Specifieke Voorwaarden en Condities voor de verwerking van Persoonsgegevens door Transics
Specifieke Voorwaarden en Condities voor de verwerking van Persoonsgegevens door Transics
1. Inleiding
Deze Specifieke Voorwaarden en Condities zijn van toepassing op de diensten geleverd door Transics International BV / SRL, met maatschappelijke zetel te Xxx Xxxxxx 00, 0000 Xxxxx, Xxxxxx, BTW BE 0881.300.923 RPR/RPM Gent, of een van haar entiteiten (hierna genoemd “Transics” of de “Verwerker”) aan de Klant van Transics die gebruik maakt van de Transics-diensten (hierna genoemd de “Klant” of de “Verwerkingsverantwoordelijke”).
De Verwerkingsverantwoordelijke en de Verwerker worden hierna gezamenlijk de “Partijen” en individueel de “Partij” genoemd.
Overwegende dat Transics fleetmanagement- en andere gerelateerde diensten (de “Diensten”) aanbiedt aan de Klant, zoals beschreven in de Dienstverleningsovereenkomst en/of werkorders (hierna de “Dienstverleningsovereenkomst”), aangegaan tussen Transics en de Klant.
Overwegende dat, voor het verstrekken van de Diensten, Persoonsgegevens moeten worden verwerkt en gedeeld tussen de respectievelijke Partijen, bepalen deze Specifieke Voorwaarden en Condities waaronder ze Persoonsgegevens van de andere Partij kunnen ontvangen, inzien en verder verwerken als, en voor zover, Transics Persoonsgegevens verwerkt als Verwerker voor rekening van de Klant met betrekking tot de door Transics aan de Klant verstrekte Diensten in het kader van de Dienstverleningsovereenkomst.
Deze Specifieke Voorwaarden en Condities voor de verwerking van Persoonsgegevens zijn van toepassing voor zover er tussen de partijen geen aparte Gegevensverwerkingsovereenkomst (DPA) gesloten is. Dergelijke ondergetekende DPA heeft voorrang op eventuele tegenstrijdige voorwaarden in deze Specifieke Voorwaarden en Condities.
2. Definities
1. De termen gedefinieerd in de Dienstverleningsovereenkomst tussen de Verwerker en de Verwerkingsverantwoordelijke zullen dezelfde betekenis hebben wanneer ze in deze Specifieke Voorwaarden en Condities voor Gegevensverwerking (“Specifieke Voorwaarden”) worden gebruikt.
2. In het kader van deze Specifieke Voorwaarden hebben de termen “Persoonsgegevens”, “Bijzondere categorieën van gegevens”, “Verwerken / Verwerking”, “Verwerkingsverantwoordelijke” (of “Gegevensverwerkingsverantwoordelijke”), “Verwerker” (of “Gegevensverwerker”), “Subverwerker”, “Betrokkene” en “Inbreuk op de persoonsgegevens” de betekenis zoals beschreven in de toepasselijke wetten op de gegevensbescherming.
3. “Wetten op de gegevensbescherming” betekent de Algemene verordening gegevensbescherming 2016/679 (“GDPR”) en de aanvullende nationale wettelijke bepalingen in de EER-lidstaten, de Europese richtlijn 2002/58/EG van 12 juli 2002 betreffende de verwerking van Persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie, zoals omgezet in de nationale wetgeving van de EER-lidstaten, zoals van tijd tot tijd eventueel gewijzigd, ingetrokken, vervangen of aangevuld, evenals alle andere gegevensbeschermings- en privacywetten of -reglementeringen inzake Persoonsgegevens waaraan de Partijen onderworpen zijn.
3. Voorwerp en duur
Deze Specifieke Voorwaarden zijn van toepassing op de verzameling, het gebruik, het delen en de verdere verwerking van Persoonsgegevens door Transics als, en voor zover, Transics Persoonsgegevens verwerkt als Verwerker voor rekening van de Klant met betrekking tot de door Transics aan de Klant verstrekte diensten in het kader van de Dienstverleningsovereenkomst.
Deze Specifieke Voorwaarden vervangen, zonder enige eerdere overeenkomsten tussen de Partijen in hun aspecten met betrekking tot de verwerking van Persoonsgegevens te annuleren, met uitzondering van enige specifieke ondergetekende Gegevensverwerkingsovereenkomst tussen de Partijen.
Deze Specifieke Voorwaarden maken integraal deel uit van de Dienstverleningsovereenkomst tussen Transics en de Klant. Deze Specifieke Voorwaarden worden geacht in werking te
treden vanaf de datum van ondertekening van het Dienstverleningscontract en blijven volledig van kracht tot de beëindiging van de Dienstverleningsovereenkomst.
Deze Specifieke Voorwaarden kunnen van tijd tot tijd gewijzigd worden. De laatste toepasselijke versie zal altijd beschikbaar zijn op de Transics-website: xxxxx://xxx.xx.xxx/xx/xxxxx/xxx- terms-conditions.
4. Omvang
De Partijen zullen, elk in hun respectievelijke hoedanigheid, de Persoonsgegevens verwerken in overeenstemming met de toepasselijke wet op de gegevensbescherming, de toepasselijke richtlijn betreffende privacy en elektronische communicatie, GDPR van 25 mei 2018, en elke andere toepasselijke reglementering waaraan de Verwerkingsverantwoordelijke en/of de Verwerker onderworpen zijn.
Gegevenstype
De Verwerkingsverantwoordelijke bepaalt dat een van de volgende gegevenscategorieën door de Verwerker zullen worden verzameld, verwerkt en gebruikt uit hoofde van deze Specifieke Voorwaarden.
Persoonsgegevens die door de Klant of zijn eindgebruikers worden ingezonden, opgeslagen, verzonden of ontvangen via de Fleetmanagementoplossing, kunnen omvatten:
● Naam, titel, rijbewijsnummer, kwalificatie, data van in-/uitdiensttreding, vervaldatum medisch attest
● Professionele, commerciële of zakelijke adressen
● Geboortedatum / -jaar
● Telecommunicatiegegevens (bv. verbinding, locatie, gebruik en verkeersgegevens)
● Telefoonnummer, gsm-nummer
● E-mailadres
● Tachogegevens (rijden, rusten, arbeidsuren)
● Berichten
● IP-adressen
● Eco-gegevens
● Planning- en besturingsgegevens
● Precieze locatiegegevens (gps-posities)
● Nummerplaat van vrachtwagen en oplegger
● Toestel- en servicegerelateerde diagnostische gegevens
● Foto
● Geslacht
● Rol (bestuurder / bezoeker / dispatcher / beheerder)
● Gebruikerstaal bestuurder
● Tachokaart: ID
● Tachokaart: Land van uitgifte
● Activiteiten (rijden, stilstand, rust, ...)
● Alarmen
● Datum van laatste tacho-uitlezing
● ECO-prestaties / -trends: stationair draaien, hoog toerental, overmatige snelheid, laten uitlopen, hard remmen, cruisecontrol, gemiddeld brandstofverbruik
● Integratie trackinggegevens voor oplegger (Thermo King): zonetemperatuur, deurstatus, bandenspanning, alarmen
● FMS-gegevens van het voertuig / Gebruiksgegevens van het voertuig, zoals: afgelegde afstand, tijdstip van de dag, rijduur, voertuigsnelheid, motortoerental, motorbelasting, motortemperatuur, rem-, bocht- en acceleratiemanoeuvres, reisduur en -afstand, accuspanning
● Gebruiksgegevens van de oplegger, zoals: afgelegde afstand, tijdstip van de dag, rijduur, snelheid van de oplegger, lading van de oplegger, remmen (EBS) / afstand, TPMS, EBPMS, GNSS
● Video-opname (activering door de Klant nodig)
Categorieën van Betrokkenen
De Verwerkingsverantwoordelijke heeft de volgende categorieën van Betrokkenen bepaald van wie de Verwerker de
hierboven gedefinieerde Persoonsgegevens zal verzamelen, verwerken en gebruiken uit hoofde van deze Gegevensverwerkingsovereenkomst:
● De werknemers van de Klant;
● De contractanten van de Klant;
● Het personeel van de klanten, leveranciers en onderaannemers van de Klant;
● Elke andere persoon die gegevens verstuurt via de Fleetmanagementoplossing, inclusief personen die met de eindgebruikers van de Klant samenwerken en communiceren.
Dataretentie
De Verwerker mag de Persoonsgegevens niet langer bewaren dan noodzakelijk is voor de doeleinden waarvoor hij de Persoonsgegevens via Transics’ FMS verwerkt in een vorm die de identificatie van de Betrokkenen mogelijk maakt, tenzij anders vereist of toegestaan door de wetten op de gegevensbescherming of andere toepasselijke reglementeringen. De Klant geeft uitdrukkelijke instructie aan Transics om de retentieperiode vast te zetten op 1 jaar, om zodoende de beschikbaarheid van alle data voor de Klant ten allen tijde te kunnen garanderen. Na deze periode heeft Transics de mogelijkheid om deze Persoonsgegevens te verwijderen of niet langer meer toegankelijk te maken. De Klant dient voor het verstrijken van deze termijn alle nodige data te exporteren via de Transics-tooling. Transics is niet verplicht kopieën van Persoonsgegevens te verwijderen, die bewaard zijn in geautomatiseerde back-upkopieën gegenereerd door Transics, en maximaal zullen bewaard worden om de continuïteit te garanderen, maar zullen verwijderd worden binnen 14 maanden vanaf hun creatie. Dergelijke reservekopieën blijven onderworpen aan deze Specifieke Voorwaarden totdat ze vernietigd zijn. Onverminderd het recht van de Verwerkingsverantwoordelijke zoals beschreven in artikel 5.i hieronder, heeft Transics het recht de in het kader van het verstrekken van de Diensten verzamelde, gegenereerde en/of opgeslagen Persoonsgegevens te anonimiseren en de aldus geanonimiseerde gegevens te gebruiken voor statistische, analytische, commerciële en vergelijkingsdoeleinden.
5. Verplichtingen van de Verwerker
Wanneer Transics (in de hoedanigheid van Verwerker) Persoonsgegevens verwerkt voor rekening van de Klant (in de hoedanigheid van Verwerkingsverantwoordelijke), moet hij:
a. Deze Persoonsgegevens verwerken of laten verwerken in overeenstemming met de wetten op de gegevensbescherming waaraan hij als Verwerker is onderworpen.
b. Persoonsgegevens verwerken – en ervoor zorgen dat personen die onder zijn verantwoordelijkheid handelen Persoonsgegevens verwerken – voor rekening van de Verwerkingsverantwoordelijke en in overeenstemming met zijn schriftelijke instructies, tenzij de wetgeving van de Europese Unie of de EU-lidstaat waaraan de Verwerker onderworpen is, dit vereist. In dat geval dient de Verwerker de Verwerkingsverantwoordelijke vóór de verwerking van deze wettelijke vereiste in kennis te stellen, tenzij de wet deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Deze Specifieke Voorwaarden worden bij de schriftelijke instructies van de Verwerkingsverantwoordelijke aan de Verwerker gevoegd. In opdracht van de Verwerkingsverantwoordelijke zal de Verwerker de Persoonsgegevens ook corrigeren, rechtzetten of blokkeren, en ervoor zorgen dat alleen behoorlijk opgeleid personeel toegang krijgt tot de Persoonsgegevens.
c. Rekening houdend met de aard van de verwerking en de informatie die beschikbaar is voor de Verwerker, de Verwerkingsverantwoordelijke bijstaan bij het nakomen van zijn verplichtingen uit hoofde van de toepasselijke wetten op de gegevensbescherming, inclusief het uitvoeren van privacy-impactbeoordelingen indien nodig.
d. Passende technische en organisatorische maatregelen nemen zoals vereist door de toepasselijke wetten op de gegevensbescherming om de Persoonsgegevens te beschermen tegen onbedoelde of onwettige vernietiging
of onbedoeld verlies, wijziging, niet-toegelaten toegang, onthulling of overdraging, misbruik, en om elke onwettige vorm van verwerking, en minstens de volgende beveiligingsmaatregelen nemen:
i. Pseudonimisering en versleuteling van de Persoonsgegevens;
ii. In staat zijn om de vertrouwelijkheid, integriteit, beschikbaarheid en bestendigheid van de verwerkingssystemen en -diensten permanent te waarborgen;
iii. In staat zijn om de beschikbaarheid en de toegang tot de Persoonsgegevens tijdig te herstellen in geval van een fysiek of technisch incident;
iv. Over een proces beschikken om de effectiviteit van de technische en organisatorische maatregelen regelmatig te testen, te beoordelen en te evalueren om de veiligheid van de verwerking te waarborgen.
In Bijlage 1 documenteert de Verwerker de implementatie van de technische en organisatorische maatregelen.
e. De Verwerkingsverantwoordelijke alle informatie ter beschikking te stellen, die noodzakelijk is om te bewijzen dat hij aan de verplichtingen van de Verwerker inzake de naleving van de toepasselijke wet op de gegevensbescherming voldoet, en audits, inclusief inspecties, door de Verwerkingsverantwoordelijke of een andere door de Verwerkingsverantwoordelijke gemachtigde auditeur toe te laten en er zijn medewerking aan te verlenen. De Verwerkingsverantwoordelijke heeft het recht een audit uit te voeren op voorwaarde dat hij de Verwerker hiervan minstens vier (4) weken vooraf schriftelijk op de hoogte brengt.
f. Met betrekking tot punt (e) hierboven, de Verwerkingsverantwoordelijke onmiddellijk informeren als hij van mening is dat een instructie van de Verwerkingsverantwoordelijke de wetten op de gegevensbescherming schendt.
g. Rekening houdend met de aard van de verwerking en de informatie waarover hij beschikt, de Verwerkingsverantwoordelijke bijstaan met passende technische en organisatorische maatregelen, voor zover mogelijk, om te voldoen aan de verplichting van de Verwerkingsverantwoordelijke om informatie te verstrekken over het verzamelen, verwerken of gebruiken van Persoonsgegevens aan een Betrokkene en antwoorden op verzoeken om de rechten van de Betrokkene uit te oefenen. Elke aanvraag die een Betrokkene direct aan de Verwerker richt, moet naar de Verwerkingsverantwoordelijke worden doorgestuurd.
h. De Verwerkingsverantwoordelijke onverwijld in kennis stellen van inbreuken op de Persoonsgegevens die impact hebben op de door de Verwerker verwerkte Persoonsgegevens en, rekening houdend met de aard van de verwerking en de informatie die beschikbaar is voor de Verwerker, de Verwerkingsverantwoordelijke, voor zover mogelijk, bijstaan bij het nakomen van zijn verplichtingen in geval van een schending van de Persoonsgegevens.
a. Naar keuze van de Verwerkingsverantwoordelijke alle Persoonsgegevens verwijderen of aan de Verwerkingsverantwoordelijke teruggeven na het beëindigen van het verstrekken van de met de verwerking gerelateerde diensten en bestaande kopieën vernietigen, tenzij de wet van de EU-lidstaat vereist dat de Persoonsgegevens worden bewaard. Indien na 3 maanden na het beëindigen van de Diensten nog steeds geen keuze of instructies zijn overgemaakt, zal Transics de Persoonsgegevens niet meer toegankelijk maken of verwijderen. De Klant dient binnen de 3 maanden na het beëindigen van de Diensten de nodige data te exporteren via de Transics-tooling.
i. Ervoor zorgen dat personen (bijvoorbeeld medewerkers) die gemachtigd zijn de Persoonsgegevens te verwerken, zich ertoe verbinden ze vertrouwelijk te behandelen of onder een gepaste statutaire vertrouwelijkheidsverplichting vallen.
j. Onverminderd de in artikel 7.4 hieronder beschreven verplichting van de Verwerkingsverantwoordelijke een register bijhouden van alle categorieën verwerkingsactiviteiten die voor rekening van de Verwerkingsverantwoordelijke worden uitgevoerd in overeenstemming met GDPR.
De Verwerker heeft het recht een vergoeding te eisen voor de bijstand die hij de Verwerkingsverantwoordelijke verleent, die verder gaat dan wat de wetten op de gegevensbescherming en deze Specifieke Voorwaarden vereisen.
6. Subverwerking
1. Door middel van deze Specifieke Voorwaarden en de Dienstverleningsovereenkomst geeft de Verwerkingsverantwoordelijke de Verwerker een algemene, schriftelijke toestemming om een andere verwerker in te schakelen voor de gehele of gedeeltelijke verwerking in het kader van deze Specifieke Voorwaarden.
2. Er wordt overeengekomen dat een in Bijlage 2 vermelde Subverwerker uitdrukkelijk toestemming heeft gekregen.
3. De Verwerker zal de Verwerkingsverantwoordelijke op de hoogte brengen van eventuele geplande wijzigingen betreffende de toevoeging of vervanging van andere verwerkers op zijn website en xxx xx xxxx xxxxxxx xx Xxxxxxx 0.
4. Als Transics regelingen treft of overweegt om Persoonsgegevens die in het kader van deze Specifieke Voorwaarden worden bewaard, over te dragen naar en te laten verwerken door een Subverwerker, zijn de volgende voorwaarden van toepassing:
a) Transics zal dit uitsluitend doen door middel van een schriftelijke overeenkomst met de Subverwerker die de Subverwerker dezelfde verplichtingen oplegt als de Verwerker in het kader van deze Specifieke Voorwaarden, meer bepaald de verplichting om passende technische en organisatorische maatregelen te nemen, zodat de verwerking aan de toepasselijke vereisten van de toepasselijke wetten op de gegevensbescherming voldoet.
b) Indien Persoonsgegevens buiten de EER worden of zullen worden overgedragen naar een land dat geen passend beschermingsniveau voor Persoonsgegevens biedt, zullen de Subverwerker en de Verwerker een overeenkomst op basis van de modelcontractbepalingen van de EU aangaan (in voorkomend geval, waarbij Transics optreedt namens de Verwerkingsverantwoordelijke) of moeten andere passende mechanismen voor gegevensoverdracht worden ingevoerd in overeenstemming met de toepasselijke wetten op de gegevensbescherming; en de Klant geeft Transics hierbij uitdrukkelijk toestemming om voor rekening van de Klant overeenkomsten op basis van de modelcontractbepalingen van de EU aan te gaan met de Subverwerkers die in de betrokken Bijlagen zijn vermeld.
c) Indien de Subverwerker niet voldoet aan zijn verplichtingen inzake gegevensbescherming uit hoofde van een dergelijke schriftelijke overeenkomst, blijft de Verwerker jegens de Verwerkingsverantwoordelijke volledig aansprakelijk voor de uitvoering van de verplichtingen van de Subverwerker onder voorbehoud van de in deze Specifieke Voorwaarden overeengekomen aansprakelijkheidsverplichtingen.
7. Verplichtingen van de Verwerkingsverantwoordelijke
1. De Verwerkingsverantwoordelijke bepaalt de doeleinden en de middelen voor de verwerking van Persoonsgegevens door middel van Transics’ FMS.
2. De Verwerkingsverantwoordelijke garandeert dat:
a. De Verwerker toestemming krijgt om de Persoonsgegevens te gebruiken voor verwerkingsdoeleinden zoals bepaald in deze Specifieke Voorwaarden.
b. De Persoonsgegevens rechtmatig werden verzameld en verwerkt in overeenstemming met de wetten op de gegevensbescherming.
c. De naleving van de toepasselijke wetten op de
gegevensbescherming wordt gegarandeerd wanneer de Verwerkingsverantwoordelijke Persoonsgegevens aan de Verwerker doorgeeft om aan deze Specifieke Voorwaarden te voldoen en wanneer hij de Verwerker instructies geeft met betrekking tot de verwerking van de Persoonsgegevens.
3. De Verwerkingsverantwoordelijke dient ervoor te zorgen dat de gegevens worden verwerkt op een dusdanige manier dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging, door het nemen van passende technische of organisatorische maatregelen.
4. De Verwerkingsverantwoordelijke houdt een register bij van de verwerkingsactiviteiten die onder zijn verantwoordelijkheid plaatsvinden in overeenstemming met GDPR waarin Transics’ FMS moet zijn vermeld.
8. Uitbesteding
De Verwerker zal zijn verplichtingen niet uitbesteden zonder voorafgaande schriftelijke toestemming van de Verwerkingsverantwoordelijke, met uitzondering van de uitbesteding aan een dochteronderneming of een geaffilieerde onderneming die deel uitmaakt van de ZF-groep, waarvoor geen voorafgaande schriftelijke toestemming van de Verwerkingsverantwoordelijke is vereist. Wanneer de Verwerker zijn verplichtingen uitbesteedt met toestemming van de Verwerkingsverantwoordelijke, dient hij met de onderaannemer een schriftelijke overeenkomst te sluiten, waarbij aan de onderaannemer dezelfde verplichtingen worden opgelegd als die waaraan de Verwerker uit hoofde van deze Specifieke Voorwaarden moet voldoen.
9. Aansprakelijkheid
De respectievelijke wederzijdse aansprakelijkheid van de Partijen met betrekking tot schending van deze Specifieke Voorwaarden en hun verplichting tot schadevergoeding aan de andere Partij voor vorderingen van derden tegenover een Partij als gevolg van een al dan niet contractuele inbreuk op deze Specifieke Voorwaarden of de wetten op de gegevensbescherming door de andere Partij, vallen onder de aansprakelijkheids- en schadevergoedingsbepalingen vermeld in de Dienstverleningsovereenkomst tussen Transics en de Klant voor de betrokken Diensten.
10. Toepasselijk recht en rechtsmacht
Deze Specifieke Voorwaarden vallen onder het recht dat van toepassing is op de betrokken Dienstverleningsovereenkomst (tenzij een dergelijke rechtskeuze niet geldig zou zijn onder de toepasselijke wetgeving van het land waar de betrokken Verwerkingsverantwoordelijke is gevestigd, in welk geval dit Gegevensverwerkingsaddendum onder het recht van het land valt waar de betrokken Verwerkingsverantwoordelijke is gevestigd).
Het bevoegde rechtsgebied voor al dan niet contractuele geschillen die voortvloeien uit of verband houden met deze Specifieke Voorwaarden, is het rechtsgebied dat in de betrokken Dienstverleningsovereenkomst werd overeengekomen. Deze paragraaf doet echter geen afbreuk aan de respectievelijke verplichtingen van de Partijen in het kader van de toepasselijke wetten op de gegevensbescherming.
Bijlage 1: Technische en operationele maatregelen
Deze Bijlage is bestemd voor klanten en zakenpartners en beschrijft de technische en organisatorische maatregelen om de Persoonsgegevens te beschermen tegen ongeoorloofde toegang, aantasting en verlies in overeenstemming met de wetten op de gegevensbescherming.
Dit document bevat meer gedetailleerde informatie over de technische en organisatorische maatregelen die de Verwerker heeft geïmplementeerd met het oog op de gegevensbescherming.
DATACENTRUM- & NETWERKBEVEILIGING
Het datacenter dat Transics gebruikt, is een datacenter van tier 3- niveau:
• SLA Beschikbaarheid energie – 100%
• SLA Temperatuur
Doelstelling: Continu behoud van de temperatuur in de computerzaal tussen 18 °C en 27 °C op voorwaarde dat de buitentemperatuur minder dan 40 °C bedraagt en in lijn met de ASHRAE-richtlijnen.
• SLA Vochtigheid
Doelstelling: Behoud van een vochtigheidsgraad in de computerzaal tussen 40% en 60%
• Installatie
Oplossingen met hoge densiteit beschikbaar 24 x 7 x 365 gebruik gebouw
Vloer van 800 mm verhoogd tot op 3,5 meter van de onderkant van het plafondplenum Overdekte leveringszone met laadbrug en beveiligde opslaglokalen
Vloerbelasting 12KN per vierkante meter
• Stroom
Dubbele stroomvoorziening N+1-generatoren
2N UPS
• Beveiliging
24 x 7 onsite beveiliging Kaartlezers en biometrie
Slagboom die bumperkleven voorkomt Omheining van 3m hoog rond de site
Interne en externe bewakingscamera’s – opnames 90 dagen
• Conformiteit / Certificaties
Tier 3-certificering van het Uptime Institute ISO27001, PCIDSS-compliant, BREEAM-
gecertificeerd
ASHRAE-normen en richtlijnen voor datacenters
• Koeling
Indirecte adiabatische buitenluchtoplossing Geen conventionele mechanische koeling nodig
Geen water in de ruimte waar de apparatuur zich bevindt
TRANSICS-GEBOUWEN
1. Toegangscontrole (gebouw / kantoren / datacentrum)
De Verwerker heeft onder meer de volgende maatregelen geïmplementeerd om ongeoorloofde toegang tot gegevensverwerkingssystemen waarmee Persoonsgegevens worden verwerkt, te voorkomen:
● Personeelsleden hebben een personeelskaart / - badge om toegang te krijgen tot het gebouw.
● Niet-gemachtigde personen krijgen geen fysieke toegang tot terreinen, gebouwen of lokalen waar zich gegevensverwerkingssystemen bevinden die Persoonsgegevens verwerken en/of gebruiken.
2. Toegangscontrole (systemen)
De Verwerker heeft onder meer de volgende maatregelen geïmplementeerd om het gebruik van gegevensverwerkingssystemen waarmee Persoonsgegevens
worden verwerkt door niet gemachtigde personen, te voorkomen:
● Ondernemingsbrede informatiesystemen worden permanent gemonitord 24x7, 365 dagen / jaar door het Transics IT-team.
● Personeelsleden hebben allemaal een aparte terminal met persoonlijke identificatie en wachtwoord.
● Een gebruikersterminal die gedurende een bepaalde tijd niet wordt gebruikt, wordt automatisch uitgeschakeld. De identificatie en het wachtwoord zijn vereist om hem weer in te schakelen.
● Automatische blokkering van het gebruikers-ID na herhaald invoeren van foutieve wachtwoorden, logbestand van gebeurtenissen (monitoring van inbraakpogingen).
● Alle personeelsleden zijn gebonden door geheimhoudings- en
vertrouwelijkheidsovereenkomsten. De toegang tot niet-publieke gegevens wordt uitsluitend op een “need-to-know”-basis toegekend en gemonitord. De gebruikers worden permanent geïnformeerd over het belang van gegevensbescherming in het bedrijf.
● De toegang tot productiesystemen gebeurt op basis van multi-factorauthenticatie.
● Transics kent toegang toe per functioneel verantwoordelijkheidsdomein, bijv. het R&D- team, het hostingteam, het ServiceDesk-team, … De toegang is op rollen gebaseerd en het lidmaatschap van de groepen wordt regelmatig gecontroleerd.
3. Toegangscontrole (gegevens)
De Verwerker heeft onder meer de volgende maatregelen geïmplementeerd om ervoor te zorgen dat gemachtigde gebruikers van een gegevensverwerkingssysteem alleen toegang krijgen tot de gegevens waarvoor ze gemachtigd zijn en te voorkomen dat Persoonsgegevens zonder machtiging worden gelezen terwijl ze worden gebruikt, verplaatst of zijn opgeslagen:
● Klantenverbindingen worden geauthenticeerd met multi-factorauthenticatie.
● Centraal loginportaal met beveiligde toegang tot klantenapplicaties op basis van het “single sign- on”-principe die kan worden gecombineerd met “two-factor”-authenticatie.
4. Overdrachtcontrole
De Verwerker heeft onder meer de volgende maatregelen geïmplementeerd om ervoor ze zorgen dat Persoonsgegevens niet kunnen worden gelezen, gekopieerd of gewijzigd tijdens elektronische verzending, vervoer of opslag op schijf. Daarnaast, om te controleren en te bepalen naar welke organisaties Persoonsgegevens via communicatieapparatuur mogen worden doorgestuurd:
● Gebeuren alle klanteninteracties op het internet via SSL- / TLS-beveiligde verbindingen
● Zijn alle verbindingen met de database versleuteld
● Zijn alle back-ups en opgeslagen gegevens versleuteld
5. Invoercontrole
De Verwerker heeft onder meer de volgende maatregelen geïmplementeerd om ervoor te zorgen dat kan worden gegarandeerd, en daarna gecontroleerd en bepaald, of en door wie Persoonsgegevens werden ingevoerd in, gewijzigd in, of verwijderd uit gegevensverwerkingssystemen:
● een authorisatiebeleid voor de invoer van gegevens in het geheugen, en voor het lezen, wijzigen of verwijderen van opgeslagen gegevens;
● authenticatie van het gemachtigde personeel;
● beveiligingsmaatregelen voor de invoer van gegevens in het geheugen en voor het lezen,
wijzigen of verwijderen van opgeslagen gegevens;
● gebruik van gebruikerscodes (wachtwoorden);
● een beleid dat bepaalt dat alle medewerkers van Transics die toegang hebben tot voor de Klant verwerkte Persoonsgegevens hun wachtwoorden minstens een keer in een periode van 90 dagen moeten wijzigen;
● de mogelijkheid om de ingangen tot de gegevensverwerkingsfaciliteiten (de lokalen waar de computerhardware en de bijbehorende apparatuur zich bevinden) te vergrendelen;
● automatisch uitloggen van gebruikers-ID’s die gedurende lange tijd niet werden gebruikt.
6. Opdrachtverwerking
De Verwerker heeft onder meer de volgende maatregelen geïmplementeerd om ervoor te zorgen dat Persoonsgegevens die op verzoek van de eigenaar van de gegevens door een gegevensverwerker worden verwerkt, uitsluitend worden verwerkt zoals opgedragen door de eigenaar van de gegevens:
De eigenaar van de gegevens heeft altijd het recht de correcte uitvoering van alle door hem opgedragen taken te controleren. Transics zal de Klant adequate informatie verstrekken over het uitgevoerde werk.
7. Beschikbaarheidscontrole
De Verwerker heeft onder meer de volgende maatregelen geïmplementeerd om ervoor te zorgen dat Persoonsgegevens zijn beschermd tegen onopzettelijke vernietiging of verlies:
Zie het hoofdstuk “Datacenter”.
8. Gescheiden verwerking
De Verwerker heeft onder meer de volgende maatregelen geïmplementeerd om ervoor te zorgen dat gegevens die voor verschillende doeleinden werden verzameld, gescheiden kunnen worden verwerkt:
● De toegang tot de gegevens is afgescheiden via applicatiebeveiliging voor de geschikte gebruikers;
● Er zijn aparte omgevingen voor DEV, QA en PRODUCTION;
● De live- en testomgeving zijn gescheiden.
9. Data Protection Officer
De Verwerker heeft een Data Protection Officer (DPO) aangesteld in overeenstemming met de GDPR. Deze persoon zal instaan voor de naleving van GDPR en andere wetten op de gegevensbescherming. Xxxxxxx alle vragen aan de DPO via xxxxxxx.xxxxxxx@xx.xxx te stellen.
Bijlage 2: Lijst van Subverwerkers
Via de volgende link vindt u een overzicht van de huidige Subverwerkers, waar Transics mee samenwerkt: xxxxx://xxx.xx.xxx/xxxxx/xxxxxxxxxxxxx.