Verwerking 3.1 Wij Verwerken de Persoonsgegevens uitsluitend op de manier die Wij met U hebben afgesproken in de Onderliggende opdracht. Dit Verwerken doen Wij niet langer of uitgebreider dan noodzakelijk voor de uitvoering van deze Onderliggende opdracht. De Verwerking vindt plaats volgens Uw schriftelijke instructies, tenzij Wij op grond van de wet- of regelgeving verplicht zijn om anders te handelen (bijvoorbeeld bij het maken van een afweging of een melding van een “ongebruikelijke transactie” moet worden gedaan in het kader van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft)). Indien een instructie, naar onze mening, een inbreuk maakt op de AVG stellen wij U daarvan onmiddellijk in kennis. 3.2 De Verwerking vindt plaats onder Uw verantwoordelijkheid. Wij hebben geen zeggenschap over het doel en de middelen van de Verwerking en nemen geen beslissingen over zaken als het gebruik van Persoonsgegevens, de bewaartermijn van de voor u verwerkte Persoonsgegevens en het verstrekken van Persoonsgegevens aan Derden. U moet er voor zorgen dat U het doel en de middelen van de Verwerking van de Persoonsgegevens duidelijk heeft vastgesteld. De zeggenschap over de Persoonsgegevens berust nooit bij Ons. Als Wij een zelfstandige verplichting mochten hebben op basis van wettelijke voorschriften of de voor accountants geldende beroeps- en gedragsregels met betrekking tot Verwerking van Persoonsgegevens, dan leven Wij deze verplichtingen na. Een overzicht van deze beroeps- en gedragsregels kunt U vinden op de website van de Nederlandse Beroepsorganisatie van Accountants (▇▇▇.▇▇▇.▇▇). 3.3 U bent wettelijk verplicht de vigerende wet- en regelgeving op het gebied van privacy na te leven. In het bijzonder dient u vast te stellen of er sprake is van een rechtmatige grondslag voor het Verwerken van de Persoonsgegevens. Wij zorgen ervoor dat Wij voldoen aan de op ons als Verwerker van toepassing zijnde regelgeving op het gebied van de Verwerking van Persoonsgegevens en de afspraken die We hebben gemaakt in deze Overeenkomst. 3.4 Wij zorgen ervoor dat alleen Onze Medewerkers toegang hebben tot de Persoonsgegevens. De uitzondering hierop is opgenomen in artikel 3.5. Wij beperken de toegang tot Medewerkers voor wie de toegang noodzakelijk is voor hun werkzaamheden, waarbij de toegang beperkt is tot Persoonsgegevens die deze Medewerkers nodig hebben voor hun werkzaamheden. Wij zorgen er bovendien voor dat de Medewerkers die toegang hebben tot de Persoonsgegevens een juiste en volledige instructie hebben gekregen over de omgang met Persoonsgegevens en dat zij bekend zijn met de verantwoordelijkheden en wettelijke verplichtingen. 3.5 Wij kunnen andere verwerkers (Sub-verwerkers) inschakelen voor het uitvoeren van bepaalde werkzaamheden die voortvloeien uit de Onderliggende opdracht, bijvoorbeeld als deze Sub- verwerkers over specialistische kennis of middelen beschikken waarover Wij niet beschikken. Als het inschakelen van Sub-Verwerkers tot gevolg heeft dat deze Persoonsgegevens gaan Verwerken dan zullen wij die Sub-Verwerkers (schriftelijk) de verplichtingen uit deze Overeenkomst opleggen. Met ondertekening van deze Overeenkomst geeft u toestemming voor het inschakelen van de Sub-Verwerkers die genoemd zijn in de Bijlage die bij deze Overeenkomst hoort. Over het inschakelen van overige Sub-Verwerkers zullen wij u vooraf informeren en in de gelegenheid stellen hiertegen bezwaar te maken.
Doeleinden van de verwerking De persoonsgegevens worden door de Verzekeraar verwerkt voor de doeleinden vermeld in bovenvermelde nota, en in het bijzonder met het oog op: • Het nakomen van haar contractuele verbintenissen, meer bepaald het beheer en de uitvoering van verzekeringsdiensten, met inbegrip van het beheer van de klantenrelatie; • Het gevolg geven aan alle administratieve, reglementaire en wettelijke verplichtingen waaraan zij onderworpen is, onder meer inzake de inhouding van (para) fiscale bijdragen; • Redenen in verband met haar gerechtvaardigd belang onder meer de opmaak van statistieken, het opsporen en de preventie van misbruiken en fraude, het samenstellen van bewijzen, de beveiliging van zijn IT-netwerken en – systemen, de beveiliging van goederen en personen, de optimalisering van de processen (bijvoorbeeld inzake de evaluatie en acceptatie van het risico, interne procedures, …), de ontwikkeling van nieuwe producten, prospectie alsook tevredenheidsonderzoeken. In bepaalde gevallen kunnen deze gegevens ook worden verwerkt met de toestemming van de betrokkene. Wanneer de verwerking gebaseerd is op de toestemming van de betrokken persoon, dan kunt deze zijn toestemming op ieder ogenblik intrekken. De betrokken persoon kan zich ook op ieder ogenblik verzetten tegen de verwerking van de gegevens betreffende zijn gezondheid. In dit geval zou de Verzekeraar in de onmogelijkheid kunnen verkeren om deze doelstelling te verwezenlijken en/of gevolg te geven aan het verzoek tot tussenkomst.
Sub-verwerkers 9.1 Indien Verwerker voorafgaande (algemene) toestemming heeft om zijn verplichtingen uit te besteden aan derden, dan informeert Verwerker Verantwoordelijke over het voornemen de sub-verwerker in te schakelen. Verwerker geeft Verantwoordelijke een termijn van 7 werkdagen om bezwaar te maken tegen het inschakelen van de sub- verwerker. Verwerker zal de sub-verwerker pas inschakelen indien de termijn van 7 dagen is verstreken zonder dat Verantwoordelijke bezwaar heeft gemaakt, of indien Verantwoordelijke heeft aangegeven geen bezwaar te maken tegen het inschakelen van de sub-verwerker. 9.2 Indien Verwerker geen voorafgaande toestemming heeft om zijn verplichtingen uit te besteden aan derden, dan vraagt ▇▇▇▇▇▇▇▇▇ voorafgaande toestemming voor het inschakelen van de sub-verwerker. 9.3 Verwerker draagt er zorg voor dat de sub-verwerker is onderworpen aan deze verwerkersovereenkomst dan wel aan een sub-verwerkersovereenkomst die dezelfde plichten bevat als deze verwerkersovereenkomst.
Gegevensverwerking 2.1 De Partijen zullen, elk in hun respectievelijke hoedanigheid, de Persoonsgegevens verwerken in overeenstemming met de WVP, de WEC, de AVGB en enige andere toepasselijke regelgeving waaraan de Verwerkingsverantwoordelijke en/of de Verwerker onderworpen is. 2.2 De Verwerker erkent dat hij onderworpen is aan de specifiek tot de Verwerker gerichte rechten en verplichtingen van de WVP en van de AVGB. De Verwerker erkent eveneens dat de Verwerkingsverantwoordelijke onderworpen is aan de specifiek tot de Verwerkingsverantwoordelijke gerichte rechten en verplichtingen van de WVP en - AVGB. 2.3 De Verwerker zal de Persoonsgegevens uitsluitend en steeds in opdracht van, onder toezicht van en namens de Verwerkingsverantwoordelijke verwerken in overeenstemming met de modaliteiten van Bijlage 1. 2.4 De Verwerker heeft geen zeggenschap over het doel van de verwerking van Persoonsgegevens, noch kan hij zelfstandig beslissingen nemen aangaande het gebruik, de opslag of de mededeling van de Persoonsgegevens, tenzij en in de mate bepaald in deze Verwerkersovereenkomst of opgedragen door de Verwerkingsverantwoordelijke. 2.5 De Verwerker is ertoe gehouden om gepaste technische en organisatorische veiligheidsmaatregelen te implementeren om de Persoonsgegevens te beschermen tegen toevallige of ongeoorloofde vernietiging, tegen toevallig verlies evenals tegen de wijziging van of de toegang tot, en iedere andere niet toegelaten verwerking van Persoonsgegevens. Bij het bepalen van de passende technische en organisatorische beveiligingsmaatregelen, houdt de Verwerker rekening met (i) de stand van de techniek, (ii) de uitvoeringskosten van deze maatregelen, (ii) de aard, de omvang, de context, en de verwerkingsdoeleinden, (iv) de verwerkingsrisico’s voor de rechten en vrijheden van de Betrokkenen, voornamelijk als gevolg van vernietiging, verlies, wijziging, ongeoorloofde verstrekking van, of niet-geautoriseerde toegang tot doorgezonden, opgeslagen of anderszins verwerkte Persoonsgegevens, hetzij per ongeluk, hetzij op onrechtmatige wijze, en (v) de waarschijnlijkheid dat de verwerking een impact heeft op de rechten en vrijheden van de Betrokkenen. 2.6 De Verwerker dient een register van de categorieën van de verwerkingsactiviteiten bij te houden en zal op verzoek van de Verwerkingsverantwoordelijke alle nodige informatie betreffende de verwerking van Persoonsgegevens door hem aan de Verwerkingsverantwoordelijke verstrekken en zal onmiddellijk alle verzoeken van betrokkenen die hij ontvangt aan de Verwerkingsverantwoordelijke overmaken. 2.7 De Verwerker zal geen persoonsgegevens buiten de Europese Economische Ruimte (EER) doorgeven zonder adequate bescherming of tenzij deze doorgifte noodzakelijk is op grond van een rechtsregel die bindend is onder EU of Belgisch recht. In zulk geval stelt de Verwerker de Verwerkingsverantwoordelijke voorafgaandelijk en schriftelijk in kennis van het wettelijk voorschrift op grond waarvan de Verwerker verplicht is over te gaan tot doorgifte van de Persoonsgegevens, tenzij de betrokken wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. 2.8 De Verwerker kan toegang geven tot de Persoonsgegevens aan haar werknemers, maar dient de toegang strikt te beperken tot enkel die werknemers die toegang moeten hebben tot de Persoonsgegevens om de Verwerker toe te laten zijn verplichtingen onder de Opdracht en de Verwerkersovereenkomst uit te voeren. De Verwerker zal de betrokken werknemers schriftelijk op de hoogte brengen van het vertrouwelijke karakter van Persoonsgegevens, en van het wettelijke en contractuele kader inzake Persoonsgegevens, en zal de betrokken medewerkers contractueel een vertrouwelijkheidsverplichting opleggen. De vertrouwelijkheidsverplichting blijft van kracht na het overdragen of beëindigen van deze overeenkomst. 2.9 De Verwerker kan toegang tot de Persoonsgegevens geven aan derden, wanneer: • de Verwerkingsverantwoordelijke hiermee schriftelijk, voorafgaandelijk en specifiek heeft ingestemd; • die toegang verplicht is op grond van een Belgische of Europese rechtsregel die bindend is voor de Verwerker. In zulk geval stelt de Verwerker de Verwerkingsverantwoordelijke voorafgaandelijk en schriftelijk in kennis van het verzoek tot toegang, de betrokken bindende rechtsregel en de gevolgen die de Verwerker aan dat verzoek plant te geven, tenzij deze kennisgeving wettelijk of om dwingende redenen van algemeen belang verboden is. 2.10 Indien de Verwerker toegang verschaft tot de Persoonsgegevens aan subverwerkers, garandeert hij dat elke derde contractueel onderworpen wordt aan minstens dezelfde verplichtingen als deze waartoe de Verwerker is gehouden ten aanzien van de Verwerkingsverantwoordelijke onder deze Verwerkersovereenkomst.
Doeleinden van verwerking Verwerker verbindt zich onder de voorwaarden uit deze bijlage in opdracht van de Webwinkelier persoonsgegevens te verwerken. Verwerking zal uitsluitend plaatsvinden in het kader van het bepaalde in deze Bijlage en de doeleinden vastgelegd in de Overeenkomst. Webwinkelier zal Verwerker schriftelijk op de hoogte stellen van de verwerkingsdoelen voor zover deze niet reeds in deze bijlage zijn genoemd. Verwerker heeft geen zeggenschap over het doel en de middelen voor verwerking van persoonsgegevens. Verwerker neemt geen zelfstandige beslissingen over de ontvangst en het gebruik van de persoonsgegevens, de verstrekking aan derden en de duur van de opslag van persoonsgegevens. De in opdracht van Webwinkelier te verwerken persoonsgegevens blijven eigendom van Webwinkelier en/of de betreffende betrokkenen. Voor zover wettelijk verplicht zal Webwinkelier ervoor instaan dat zij, vanaf 25 mei 2018 op het moment dat de AVG van toepassing wordt, een register zal bijhouden van de in deze Bijlage geregelde verwerkingen. Webwinkelier vrijwaart Verwerker tegen alle aanspraken en claims die verband houden met het niet juist naleven van deze registerplicht.