WIJ ZIJN VAN MENING DAT DE PRIVACY VAN ONZE KLANTEN WAARDE HEEFT
WIJ ZIJN VAN MENING DAT DE PRIVACY VAN ONZE KLANTEN WAARDE HEEFT
VERWERKERS- OVEREENKOMST
"Sky Dust" Verwerkersovereenkomst
Tussen:
...
... (hierna "Verwerkingsverantwo ordelijke")
en
Sky Dust Intelligentie Xxxxx Xxxxx 000-X 0000 XX Xxxxxx Xxxxxxxxx
(hierna "Verwerker")
Deze overeenkomst wordt uitsluitend gebruikt voor de verwerking van persoonsgegevens in opdracht van een derde partij ("Overeenkomst"). We hebben onze producten op het platform van Microsoft.
Het is van toepassing op alle gegevensverwerkingsactiviteiten die door Verwerker namens Verwerkingsverantwoordelijke worden ondernomen, waaronder de inzet van kunstmatige intelligentie (AI)-technologieën. De Verwerker verbindt zich ertoe AI te gebruiken op een manier die in overeenstemming is met de EU-wet op de kunstmatige intelligentie en alle andere relevante wetgeving, en ervoor te zorgen dat de gegevensverwerking wordt uitgevoerd met inachtneming van veiligheids-, privacy- en ethische normen.
1. Onderwerp en duur van de overeenkomsten
1.1. Onderwerp van de overeenkomst
Onderwerp van de Overeenkomst is de uitvoering van de volgende taken door Verwerker in overeenstemming met de dienstbeschrijving in de tussen Partijen overeengekomen voorwaarden xxxxx://xxx.xxxxxxx.xx/xxxxx-xxxxxxxxxxx Verwerker (Hoofdovereenkomst): het verzamelen, beheren, documenteren en overdragen van de toestemming van de gebruikers van de Verwerkingsverantwoordelijke of persoonsgegevens die zijn verzameld op basis van gerechtvaardigde belangen via de door Verwerkingsverantwoordelijke geleverde technologie en, indien van toepassing, andere diensten overeengekomen met de Verwerkingsverantwoordelijke in overeenstemming met de Hoofdovereenkomst. Verwerker verwerkt daarbij persoonsgegevens voor Verwerkingsverantwoordelijke in de zin van art. 4 nr. 2 en art. 28 AVG op basis van de Hoofdovereenkomst. De definities in de hoofdovereenkomst zijn ook van toepassing in deze overeenkomst. De definities in deze Overeenkomst zijn alleen van toepassing op deze Overeenkomst.
1.2. Duur van de overeenkomst
De duur van deze Overeenkomst (looptijd) komt overeen met de duur van de Hoofdovereenkomst.
2. Specificatie van de inhoud van de Overeenkomst
2.1. Toepassingsgebied, aard en doel
Reikwijdte, aard en doel van het verzamelen, verwerken en/of gebruiken van persoonsgegevens door Verwerker voor Verwerkingsverantwoordelijke vloeien voort uit de hoofdovereenkomst en Bijlage 3, waarbij Bijlage 3 voorrang heeft in geval van strijdigheid.
2.2. Soort gegevens
Onderwerp van het verzamelen, verwerken en/of gebruiken van persoonsgegevens zijn de volgende gegevens:
○ Gebruikersgegevens:
○ Toestemmingsgegevens (toestemmings-ID, toestemmingsdatum en -tijd, gebruikersagent van de browser en toestemmingsstatus.)
○ Apparaatgegevens (HTTP Agent, HTTP Referrer)
○ Bezochte URL
○ Xxxx xxx xx xxxxxxxxx
○ IP-adres
○ Geolocatie
De gegevens die in het kader van deze Overeenkomst worden verwerkt, kunnen speciale categorieën gegevens bevatten zoals gedefinieerd in de AVG. Verwerker zal bij de verwerking van gevoelige gegevens specifieke beschermingsmaatregelen toepassen en relevante wettelijke vereisten naleven.
2.3. Categorieën van betrokkenen
De categorieën betrokkenen die betrokken zijn bij de verwerking van hun persoonsgegevens in het kader van deze Overeenkomst zijn onder meer:
● Bezoekers van de website;
● Intelligente oplossingen;
● AI-modellen die draaien op een Azure-platform dat eigendom is van Sky Dust of
3. Instructiebevoegdheid van de verwerkingsverantwoordelijke / plaats van de gegevensverwerking
3.1. De gegevens worden uitsluitend verwerkt in het kader van de gemaakte afspraken en in overeenstemming met gedocumenteerde instructies van de verwerkingsverantwoordelijke (vgl. art. 28 lid 3 sub a AVG). Bijlage 3, de Hoofdovereenkomst, deze Overeenkomst en, indien van toepassing, de instellingen die Afnemer heeft gemaakt voor het gebruik van het Product van Verwerker vormen de instructies van Verwerkingsverantwoordelijke. In het kader van de beschrijving van het gegevensverwerkingsmandaat in deze overeenkomst behoudt de klant zich het recht voor om uitgebreide instructies te geven over het type, de omvang en de procedure van de gegevensverwerking, die hij door middel van individuele instructies nader kan specificeren. Wijzigingen in het doel van de verwerking en procedurele wijzigingen moeten gezamenlijk worden overeengekomen en gedocumenteerd. Eventuele extra kosten die worden gemaakt, moeten door de Verwerkingsverantwoordelijke worden vergoed op basis van tijd en materieel. Verwerker mag alleen informatie verstrekken aan derden of de betrokkene met voorafgaande schriftelijke toestemming van Verwerkingsverantwoordelijke.
3.2. Mondelinge instructies worden door de Verwerkingsverantwoordelijke onmiddellijk schriftelijk of per e-mail (in tekstvorm) bevestigd. Verwerker zal de gegevens niet voor andere doeleinden gebruiken en is in het bijzonder niet gerechtigd deze aan derden door te geven. Uitgesloten hiervan zijn back-upkopieën, voor zover deze noodzakelijk zijn om een goede gegevensverwerking te waarborgen, evenals gegevens die nodig zijn om te voldoen aan wettelijke verplichtingen uit hoofde van het Unierecht of het recht van een EU-lidstaat, en om te voldoen aan bewaarplichten.
3.3. Verwerker dient Verwerkingsverantwoordelijke onverwijld op de hoogte te stellen conform art. 28 lid 3 sub par. 2 AVG als zij van mening is dat een instructie in strijd is met de voorschriften inzake gegevensbescherming. Verwerker is gerechtigd de uitvoering van de betreffende instructie op te schorten totdat deze door de verantwoordelijke bij Verwerkingsverantwoordelijke is bevestigd of gewijzigd.
3.4. De verwerking van de gegevens van Verwerkingsverantwoordelijke door Xxxxxxxxx vindt plaats binnen de EU/EER. Verwerker is verplicht om Verwerkingsverantwoordelijke voorafgaand aan de aanvang van de verwerking van de gegevens van Verwerkingsverantwoordelijke te informeren over een wettelijke verplichting van Verwerker om de verwerking van de gegevens van Verwerkingsverantwoordelijke op een andere locatie uit te voeren, tenzij een dergelijke kennisgeving bij wet verboden is. Voor de verwerking en/of doorgifte naar een derde land buiten het grondgebied van de EU/EER of naar een internationale organisatie is de voorafgaande schriftelijke toestemming van de Verwerkingsverantwoordelijke vereist. Verwerker is in dat geval tevens verplicht om op de plaats van de gegevensverwerking te zorgen voor een passend niveau van gegevensbescherming in overeenstemming met de toepasselijke wettelijke bepalingen en de interpretaties daarvan door rechtbanken en autoriteiten of - naar keuze van
Verwerkingsverantwoordelijke - om Verwerkingsverantwoordelijke in de gelegenheid te stellen een adequaat niveau van gegevensbescherming te waarborgen, onder meer door het sluiten van of toetreden tot modelcontractbepalingen van de EU, gepubliceerd door de Europese Commissie op 4.6.2021, die hier beschikbaar zijn, evenals aanvullende maatregelen waar nodig.
3.5. Verwerker houdt zich aan de bepalingen van de EU Artificial Intelligence Act, waardoor transparantie, traceerbaarheid en verantwoording worden gewaarborgd bij het gebruik van AI- systemen voor gegevensverwerking. Er worden regelmatig audits uitgevoerd om de naleving van de wet te handhaven.
4. Vertrouwelijkheid
4.1. Verwerker draagt er zorg voor dat het medewerkers die betrokken zijn bij de verwerking van persoonsgegevens en andere personen die voor Verwerker werkzaam zijn, verboden is de persoonsgegevens te verwerken buiten het kader van
de instructie. Voorts draagt Verwerker er zorg voor dat de personen die bevoegd zijn om de persoonsgegevens te verwerken, zich tot geheimhouding hebben verplicht of onderworpen zijn aan een passende wettelijke geheimhoudingsplicht. De geheimhoudingsplicht blijft bestaan na beëindiging van de Overeenkomst.
5. Technisch-organisatorische maatregelen
5.1. Verwerker zal binnen zijn verantwoordelijkheidsgebied de interne organisatie zodanig inrichten dat deze voldoet aan de bijzondere eisen van gegevensbescherming. Hij zal passende technische en organisatorische maatregelen nemen om de persoonsgegevens van de verwerkingsverantwoordelijke te beschermen die voldoen aan de vereisten van artikel 32 van de AVG. In het bijzonder moeten de technische en organisatorische maatregelen zodanig worden genomen dat de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de systemen en diensten in verband met gegevensverwerking permanent worden gewaarborgd. Deze technische en organisatorische maatregelen worden beschreven in bijlage 1 van deze overeenkomst. Verwerkingsverantwoordelijke is op de hoogte van deze technische en organisatorische maatregelen en draagt er zorg voor dat deze een adequaat beschermingsniveau bieden voor de risico's van de te verwerken gegevens.
5.2. De technische en organisatorische maatregelen zijn onderhevig aan technische vooruitgang en verdere ontwikkeling. Het is Verwerker in dit verband toegestaan om alternatieve adequate maatregelen te treffen. Daarbij mag het veiligheidsniveau van de gespecificeerde maatregelen niet worden ondermijnd. Belangrijke wijzigingen moeten worden gedocumenteerd.
5.3. Indien de verwerking waarschijnlijk een hoog risico voor de rechten en vrijheden van natuurlijke personen met zich meebrengt, voert de Verwerker voorafgaand aan de verwerking een gegevensbeschermingseffectbeoordeling uit in overeenstemming met sub.
5.4. De technische en organisatorische maatregelen zijn vermeld in bijlage 1 bij deze Overeenkomst.
6. Subprocessen
6.1. Het inschakelen en/of wijzigen van Subprocessen door Xxxxxxxxx is alleen toegestaan met
toestemming van Verwerkingsverantwoordelijke. Verwerkingsverantwoordelijke gaat als volgt akkoord met het inschakelen van Subprocessen:
6.1.1. Verwerkingsverantwoordelijke gaat hierbij akkoord met de inschakeling van de in Bijlage 2 bij deze Overeenkomst genoemde Subverwerkers.
6.1.2. Verwerkingsverantwoordelijke gaat akkoord met het gebruik of de wijziging van verdere Subverwerkers indien Verwerker Verwerkingsverantwoordelijke dertig (30) dagen voor aanvang van de gegevensverwerking schriftelijk (e-mail voldoende) op de hoogte stelt van het gebruik of de wijziging. Verwerkingsverantwoordelijke kan bezwaar maken tegen het gebruik van een nieuwe Subverwerker of de wijziging. Indien binnen de genoemde termijn geen bezwaar wordt gemaakt, wordt de goedkeuring van het gebruik of de wijziging geacht te zijn verleend. Verwerkingsverantwoordelijke erkent dat de dienst in bepaalde gevallen niet meer kan worden geleverd zonder de inzet van een specifieke Subverwerker. In deze gevallen heeft elke partij het recht om het contract zonder opzegtermijn te beëindigen. Als er een zwaarwegende reden voor gegevensbescherming is voor het bezwaar en als een aanvaardbare oplossing tussen de partijen niet mogelijk is, krijgt de verwerkingsverantwoordelijke een bijzonder recht van beëindiging. Verwerkingsverantwoordelijke zal haar voornemen om de overeenkomst te beëindigen binnen een week na het uitblijven van een aanvaardbare oplossing schriftelijk aan Verwerker kenbaar maken. Verwerker kan het bezwaar binnen twee weken na ontvangst van de intentieverklaring verhelpen. Als het bezwaar niet wordt verholpen, kan de Verwerkingsverantwoordelijke de bijzondere beëindiging afkondigen, die van kracht wordt na ontvangst.
6.2. Verwerker zal de contractuele afspraken met de Subverwerker(s) zodanig vormgeven dat deze dezelfde gegevensbeschermingsverplichtingen bevatten als gedefinieerd in deze Overeenkomst, rekening houdend met de aard en omvang van de verwerking van datatermijnen in het kader van het Onderaannemingscontract. De verbintenis van Subverwerker dient schriftelijk of elektronisch te geschieden.
6.3. Onder uitbestedingsrelaties in de zin van deze bepaling wordt niet verstaan diensten die Verwerker met derden gebruikt als ondersteunende diensten ter ondersteuning van de uitvoering van de Overeenkomst. Deze omvatten bijvoorbeeld telecommunicatiediensten, onderhoud en gebruikersservice, schoonmaakpersoneel, inspecteurs of de verwijdering van gegevensdragers. Verwerker is echter verplicht om passende en wettelijke
contractuele afspraken na te leven en controlemaatregelen te nemen om de bescherming en beveiliging van de gegevens van de Verwerkingsverantwoordelijke te waarborgen, zelfs in het geval van ondersteunende diensten die aan derden worden uitbesteed.
7. Rechten van betrokkenen
7.1. Verwerker zal Verwerkingsverantwoordelijke binnen de grenzen van zijn mogelijkheden ondersteunen bij het voldoen aan de verzoeken en claims van betrokkenen in overeenstemming met hoofdstuk III van de AVG.
7.2. Door Verwerker geleverde Solutions ( CMP) dienen als een geautomatiseerd systeem om toestemming te verkrijgen van de gebruikers van Verwerkingsverantwoordelijke ( eindgebruiker) en binnen het CMP kan de eindgebruiker dienovereenkomstig het recht uitoefenen om toestemming in te trekken. Met betrekking tot andere rechten van betrokkenen, waarvan de uitoefening niet mogelijk is via de functionaliteit van CMP, zal Verwerker alleen informatie verstrekken over de gegevens die namens Verwerkingsverantwoordelijke worden verwerkt, dergelijke gegevens corrigeren of verwijderen of de gegevensverwerking dienovereenkomstig beperken in opdracht van Verwerkingsverantwoordelijke. Voor zover een betrokkene rechtstreeks contact opneemt met Xxxxxxxxx met het oog op informatie, correctie of verwijdering van zijn/haar gegevens alsmede met betrekking tot de beperking van de gegevensverwerking, zal Verwerker dit verzoek onverwijld doorsturen naar Verwerkingsverantwoordelijke.
8. Medewerkingsverplichtingen van de Verwerker
8.1. Verwerker zal Verwerkingsverantwoordelijke bijstaan bij het naleven van de verplichtingen met betrekking tot de beveiliging van persoonsgegevens, meldingsplicht in geval van datalekken, gegevensbeschermingseffectbeoordelingen en voorafgaand overleg zoals uiteengezet in de artikelen 32 tot en met 36 AVG.
8.2. Met betrekking tot mogelijke meldings- en meldingsverplichtingen van de Verwerkingsverantwoordelijke volgens art. 33 en art. 34 AVG geldt het volgende: Verwerker is verplicht (i) Verwerkingsverantwoordelijke onverwijld op de hoogte te stellen van elke schending van de bescherming van persoonsgegevens en (ii) in geval van een dergelijke overtreding de Verwerkingsverantwoordelijke passende ondersteuning te bieden, indien nodig in het kader van haar verplichtingen op grond van art. 33 en 34 AVG (art. 28 lid 3 zin 2 sub f AVG). Kennisgevingen op grond van artikel 33 of 34 van de AVG (kennisgevingen en meldingen van schendingen van de bescherming van persoonsgegevens) voor de Verwerkingsverantwoordelijke mogen door de Verwerker alleen worden uitgevoerd na voorafgaande instructies op grond van artikel 3 van deze Overeenkomst.
8.3. Indien Verwerkingsverantwoordelijke een meldings- of meldingsplicht heeft in geval van een beveiligingsincident, is Verwerker verplicht om Verwerkingsverantwoordelijke op kosten van Verwerkingsverantwoordelijke te ondersteunen . In het geval het beveiligingsincident voortvloeit uit de risicosfeer van Verwerker, is Verwerkingsverantwoordelijke niet gehouden tot vergoeding van kosten.
9. Overige verplichtingen van Verwerker
9.1. Verwerker informeert Verwerkingsverantwoordelijke onmiddellijk over controleacties en maatregelen die door de toezichthoudende autoriteit zijn genomen op grond van art. 58 AVG. Dit geldt ook als een toezichthoudende autoriteit een onderzoek naar de Verwerker uitvoert in overeenstemming met artikel 83 AVG.
9.2. Verwerker draagt er zorg voor dat de controle op de goede uitvoering en uitvoering van de overeenkomst door middel van regelmatige zelfinspecties wordt uitgevoerd, in het bijzonder de naleving en, indien nodig, de noodzakelijke aanpassing van voorschriften en maatregelen voor de uitvoering van de overeenkomst.
10. Recht op informatie en inzage van de verwerkingsverantwoordelijke
10.1. Verwerkingsverantwoordelijke heeft het recht om de op grond van artikel 28 lid 3 sub h AVG vereiste informatie op te vragen om aan te tonen dat Verwerker aan de overeengekomen verplichtingen heeft voldaan en om in overleg met Verwerker inspecties uit te voeren of te laten uitvoeren door in individuele gevallen aan te wijzen auditors.
10.2. Partijen komen overeen dat Verwerker gerechtigd is om overtuigende documentatie aan Verwerkingsverantwoordelijke te overleggen ter staving van de naleving van zijn verplichtingen en uitvoering van de technische en organisatorische
Maatregelen. Overtuigende documentatie kan worden verstrekt door het overleggen van een schriftelijk rapport waaruit blijkt dat de Verwerker voldoet aan de beveiligingsvoorschriften.
10.3. Dit doet geen afbreuk aan het recht van de Verwerkingsverantwoordelijke om bezoeken ter plaatse uit te voeren. Verwerkingsverantwoordelijke zal echter nagaan of een inspectie ter plaatse nog steeds nodig is na het indienen van zinvolle documentatie, in het bijzonder rekening houdend met het behoud van de reguliere bedrijfsvoering van Verwerker.
10.4. Verwerkingsverantwoordelijke heeft het recht zich te vergewissen van de naleving van deze Overeenkomst door Xxxxxxxxx in zijn bedrijfsvoering door middel van steekproefsgewijze controles, die in de regel tijdig bekend moeten worden gemaakt. Verwerker verplicht zich om Verwerkingsverantwoordelijke op verzoek de informatie te verstrekken die nodig is om te voldoen aan zijn verplichting tot het uitvoeren van inspecties en om de relevante documentatie ter beschikking te stellen.
11. Verwijdering van gegevens en teruggave van gegevensdragers
11.1. In geval van beëindiging van de Overeenkomst zal Verwerker, naar keuze en verzoek van Verwerkingsverantwoordelijke, onverwijld, uiterlijk binnen 30 dagen, alle documenten, verwerkings- en gebruiksresultaten en gegevensbestanden die verband houden met de contractuele relatie die in het kader van de uitvoering van de Overeenkomst in het bezit van Verwerker zijn gekomen, aan Verwerkingsverantwoordelijke overhandigen of na voorafgaande toestemming vernietigen in overeenstemming met de wetgeving inzake gegevensbescherming. Hetzelfde geldt voor test- en uitwerpmateriaal. Het protocol van de schrapping wordt op verzoek overgelegd. Bij wijze van uitzondering geldt voor door Verwerker gemaakte back-ups een verwijderings- of afleveringstermijn van maximaal 6 maanden.
11.2. Documentatie die dient als bewijs van de ordelijke en adequate gegevensverwerking wordt door Verwerker bewaard in overeenstemming met de respectievelijke bewaartermijnen na het einde van de overeenkomst. Hij kan ze aan het einde van het contract aan de Verwerkingsverantwoordelijke overhandigen om hem vrij te pleiten.
12. Aansprakelijkheid
12.1. De aansprakelijkheid van partijen op grond van deze Overeenkomst wordt intern beheerst door de aansprakelijkheidsbepalingen in de Algemene Voorwaarden van Verwerker, tenzij anders vermeld in de dienstbeschrijving of in een afzonderlijke overeenkomst tussen partijen. Voor de externe wettelijke aansprakelijkheid gelden de voorschriften volgens art. 82 AVG.
13. Allerlei
13.1. Wijzigingen en aanvullingen op deze Overeenkomst en alle onderdelen ervan moeten worden aangebracht in een schriftelijke overeenkomst, die ook in elektronische vorm (tekstvorm) kan worden gedaan, en de uitdrukkelijke vermelding dat het een wijziging of aanvulling vormt op deze algemene voorwaarden. Dit geldt ook voor een eventuele ontheffing van deze schriftelijkheidsvereiste.
13.2. De bepalingen van deze Overeenkomst blijven van kracht na beëindiging van de Hoofdovereenkomst en blijven van kracht tot het moment dat alle persoonsgegevens van Verwerkingsverantwoordelijke volledig zijn vernietigd of aan Verwerkingsverantwoordelijke zijn teruggegeven.
13.3. Voor het overige zijn de bepalingen van de Hoofdovereenkomst / de overeenkomst op dezelfde wijze van toepassing.
13.4. Indien een afzonderlijk deel van deze Overeenkomst ongeldig is, heeft dit geen invloed op de geldigheid van de rest van de Overeenkomst.
Bijlage 1 - Technisch-organisatorische maatregelen/veiligheidsconcept van de Sky Dust Group A/S (Cookiebot)
Technische en organisatorische maatregelen (TOM)
in de zin van art. 28 lid 3 sub c 32 AVG
Sky Dust Group B.V., c.s., Xxxxxxxxxx 00 – 27, 0000XX Xxxxxx (hierna "Sky Dust Group") verwerkt persoonsgegevens ten behoeve van haar klanten. Sky Dust Group is zich bewust van haar verantwoordelijkheid als verwerker. Dienovereenkomstig zijn technische en organisatorische maatregelen genomen om de risico's en potentiële gevaren die zich voordoen in verband met de verwerking van persoonsgegevens aanzienlijk te verminderen. Hoe een niveau van beveiliging en gegevensbescherming dat voldoet aan de AVG wordt bereikt, is te vinden in de volgende technische en organisatorische maatregelen. Deze worden geacht te zijn overeengekomen met de verwerkingsverantwoordelijke.
Inhoudsopgave
1. Maatregelen om de vertrouwelijkheid te waarborgen (art. 32 lid 1 sub b AVG)
2. Maatregelen om de integriteit te waarborgen (art. 32 lid 1 sub b AVG)
3. Maatregelen om veerkracht en beschikbaarheid te waarborgen (art. 32 lid 1 sub b AVG)
4. Maatregelen om de beschikbaarheid te herstellen (art. 32 lid 1 sub c AVG)
5. Maatregelen voor de pseudonimisering van persoonsgegevens (art. 32 lid 1 sub a AVG)
6. Procedures voor de regelmatige toetsing, beoordeling en evaluatie van de doeltreffendheid van de technische en organisatorische maatregelen (art. 32 lid 1 sub d AVG)
1. Waarborgen van de vertrouwelijkheid (art. 32 lid 1 sub b AVG)
Sky Dust Group c.s. neemt maatregelen om aan de geheimhoudingsplicht te voldoen. Dit omvat onder meer maatregelen voor fysieke toegang, elektronische toegangscontrole en interne toegangscontrole. De technische en organisatorische maatregelen die in dit verband worden genomen, zijn bedoeld om een passende beveiliging van persoonsgegevens te waarborgen, met inbegrip van bescherming tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging.
Fysieke toegangscontrole
● Persoonsgegevens die worden verwerkt, worden opgeslagen in overeenstemming met de industriestandaarden.
● Gegevens worden opgeslagen en verwerkt in datacenters van Microsoft Azure en Sky Dust Group heeft geen fysieke toegang tot deze gegevens.
○ Toegang tot Microsoft Azure-infrastructuur - meer informatie over maatregelen vindt u hier: xxxxx://xxxx.xxxxxxxxx.xxx/xx-xx/xxxxxxxxxx/xxxxxxxxx/xxxxxxxxx- datacenter-security
● Alle systemen en apparaten worden regelmatig geüpdatet (software-update).
● Alle systeemcontroles zijn geautomatiseerd, maar nog steeds periodiek handmatig gecontroleerd op kwetsbaarheden.
● Er is geen kritieke IT-infrastructuur (serversystemen) op het terrein van Sky Dust Group. Niettemin wordt de fysieke toegang tot kantoorruimte zoveel mogelijk beschermd met beveiligingsmaatregelen. Deze omvatten:
○ Buiten de normale werkuren is de toegang tot het Coworking-gebouw en het kantoor alleen mogelijk voor werknemers en dienstverleners (bijv. schoonmaak) die toegang hebben met een sleutel en een code. Sommige medewerkers hebben een eigen sleutel van het kantoor toegewezen gekregen - bovendien is er één sleutel voor elk van de kantoren, die is afgesloten in een sleutelkastje naast de ingang van de kantoren. Tijdens normale werkuren is het kantoor niet afgesloten als werknemers op kantoor zijn en de toegang kunnen controleren.
○ Het gebruik van bewakingscamera's (de Coworking-gebouwen waar we gevestigd zijn, hebben bewakingscamera's in - bijv. de ingangen).
Elektronische toegangscontrole
Sky Dust Group definieert twee benaderingen om toegang te krijgen tot gegevens:
● Toegang tot gegevens met de intentie om te verwerken
● Toegang tot systemen met de bedoeling om de systeeminfrastructuur te wijzigen of gebruikt in softwaretools
als intelligente software voor voorspellende uitkomsten.
Toegang tot gegevens met de intentie om te verwerken
● De toegang tot gegevens werkt binnen de volgende beperkingen:
o Alleen geïdentificeerde bronnen hebben toegang tot gegevens en toegang is alleen via versleutelde middelen (HTTPS, TLS/SSL).
o Anonieme toegang tot gegevens is niet toegestaan en wordt actief verboden.
o Een centrale directorybron biedt de identiteit van gebruikers en systemen. IT opereert binnen deze kernprincipes:
▪ Gebruikersaccounts moeten aan het volgende voldoen;
● Een combinatie moet gebruikersnaam en wachtwoord toegang verlenen
● Wachtwoorden moeten sterk zijn, zoals gedefinieerd door industriestandaarden
● Accounttoegang wordt geverifieerd met multi-factor (bijv. twee- factor) authenticatie, in overeenstemming met de industriestandaarden
● Wachtwoorden worden onversleuteld verzonden tijdens het aanmaken van een account. Een gebruiker wordt gedwongen om het oorspronkelijke wachtwoord te wijzigen bij het eerste gebruik
▪ Systeemaccounts voldoen aan het volgende:
● Beheerde accounts hebben de voorkeur
● Waar beheerde systeemaccounts niet mogelijk zijn, slaat de infrastructuur accountinformatie op een zeer veilige manier op met behulp van sterke encryptie en toegangscontrole
▪ Een benadering met minimale privileges definieert toegangsrechten en verleent aan gebruikers en systemen.
▪ Inactieve gebruikers en systemen worden regelmatig uitgeschakeld of verwijderd met vooraf gedefinieerde intervallen.
▪ Audittrails bij het maken van gebruikers worden actief opgeslagen en gecontroleerd.
▪ Het beheer van het repertorium vindt plaats binnen de volgende beperkingen:
● Slechts een select aantal accounts heeft beheerderstoegang tot de directory.
● De beheerderstoegang wordt gecontroleerd.
● Beheerderstoegang wordt verleend op basis van tijdsbeperkingen.
o Automatische vergrendeling van klanten (bijv. werkplekken van medewerkers) na een bepaalde periode zonder gebruikersactiviteit (ook met een wachtwoord beveiligde screensaver of automatische pauze).
Toegang tot systemen met de bedoeling om de cloudinfrastructuur te veranderen:
● Toegang tot de onderliggende infrastructuur die de systemen van Sky Dust Group compromitteert, werkt binnen de volgende beperkingen:
o De toegang tot de infrastructuur van het productiesysteem wordt gecontroleerd.
o Toegang tot de infrastructuur van het productiesysteem wordt verleend op basis van tijdsdruk.
o Alleen break-glass-accounts hebben permanente administratieve toegang tot de infrastructuur van het productiesysteem.
o Tijdelijke administratieve toegang tot de infrastructuur van het productiesysteem wordt gecontroleerd.
o Tijdelijke administratieve toegang tot de infrastructuur van het productiesysteem vereist acceptatie door meerdere vertrouwde werknemers.
Interne toegangscontrole
● Toegang is in overeenstemming met een autorisatieconcept en cryptoconcept.
● Gebruik van een beheersysteem voor gebruikers en gebruikersgroepen en beheer van toegangsrechten.
● SSH en RDP worden waar mogelijk gedeactiveerd.
● Trapsgewijze autorisaties worden toegekend afhankelijk van het werkterrein van de werknemer. Hierbij wordt altijd het minimumprincipe gehanteerd.
Verdere maatregelen
● Gegevens in rust worden opgeslagen met behulp van industriestandaard versleutelingsschema's.
● Gegevens die worden getransporteerd, buiten de datacenters, worden versleuteld met behulp van industriestandaard versleutelingsschema's.
● Elk systeem in zijn respectievelijke fase wordt geëxploiteerd op zijn eigen systeem voor zijn respectieve functie (scheiding van ontwikkelings-, test- en productiesystemen, scheiding van functies).
● Als het betreffende doel van de gegevensverwerking ophoudt te bestaan, worden de gegevens gewist. Dit gebeurt in overeenstemming met het beginsel van gegevensminimalisatie in artikel 5, lid 1, letter c van de AVG
2. Waarborgen van integriteit (art. 32 lid 1 sub b AVG)
Er worden maatregelen genomen die voldoen aan de eis van integriteit. Dit omvat onder meer maatregelen om de input te beheersen, maar ook maatregelen die in het algemeen bijdragen aan de bescherming tegen ongeoorloofde of onrechtmatige verwerking, vernietiging of onopzettelijke beschadiging.
Gegevensbeheersystemen (DBMS) slaan persoonsgegevens in rust op. Deze impliceren
integriteitscontroles op het niveau van de fysieke opslag.
De volgende maatregelen worden genomen om de integriteit bij de verwerking van gegevens te waarborgen:
● Directe toegang tot het DBMS is alleen toegestaan vanaf een beperkt aantal IP-adressen.
o Gebruikers hebben toegang tot DBMS-systemen via beperkte VPN-tunneling - Anonieme toegang is verboden.
o Systemen hebben toegang tot de DBMS-systemen via netwerkzones met beperkte toegang - Anonieme toegang is verboden
o De toegang wordt gecontroleerd en gemonitord.
● Gegevensinvoer wordt gevalideerd met behulp van de volgende maatregelen:
o Beperkingen in de onderliggende databasestructuren zorgen voor integriteit op relationeel niveau.
o Invoervalidatie in de softwaresystemen zorgt voor integriteit op verwerkingsniveau.
o Hoge normen bij het opstellen van contracten voor de verwerking van persoonsgegevens met onderaannemers, die bepalingen bevatten over controlemogelijkheden.
o Gebruik van logging- en logevaluatiesystemen om gebruikersinvoer te documenteren. Als er aanpassingen worden gedaan aan systemen die persoonsgegevens verwerken, wordt dit geregistreerd en naar behoefte bewaard (bijvoorbeeld in de vorm van logbestanden)
o Informatie inwinnen bij dienstverleners over de maatregelen die zijn genomen om de vereisten inzake gegevensbescherming te implementeren.
● De gegevensuitvoer wordt gevalideerd met behulp van de volgende maatregelen:
o Toegangsbeperkingen in de softwaresystemen die de gegevens verwerken – alleen geautoriseerde gebruikers en systemen hebben toegang tot persoonlijke gegevens.
o Systemen en gebruikers werken volgens de minst geprivilegieerde strategie.
3. Waarborgen van de beschikbaarheid (art. 32 lid 1 sub b AVG)
Maatregelen om ervoor te zorgen dat persoonsgegevens worden beschermd tegen onopzettelijke vernietiging of verlies.
Specifieke maatregelen voor onze productieomgeving (Consent Management Platform) en aanverwante systemen
Sky Dust Group exploiteert geen eigen serverbronnen in haar eigen datacenters. Voor het productiesysteem (CMP) en gerelateerde systemen worden Microsoft Azure-resources (Microsoft Ireland Operations Ltd, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18 D18) gebruikt.
De volgende maatregelen worden genomen om de beschikbaarheid van systemen en gegevens te waarborgen:
● Alle systemen en gegevens bevinden zich in Microsoft Azure-datacenters en zijn afhankelijk van hun beschikbaarheid zoals beschreven hij xxxxx://xxxx.xxxxxxxxx.xxx/xx-xx/xxxxx/xxxxxxxx/xxxxxxxxxxxx/xxxxxxxxxxxxxx-xxxxxxxxxxxx.
● Gegevens worden opgeslagen in geografisch redundante systemen.
● Er wordt regelmatig een back-up gemaakt van onze productieve omgeving of er worden procedures voor het spiegelen van gegevens gebruikt.
● De systemen worden beschermd door een ononderbroken stroomvoorziening (UPS).
● Er wordt gebruik gemaakt van een meerlaagse virusbeschermings- en firewallarchitectuur.
● Gegevensbestanden die voor verschillende doeleinden worden verzameld, worden apart opgeslagen.
● Regelmatig patchbeheer.
● Taakverdeling.
● Gegevensopslag wordt toegevoegd als onderdeel van dynamische processen.
● Penetratie- en belastingstests worden regelmatig uitgevoerd.
● De belastingslimiet voor elk gegevensverwerkend systeem wordt voorafgaand aan de gegevensverwerking boven het noodzakelijke minimum vastgesteld.
● Voor specifieke Sky Dust Group-systemen worden de volgende maatregelen geïmplementeerd:
o De gezondheid en activiteiten van systemen worden bewaakt door zowel automatische subsystemen als menselijke medewerkers.
o Intrusion Detection Systems (IDS) worden gebruikt op de netwerktoegangseindpunten naar de kritieke systemen.
o De toegang tot kritieke systemen is load balanced en maakt gebruik van automatische schaalbaarheid om aan de toegenomen eisen te voldoen.
o Content Delivery Networks (CDN) worden ingezet om de hoge beschikbaarheid van kritieke systemen te garanderen.
Meer informatie is te vinden op:
xxxxx://xxx.xxxxxxxxx.xxx/xxxxxxxxx/xxxx/xxxx/Xxxxxxxxx-Xxxxxxxx-xxx-Xxxxxxxx-Xxxx-Xxxxxxxxxx- Addendum-D PA - Bijlage A
Verdere maatregelen
Als bedrijven de opdracht krijgen om persoonsgegevens te verwerken, is dit altijd onderworpen aan de voorwaarde van een bestaand contract voor de verwerking van bestellingen dat voldoet aan de vereisten van artikel 28 van de AVG. Daartoe worden overeenkomstige voorbeeldcontracten verstrekt. Deze zorgen er ook voor dat Sky Dust Group in een vroeg stadium op de hoogte wordt gebracht van mogelijke bedreigingen voor de beschikbaarheid.
● Gebruik van virussoftware op computers van werknemers.
● De opslag van gegevens op computers van werknemers wordt zoveel mogelijk beperkt. Gegevens worden opgeslagen op beveiligde cloudsystemen.
● De gebruikte standaardsoftware wordt onderworpen aan een voorafgaande controle en kan alleen worden verkregen uit een beperkt aantal beveiligde bronnen.
● Er zijn noodplannen met concrete instructies voor actie opgesteld voor inbreuken op de beveiliging en gegevensbescherming.
4. Waarborging van de verhaalbaarheid (art. 32 lid 1 sub b AVG)
In het geval van een fysiek of technisch incident zijn er maatregelen getroffen om een snelle beschikbaarheid te garanderen en, als onderdeel van een actieplan, verder te gaan dan alleen gegevensback-up. Om de lopende operaties in deze rampscenario's te kunnen herstellen, wordt het volgende ondernomen:
Specifieke maatregelen voor onze productieomgeving (CMP) en aanverwante systemen
● Dagelijkse back-up van alle gegevens met betrekking tot deze verwerking door de hostingprovider (Microsoft Ireland Operations Ltd, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18 D18).
● Afsluiten van service level agreements (SLA's) met service providers.
● Back-upprocedures op meerdere niveaus.
● Redundante opslag (clusteropstellingen / geo-redundantie) van gegevens (bijv. mirroring van de harde schijf).
● Alarmbewaking.
Meer informatie:
xxxxx://xxxx.xxxxxxxxx.xxx/xx-xx/xxxxxxxxxx/xxxxxxxxx/xxxxxxxxx-xxxxxxx-xxxxxxxx
5. Maatregelen voor pseudonimisering van persoonsgegevens
Pseudonimisering is het verwerken van persoonsgegevens op een zodanige manier dat de persoonsgegevens niet langer kunnen worden gekoppeld aan een specifieke betrokkene zonder het gebruik van aanvullende informatie, op voorwaarde dat dergelijke aanvullende informatie apart wordt bewaard en onderworpen is aan technische en organisatorische maatregelen om ervoor te zorgen dat de persoonsgegevens niet worden gekoppeld aan een geïdentificeerde of identificeerbare natuurlijke persoon. Hiervoor worden de volgende maatregelen genomen:
● Zorg voor een strikte privacy-by-design-aanpak.
● Stel een pseudonimiseringsconcept op (inclusief definitie van de te vervangen gegevens; pseudonimiseringsregels, beschrijving van de procedure).
● Er worden geen persoonlijke gegevens opgeslagen als onderdeel van het toestemmingslogboek of ergens anders.
● De ID van eengebruiker in het toestemmingslogboek wordt niet hergebruikt op meerdere sites en het is niet mogelijk voor Sky Dust Group om een gebruiker op meerdere sites te volgen.
6. Procedures voor de regelmatige toetsing, beoordeling en evaluatie van de doeltreffendheid van technische en organisatorische maatregelen
Een regelmatige evaluatie, beoordeling en evaluatie van de doeltreffendheid van de technische en organisatorische maatregelen om de veilige verwerking van persoonsgegevens te waarborgen, wordt uitgevoerd door middel van de volgende maatregelen:
Beheersysteem voor gegevensbescherming
Alle procedures, eventuele verzoeken van autoriteiten, contracten en gidsen worden bewaard voor documentatie- en transparantiedoeleinden. Wijzigingen worden ook gedocumenteerd.
Verwerking van gegevens in opdracht van Sky Dust Group of door onderaannemers
Aan de inbedrijfstelling gaat altijd een uitgebreid selectieproces en een PreCheck vooraf. We controleren of onze hier beschreven hoge standaarden ook worden nageleefd door potentiële verwerkers. Pas als dit is gebeurd en er een verwerkersovereenkomst is gesloten die voldoet aan de vereisten van artikel 28 AVG, kan er sprake zijn van verwerking. Naast de PreChecks, voeren we ook terugkerende audits uit om het vereiste niveau blijvend te handhaven. De overeengekomen diensten worden specifiek vastgelegd in de orderverwerkingscontracten om de omvang van de order duidelijk af te bakenen.
Opleiding en bewustmaking van de medewerkers
Bij aanvang van hun dienstverband bij Sky Dust Group ontvangen alle medewerkers alle belangrijke informatie over het onderwerp gegevensbescherming en informatiebeveiliging en zijn ze verplicht tot geheimhouding. Met selectieve informatieverstrekking (artikelen, cases, etc.) zorgen we voor een constant hoog niveau van bewustzijn van de medewerkers.
Up-to-date van het beveiligingsconcept
Het beveiligingsconcept wordt regelmatig herzien en waar nodig aangepast.
Verantwoordelijkheden
De verantwoordelijkheid voor de uitvoering van de hier beschreven maatregelen en processen ligt bij de verantwoordelijke afdelingen of specialismen. Regelmatige monitoring wordt deels uitgevoerd door de juridische afdeling en de IT-afdeling intern in Sky Dust Group.
Verdere maatregelen
● Beoordelen van informatie over nieuwe kwetsbaarheden en andere risicofactoren, met inbegrip van herziening van de risicoanalyse en -beoordeling, indien nodig.
Contactgegevens van de interne coördinatie gegevensbescherming: Juridische Afdeling, Xxxxxxxxxx 00 – 27, 8017JD, Zwolle, Nederland
Bijlage 2 bij de Verwerkersovereenkomst
Geautoriseerde subverwerker
# | Naam | Werkmaatschap pij | Adres van de onderaanne mer | Plaats van gegevensverwer king | Toepassingsgeb ied onder het contract | Betrokkene |
1 | Microsoft Azure | Microsoft Ireland Operations Ltd, Dublin | One Microsoft Place, South County Business Park, Leopardstown, Dublin 18 D18 | Databases worden gehost op servers in EU- lidstaten, met name Ierland, met een hot fail- | Hosting van gegevens | Eindgebruiker van de verwerkingsver antwoordelijke |
over- | ||||||
mechanisme | ||||||
naar het | ||||||
datacenter van | ||||||
Microsoft in | ||||||
Amsterdam, | ||||||
Nederland | ||||||
2 | UQualio A/s | Uqualio A/s | Egedalsv ej 9, DK- | n.v.t | Webleerplatf orm hosten | Algemene informatie Sky Dust |
Bijlage 3 - Beschrijving van de dienst
Sky Dust Group biedt een Consent Management Platform (CMP) als Software as a Service (SaaS) oplossing. Deze oplossing wordt gebruikt om toestemmingen te verzamelen en te documenteren die zijn verleend door de gebruikers van de Verwerkingsverantwoordelijke. Door gebruik te maken van het CMP worden elementen op de website van de Verwerkingsverantwoordelijke, zoals scripts, afbeeldingen, iFrames enz., geblokkeerd en gedeblokkeerd volgens de toestemming van de gebruiker, wanneer de website wordt geopend. Elementen waarvoor toestemming vereist is, worden pas gedeblokkeerd nadat de gebruiker toestemming heeft gegeven.
Elementen op de website van de Verwerkingsverantwoordelijke waarvoor toestemming vereist is, worden door Sky Dust Group op regelmatige basis automatisch gedetecteerd en gecategoriseerd volgens de vereiste toestemmingscategorieën, door middel van dagelijkse of maandelijkse scans van de website.
Het is mogelijk voor gebruikers om hun verleende toestemmingscategorieën in te trekken of te wijzigen (via een privacytrigger of link). Bij het gebruik van het CMP worden de volgende gegevens van de gebruikers van de Verwerkingsverantwoordelijke verwerkt:
● Toestemming Gegevens
○ Toestemmings-ID - Een unieke ID die vereist is zodat een gebruiker deze kan gebruiken om de Verwerkingsverantwoordelijke om een bewijs van toestemming te vragen
○ Toestemmingsstatus - 1) Verleende toestemmingscategorieën - vereist om het CMP-script toe te staan trackingelementen op de website van de Verwerkingsverantwoordelijke te blokkeren en te deblokkeren volgens de keuze van de gebruiker en 2) Versie - vereist om bij te houden aan welke versie van het toestemmings- en privacybeleid van de Verwerkingsverantwoordelijke de gebruiker toestemming heeft verleend, zodat de Verwerkingsverantwoordelijke een gebruiker kan vragen om de toestemming te verlengen in geval van beleidsupdates
○ Datum en tijd van toestemming
● Bezochte URL: vereist om te documenteren waar een gebruiker toestemming heeft gegeven.
● Gebruikerstaal - vereist om de toestemmingsbanner weer te geven in de taal die door de verwerkingsverantwoordelijke is gedefinieerd
● User agent (browserleverancier en -versie, besturingssysteem) - vereist om verkeer te scheiden van echte en synthetische gebruikers
● IP-adres - vereist om basisroutering van berichten op internet mogelijk te maken, om de geografische locatie van de gebruiker te bepalen en om echte en synthetisch gegenereerde toestemmingen te scheiden
● Geolocatie - vereist om ervoor te zorgen dat de getoonde toestemmingsbanners overeenkomen met de geografische locatie en het rechtsgebied van de gebruiker
Sky Dust Group slaat de toestemmingsgegevens, zoals hierboven beschreven, op in een cookie in de browser van de gebruiker. De gegevens worden gebruikt door het Sky Dust Group CMP-script om de juiste functionaliteit van het CMP-script te garanderen. Bovendien zijn de gegevens in de cookie beschikbaar voor de gebruiker, zodat de gebruiker de mogelijkheid heeft om de verwerkingsverantwoordelijke om een bewijs van toestemming te vragen, gegeven de toestemmings-ID in de cookie.
De toestemmingscookie wordt uitsluitend gebruikt op de site waarvoor de gebruiker toestemming heeft gegeven en wordt nooit gelezen of doorgegeven aan sites van derden.
Sky Dust Group slaat een logboek van verleende toestemmingen op in een database voor de Verwerkingsverantwoordelijke om te gebruiken, wanneer hem wordt gevraagd om een bewijs of toestemming te leveren of in het algemeen om de registratie van toestemmingen te bewijzen.