voldoen aan een wettelijke verplichting. Als een bevoegde publieke toezichthouder oordeelt dat het Verwerken onder de Overeenkomst onrechtmatig is, zal Human ConneXion onmiddellijk maatregelen treffen om naleving van de Wbp te bewerkstelligen. 8 Meldingen van Openbaarmakingen en Datalekken 8.1 Human ConneXion zal de Werkgever onverwijld, en in elk geval binnen vierentwintig (24) uur, op de hoogte brengen als: (a) (b) (c) zij in verband met de Verwerkingen een vordering, gebod om in de rechtbank te verschijnen als getuige of deskundige (subpoena) of verzoek van een bevoegde publieke toezichthouder tot het uitvoeren van een inspectie of onderzoek heeft ontvangen, behalve wanneer het Human ConneXion wettelijk verboden is om de werkgever daarvan op de hoogte te stellen; zij voornemens is om Persoonsgegevens te Openbaren aan een bevoegde publieke toezichthouder; of zij ontdekt of redelijkerwijs vermoedt dat er een Datalek heeft plaatsgevonden. 8.2 In het geval van een Datalek zal Human ConneXion onverwijld herstelmaatregelen treffen. Verder zal Human ConneXion de Werkgever voorzien van alle relevante informatie die de werkgever met betrekking tot het Datalek verzoekt. Human ConneXion zal volledige medewerking aan de Werkgever verlenen bij het tot stand brengen en het uitvoeren van een response plan om het Datalek te adresseren. Human ConneXion zal op verzoek van de Werkgever meewerken aan het adequaat informeren van de betrokken Individuen. 9 Medewerking bij klachten, verzoeken en vragen 9.1 Human ConneXion zal vragen en verzoeken van de Werkgever over de Verwerking onder het Privacyregelement onverwijld en adequaat behandelen. 3

4 9.2 Human ConneXion zal de Werkgever onverwijld informeren over klachten, verzoeken of vragen van Individuen, inclusief maar niet beperkt tot verzoeken tot het wijzigen, verwijderen of blokkeren van Persoonsgegevens. Human ConneXion zal zich niet rechtstreeks tot het Individu wenden behalve wanneer de Werkgever dit specifiek heeft geïnstrueerd, in welk geval Human ConneXion binnen een redelijke termijn zal reageren, en in elk geval binnen drie (3) weken na ontvangst van het verzoek, de vraag of de klacht. Human ConneXion zal in elk geval meewerken met de Werkgever om vragen, verzoeken of klachten van Individuen te behandelen en op te lossen. Human ConneXion heeft de nodige procedures ingesteld om dergelijke vragen, verzoeken en klachten in behandeling te nemen en na te kunnen komen. 9.3 De Werkgever zal Human ConneXion hierbij de bevoegdheid en instructie geven om rechtstreeks op vragen, verzoeken of klachten van Individuen te reageren, inclusief maar niet beperken tot verzoeken tot het corrigeren, verwijderen of blokkeren van Medische Gegevens. Human ConneXion zal procedures instellen om dergelijke vragen, verzoeken en klachten in behandeling te kunnen nemen. Human ConneXion zal binnen een redelijke termijn reageren, en in elk geval binnen drie (3) weken na ontvangst van het verzoek, de vraag of de klacht. 10 Melden van niet-nakoming en het recht om te schorsen of op te zeggen 10.1 Human ConneXion zal de Werkgever onverwijld melden als Human ConneXion: (i) (ii) om welke reden dan ook niet kan voldoen aan haar verplichtingen uit het Addendum; of zich bewust wordt van omstandigheden of veranderingen in de Wbp die het nakomen van haar verplichtingen onder het Privacyregelement substantieel bemoeilijken; 10.2 Als Human ConneXion niet zal voldoen aan zijn verplichtingen onder het Privacyregelement is de Werkgever, zonder afbreuk te doen aan Artikel 3 (Beveiliging) van het Privacyregelement, bevoegd om de Verwerking tijdelijk geheel of gedeeltelijk te schorsen tot de niet-nakoming is hersteld. Voor zover herstel niet mogelijk is, zal de Werkgever bevoegd zijn om het desbetreffende deel van de Verwerking door Human ConneXion met onmiddellijke ingang op te zeggen. De Werkgever is ook bevoegd om, wanneer Human ConneXion het Privacyregelement niet na komt, het contract met onmiddellijke ingang op te zeggen als de schorsing van de Verwerking op grond van deze bepaling door de Werkgever een periode van zes (6) maanden overschrijdt. 11 Retourneren en vernietigen van Persoonsgegevens 11.1 Alle Persoonsgegevens zullen onmiddellijk na eerste verzoek van de Werkgever aan de Werkgever worden geretourneerd. Human ConneXion zal de Persoonsgegevens niet langer bewaren dan noodzakelijk voor het voldoen aan zijn verplichtingen op grond van het contract Bij de beëindiging van het contract zal Human ConneXion de Persoonsgegevens en alle kopieën daarvan aan de Werkgever retouneren en/of alle Persoonsgegevens volgens instructie van de werkgever te vernietigen, behalve wanneer het contract of Wbp anders aangeeft. In dat geval zal Human ConneXion de Persoonsgegevens niet langer Verwerken, behalve voor zover vereist op grond van de Overeenkomst of Wbp. De werkgever mag Human ConneXion verzoeken om spoedig, en in elk geval binnen vierentwintig (24) uur, en schriftelijk te bevestigen en te garanderen dat Human ConneXion alle Persoonsgegevens en kopieën daarvan heeft geretourneerd en/of vernietigd. Human ConneXion zal op verzoek van de Werkgever een audit 4

5 van de Verwerkingssystemen toestaan om de Werkgever te laten verifiëren dat Human ConneXion aan alle verplichtingen onder Artikel 11.2 voldoet. 12 Doorgifte van Persoonsgegevens 12.1 Human ConneXion zal geen Persoonsgegevens doorgeven aan een Niet Adequaat Land buiten de EER of enige Persoonsgegevens toegankelijk maken vanuit een Niet Adequaat Land zonder de vooraf verleende schriftelijke toestemming van de Werkgever. 5

6 BIJLAGE 1 - DEFINITIES " Richtlijn 95/46/EG" betekent de Richtlijn 95/46/EG betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens; "Datalek" betekent de onbevoegde verkrijging, toegang of Openbaring van Persoonsgegevens; "Derde" betekent een ieder die niet Partij is bij de Overeenkomst; "EER " betekent alle lidstaten van de Europese Unie, Noorwegen, IJsland, Liechtenstein en (voor de toepassing van het Addendum) Zwitserland; "Gegevensbewerker" betekent de onderneming of natuurlijke persoon die Persoonsgegevens verwerkt in opdracht van een Verantwoordelijke; "HR Gegevens" betekent alle Persoonsgegevens die niet Medische Gegevens zijn; "Human ConneXion" betekent Human ConneXion B.V., gevestigd aan het Kerkenbos 1053 E, 6546BB Nijmegen; "Individu" betekent elke natuurlijke persoon wiens Persoonsgegevens worden Verwerkt door Human ConneXion in de uitvoering van de Overeenkomst; "Medewerker" betekent elke medewerker, agent, aannemer, oproepkracht of elke andere persoon die onder het directe gezag van Human ConneXion werkt; "Medische Gegevens" betekent alle Persoonsgegevens die onder het medisch beroepsgeheim en verschoningsrecht vallen; "Niet Adequaat Land" betekent elk land dat niet wordt geacht een adequaat niveau van bescherming van Persoonsgegevens te hebben zoals gedefinieerd in Richtlijn 95/46/EG; "Openbaarmaking" betekent elke vorm van openbaar maken van Persoonsgegevens aan (inclusief toegang op afstand door) iedere Medewerker of onbevoegde Derde. "Openbaren" of "Geopenbaard" worden op dezelfde wijze gevormd; "Persoonsgegevens" betekent elk gegeven betreffende een geïdentificeerd of identificeerbaar Individu; "Sub-Bewerker" betekent iedere Derde die Persoonsgegevens Verwerkt onder instructie of toezicht van Human ConneXion maar die niet onder het directe gezag van Human ConneXion valt; "Verantwoordelijke" betekent de onderneming of natuurlijke persoon die alleen of tezamen met 6

7 anderen het doel van de Verwerking en de middelen daartoe bepaalt; "Verwerking" betekent elke automatische of niet automatische activiteit die wordt uitgevoerd met betrekking tot Persoonsgegevens, zoals het verzamelen, vastleggen, opslaan, organiseren, wijzigen, gebruiken, openbaren, doorgeven of verwijderen van Persoonsgegevens. "Verwerken", "Verwerk" of "Verwerkt" worden op dezelfde wijze gevormd; "Wbp" betekent Wet bescherming persoonsgegevens en alle wetten, regelgeving en sectorale richtlijnen die regels bevatten ter bescherming van individuen met betrekking tot de Verwerking van HR Gegevens en Medische Gegevens. "Werkgever" betekent persoon of organisatie die mensen in dienst heeft 7

8 APPENDIX I BESCHRIJVING VAN BEVEILIGINGSMAATREGELEN Onder verwijzing naar artikel 3.1. heeft Human ConneXion, ingeschrevene bij het CBP onder meldingsnummer m , de volgende maatregelen getroffen m.b.t. de beveiliging van persoonsgegevens: Organisatorische maatregelen: Human ConneXion is zich bewust van het grote belang van beveiliging van de persoonsgegevens: Het maakt onderdeel uit van het algehele kwaliteitsbeleid wat inhoudt dat: het de continue aandacht van directie, management en medewerkers heeft, er passende procedures zijn m.b.t. de omgang met ICT-middelen en informatie (data); privacyreglement en geheimhoudingsverklaringen inbegrepen. de verantwoordelijkheden en activiteiten binnen Human ConneXion en met de ketenpartners duidelijk zijn belegd, het vast onderdeel is van het overleg binnen Human ConneXion en met de ketenpartners, de Plan-Do-Check-Act cyclus wordt gevolgd om een blijvend passend beveiligingsniveau te waarborgen. Technische maatregelen: Om een veilige en betrouwbare ICT te waarborgen, heeft Human ConneXion de volgende technische maatregelen ingericht: Verbinding: Gegevens van en naar het WebIVS worden uitsluitend verstuurd via de sterkst mogelijke encryptie van dit moment: 256-bits SSL; Hosting: De infrastructuur van WebIVS wordt gehost door een gecertificeerd datacenter (ISO 27001:2005) in Nederland en is tot het uiterste beveiligd; Gescheiden opslag: De persoonsgegevens zijn gescheiden opgeslagen van de verzuimgegevens. Daarmee is vertrouwelijke medische informatie niet te herleiden tot personen; Toegangsbeveiliging: Alle gebruikersgegevens van het WebIVS worden versleuteld opgeslagen. Ook de beheerders van Human ConneXion kunnen wachtwoorden niet achterhalen. Wachtwoordherstel gaat daarom via een beveiligde procedure. Als een account een maand niet gebruikt wordt het automatisch gedeactiveerd. Continuous multi-level permission checks: Bij elke handeling controleert het systeem of de desbetreffende gebruiker deze gegevens mag zien en/ of bewerken. De permissie wordt per gebruikersrol toegekend; Beperking toegang data: De geautoriseerde toegang is beperkt tot data van maximaal 4 jaar. Dossierinformatie ouder dan 4 jaar is niet te benaderen door (bevoegde) gebruikers. Beschikbaarheid systeem: Wanneer een van de resources storing heeft of overbelast is, wordt deze automatisch vervangen door een andere. Hierdoor is WebIVS altijd bereikbaar: 24/7/365 Backup: Alle gegevens en bestanden van WebIVS worden automatisch gebackupt. Deze backup wordt gehost in hetzelfde beveiligde datacenter (ISO 27001:2005) als de operationele omgeving. Fysieke maatregelen kantoor: De fysieke toegang tot ruimten waar zich informatie en ICT-voorzieningen bevinden is voorbehouden aan bevoegd personeel, De serverruimte en de daaraan gekoppelde bekabelingsystemen zijn ingericht in lijn met de geldende eisen, Gegevens en programmatuur worden van apparatuur verwijderd of veilig overschreven, voordat de apparatuur wordt afgevoerd. Informatie wordt bewaard en vernietigd conform de wettelijke bewaartermijnen en archiefrichtlijnen. 8