Privacy voorwaarden Ringer Accountants
Privacy voorwaarden Ringer Accountants
Inclusief verwerkersovereenkomst
A Algemeen
In deze privacy voorwaarden wordt verstaan onder:
1 Algemene voorwaarden: de algemene voorwaarden van Opdrachtnemer, die onverkort van toepassing zijn op iedere afspraak tussen Opdrachtnemer en Opdrachtgever en van welke algemene voorwaarden deze privacy voorwaarden onlosmakelijk deel uitmaken.
2 Verwerker: Ringer Accountants, ingeschreven in het Handelsregister van de Kamer van Koophandel onder dossiernummer 73708119, gevestigd te Zeist aan de (3701 HA) 0x Xxxxxxxxxxx 00.
3 Gegevens: de persoonsgegevens zoals omschreven in Annex 1.
4 Opdrachtgever: de natuurlijke persoon of rechtspersoon die aan Opdrachtnemer opdracht heeft gegeven tot het verrichten van Werkzaamheden, eveneens genoemd Verantwoordelijke.
5 Opdrachtnemer: Ringer Accountants, ingeschreven in het Handelsregister van de Kamer van Koophandel onder dossiernummer 73708119, gevestigd te Zeist aan de (3701 HA) 1e Dorpsstraat 13, eveneens Verwerker.
6 Overeenkomst: elke afspraak tussen Opdrachtgever en Opdrachtnemer tot het verrichten van Werkzaamheden door Opdrachtnemer ten behoeve van de Opdrachtgever, conform het bepaalde in een opdrachtbevestiging of enige andere overeenkomst van opdracht tussen Opdrachtgever en Opdrachtnemer.
7 Verantwoordelijke: de Opdrachtgever die als natuurlijk persoon of rechtspersoon aan de Opdrachtnemer, eveneens Verwerker, opdracht heeft gegeven tot het verrichten van Werkzaamheden en die alleen of samen met
anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.
8 Werkzaamheden: alle werkzaamheden waartoe door Opdrachtgever opdracht is gegeven, of die door Opdrachtnemer uit anderen hoofde worden verricht ten behoeve van de Opdrachtgever. Het voorgaande geldt in de ruimste zin van het woord en omvat in ieder geval de werkzaamheden zoals vermeld in de opdrachtbevestiging en zoals ook vermeldt op de Annex 1.
9 Verwerking: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedures, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren
of combineren, afschermen, wissen of vernietigen van gegevens.
10 Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de Betrokkene”) die in het kader van de Overeenkomst worden verwerkt; als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon.
11 Medewerkers: personen die werkzaam zijn bij de Opdrachtnemer, ofwel in dienstbetrekking dan wel tijdelijk ingehuurd.
12 Sub-verwerker: een andere verwerker die door de Verwerker wordt ingezet om ten behoeve van de Verantwoordelijke specifieke verwerkingsactiviteiten te verrichten.
13 Datalek: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot - of waarbij redelijkerwijs niet uit te sluiten valt dat die kan leiden tot - de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins
verwerkte persoonsgegevens.
14 Derden: anderen dan de Opdrachtnemer, Opdrachtgever en/of de Medewerkers. 15 Betrokkene(n): degene op wie een Persoonsgegeven betrekking heeft.
B Toepasselijkheid privacy voorwaarden
1 Deze privacy voorwaarden zijn van toepassing op iedere Verwerking die in het kader van de uitvoering van de Overeenkomst met Opdrachtgever door Opdrachtnemer wordt gedaan voor Opdrachtgever als Verantwoordelijke. 2 Bij de uitvoering van de Overeenkomst verwerkt Verwerker bepaalde persoonsgegevens voor Verantwoordelijke. Verantwoordelijke is verantwoordelijk voor de verwerking van de Gegevens door de Verwerker zoals omschreven in Annex 1.
3 Dit zijn privacy voorwaarden in de zin van de Algemene Verordening Gegevensbescherming (AVG), waarin de rechten en verplichtingen ten aanzien van de verwerking van Persoonsgegevens schriftelijk is geregeld, waaronder ten aanzien van de beveiliging. De AVG heeft de Wpb per 25 mei 2018 vervangen.
4 Deze privacy voorwaarden maken, net als de Algemene voorwaarden van Verwerker, onderdeel uit van de Overeenkomst en alle toekomstige overeenkomsten tussen partijen.
5 Deze privacy voorwaarden treden in werking op de datum waarop de Overeenkomst van kracht wordt en
eindigen op het moment dat de Verwerker geen Persoonsgegevens meer onder zich heeft die zij in het kader van de Onderliggende Opdracht voor de Opdrachtgever verwerkt.
C Reikwijdte privacy voorwaarden
1 Met het geven van de opdracht tot het verrichten van Werkzaamheden heeft Verantwoordelijke aan Verwerker de opdracht gegeven om de Gegevens te verwerken namens de Verantwoordelijke op de wijze zoals omschreven in Annex 1 in overeenstemming met de bepalingen van deze privacy voorwaarden.
2 Verwerker verwerkt de Xxxxxxxx uitsluitend in overeenstemming met deze privacy voorwaarden, met
name met hetgeen is opgenomen in Annex 1. Verwerker bevestigt de Gegevens niet voor andere doeleinden te verwerken.
3 De zeggenschap over de Gegevens komt nooit bij Verwerker te rusten.
4 De Verantwoordelijke kan additionele, schriftelijke instructies aan Verwerker geven vanwege aanpassingen of wijzigingen in de van toepassing zijnde regelgeving op het gebied van bescherming van
persoonsgegevens. Opdrachtgever zal de kosten vergoeden die Opdrachtnemer redelijkerwijs moet maken om de in dit artikellid genoemde instructies uit te voeren.
5 Verwerker zal de Xxxxxxxx niet wijzigen zonder opdracht daartoe van Verantwoordelijke. Verantwoordelijke garandeert dat de Gegevens correct, ter zake dienend en niet bovenmatig zijn in het licht van de doeleinden waarvoor de Gegevens (verder) worden verwerkt. Verantwoordelijke vrijwaart Verwerker ter zake voor iedere vordering van derden.
6 Verantwoordelijke is verantwoordelijk voor het informeren van de betrokkenen en het waarborgen van de rechten die betrokkenen op basis van de toepasselijke privacywet- en regelgeving kunnen uitoefenen, en voor de communicatie met betrokkenen. Verwerker zal haar redelijke medewerking verlenen aan Verantwoordelijke om (i) betrokkenen inzage te geven in hun Gegevens, (ii) Gegevens op verzoek van betrokkenen te verwijderen of corrigeren, en/of (iii) aan te tonen dat Xxxxxxxx na een verzoek daartoe van een betrokkene verwijderd of gecorrigeerd zijn. Verantwoordelijke zal de kosten vergoeden die Verwerker redelijkerwijs moet maken om aan haar verplichtingen in dit artikellid te voldoen.
7 Door het aangaan van een Overeenkomst, verstrekt Verantwoordelijke aan Verwerker het recht en de toestemming om alle Gegevens en andere persoonsgegevens welke Verwerker van Verantwoordelijke ontvangt, op te slaan, te bewerken, te gebruiken en/of te verzenden aan derden in het kader van alle in de ruimste zin met de Overeenkomst samenhangende werkzaamheden, ongeacht of dit gegevens van Verantwoordelijke zelf betreft, dan wel van andere in de ruimste zin aan verantwoordelijke gekoppelde betrokkenen. Tot het voormelde gebruik wordt onder andere maar niet uitsluitend begrepen het gebruik van persoonsgegevens voor marketingactiviteiten, geboorte-/jubilea-/verjaardags-
/huwelijksfelicitaties etc. en/of de gegevens en doeleinden zoals op Annex 1 staan vermeld. 8 Verwerker verwerkt de Gegevens enkel in de Europese Economische Ruimte.
9 De Verwerking van de Gegevens zal de Verwerker niet langer of uitgebreider doen dan noodzakelijk voor de uitvoering van de Overeenkomst. De Verwerking vindt plaats volgens schriftelijke instructies van de Opdrachtgever, tenzij de Opdrachtnemer op grond van de wet- of regelgeving verplicht is om anders te
handelen (bijvoorbeeld bij het maken van een afweging of een melding van een “ongebruikelijke transactie” moet worden gedaan in het kader van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft)). Indien een instructie naar de mening van de Opdrachtnemer een inbreuk maakt op de AVG stelt de Opdrachtnemer de Opdrachtgever daarvan zo spoedig mogelijk in kennis.
D Verplichting Verantwoordelijke
1 Verantwoordelijke treft de nodige maatregelen opdat persoonsgegevens, gelet op de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, juist en nauwkeurig zijn en als zodanig ook aan Verwerker worden verstrekt.
2. De Verwerking vindt plaats onder de verantwoordelijkheid van de Verantwoordelijke. De Verwerker heeft geen zeggenschap over het doel en de middelen van de Verwerking en neemt geen beslissingen over zaken als het gebruik van Persoonsgegevens, de bewaartermijn van de voor de Verantwoordelijke verwerkte Persoonsgegevens en het verstrekken van Persoonsgegevens aan derden. De Verantwoordelijke moet er voor zorgen dat deze het doel en de middelen van de Verwerking van de Persoonsgegevens duidelijk heeft
vastgesteld. De zeggenschap over de Persoonsgegevens berust nooit bij de Verwerker. Als de Opdrachtnemer of Opdrachtgever een zelfstandige verplichting mocht hebben op basis van wettelijke voorschriften of de voor accountants geldende beroeps- en gedragsregels met betrekking tot Verwerking van Persoonsgegevens, dan leeft de Opdrachtnemer en/of Opdrachtgever deze verplichtingen na. Een overzicht van deze beroeps- en gedragsregels is te vinden op de website van de Nederlandse Beroepsorganisatie van Accountants (xxx.xxx.xx).
3. Zowel de Opdrachtgever als de Opdrachtnemer is wettelijk verplicht de vigerende wet- en regelgeving op het gebied van privacy na te leven. In het bijzonder dient de Verantwoordelijke vast te stellen of er sprake is van een rechtmatige grondslag voor het Verwerken van de Persoonsgegevens. De Verwerker zorgt ervoor dat zij voldoen aan de op de Verwerker van toepassing zijnde regelgeving op het gebied van de Verwerking van Persoonsgegevens en de afspraken die zijn gemaakt in de Overeenkomst.
4. Als Opdrachtnemer (rechtstreeks) verzoeken ontvangt van Xxxxxxxxxx(n) om uitoefening van hun rechten (bijvoorbeeld inzage, wijziging of verwijdering van Persoonsgegevens), dan kan het voorkomen dat Opdrachtnemer deze verzoeken aan Opdrachtgever doorstuurt voor verdere afhandeling. Vanwege de aard van de onderliggende Overeenkomst, en de daarbij op Opdrachtnemer mogelijkerwijs rustende contextuele verwerkings-verantwoordelijkheid voor de verwerking, is het niet altijd passend als Opdrachtnemer (rechtstreeks) aan haar gerichte verzoeken van Xxxxxxxxxx(n) om uitoefening van hun rechten zelf af zouden handelen. In dergelijke gevallen zendt Opdrachtnemer deze verzoeken door naar Opdrachtgever. Opdrachtgever handelt deze verzoeken zelf af, waarbij Opdrachtnemer de Opdrachtgever behulpzaam kan zijn als Opdrachtnemer in het kader van de onderliggende Overeenkomst toegang heeft tot deze Persoonsgegevens.
E Geheimhouding
1 Verwerker en de personen die in dienst zijn van Verwerker danwel werkzaamheden voor hem verrichten, voor zover deze personen toegang hebben tot persoonsgegevens, verwerken de Gegevens slechts in opdracht van Verantwoordelijke, behoudens afwijkende wettelijke verplichtingen.
2 Verwerker en de personen die in dienst zijn van Verwerker danwel werkzaamheden voor hem verrichten, voor zover deze personen toegang hebben tot persoonsgegevens, zijn verplicht tot geheimhouding van de persoonsgegevens waarvan zij kennis nemen, behoudens voor zover enig wettelijk voorschrift hen tot mededeling verplicht of uit een taak de noodzaak tot mededeling voortvloeit.
3. De Opdrachtnemer zorgt ervoor dat alleen haar Medewerkers toegang hebben tot de Persoonsgegevens. De uitzondering hierop is opgenomen in artikel 6 en artikel 10 (Sub-verwerkers). Opdrachtnemer beperkt de toegang tot Medewerkers voor wie de toegang noodzakelijk is voor hun werkzaamheden, waarbij de toegang beperkt is tot Persoonsgegevens die deze Medewerkers nodig hebben voor hun werkzaamheden. De Opdrachtnemer zorgt er bovendien voor dat de Medewerkers die toegang hebben tot de Persoonsgegevens een juiste en volledige instructie hebben gekregen over de omgang met Persoonsgegevens en dat zij
bekend zijn met de verantwoordelijkheden en wettelijke verplichtingen.
4. Accountants die als Xxxxxxxxxx werkzaam zijn bij of ten behoeve van Opdrachtnemer nemen met betrekking tot de aan hen toevertrouwde Persoonsgegevens geheimhouding in acht zoals deze voor
F Geen verdere verstrekking
Verwerker zal de gegevens niet delen met of verstrekken aan derden, tenzij Verwerker daartoe voorafgaande, schriftelijke toestemming of opdracht heeft verkregen van Verantwoordelijke of op grond van dwingendrechtelijke regelgeving daartoe verplicht is. Indien Verwerker op grond van dwingendrechtelijke regelgeving verplicht is
om de Gegevens te delen met of te verstrekken aan derden, dan zal Verwerker de Verantwoordelijke hierover schriftelijk informeren, tenzij dit niet is toegestaan onder de genoemde regelgeving.
G Beveiligingsmaatregelen
1 Verwerker zal – rekening houdend met de van toepassing zijnde regelgeving op het gebied van bescherming van Gegevens, de stand van de techniek en de kosten van tenuitvoerlegging – technische en organisatorische beveiligingsmaatregelen treffen om de Gegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. De beveiligingsmaatregelen die thans zijn genomen, zijn in Annex 2 bepaald. De Opdrachtgever heeft zich goed geïnformeerd over de door Opdrachtnemer genomen beveiligingsmaatregelen en is van mening dat deze maatregelen een beveiligingsniveau hebben dat past bij de aard van de Persoonsgegevens en de omvang, context,
doeleinden en risico’s van de Verwerking door de Verwerker.
2 Verwerker zorgt voor maatregelen die er mede op gericht zijn onnodige verzameling en verdere verwerking van persoonsgegevens te voorkomen.
3. Bij het nemen van de beveiligingsmaatregelen is door Opdrachtnemer rekening gehouden met de te mitigeren risico’s, de stand van de techniek en de kosten van de beveiligingsmaatregelen. De Opdrachtnemer biedt passende waarborgen voor de toepassing van de technische en organisatorische beveiligingsmaatregelen met betrekking tot de te verrichten Verwerkingen.
H Toezicht op naleving
1 Verwerker stelt Verantwoordelijke in staat om eenmaal per kalenderjaar, na een daartoe strekkend schriftelijk verzoek en onder aanzegging van een redelijke termijn, de naleving van Verwerker te controleren van de privacy voorwaarden en met name van de beveiligingsmaatregelen die zijn genomen zoals genoemd in artikel G.
2 Als de Opdrachtgever de wijze waarop de Opdrachtnemer de beveiligingsmaatregelen naleeft wil laten inspecteren, dan kan hiertoe een verzoek aan de Opdrachtnemer worden gedaan conform lid 1, waarover vervolgens nadere afspraken gemaakt kunnen worden. De kosten van een inspectie of uit te
voeren audit – ook bij eventuele Sub-verwerkers - zijn voor rekening van de Opdrachtgever en een kopie van het inspectierapport zal aan de Opdrachtnemer ter beschikking worden gesteld. Partijen werken
desgevraagd samen met de toezichthoudende autoriteit bij het vervullen van haar taken.
3 Verantwoordelijke en Verwerker kunnen naar aanleiding van de onder artikel X.0 benoemde rapportage samen nadere beveiligingsmaatregelen overeenkomen.
4 Kosten voor Verwerker voortvloeiend uit het opvragen van persoonsgegevens of inbeslagnemingen door justitiële autoriteiten komen voor rekening van de Verantwoordelijke.
I Datalek
1 Zo spoedig mogelijk nadat Xxxxxxxxx kennis neemt van een incident of datalek dat (mede) betrekking heeft of kan hebben op de Gegevens, c.q. de melding hierover van een Sub-bewerker heeft ontvangen, stelt Verwerker Verantwoordelijke hiervan op de hoogte via de bij Verwerker bekende contactgegevens van Verantwoordelijke en zal Verwerker informatie verstrekken over: de aard van het incident of de datalek, de getroffen Gegevens, de vastgestelde en verwachte gevolgen van het incident of datalek op de Gegevens en de maatregelen die Verwerker heeft getroffen en zal treffen. De Opdrachtnemer / Verwerker streeft ernaar dit te doen binnen 48 uur nadat dit datalek is ontdekt, of zo snel mogelijk nadat de Opdrachtnemer / Verwerker daarover door haar Sub-verwerker(s) is geïnformeerd.
2 Verwerker zal Verantwoordelijke ondersteunen bij meldingen aan betrokkenen en/of autoriteiten. De melding van Datalekken aan de Autoriteit Persoonsgegevens en (eventueel) Betrokkene(n) is altijd de verantwoordelijkheid van de Verantwoordelijke. Het (bij)houden van een register van Datalekken is altijd de verantwoordelijkheid van de Verantwoordelijke.
J Sub-Verwerkers
De Opdrachtnemer kan andere verwerkers (Sub-verwerkers) inschakelen voor het uitvoeren van bepaalde werkzaamheden die voortvloeien uit de Overeenkomst, bijvoorbeeld als deze Sub-verwerkers over specialistische kennis of middelen beschikken waarover de Verwerker niet beschikt.
Als het inschakelen van Sub-Verwerkers tot gevolg heeft dat deze Persoonsgegevens gaan Verwerken dan zal
de Opdrachtnemer die Sub-Verwerkers (schriftelijk) de verplichtingen uit deze privacy voorwaarden opleggen. Met ondertekening van de Overeenkomst geeft de Opdrachtgever tevens toestemming voor het inschakelen van de Sub-Verwerkers die bij deze privacy voorwaarden horen
Op verzoek van Opdrachtgever verstrekt Opdrachtnemer een overzicht van de Sub-Verwerkers die bij de overeenkomst betrokken zijn. Voor het inschakelen van overige Sub-Verwerkers zal de Opdrachtnemer eerst om toestemming vragen van de Opdrachtgever. De Opdrachtgever kan toestemming weigeren maar dit kan in sommige gevallen betekenen dat de Opdrachtnemer de Overeenkomst moet beëindigen. Of een opdracht om deze reden moet worden beëindigd, is ter uitsluitende beoordeling aan de Opdrachtnemer.
K Aansprakelijkheid
1 De in de Overeenkomst en daarbij behorende algemene voorwaarden overeengekomen beperking van de aansprakelijkheid van Opdrachtnemer is van kracht op de verplichtingen zoals opgenomen in deze privacy voorwaarden, met dien verstande dat een of meerdere schadevorderingen uit hoofde van deze
privacy voorwaarden en /of de Overeenkomst nimmer tot overschrijding van de beperking kan leiden.
Opdrachtnemer is slechts aansprakelijk voor schade die aan hem kan worden toegerekend in het kader van zijn werkzaamheden volgens deze Privacy voorwaarden en/of niet-nakoming van verplichtingen door Opdrachtnemer onder deze Privacy voorwaarden.
2 Opdrachtnemer is niet aansprakelijk voor schade die het gevolg is van het door de Opdrachtgever (als Verantwoordelijke of anderszins) niet naleven van de AVG of andere wet- of regelgeving. De Opdrachtgever vrijwaart de Opdrachtnemer ook voor aanspraken van derden of Betrokkene(n) op grond van zulke schade
en stelt Xxxxxxxxxxxxx op eerste verzoek volledig schadeloos voor alle schaden en kosten. De vrijwaring geldt niet alleen voor de schade die derden of Betrokkene(n) hebben geleden (materieel maar ook immaterieel), maar ook voor de kosten die de Opdrachtnemer in verband daarmee moeten maken, bijvoorbeeld in een eventuele juridische procedure, en de kosten van eventuele boetes die aan de Opdrachtnemer worden opgelegd ten gevolge van het handelen van de Opdrachtgever. Het voorgaande geldt evenzo voor aanspraken van Betrokkene(n) of derden waarmee Opdrachtgever een samenwerking is aangegaan of waarvan Opdrachtgever de Gegevens verwerkt, als dit het gevolg is van onrechtmatig of nalatig handelen van de Opdrachtgever.
L Duur en beëindiging
1 Deze privacy voorwaarden zijn in elk geval geldig zolang Verwerker de opdracht heeft van Xxxxxxxxxxxxxxxxx om Xxxxxxxx te verwerken op grond van de Overeenkomst tussen Verantwoordelijke en Verwerker. Zolang door
Opdrachtnemer Werkzaamheden worden verricht ten behoeve van Opdrachtgever zijn deze privacy voorwaarden op deze relatie van toepassing.
2 Indien er sprake is van een wettelijke verplichting om Gegevens en/of documenten, computerschijven en andere gegevensdragers met daarop Gegevens te bewaren voor een bepaalde periode zal Verwerker, in overleg met Verantwoordelijke en tegen de dan geldende tarieven, de documenten, computerschijven en andere gegevensdragers met daarop de Gegevens gedurende de betreffende wettelijke periode bewaren.
3 Bij beëindiging van de Overeenkomst tussen Verantwoordelijke en Verwerker kan Verantwoordelijke aan Verwerker verzoeken om alle documenten, computerdisks en andere gegevensdragers, waarop of waarin zich gegevens bevinden, te retourneren aan Verantwoordelijke of te vernietigen, een en ander voor rekening van Verantwoordelijke, behoudens voor zover op Verwerker ter zake (een deel van) de gegevensdragers een wettelijke bewaarplicht rust. In geval van retournering zal Verwerker de gegevens verstrekken in de vorm zoals bij Verwerker aanwezig.
4 Opdrachtnemer zal uitsluitend een kopie van de Persoonsgegevens bewaren als zij hiertoe op grond van wet- of (beroeps)regelgeving gerechtigd of verplicht zijn.
5 Onverlet hetgeen voor het overige in dit artikel L is bepaald, zal Verwerker na beëindiging van de Overeenkomst geen Gegevens houden noch gebruiken.
M Nietigheid en wijzigingen
1 Indien één of meerdere bepalingen uit deze privacy voorwaarden nietig zijn of vernietigd worden, blijven de overige voorwaarden volledig van toepassing. Indien enige bepaling van deze privacy voorwaarden niet rechtsgeldig is, zullen partijen over de inhoud van een nieuwe bepaling onderhandelen, welke bepaling de inhoud van de oorspronkelijke bepaling zo dicht mogelijk benadert.
2. Aanvullingen en wijzigingen op deze Privacy voorwaarden zijn alleen geldig als ze op schrift zijn gesteld. Onder “schriftelijk” worden ook wijzigingen begrepen die per e-mail zijn gecommuniceerd. Opdrachtnemer is bevoegd wijzigingen in deze Privacy voorwaarden aan te brengen. Deze wijzigingen treden in werking op het aangekondigde tijdstip van in werking treden. Opdrachtnemer zal de gewijzigde Privacy voorwaarden tijdig aan de opdrachtgever toezenden. Indien geen tijdstip van in werking treden is medegedeeld, treedt een wijziging jegens de opdrachtgever in werking zodra hem de wijziging door Opdrachtnemer is medegedeeld.
3. Een wijziging in de verwerkte Persoonsgegevens of in de betrouwbaarheidseisen, de privacyregelgeving of andere eisen kan voor Opdrachtnemer aanleiding zijn om dit privacyreglement aan te vullen of te wijzigen. Indien dit leidt tot significante aanpassingen in de Overeenkomst, of wanneer Opdrachtnemer niet kan voorzien in een passend niveau van bescherming, kan dit voor Opdrachtnemer reden zijn om de Overeenkomst te beëindigen.
N Toepasselijk recht en forumkeuze
1 Op deze privacy voorwaarden is Nederlands recht van toepassing.
2 Alle geschillen in verband met de privacy voorwaarden of de uitvoering daarvan worden voorgelegd aan de bevoegde Nederlandse rechter.
3. Indien en voor zover de Opdrachtnemer in afwijking van het gestelde in deze privacy voorwaarden als Sub- Verwerker of als Verantwoordelijke dient te worden aangemerkt zullen de bepalingen in deze privacy voorwaarden zoveel mogelijk als wettelijk is toegestaan ook van toepassing zijn op de relatie tussen de Opdrachtnemer als
Sub-Verwerker of als Verantwoordelijke en de Opdrachtgever (als Verwerker of Verantwoordelijke). De Opdrachtnemer wordt uitsluitend als Verantwoordelijke aangemerkt indien zij vanwege de Werkzaamheden doel en middelen voor de verwerking bepaalt.
4. Deze privacy voorwaarden zijn hoger in rang dan andere door Opdrachtnemer met de Opdrachtgever gesloten overeenkomsten. Als de Opdrachtgever algemene voorwaarden gebruikt dan zijn deze niet van toepassing op deze privacy voorwaarden. De bepalingen uit deze privacy voorwaarden gaan boven de bepalingen in de algemene voorwaarden van de Opdrachtnemer, tenzij expliciet naar een bepaling in de algemene voorwaarden wordt verwezen.
Zeist, februari 2019
Annexen:
1. Gegevens en doeleinden
2. Beveiligingsmaatregelen
ANNEX 1
GEGEVENS EN DOELEINDEN
Verantwoordelijke / Opdrachtgever laat Verwerker / Opdrachtnemer onder andere maar niet uitsluitend de volgende Gegevens verwerken in het kader van de Overeenkomst, waaronder maar niet uitsluitend, kunnen vallen de Werkzaamheden ten behoeve van Opdrachtgever op het gebied van het verzorgen van de financiële administratie, personeelsadministratie, loonadministratie, financiële verslaglegging, alsmede diverse overige financiële, fiscale en juridische (advies) dienstverlening, waaronder begrepen het verzorgen van diverse belastingaangiften (zoals inkomstenbelasting, vennootschapsbelasting, omzetbelasting etc.), alles in de ruimste zin, alsmede in het kader van diverse informatievoorziening zoals het versturen van nieuwsbrieven:
(1) Naam (initialen, voornaam, achternaam)
(2) Geslacht
(3) Geboortedatum / Geboorteplaats
(4) BSN
(5) Adresgegevens
(6) Telefoonnummer(s)
(7) E-mailadres
(8) Gegevens ID-bewijs (in verband met de Wwft)
(9) Financiële en fiscale gegevens, zowel zakelijk als privé
(10) NAW-gegevens en BSN van personeelsleden van Verantwoordelijke
(11) Foto en beeldmateriaal, geluidsopnames, camerabeelden
(12) Kadastergegevens en Kamer van Koophandel informatie en uittreksels
(13) Overige gegevens die op enige wijze door Verantwoordelijke aan Verwerker worden verstrekt
Onder de werkzaamheden waarvoor bovengenoemde Gegevens mogen worden verwerkt, worden in ieder geval maar niet uitsluitend verstaan, een en ander met in acht name van het bepaalde in artikel C lid 7 van deze privacy voorwaarden:
(1) de werkzaamheden, te beschouwen als de primaire dienstverlening, in het kader waarvan Opdrachtgever een Overeenkomst is aangegaan met Opdrachtnemer;
(2) het onderhoud, waaronder updates en releases van het door Xxxxxxxxx dan wel Sub-verwerker aan Verantwoordelijke ter beschikking gestelde systeem;
(3) het gegevens- en technische beheer, ook door een Sub-verwerker;
(4) de hosting, ook door een Sub-verwerker.
Het samenstellen van diverse soorten financiële- en adviesrapportages, belastingaangiften en loonstroken vormt een belangrijk onderdeel van de dienstverlening van Opdrachtnemer.
Voor het verzorgen van belastingaangiften en toeslagen, (subsidie)aanvragen en de salarisadministratie is Opdrachtnemer vanuit de wet mogelijk verplicht het BSN-nummer te verwerken. Een volledige kopie van het identiteitsbewijs is daarnaast verplicht vanuit de loonbelasting. De Wwft (Wet ter voorkoming van witwassen en financieren van terrorisme) verplicht Opdrachtnemer om de identiteit van de klant vast te stellen en een bewijs daarvan te bewaren.
De Opdrachtgever geeft expliciet haar toestemming aan Opdrachtnemer om Xxxxxxxx te delen met derden zoals bijvoorbeeld de belastingdienst, bankinstellingen, pensioenfondsen, het UWV en/of verzekeraars voor zover nodig ter uitvoering van de Overeenkomst, uit een wettelijke verplichting voortvloeit of anderszins ingevolge de AVG is toegestaan. Hiermee wordt uiterst zorgvuldig omgegaan. Vertrouwelijkheid en geheimhouding naar derden is hiervoor het uitgangspunt. Dit geldt uiteraard ook voor inloggegevens zoals gebruikersnamen en wachtwoorden. De technische en organisatorische beveiliging is hierop afgestemd.
Opdrachtnemer verwerkt geen bijzondere gegevens over bijvoorbeeld ras, politieke opvattingen, geloofsovertuiging en medische informatie. Mocht er om een bijzondere reden noodzaak zijn dit wel te doen, dan zullen wij dit specifiek met de Opdrachtgever opnemen in de Overeenkomst.
Categorieën van betrokkenen
De Gegevens die verwerkt worden betreffen de volgende categorieën van betrokkenen:
(1) Personeelsleden van Verantwoordelijke
(2) Ondernemers / eigenaren van besloten vennootschappen, eenmanszaken, vennootschap onder firma, maatschappen e.d.
(3) Bestuurders van stichtingen, verenigingen en andere rechtspersonen
(4) Particulieren ten behoeve van belastingaangiften en advisering, alsmede hun partners en minderjarige kinderen.
Voor zover nodig ter uitvoering van de Overeenkomst, uit een wettelijke verplichting voortvloeit of anderszins ingevolge de AVG is toegestaan verleent de Opdrachtgever (natuurlijke personen) tevens toestemming voor de verwerking van Xxxxxxxx van haar minderjarige kinderen tot 16 jaar.
ANNEX 2 BEVEILIGINGSMAATREGELEN
Opdrachtnemer heeft in ieder geval de volgende beveiligingsmaatregelen getroffen:
- Gebruik van dubbele wachtwoorden, verificatiecodes en token
- Digitale wachtwoordenkluis
- Schermbeveiliging en printer/scannerbeveiliging met wachtwoord
- Indringeralarm/alarmsysteem in het bedrijfspand van Opdrachtnemer met persoonlijke code
- Sleutelkluis
- Beveiligde website met certificaat
- Beveiligingsbeleid met onder meer firewall, spamfilter en virusscanner, protocol gebruik elektronica-, internet-, social media werknemers en clean desk policy
- Zakelijke mobiele telefoons en laptops beveiligd met wachtwoord en/of vingerafdruk en/of schijf-encryptie
- Geheimhoudingsverklaringen in arbeidscontracten en met derden
- Gecertificeerd afvoeren van documenten met persoonsgegevens en harde schijven/elektronica
- Gebruik disclaimer in e-mail
- Back up- en herstelprocedures
- Beveiliging van netwerkverbindingen (intern en extern beheerd)
- Bevoegdheden zijn functioneel toegewezen aan een beperkt aantal personen dat met de uitvoering van de verwerking is belast (inclusief periodieke controle hierop)
- Logische toegangscontrole door middel van wachtwoorden en/of persoonlijke toegangscodes
- Voor zover vereist Sub-verwerkersovereenkomsten met derden
- Veilige wijze van het opslaan van gegevensbestanden binnen het kantoornetwerk
Bewaartermijnen
Er wordt op grond van de Wet bescherming persoonsgegevens (Wbp) gesproken over verschillende mogelijkheden met betrekking tot de bewaartermijn voor persoonsgegevens. Organisaties bepalen zelf hoe lang zij persoonsgegevens bewaren rekening houdend met de geldende wetgeving. Hierbij kijken zij naar hoe lang de gegevens nodig zijn voor het doel waarvoor deze zijn verzameld of worden gebruikt.
In de Wbp staat dat persoonsgegevens niet langer mogen worden bewaard dan noodzakelijk is voor het doel waarvoor zij verzameld en verwerkt worden. Deze bepaling is ook verwerkt in de AVG. Opdrachtnemer zal zich hierbij houden aan de geldende wettelijke bewaartermijnen.
Opdrachtnemer zal zich in deze aan de bepalingen van de AVG houden en mag daarbij persoonsgegevens in een archief bewaren als dit bestemd is voor historische, statistische of wetenschappelijke doeleinden.
Rechten van betrokkenen (Artikel 13 t/m 20, AVG)
De wet bepaalt niet alleen de plichten van degenen die de persoonsgegevens verwerken, maar bepaalt ook de rechten van de Betrokkene(n):
• Recht op informatie: Betrokkenen hebben het recht om te vragen of zijn/haar persoonsgegevens worden verwerkt.
• Inzagerecht: Betrokkenen hebben de mogelijkheid om te controleren of, en op welke manier, zijn/haar gegevens worden verwerkt.
• Correctierecht: Als duidelijk wordt dat de gegevens niet kloppen, kan de betrokkene een verzoek indienen om dit te corrigeren.
• Recht van verzet: Xxxxxxxxxxx hebben het recht te vragen om hun persoonsgegevens niet meer te gebruiken.
• Recht om vergeten te worden: In gevallen waar de betrokkene toestemming heeft gegeven om gegevens te verwerken, heeft de betrokkene het recht om de persoonsgegevens te laten verwijderen.
• Recht op bezwaar: Betrokkenen hebben het recht om bezwaar aan te maken tegen de verwerking van zijn/haar persoonsgegevens. Opdrachtnemer zal hieraan voldoen, tenzij er gerechtvaardigde gronden zijn voor de verwerking.
Voor zover mogelijk voldoet Opdrachtnemer aan verzoeken om inzage of wijziging of verwijdering van persoonsgegevens. Het verwijderen van persoonsgegevens is een recht vanuit de AVG, maar Opdrachtnemer heeft te maken met wetgeving ten aanzien van bewaarplicht van gegevens en die wetgeving gaat voor. De wettelijke bewaartermijn is vaak 7 jaar en in sommige gevallen langer dan 7 jaar.
Gezien de wettelijke bewaarplicht en andere wet- of (beroeps)regelgeving kan Opdrachtnemer over het algemeen niet voldoen aan een eventueel verzoek van de Opdrachtgever tot vernietiging of teruggave van de persoonsgegevens bij einde van de Overeenkomst. Mocht dit wel mogelijk zijn dan zal Xxxxxxxxxxxxx aan dit verzoek meewerken. Mocht het voldoen aan verzoeken kosten met zich meebrengen voor Opdrachtnemer of de sub-verwerker dan kan Opdrachtnemer die kosten in rekening brengen.
Om gebruik te maken van zijn/haar rechten kan de betrokkene een verzoek indienen bij Opdrachtnemer. Dit verzoek kan zowel schriftelijk als via de e-mail ingediend worden. Opdrachtnemer heeft vier weken de tijd, vanaf de ontvangst van het verzoek, om te beoordelen of het verzoek gerechtvaardigd is. Binnen vier weken zal Opdrachtnemer laten weten wat er met het verzoek gaat gebeuren. Als het verzoek niet wordt opgevolgd is er de mogelijkheid om bezwaar te maken bij Opdrachtnemer, of een klacht in te dienen bij de Autoriteit Persoonsgegevens (AP). Aan de hand van een verzoek kan Opdrachtnemer aanvullende informatie opvragen om zeker te zijn van de identiteit van de betrokkene.