Privacystatement personeelsgegevens Spot4kids

Transcriptie

1 Privacystatement personeelsgegevens Spot4kids Volgens de nieuwe Algemene Verordening Gegevensbescherming, verder te noemen AVG zijn er een aantal nieuwe eisen met betrekking tot het verwerken van persoonsgegevens. De AVG stelt eisen aan het gebruik van informatie die tot natuurlijke personen herleidbaar is. Middels dit Privacystatement maakt Spot4kids inzichtelijk op welke manier wij informatie verzamelen, met welk doel en wat wij doen om deze informatie te beveiligen. Welke informatie verzamelt Spot4kids? Spot4kids verzameld de volgende informatie van medewerkers: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer, mailadres en soortgelijke voor communicatie benodigde gegevens van de medewerker; b. de datum van indiensttreding; c. de functie van de werknemer of de aard van de te verrichten arbeid; d. de plaats of plaatsen waar de arbeid wordt verricht; e. de arbeidsduur en de werktijden(regeling); f. of de arbeidsovereenkomst voor onbepaalde of bepaalde tijd is aangegaan. In geval van bepaalde tijd wordt tevens de duur en de reden hiervan vermeld; g. de salarisschaal, het salaris bij indiensttreding, de termijn van uitbetaling en de datum van de jaarlijkse verhoging; h. of de werknemer wel of geen verplichting heeft om te verhuizen naar de standplaats; i. dat de CAO Kinderopvang op de arbeidsovereenkomst van toepassing is. j. gegevens (inclusief gegevens die betrekking hebben op gezinsleden en voormalige gezinsleden van de personeelsleden) die noodzakelijk zijn vanwege een overeengekomen arbeidsvoorwaarde (bijvoorbeeld tegemoetkoming in de ziektekostenverzekering); k. het BSN nummer l. het IBAN nummer m. kopieën van ter zake doende diploma s en certificaten van de werknemer n. gegevens die betrekking hebben op de functie o. verklaring omtrent het gedrag p. kopie identiteitsbewijs q. kopie inzittenden verzekering bij gebruik eigen auto voor het vervoeren van kinderen t.b.v. de uitvoering van het werk r. verlofoverzicht s. verzuim frequentie t. gegevens voor de organisatie van de personeelsbeoordeling en de loopbaanbegeleiding, voor zover die gegevens reeds bij het personeelslid bekend zijn; u. geheimhoudingsverklaring Spot4kids verzameld de volgende informatie van stagiaires/vrijwilligers: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer, mailadres en soortgelijke voor communicatie benodigde gegevens van de stagiair/ vrijwilliger; b. de datum van aanvang stage/vrijwilligerswerk c. de aard van de te verrichten arbeid; d. de plaats of plaatsen waar de arbeid wordt verricht; e. de stageduur en de werktijden(regeling); f. het BSN nummer g. stageovereenkomst h. geheimhoudingsverklaring i. verklaring omtrent het gedrag j. kopie identiteitsbewijs k. gegevens voor de organisatie van de stagiaire beoordeling en de stagebegeleiding, voor zover die gegevens reeds bij het stagiair bekend zijn;

2 Doel verwerking gegevens De verwerking van gegevens van medewerkers geschiedt slechts voor: a. Het uitvoeren van de arbeidsovereenkomst tussen werkgever en werknemer. b. De uitbetaling van het salaris van de werknemer c. Het afdragen van belastingen en premies d. Het aan kunnen tonen dat de medewerkers voldoende gekwalificeerd zijn om het werk te kunnen doen volgens CAO kinderopvang. e. De opleiding van de medewerkers f. Het documenteren van de verslagen van de functioneringsgesprekken g. De bedrijfs-medische zorg h. Het behandelen van geschillen i. Het doen uitoefenen van accountantscontrole j. De uitvoering of toepassing van een andere wettelijke verplichting De verwerking van gegevens van stagiair/vrijwilliger geschiedt slechts voor: a. Het uitvoeren van de stageovereenkomst tussen werkgever en stagiaire. b. De uitbetaling van een mogelijke vergoeding van de stagiair/vrijwilliger c. Het afdragen van belastingen en premies d. Het aan kunnen tonen dat de stagiair voldoende gekwalificeerd zijn om een stage te kunnen doen volgens CAO kinderopvang. e. De opleiding van de stagiair f. Het documenteren van de verslagen van de stagegesprekken g. De bedrijfs-medische zorg h. Het behandelen van geschillen i. Het doen uitoefenen van accountantscontrole j. De uitvoering of toepassing van een andere wettelijke verplichting Welke informatie verzamelt Spot4kids? Op welke wijze worden de persoonsgegevens bewaard? De gegevens van medewerkers worden verwerkt/bewaard in: Onedrive; personeelsgegevens; hierin worden kopieën van het contract, id, VOG, loonheffing, diploma s, verslagen van functioneringsgesprekken en loonstroken opgeslagen Papieren map; hierin worden kopieën van het contract, id, VOG, loonheffing, kopie inzittenden verzekering, diploma s, geheimhoudingsverklaring en loonstroken bewaard Konnect; het ouderportaal. In dit programma staat de naam, achternaam, de functie, het mailadres van de werknemer en de groepen waarop de medewerker werkzaam is. Dit om in Konnect te kunnen werken, maar ook om de nieuwsbrieven te ontvangen die verstuurd worden via Konnect. Kidsadmin; in Kidsadmin worden de naam, achternaam, geboortedatum, functie en werkdagen opgeslagen voor het maken van het rooster. De gegevens van stagiaires worden verwerkt/bewaard in: Papieren map; hierin worden kopieën van het contract, id, VOG, geheimhoudingsverklaring bewaard.

3 Wie heeft er behalve u toegang tot deze gegevens? 1. De personen die belast zijn met het verwerken van de persoonsgegevens van medewerkers De gegevens van de medewerkers zijn toegankelijk voor directie en de medewerkers die belast zijn met de uitbetaling van de salarissen en het beheren van de persoonlijke gegevens. Een deel van het uitvoeren van de salarisadministratie heeft Spot4kids uitbesteed aan CVK Accountancy&Advies. 2. Anderen waarvoor u toestemming heeft verleend Dit kunnen personen zijn die betrokken zijn bij u en uw gezin. Denk hierbij aan hulpverleningsinstanties etc. 3. Anderen waarbij de gegevensverwerking noodzakelijk is om aan een wettelijke verplichting te voldoen Voorbeelden zijn o.a. de aanvraag van doorgeven van persoons- en contractgegevens aan de belastingdienst of de FIOD. Wat zijn uw rechten als medewerker? Medewerkers hebben recht op inzage van hun eigen gegevens. De medewerkers hebben recht tot wijziging van hun gegevens wanneer zij inzien dat de gegevens onjuist verwerkt zijn. De medewerker heeft recht op gegevensverwijdering indien de gegevens aantoonbaar niet langer nodig zijn voor het doel waarvoor zij verzameld en verwerkt zijn, mits er geen wettelijke verplichting ligt bij ons om de gegevens te behouden. Wij vragen de medewerker om toestemming om de gegevens over te dragen aan derden, mits wij hier geen wettelijke verplichting in hebben. Wij doen dit schriftelijk.

4 Beveiliging persoonsgegevens Onedrive Spot4kids maakt gebruik van OneDrive. Documenten worden gesynchroniseerd in de cloud. Bestanden staan en op de laptop en op een van de servers van Microsoft opgeslagen. OneDrive is versleuteld met SSL. SSL (Secure Sockets Layer) is een manier om verbindingen tussen webbrowser en webserver te beveiligen. Door de verbinding met SSL te beveiligen, wordt de veiligheid op 2 manieren geregeld: door versleutelen van de data die tussen de browser en de server wordt uitgewisseld (data encryptie) en door controle of de website waarmee men verbinding heeft wel de website is waarmee men verbinding denkt te hebben (server authenticatie). Spot4kids heeft beveiligingsgegevens toegevoegd aan het Microsoft-account. Daarnaast is er een beveiligingscode ingevoerd wanneer een apparaat zich aanmeldt dat niet wordt vertrouwd. FileVault beveiligt de gegevens op de schijf door de inhoud ervan automatisch te coderen. Papieren map De map met personeelsgegevens staan in een gesloten kast op het kantoor van de directie. Deze mappen zijn uitsluitend toegankelijk voor directie en op aanvraag van de desbetreffende medewerker. Kidsadmin Spot4kids heeft met Kidsadmin een verwerkingsovereenkomst afgesloten. Op deze wijze wordt voldaan aan de wettelijke verplichtingen in verband met de verwerking van Persoonsgegevens. In deze overeenkomst is opgenomen welke maatregelen er worden getroffen om de veiligheid van de Persoonsgegevens te verzekeren. Kidsadmin treft de volgende beveiligingsmaatregelen: Novict is vanaf juni gecertificeerd voor ISO NEN 7510 Alle medewerkers binnen Kidsadmin hebben een VOG afgegeven Autorisaties zijn gekoppeld aan functies binnen Kidsadmin De autorisaties zijn geborgd door wachtwoorden uitgifte en inname systeem. Databases zijn operationeel in drievoud beschikbaar op twee locaties Er wordt dagelijks back-up gemaakt die een jaar bewaard blijven, daarna op maandbasis to 7 jaar Databases kunnen alleen via een van verbinding benaderd worden door medewerkers. Systeemfouten worden gelogd en geanalyseerd. Er is een procedure Meldplicht datalekken opgemaakt. Konnect 2018 Konnect hecht veel waarde aan de beveiliging van het platform en de gegevens die hierin opgeslagen worden. Om er zeker van te zijn dat er geen tekortkomingen zijn in de beveiliging van het systeem, laat Konnect periodiek een diepgaande beveiligingsscan uitvoeren door experts van een gerenommeerd IT beveiligingsbedrijf, ook wel een penetratietest genoemd. Afgelopen periode is het systeem opnieuw onder de loep genomen. Hieruit is naar voren gekomen dat Konnect de beveiliging zeer goed op orde heeft. De belangrijkste conclusie van de externe specialisten zegt het volgende: Het is goed te merken dat veiligheid een belangrijk onderdeel is bij het ontwikkelproces. In de applicatie en bijbehorende infrastructuur zijn geen kwetsbaarheden meer aangetroffen. De meest voorkomende kwetsbaarheden op het internet worden goed door Konnect voorkomen. Dit geldt voor zowel de applicatie als voor de infrastructuur waar het op draait. Veel gebruikte defence-in-depth maatregelen worden ook getroffen om de omgevingen zo veilig mogelijk te maken. Computest is van mening dat de beveiliging van Konnect ouderportaal zeer goed op orde is. Software CVK Accountancy&Advies Organisatorisch is het programma Loon, waarmee gewerkt wordt binnen CVK Accountancy&Advies afgeschermd met wachtwoorden en kan niet door iedereen benaderd worden binnen het bedrijf. Technisch is dat geregeld doordat persoonsgegevens op een afgescheiden stukje server staan waar aparte rechten aan worden gehangen. Daarnaast is er in het programma sprake van versleuteling van persoonsgegevens en vanzelfsprekend de benodigde firewalls en virusscanners. Uitwisseling vanuit deze software naar andere partijen, zoals belastingdienst en pensioenfondsen vind plaats via een apart daarvoor opgezet kanaal van deze partijen die afgeschermd is middels overheidscertificaten die CVK op regelmatige

5 periode vernieuwen. Bij het vernieuwen hiervan wordt er altijd door de partij die deze certificaten uitgeeft (dat zijn er maar 5 in Nederland) een test gedaan op de veiligheid bij CVK. Verder bevat de software attentiesignalen op het moment dat bewaartermijn van de uit dienst getreden werknemers verlopen en dus verwijderd moeten gaan worden. Het gebruik van Laptops De laptops worden in afgesloten kast bewaard (administratief medewerkers die belast zijn met de doelen waarvoor de persoonsgegevens worden verwerkt en directie hebben toegang tot deze kast) de deur van het kantoor is op slot en alleen toegankelijk voor personeel van Spot4kids. De laptops zijn beveiligd met een inlogcode die uitsluitend bekend is bij de medewerkers die belast zijn met administratieve taken. Internet Bij Spot4kids wordt gebruik gemaakt van een beveiligde internetverbinding. Zoals artikel 2 van CAO Kinderopvang omschrijft zal de werkgever, met inachtneming van het bepaalde in de Wet bescherming persoonsgegevens, zonder toestemming van de werknemer geen zaken openbaar maken of mededelingen doen over zaken die in de persoonlijke levenssfeer van de werknemer liggen en waarvan de werkgever redelijkerwijs weet of kan vermoeden dat geheimhouding is vereist. Deze verplichting geldt ook na het eindigen van de arbeidsovereenkomst. Alle medewerkers van Spot4kids hebben een geheimhoudingsverklaring ondertekend. Hoe lang worden gegevens bewaard? Er is geen concrete bewaartermijn voor persoonsgegevens. Organisaties bepalen zelf hoe lang zij persoonsgegevens bewaren. Na beëindiging van een arbeidsovereenkomst met een medewerker is het gebruikelijk dat we het dossier nog twee jaar bewaren. Daarna verwijderen we de gegevens. Op deze bewaartermijn zijn een paar uitzonderingen: kopie van het identiteitsbewijs en de loonbelastingverklaringen: minimaal 5 jaar informatie over salaris, arbeidsvoorwaarden en andere fiscale gegevens: minimaal 7 jaar Spot4kids vernietigt de gegevens als ze niet meer nodig zijn voor het doel van het archief. Meldplicht datalekken Op het moment dat er per ongeluk (of opzettelijk) data verloren gaan, of op straat terecht komen, moet Spot4kids dit binnen 72 uur aan de toezichthouder melden. Houdt het lek waarschijnlijk een hoog risico in voor de personen waar de gegevens betrekking op hebben? Dan stellen wij hen ook van het lek op de hoogte. Spot4kids maakt hiervoor gebruik van de richtlijnen melden datalek van de Autoriteit Persoonsgegevens ( richtsnoeren_meldplicht_datalekken_0.pdf) Inwerkingtreding en evaluatie Dit privacystatement is geldig vanaf 25 mei De tekst van dit privacystatement kan door ons worden aangepast gelet op nieuwe ontwikkelingen. Wij behouden ons het recht om wijzigingen aan te brengen. Vragen en klachten Wij vinden het vanzelfsprekend dat wij transparant zijn over hoe wij omgaan met privacy. Heeft u vragen over dit document of over de manier waarop wij omgaan met uw gegevens kunt u ons altijd bellen of mailen. Indien u het niet eens bent met de manier waarop wij met uw gegevens omgaan heeft u het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens.

6