de persoonsgegevens zoals omschreven in Annex 1 en zoals nader gedefinieerd onder Persoonsgegevens.

Transcriptie

1 PRIVACY VOORWAARDEN LUBBERSENFD B.V. Inclusief verwerkersvereenkmst 1. Algemeen In deze Privacy vrwaarden wrdt verstaan nder: Algemene vrwaarden de Algemene vrwaarden van Verwerker, die nverkrt van tepassing zijn p iedere afspraak tussen Verwerker en Verantwrdelijke en van welke Algemene vrwaarden deze Privacy vrwaarden nlsmakelijk deel uitmaken. Opdrachtnemer Gegevens Opdrachtgever Verwerker Overeenkmst Verantwrdelijke Werkzaamheden Verwerking Persnsgegevens Medewerkers Sub-verwerker de beslten venntschap Lubbersenfd B.V. en alle vrmen van dienstverlening vanuit deze beslten venntschap zals k nader gespecificeerd nder de Werkzaamheden, zulks in de meest brede zin des wrds, hierna eveneens te nemen de Opdrachtnemer. de persnsgegevens zals mschreven in Annex 1 en zals nader gedefinieerd nder Persnsgegevens. de natuurlijke persn f rechtspersn die aan Opdrachtnemer pdracht heeft gegeven tt het verrichten van Werkzaamheden, hierna de Opdrachtgever eveneens genemd Verantwrdelijke. de Opdrachtnemer als hiervr gedefinieerd. elke afspraak tussen Opdrachtgever en Opdrachtnemer tt het verrichten van Werkzaamheden (zals hierna gedefinieerd) dr Opdrachtnemer ten beheve van de Opdrachtgever, cnfrm het bepaalde in een vereenkmst tussen Opdrachtgever en Opdrachtnemer. de partij/opdrachtgever die als natuurlijk persn f rechtspersn aan de Opdrachtnemer, pdracht heeft gegeven tt het verrichten van Werkzaamheden en die alleen f samen met anderen, het del van en de middelen vr de verwerking van persnsgegevens vaststelt. alle werkzaamheden waarte pdracht dr Opdrachtgever is gegeven, f die dr Opdrachtnemer uit anderen hfde wrden verricht ten beheve van de Opdrachtgever en/f de aan de Opdrachtgever verbnden cliënten/klanten. Het vrgaande geldt in de ruimste zin van het wrd en mvat in ieder geval de werkzaamheden zals vermeld in de Overeenkmst tussen Opdrachtgever en Opdrachtnemer en k eventuele nadien vereengekmen pdrachtbevestiging(en), betreffende de (advies)dienstverlening dr de Opdrachtnemer ten beheve van de Opdrachtgever zals gespecificeerd p Annex 1. een bewerking f een geheel van bewerkingen met betrekking tt persnsgegevens f een geheel van persnsgegevens, al dan niet uitgeverd via geautmatiseerde prcedés, zals het verzamelen, vastleggen, rdenen, structureren, pslaan, bijwerken f wijzigen, pvragen, raadplegen, gebruiken, verstrekken dr middel van drzending, verspreiden f p andere wijze ter beschikking stellen, aligneren f cmbineren, afschermen, wissen f vernietigen van gegevens. alle infrmatie ver een geïdentificeerde f identificeerbare natuurlijke persn ( de Betrkkene ) die in het kader van de Overeenkmst wrden verwerkt; als identificeerbaar wrdt beschuwd een natuurlijke persn die direct f indirect kan wrden geïdentificeerd, met name aan de hand van een identificatr zals een naam, een identificatienummer, lcatiegegevens, een nline identificatr f van een f meer elementen die kenmerkend zijn vr de fysieke, fysilgische, genetische, psychische, ecnmische, culturele f sciale identiteit van die natuurlijke persn. persnen die werkzaam zijn bij de Opdrachtnemer, fwel in dienstbetrekking dan wel tijdelijk ingehuurd. een andere verwerker die dr de Verwerker wrdt ingezet m ten beheve van de Verantwrdelijke specifieke verwerkingsactiviteiten te verrichten.

2 Datalek Derden Betrkkene(n) een inbreuk p de beveiliging die per ngeluk f p nrechtmatige wijze leidt tt - f waarbij redelijkerwijs niet uit te sluiten valt dat die kan leiden tt - de vernietiging, het verlies, de wijziging f de ngerlfde verstrekking van f de ngerlfde tegang tt drgeznden, pgeslagen f anderszins verwerkte persnsgegevens. anderen dan de Opdrachtnemer, Opdrachtgever en/f de Medewerkers. degene p wie een Persnsgegeven betrekking heeft. 2. Tepasselijkheid Privacy vrwaarden 2.1. Deze Privacy vrwaarden zijn van tepassing p iedere Verwerking die in het kader van de uitvering van de Overeenkmst met Opdrachtgever dr Opdrachtnemer wrdt gedaan vr Opdrachtgever als Verantwrdelijke Bij de uitvering van de Overeenkmst verwerkt Verwerker bepaalde persnsgegevens vr Verantwrdelijke. Verantwrdelijke is verantwrdelijk vr de verwerking van de Gegevens dr de Verwerker zals mschreven in Annex Dit zijn Privacy vrwaarden in de zin van de Wet Bescherming Persnsgegevens (Wbp) respectievelijk de Algemene Verrdening Gegevensbescherming (AVG), waarin de rechten en verplichtingen ten aanzien van de verwerking van Persnsgegevens schriftelijk is geregeld, waarnder ten aanzien van de beveiliging. De AVG vervangt de Wpb per 25 mei Deze Privacy vrwaarden maken, net als de Algemene vrwaarden van Verwerker, nderdeel uit van de Overeenkmst en alle tekmstige vereenkmsten tussen partijen Deze Privacy vrwaarden treden in werking p de datum waarp de Overeenkmst van kracht wrdt en eindigt p het mment dat de Verwerker geen Persnsgegevens meer nder zich heeft die zij in het kader van de Onderliggende Opdracht vr de Opdrachtgever verwerken. 3. Reikwijdte Privacy vrwaarden 3.1. Met het geven van de pdracht tt het verrichten van Werkzaamheden heeft Verantwrdelijke aan Verwerker de pdracht gegeven m de Gegevens te verwerken namens de Verantwrdelijke p de wijze zals mschreven in Annex 1 in vereenstemming met de bepalingen van deze Privacy vrwaarden Verwerker verwerkt de Gegevens uitsluitend in vereenstemming met deze Privacy vrwaarden, met name met hetgeen is pgenmen in Annex 1. Verwerker bevestigt de Gegevens niet vr andere deleinden te verwerken De zeggenschap ver de Gegevens kmt nit bij Verwerker te rusten De Verantwrdelijke kan additinele, schriftelijke instructies aan Verwerker geven vanwege aanpassingen f wijzigingen in de van tepassing zijnde regelgeving p het gebied van bescherming van persnsgegevens Verwerker verwerkt de Gegevens enkel in de Eurpese Ecnmische Ruimte, tenzij hierver andere afspraken zijn gemaakt De Verwerking van de Gegevens zal de Verwerker niet langer f uitgebreider den dan ndzakelijk vr de uitvering van de Overeenkmst. De Verwerking vindt plaats vlgens schriftelijke instructies van de Opdrachtgever, tenzij de Opdrachtnemer p grnd van de wet- f regelgeving verplicht is m anders te handelen (bijvrbeeld bij het maken van een afweging f een melding van een ngebruikelijke transactie met wrden gedaan in het kader van de Wet ter vrkming van witwassen en financieren van terrrisme (Wwft). Indien een instructie naar de mening van de Opdrachtnemer een inbreuk maakt p de AVG stelt de Opdrachtnemer de Opdrachtgever daarvan z spedig mgelijk in kennis.

3 4. Verplichtingen Verantwrdelijke en rechten Betrkkene 4.1. Verantwrdelijke treft de ndige maatregelen pdat persnsgegevens, gelet p de deleinden waarvr zij wrden verzameld f vervlgens wrden verwerkt, juist en nauwkeurig zijn en als zdanig k aan Verwerker wrden verstrekt De Verwerking vindt plaats nder de verantwrdelijkheid van de Verantwrdelijke. De Verwerker heeft geen zeggenschap ver het del en de middelen van de Verwerking en neemt geen beslissingen ver zaken als het gebruik van Persnsgegevens, de bewaartermijn van de vr de Verantwrdelijke verwerkte Persnsgegevens en het verstrekken van Persnsgegevens aan derden. De Verantwrdelijke met er vr zrgen dat deze het del en de middelen van de Verwerking van de Persnsgegevens duidelijk heeft vastgesteld. De zeggenschap ver de Persnsgegevens berust nit bij de Verwerker. Als de Opdrachtnemer f Opdrachtgever een zelfstandige verplichting mcht hebben p basis van wettelijke vrschriften f de vr accuntants geldende bereps- en gedragsregels met betrekking tt Verwerking van Persnsgegevens, dan leeft de Opdrachtnemer en/f Opdrachtgever deze verplichtingen na. Een verzicht van deze bereps- en gedragsregels is te vinden p de website van de Nederlandse Berepsrganisatie van Accuntants ( Zwel de Opdrachtgever als de Opdrachtnemer is wettelijk verplicht de vigerende wet- en regelgeving p het gebied van privacy na te leven. In het bijznder dient de Verantwrdelijke vast te stellen f er sprake is van een rechtmatige grndslag vr het Verwerken van de Persnsgegevens. De Verwerker zrgt ervr dat zij vlden aan de p de Verwerker van tepassing zijnde regelgeving p het gebied van de Verwerking van Persnsgegevens en de afspraken die zijn gemaakt in de Overeenkmst Als Opdrachtnemer (rechtstreeks) verzeken ntvangt van Betrkkene(n) m uitefening van hun rechten (bijvrbeeld inzage, wijziging f verwijdering van Persnsgegevens), dan kan het vrkmen dat Opdrachtnemer deze verzeken aan Opdrachtgever drstuurt vr verdere afhandeling. Vanwege de aard van de nderliggende Overeenkmst, en de daarbij p Opdrachtnemer mgelijkerwijs rustende cntextuele verwerkings-verantwrdelijkheid vr de verwerking, is het niet altijd passend als Opdrachtnemer (rechtstreeks) aan haar gerichte verzeken van Betrkkene(n) m uitefening van hun rechten zelf af zuden handelen. In dergelijke gevallen zendt Opdrachtnemer deze verzeken dr naar Opdrachtgever. Opdrachtgever handelt deze verzeken zelf af, waarbij Opdrachtnemer de Opdrachtgever behulpzaam kan zijn als Opdrachtnemer in het kader van de nderliggende Overeenkmst tegang heeft tt deze Persnsgegevens. 5. Geheimhuding 5.1. Verwerker en de persnen die in dienst zijn van Verwerker danwel werkzaamheden vr hem verrichten, vr zver deze persnen tegang hebben tt persnsgegevens, verwerken de Gegevens slechts in pdracht van Verantwrdelijke, behudens afwijkende wettelijke verplichtingen Verwerker en de persnen die in dienst zijn van Verwerker danwel werkzaamheden vr hem verrichten, vr zver deze persnen tegang hebben tt persnsgegevens, zijn verplicht tt geheimhuding van de persnsgegevens waarvan zij kennis nemen, behudens vr zver enig wettelijk vrschrift hen tt mededeling verplicht f uit een taak al dan niet vrtvleiende uit de vereenkmst de ndzaak tt mededeling vrtvleit De Opdrachtnemer zrgt ervr dat alleen haar Medewerkers tegang hebben tt de Persnsgegevens. De uitzndering hierp is pgenmen in artikel 6 en artikel 10 (Sub-verwerkers). Opdrachtnemer beperkt de tegang tt Medewerkers vr wie de tegang ndzakelijk is vr hun werkzaamheden, waarbij de tegang beperkt is tt Persnsgegevens die deze Medewerkers ndig hebben vr hun werkzaamheden. De Opdrachtnemer zrgt er bvendien vr dat de Medewerkers die tegang hebben tt de Persnsgegevens een juiste en vlledige instructie hebben gekregen ver de mgang met Persnsgegevens en dat zij bekend zijn met de verantwrdelijkheden en wettelijke verplichtingen Accuntants die als Medewerker werkzaam zijn bij f ten beheve van Opdrachtnemer nemen met betrekking tt de aan hen tevertruwde Persnsgegevens geheimhuding in acht zals deze vr accuntants geldt p basis de bereps- en gedragsregels. Een verzicht van deze bereps- en gedragsregels zijn te vinden p de website van de Nederlandse Berepsrganisatie van Accuntants ( 6. Geen verdere verstrekking Als Opdrachtnemer een verzek krijgt m Persnsgegevens ter beschikking te stellen dan zal Opdrachtnemer dit alleen den als het verzek is gedaan dr een daarte bevegde instantie. Bvendien berdeelt de Opdrachtnemer eerst f zij van mening zijn dat het verzek bindend is, f dat zij p grnd van gedrags- en berepsregels aan het verzek meten vlden. Als er geen strafrechtelijke f andere juridische belemmeringen zijn, dan stelt de Opdrachtnemer de Opdrachtgever p de hgte van het verzek. Opdrachtnemer zal prberen dat p zdanig krte termijn te den, dat het vr de Opdrachtgever mgelijk is m eventuele rechtsmiddelen tegen de verstrekking van de Persnsgegevens in te stellen. Als de Opdrachtnemer de Opdrachtgever p de hgte mag stellen dan zal k verleg plaatsvinden ver de wijze waarp en welke gegevens ter beschikking zullen wrden gesteld.

4 7. Beveiligingsmaatregelen 7.1. Verwerker zal rekening hudend met de van tepassing zijnde regelgeving p het gebied van bescherming van Gegevens, de stand van de techniek en de ksten van tenuitverlegging technische en rganisatrische beveiligingsmaatregelen treffen m de Gegevens te beveiligen tegen verlies f tegen enige vrm van nrechtmatige verwerking. De beveiligingsmaatregelen die thans zijn genmen, zijn in Annex 2 bepaald. De Opdrachtgever heeft zich ged geïnfrmeerd ver de dr Opdrachtnemer genmen beveiligingsmaatregelen en is van mening dat deze maatregelen een beveiligingsniveau hebben dat past bij de aard van de Persnsgegevens en de mvang, cntext, deleinden en risic s van de Verwerking dr de Verwerker. De Opdrachtnemer zal de Opdrachtgever infrmeren als één van de beveiligingsmaatregelen substantieel wijzigt Verwerker zrgt vr maatregelen die er mede p gericht zijn nndige verzameling en verdere verwerking van persnsgegevens te vrkmen Bij het nemen van de beveiligingsmaatregelen is dr Opdrachtnemer rekening gehuden met de te mitigeren risic s, de stand van de techniek en de ksten van de beveiligingsmaatregelen. De Opdrachtnemer biedt passende waarbrgen vr de tepassing van de technische en rganisatrische beveiligingsmaatregelen met betrekking tt de te verrichten Verwerkingen. 8. Tezicht p naleving 8.1. Verwerker stelt Verantwrdelijke in staat m eenmaal per kalenderjaar, nder aanzegging van een redelijke 4 termijn, de naleving van Verwerker te cntrleren van de Privacy vrwaarden en met name van de beveiligingsmaatregelen die zijn genmen zals genemd in artikel Als de Opdrachtgever de wijze waarp de Opdrachtnemer de beveiligingsmaatregelen naleeft wilt laten inspecteren, dan kan hierte een verzek aan de Opdrachtnemer wrden gedaan cnfrm artikel 8.1, waarver vervlgens nadere afspraken gemaakt kunnen wrden. De ksten van een inspectie f uit te veren audit k bij eventuele Sub-verwerkers - zijn vr rekening van de Opdrachtgever en een kpie van het inspectierapprt zal aan de Opdrachtnemer ter beschikking wrden gesteld. Partijen werken desgevraagd samen met de tezichthudende autriteit bij het vervullen van haar taken. 9. Datalek 9.1. Z spedig mgelijk nadat Verwerker kennis neemt van een incident f datalek dat (mede) betrekking heeft f kan hebben p de Gegevens, c.q. de melding hierver van een Sub-bewerker heeft ntvangen, stelt Verwerker Verantwrdelijke hiervan p de hgte via de bij Verwerker bekende cntactgegevens van Verantwrdelijke en zal Verwerker infrmatie verstrekken ver: de aard van het incident f de datalek, de getrffen Gegevens, de vastgestelde en verwachte gevlgen van het incident f datalek p de Gegevens en de maatregelen die Verwerker heeft getrffen en zal treffen. Opdrachtnemer streeft ernaar dit te den binnen 48 uur nadat zij dit Datalek heeft ntdekt, f z snel mgelijk nadat Opdrachtnemer daarver dr haar Sub-verwerkers is geïnfrmeerd Verwerker zal Verantwrdelijke ndersteunen bij meldingen aan betrkkenen en/f autriteiten. De melding van Datalekken aan de Autriteit Persnsgegevens en (eventueel) Betrkkene(n) is altijd de verantwrdelijkheid van de Verantwrdelijke. Het (bij)huden van een register van Datalekken is altijd de verantwrdelijkheid van de Verantwrdelijke. 10. SubVerwerkers De Opdrachtnemer kan andere verwerkers (Sub-verwerkers) inschakelen vr het uitveren van bepaalde werkzaamheden die vrtvleien uit de Overeenkmst, bijvrbeeld als deze Sub-verwerkers ver specialistische kennis f middelen beschikken waarver de Verwerker niet beschikt. Als het inschakelen van Sub-Verwerkers tt gevlg heeft dat deze Persnsgegevens gaan Verwerken dan zal de Opdrachtnemer die Sub-Verwerkers (schriftelijk) de verplichtingen uit deze Privacy vrwaarden pleggen. Met ndertekening van de Overeenkmst geeft de Opdrachtgever tevens testemming vr het inschakelen van de Sub-Verwerkers die bij deze Privacy vrwaarden hren. Op verzek van Opdrachtgever zal Opdrachtnemer een verzicht van de Sub-Verwerkers testuren. Vr het inschakelen van verige Sub-Verwerkers zal de Opdrachtnemer eerst m testemming vragen van de Opdrachtgever. De Opdrachtgever kan testemming weigeren maar dit kan in smmige gevallen betekenen dat de Opdrachtnemer de Overeenkmst met beëindigen. Of een pdracht m deze reden met wrden beëindigd, is ter uitsluitende berdeling aan de Opdrachtnemer.

5 11. Aansprakelijkheid Opdrachtnemer is slechts aansprakelijk, een en ander vereenkmstig hetgeen in de Wet bescherming Persnsgegevens en de AVG is bepaald, vr schade f nadeel vr zver dat ntstaat dr zijn werkzaamheid en met inachtneming van het in dit artikel bepaalde. Opdrachtnemer is slechts aansprakelijk vr schade die aan hem kan wrden tegerekend in het kader van zijn werkzaamheden vlgens deze Privacy vrwaarden en/f nietnakming van verplichtingen dr Opdrachtnemer nder deze Privacy vrwaarden Opdrachtnemer is niet aansprakelijk vr schade die het gevlg is van het dr de Opdrachtgever (als Verantwrdelijke f anderszins) niet naleven van de AVG f andere wet- f regelgeving. De Opdrachtgever vrijwaart de Opdrachtnemer k vr aanspraken van derden f Betrkkene(n) p grnd van zulke schade en stelt Opdrachtnemer p eerste verzek vlledig schadels vr alle schaden en ksten. De vrijwaring geldt niet alleen vr de schade die derden f Betrkkene(n) hebben geleden (materieel maar k immaterieel), maar k vr de ksten die de Opdrachtnemer in verband daarmee meten maken, bijvrbeeld in een eventuele juridische prcedure, en de ksten van eventuele betes die aan de Opdrachtnemer wrden pgelegd ten gevlge van het handelen van de Opdrachtgever. Het vrgaande geldt evenz vr aanspraken van Betrkkene(n) f derden waarmee Opdrachtgever een samenwerking is aangegaan f waarvan Opdrachtgever de Gegevens verwerkt, als dit het gevlg is van nrechtmatig f nalatig handelen van de Opdrachtgever De in de Overeenkmst en daarbij behrende algemene vrwaarden vereengekmen beperking van de aansprakelijkheid van Opdrachtnemer is van kracht p de verplichtingen zals pgenmen in deze Privacy vrwaarden, met dien verstande dat een f meerdere schadevrderingen uit hfde van deze Privacy vrwaarden en /f de Overeenkmst nimmer tt verschrijding van de beperking kan leiden. 12. Duur en beëindiging Deze Privacy vrwaarden zijn geldig zlang Opdrachtnemer de pdracht heeft van Opdrachtgever m Gegevens te verwerken p grnd van de Overeenkmst tussen Opdrachtgever en Opdrachtnemer. Zlang dr Opdrachtnemer Werkzaamheden wrden verricht ten beheve van Opdrachtgever zijn deze Privacy vrwaarden p deze relatie van tepassing Indien Opdrachtnemer p grnd van een wettelijke bewaarplicht bepaalde gegevens en/f dcumenten, cmputerdisks f andere gegevensdragers waarp f waarin zich Gegevens bevinden gedurende een wettelijke termijn met bewaren, dan zal Opdrachtnemer zrgdragen vr de vernietiging van deze gegevens f dcumenten, cmputerdisks f andere gegevensdragers na beëindiging van de wettelijke bewaarplicht De ksten van het verzamelen en verdragen van Persnsgegevens bij het eindigen van de Onderliggende pdracht zijn vr rekening van de Opdrachtgever. Datzelfde geldt vr de ksten van de vernietiging van de Persnsgegevens. Als de Opdrachtgever als Verantwrdelijke daarm vraagt dan geeft de Opdrachtnemer daarver vraf een ksteninschatting Bij beëindiging van de Overeenkmst tussen Opdrachtgever en Opdrachtnemer kan Verantwrdelijke aan Verwerker verzeken m alle dcumenten, cmputerdisks en andere gegevensdragers, waarp f waarin zich gegevens bevinden, te returneren aan Verantwrdelijke, vr rekening van Verantwrdelijke. In geval van returnering zal Verwerker de gegevens verstrekken in de vrm zals bij Verwerker aanwezig Opdrachtnemer zal uitsluitend een kpie van de Persnsgegevens bewaren als zij hierte p grnd van wet- f (bereps)regelgeving gerechtigd f verplicht zijn. 13. Nietigheid en wijzigingen Indien één f meerdere bepalingen uit deze Privacy vrwaarden nietig zijn f vernietigd wrden, blijven de verige vrwaarden vlledig van tepassing. Indien enige bepaling van deze Privacy vrwaarden niet rechtsgeldig is, zullen partijen ver de inhud van een nieuwe bepaling nderhandelen, welke bepaling de inhud van de rsprnkelijke bepaling z dicht mgelijk benaderd Aanvullingen en wijzigingen p deze Privacy vrwaarden zijn alleen geldig als ze p schrift zijn gesteld. Onder schriftelijk wrden k wijzigingen begrepen die per zijn gecmmuniceerd, gevlgd dr een akkrd per van de andere partij Een wijziging in de verwerkte Persnsgegevens f in de betruwbaarheidseisen, de privacyregelgeving f andere eisen kan vr Opdrachtnemer aanleiding zijn m dit privacyreglement aan te vullen f te wijzigen. Indien dit leidt tt significante aanpassingen in de Overeenkmst, f wanneer Opdrachtnemer niet kan vrzien in een passend niveau van bescherming, kan dit vr Opdrachtnemer reden zijn m de Overeenkmst te beëindigen.

6 14. Overige bepalingen Op deze Privacy vrwaarden is Nederlands recht van tepassing Alle geschillen in verband met de Privacy vrwaarden f de uitvering daarvan wrden vrgelegd aan de daarte bevegde Nederlandse rechter Indien en vr zver de Opdrachtnemer in afwijking van het gestelde in deze Privacy vrwaarden als SubVerwerker f als Verantwrdelijke dient te wrden aangemerkt zullen de bepalingen in dit privacyreglement zveel mgelijk als wettelijk is tegestaan k van tepassing zijn p de relatie tussen de Opdrachtnemer als Sub-Verwerker f als Verantwrdelijke en de Opdrachtgever (als Verwerker). De Opdrachtnemer wrdt uitsluitend als Verantwrdelijke aangemerkt indien zij vanwege de Werkzaamheden del en middelen vr de verwerking bepaalt Deze Privacy vrwaarden zijn hger in rang dan andere dr Opdrachtnemer met de Opdrachtgever geslten vereenkmsten. Als de Opdrachtgever algemene vrwaarden gebruikt dan zijn deze niet van tepassing p deze Privacy vrwaarden. De bepalingen uit deze Privacy vrwaarden gaan bven de bepalingen in de algemene vrwaarden van de Opdrachtnemer, tenzij expliciet naar een bepaling in de algemene vrwaarden wrdt verwezen. Putten, mei 2018

7 Annexen: 1. Gegevens en deleinden 2. Beveiligingsmaatregelen

8 ANNEX 1 GEGEVENS EN DOELEINDEN De Opdrachtgever laat de Opdrachtnemer de vlgende Gegevens dr Opdrachtnemer verwerken in het kader van de Overeenkmst, waarnder maar niet uitsluitend in ieder geval kunnen vallen de werkzaamheden zals vermeld in de vereenkmst tussen Opdrachtgever en Opdrachtnemer en k eventuele nadien vereengekmen pdrachtbevestiging(en), betreffende de dienstverlening dr de Opdrachtnemer ten beheve van de Opdrachtgever en de aan de Opdrachtgever verbnden cliënten/klanten p het gebied van: accuntancy (waarnder diverse verklaringen) financiële administratie belastingaangiften en -advies salarisadministratie pensienadvies financiële en estate planning - bedrijfsadvisering - advisering betreffende financieringen diverse infrmatievrziening zals het versturen van nieuwsbrieven, dit in de meest brede zin des wrds: Naam (initialen, achternaam) Telefnnummer adres Gebrtedatum Wnplaats, pstcde en huisnummer Gegevens ID-bewijs (in verband met de Wwft) Financiële gegevens, zwel zakelijk als privé NAW-gegevens en BSN van persneelsleden van Verantwrdelijke Ft en beeldmateriaal, geluidspnames Kadastergegevens en Kamer van Kphandel infrmatie en uittreksels Overige vereenkmsten, statuten en aktes. De werkzaamheden waarvr bvengenemde Gegevens mgen wrden verwerkt, uitsluitend indien ndzakelijk, zijn in ieder geval: De Werkzaamheden, te beschuwen als de primaire dienstverlening van Opdrachtnemer, in het kader waarvan Verantwrdelijke een pdracht heeft verstrekt aan Verwerker; Het nderhud, waarnder updates en releases van het dr Verwerker dan wel Sub-verwerker aan Verantwrdelijke ter beschikking gestelde systeem; Het gegevens- en technische beheer, k dr een Sub-verwerker; De hsting, k dr een Sub-verwerker. Het samenstellen van diverse srten financiële- en adviesrapprtages, belastingaangiften en lnstrken vrmt een belangrijk nderdeel van de dienstverlening van Opdrachtnemer. Vr het verzrgen van belastingaangiften en teslagen, (subsidie)aanvragen en de salarisadministratie is Opdrachtnemer vanuit de wet mgelijk verplicht het BSN-nummer te verwerken. Een vlledige kpie van het identiteitsbewijs is daarnaast verplicht vanuit de lnbelasting. De Wwft (Wet ter vrkming van witwassen en financieren van terrrisme) verplicht Opdrachtnemer m de identiteit van de klant vast te stellen en een bewijs daarvan te bewaren. De pdrachtgever geeft expliciet haar testemming aan Opdrachtnemer m Gegevens te delen met derden zals bijvrbeeld de belastingdienst, het UWV en/f verzekeraars vr zver ndig ter uitvering van de Overeenkmst, uit een wettelijke verplichting vrtvleit f anderszins ingevlge de AVG is tegestaan. Hiermee wrdt uiterst zrgvuldig mgegaan. Vertruwelijkheid en geheimhuding naar derden is hiervr het uitgangspunt. Dit geldt uiteraard k vr inlggegevens zals gebruikersnamen en wachtwrden. De technische en rganisatrische beveiliging is hierp afgestemd. Opdrachtnemer verwerkt geen bijzndere gegevens ver bijvrbeeld ras, plitieke pvattingen, gelfsvertuiging en medische infrmatie. Mcht er m een bijzndere reden ndzaak zijn dit wel te den, dan zal de Opdrachtnemer dit specifiek met de Opdrachtgever pnemen in de Overeenkmst.

9 Categrieën van betrkkenen De Gegevens die verwerkt wrden betreffen de vlgende categriën van betrkkenen: (1) Persneelsleden van Verantwrdelijke (2) Ondernemers / eigenaren van beslten venntschappen, eenmanszaken, venntschap nder firma, maatschappen e.d. (3) Bestuurders van stichtingen, verenigingen en andere rechtspersnen (4) Particulieren ten beheve van belastingaangiften en advisering, alsmede hun partners en kinderen. Vr zver ndig ter uitvering van de Overeenkmst, uit een wettelijke verplichting vrtvleit f anderszins ingevlge de AVG is tegestaan verleent de Opdrachtgever (natuurlijke persnen) tevens testemming vr de verwerking van Gegevens van haar minderjarige kinderen tt 16 jaar.

10 ANNEX 2 BEVEILIGINGSMAATREGELEN De Verwerker heeft in ieder geval de vlgende beveiligingsmaatregelen getrffen: Gebruik van dubbele wachtwrden en verificatiecdes Digitale wachtwrdenkluis Schermbeveiliging en printer/scannerbeveiliging met wachtwrd Indringeralarm/alarmsysteem in het bedrijfspand van Opdrachtnemer met cde Beveiligde website met certificaat Beveiligingsbeleid met nder meer firewall, spamfilter en virusscanner, prtcl gebruik electrnica-, internetscial media werknemers en clean desk plicy Zakelijke mbiele telefns en laptps beveiligd met wachtwrd en/f vingerafdruk en/f schijf-encryptie Geheimhudingsverklaringen in arbeidscntracten en met derden Gecertificeerd afveren van dcumenten met persnsgegevens en harde schijven/electrnica Gebruik disclaimer in Backup- en herstelprcedures Beveiliging van netwerkverbindingen (intern en extern beheerd) Bevegdheden zijn functineel tegewezen aan een beperkt aantal persnen dat met de uitvering van de verwerking is belast (inclusief peridieke cntrle hierp) Lgische tegangscntrle dr middel van wachtwrden en/f persnlijke tegangscdes Vr zver vereist SubVerwerkersvereenkmsten met derden Veilige wijze van het pslaan van gegevensbestanden binnen het kantrnetwerk Bewaartermijnen Er wrdt p grnd van de Wet bescherming persnsgegevens (Wbp) gesprken ver verschillende mgelijkheden met betrekking tt de bewaartermijn vr persnsgegevens. Organisaties bepalen zelf he lang zij persnsgegevens bewaren rekening hudend met de geldende wetgeving. Hierbij kijken zij naar he lang de gegevens ndig zijn vr het del waarvr deze zijn verzameld f wrden gebruikt. In de Wbp staat dat persnsgegevens niet langer mgen wrden bewaard dan ndzakelijk is vr het del waarvr zij verzameld en verwerkt wrden. Deze bepaling is k verwerkt in de AVG. Opdrachtnemer zal zich hierbij huden aan de geldende wettelijke bewaartermijnen. Opdrachtnemer zal zich in deze aan de bepalingen van de AVG huden en mag daarbij persnsgegevens in een archief bewaren als dit bestemd is vr histrische, statistische f wetenschappelijke deleinden. Rechten van betrkkenen (Artikel 13 t/m 20, AVG) De wet bepaalt niet alleen de plichten van degenen die de persnsgegevens verwerken, maar bepaalt k de rechten van de Betrkkene(n): Recht p infrmatie: Betrkkenen hebben het recht m te vragen f zijn/haar persnsgegevens wrden verwerkt. Inzagerecht: Betrkkenen hebben de mgelijkheid m te cntrleren f, en p welke manier, zijn/haar gegevens wrden verwerkt. Crrectierecht: Als duidelijk wrdt dat de gegevens niet klppen, kan de betrkkene een verzek indienen m dit te crrigeren. Recht van verzet: Betrkkenen hebben het recht te vragen m hun persnsgegevens niet meer te gebruiken. Recht m vergeten te wrden: In gevallen waar de betrkkene testemming heeft gegeven m gegevens te verwerken, heeft de betrkkene het recht m de persnsgegevens te laten verwijderen. Recht p bezwaar: Betrkkenen hebben het recht m bezwaar aan te maken tegen de verwerking van zijn/haar persnsgegevens. Opdrachtnemer zal hieraan vlden, tenzij er gerechtvaardigde grnden zijn vr de verwerking. Vr zver mgelijk vldet Opdrachtnemer aan verzeken m inzage f wijziging f verwijdering van persnsgegevens. Het verwijderen van persnsgegevens is een recht vanuit de AVG, maar Opdrachtnemer heeft te maken met wetgeving ten aanzien van bewaarplicht van gegevens en die wetgeving gaat vr. De wettelijke bewaartermijn is 7 jaar. Gezien de wettelijke bewaarplicht en andere wet- f (bereps)regelgeving kan Opdrachtnemer ver het algemeen niet vlden aan een eventueel verzek van de Opdrachtgever tt vernietiging f teruggave van de persnsgegevens bij einde van de Overeenkmst. Mcht dit wel mgelijk zijn dan zal Opdrachtnemer aan dit verzek meewerken. Mcht het vlden aan verzeken ksten met zich meebrengen vr Opdrachtnemer f de sub-verwerker dan kan Opdrachtnemer die ksten in rekening brengen.

11 Vr persnlijke gegevens van medewerkers, stagiaires, inleners, uitzendkrachten f zzp-ers bij Opdrachtnemer geldt hetzelfde als vr Opdrachtgevers met dien verstande dat in plaats van de Overeenkmst met wrden gelezen de arbeidsvereenkmst, de stage-vereenkmst, de inleenvereenkmst, de uitzendvereenkmst f de managementvereenkmst. Vr persnlijke gegevens van sllicitanten hanteren wij de regel dat na sluiting van een vacature alle persnlijke gegevens na maximaal 3 maanden wrden verwijderd. Om gebruik te maken van zijn/haar rechten kan de betrkkene een verzek indienen bij Opdrachtnemer. Dit verzek kan zwel schriftelijk als via de ingediend wrden. Opdrachtnemer heeft vier weken de tijd, vanaf de ntvangst van het verzek, m te berdelen f het verzek gerechtvaardigd is. Binnen vier weken zal Opdrachtnemer laten weten wat er met het verzek gaat gebeuren. Als het verzek niet wrdt pgevlgd is er de mgelijkheid m bezwaar te maken bij Opdrachtnemer, f een klacht in te dienen bij de Autriteit Persnsgegevens (AP). Aan de hand van een verzek kan Opdrachtnemer aanvullende infrmatie pvragen m zeker te zijn van de identiteit van de betrkkene.