Toetredingsovereenkomst voor de verwerking van persoonsgegevens in het kader van het Vastgoedinformatieplatform
Toetredingsovereenkomst voor de verwerking van persoonsgegevens in het kader van het Vastgoedinformatieplatform
TUSSEN:
Het lokaal bestuurDe gemeente zoals omschreven in Bijlage 1 bij deze Overeenkomst (hierna: lokaal bestuurgemeente);
EN
De naamloze vennootschap het Vlaams Datanutsbedrijf met merknaam athumiAthumi, zijnde een privaatrechtelijk vormgegeven extern verzelfstandigd agentschap, vertegenwoordigd door transitiemanager Xxxxx Xx Xxxxx, ingeschreven in het KBO met nummer 0795.547.478, waarvan de administratieve zetel zich bevindt te Xxxxxxxxx 00 xxx X, 0000 Xxxxxxx (hierna: athumiAthumi)
Contactgegevens: xxxxxxx@xxxxxx.xx;
Hierna elk afzonderlijk ‘Partij’ en gezamenlijk de ‘Partijen’ genoemd.
Het Vlaams Datanutsbedrijf met merknaam athumiAthumi is een privaatrechtelijk vormgegeven extern verzelfstandigd agentschap van de Vlaamse overheid met onder meer de taak om platformen te ontwikkelen en beheren en diensten te verlenen die zorg dragen voor de veilige en gewaarborgde afhandeling van de transacties tussen de betrokken burgers, overheidsinstanties of aanvragers, dit overeenkomstig artikel 5, §1, 5° van het decreet van 2 december 2022 houdende machtiging tot oprichting van het privaatrechtelijk vormgegeven extern verzelfstandigd agentschap Vlaams Datanutsbedrijf in de vorm van een naamloze vennootschap.
In dat kader biedt athumiAthumi het Vastgoedinformatieplatform (hierna: VIP) aan waarbij ze de vastgoedinformatiestromen tussen overheid, bedrijven en burgers veilig en efficiënt organiseren.
Wanneer een lokaal bestuurgemeente zich aansluit op het VIP dan treedt dit lokaal bestuurdeze gemeente, samen met athumiAthumi, op als Gezamenlijke Verwerkingsverantwoordelijke in de zin van artikel 26 van de Algemene Verordening Gegevensbescherming (hierna: AVG), voor het ter beschikkingstellen van producten, in overeenstemming met art. 7, 2°, b) van het Decreet van [datum22 december 2023] over het Vastgoedinformatieplatform (hierna: VIP-decreet). De nodige afspraken, onder meer met betrekking tot hun respectieve verantwoordelijkheid voor de nakoming van de verplichtingen uit hoofde van de AVG, met name met betrekking tot de uitoefening van de rechten van de Betrokkene en de transparantieverplichting, worden geformaliseerd in afdeling 2 van de voorliggende toetredingsovereenkomst (hierna: de Overeenkomst).
Athumi treedt op als Verwerker en het lokaal bestuurde gemeente als Verwerkingsverantwoordelijke in het kader van de facturatie en het innen van de gemeentelijke bronretributies. De nodige afspraken tussen athumiAthumi als Verwerker en het lokaal bestuurde gemeente als Verwerkingsverantwoordelijke worden overeenkomstig artikel 28 van de AVG opgelijst in afdeling 3 van deze Overeenkomst.
Het lokaal bestuurDe gemeente treedt als Verwerkingsverantwoordelijke toe door Bijlage 1 in te vullen en deze Overeenkomst te ondertekenen.
De Partijen dienen, in overeenstemming met artikelen 26 en art. 28 van de AVG, hun afspraken met betrekking tot de uitvoering en organisatie van deze Verwerking van Persoonsgegevens te formaliseren in deze Overeenkomst voor de Verwerking van Persoonsgegevens.
WERD OVEREENGEKOMEN WAT VOLGT:
1DEFINITIES
Begrippen die in deze Overeenkomst met hoofdletter worden gebruikt, moeten worden geïnterpreteerd zoals in dit artikel of elders in de Overeenkomst gedefinieerd.
De begrippen van deze Overeenkomst moeten worden gelezen in het licht van het VIP-decreet.
De bepalingen in deze Overeenkomst moeten worden geïnterpreteerd in het licht van de Toepasselijke Gegevensbeschermingswetgeving. Indien deze wetgeving geen duidelijke en ondubbelzinnige interpretatie biedt, moet aan de begrippen de betekenis gegeven worden die de intentie van de Partijen zo dicht mogelijk benadert.
2bepalingen geldend tussen de gezamenlijke verwerkingsverantwoordelijken (Artikel 26 AVG)
2.1voorwerp
Deze afdeling 2 geldt voor die activiteiten waar Partijen optreden als Gezamenlijke Verwerkingsverantwoordelijken. De bepalingen inzake Gezamenlijke Verwerkingsverantwoordelijken in deze Overeenkomst gelden uitsluitend in het kader van het “product vastgoedinlichtingen”, zoals bepaald in artikel 22 VIP-decreet.
Partijen verbinden zich ertoe om de standaarden inzake informatieveiligheid, zoals vastgesteld in de informatieclassificatie van de Vlaamse overheid, en de wet- en regelgeving inzake de bescherming van natuurlijke personen bij de Verwerking van Persoonsgegevens na te leven, in het bijzonder de AVG.
Elke andere Verwerking anders dan noodzakelijk in het kader van de Overeenkomst is strikt verboden, met inbegrip van de doorgifte van Persoonsgegevens aan derden, een derde land of aan een internationale organisatie, behoudens uitdrukkelijke toestemming van alle Partijen.
2.2geplande gegevensstromen
Athumi voegt, a.d.h.v. het VIP, gegevensstromen samen in een product1 en stelt deze ter beschikking aan de ontvangende entiteiten die hier toegang toe mogen krijgen.
Het lokaal bestuurDe gemeente neemt de rol op van aanleverende entiteit. Athumi neemt hierbij de rol op van platformbeheerder wat inhoudt dat de gegevensstromen via VIP gestroomlijnd worden volgens de VIP informatiestandaard.
Deze Overeenkomst richt zich momenteel enkel tot het “product vastgoedinlichtingen”, als vermeld in hoofdstuk 8 in het VIP-decreet. Het product bevat volgende vastgoedinformatie:
vastgoedinformatie met betrekking tot stedenbouwkundig uittreksel, vermeld in artikel 5.2.7 van de Vlaamse Codex Ruimtelijke Ordening;
vastgoedinformatie met betrekking tot natuur;
vastgoedinformatie met betrekking tot milieu;
vastgoedinformatie met betrekking tot huisvesting en woningkwaliteit;
vastgoedinformatie met betrekking tot onroerend erfgoed;
vastgoedinformatie met betrekking tot heffingen;
vastgoedinformatie met betrekking tot wettelijke erfdienstbaarheden van openbaar nut en infrastructuur.
Een detailbeschrijving van welke velden in deze informatierubrieken gedeeld worden, kan bekeken worden op de gebruikersomgeving van het VIP.
2.3naleving wetgeving
Partijen verbinden zich ertoe om de Toepasselijke Gegevensbeschermingswetgeving na te leven.
Indien een Partij van oordeel is dat een of meerdere Verwerkingen waarvoor Partijen gezamenlijk verantwoordelijk zijn, niet of niet meer in overeenstemming zijn met Toepasselijke Gegevensbeschermingswetgeving, licht ze de andere Partijen daarover in. Elke Partij zal hieromtrent advies vragen aan hun functionaris voor gegevensbescherming (DPO) en vervolgens gezamenlijk beslissen of deze Verwerkingen al dan niet tijdelijk of permanent dienen te worden stopgezet.
2.4transparantie
Partijen informeren de Betrokkenen over de Verwerking en het gebruik van hun Persoonsgegevens overeenkomstig de artikelen 12, 13 en 14 AVG.
Partijen zijn elk verantwoordelijk voor het opstellen, bijwerken en eventueel corrigeren van hun privacyverklaring waarin informatie verschaft wordt aan de betrokkene met betrekking tot de Verwerking van Persoonsgegevens.
De Betrokkene zal in duidelijke en begrijpbare taal over zijn rechten worden geïnformeerd alsook over de manier waarop hij die op laagdrempelige wijze kan uitoefenen. De informatie zal gemakkelijk toegankelijk zijn via de privacyverklaring die op het Vastgoedinformatieplatform geplaatst wordt.
2.5Bewaartermijnen
De meegedeelde gegevens zullen door de Partijen op het VIP gedurende een periode van maximaal één jaar bewaard worden. De gegevens worden niet langer bewaard dan noodzakelijk.
De vastgoedinformatie dient tot één jaar na aflevering nog consulteerbaar te zijn voor aanvragers op het VIP.
2.6uitoefening rechten van betrokkenen
Partijen communiceren op een duidelijke en eenvoudige wijze met de Betrokkenen overeenkomstig artikel 12 AVG.
Partijen spreken af dat de contacten met de Betrokkenen verlopen zoals hiernavolgend uiteengezet. xXxxxxx neemt de coördinatie van de uitoefening van de rechten van betrokkenen voor zijn rekening. Indien blijkt dat het verzoek betrekking heeft op Persoonsgegevens die de bevoegdheid van een andere Partij, maakt athumiAthumi het verzoek zo snel mogelijk over aan die Partij.
Indien een Betrokkene rechtstreeks contact opneemt met het lokaal bestuurde gemeente om zijn individuele rechten uit te oefenen, zal het lokaal bestuurde gemeente het verzoek overmaken aan athumiAthumi. Athumi zal in voorkomend geval de samenwerking tussen Partijen coördineren om op het verzoek te antwoorden. In geval er acties ondernomen moeten worden door een (Sub)Verwerker, zal athumiAthumi daarvoor afstemmen met de betrokken (Sub)Verwerker.
2.7contacten met derden
Partijen spreken af dat de contacten met derden in het kader van de Verwerking van Persoonsgegevens in eerste instantie verlopen via athumiAthumi, die de coördinatie van de activiteiten voor haar rekening neemt. Indien blijkt dat het concreet gaat over de Verwerking van Persoonsgegevens die behoren tot de bevoegdheid van een andere Partij, maakt athumiAthumi de vraag of het verzoek binnen redelijke termijn over aan de andere Partij.
2.8relaties met en aanduiding van verwerkers
Partijen komen overeen dat de relaties met de Verwerker(s) die instaan voor de concrete uitvoering van de Verwerkingen in het kader van het VIP, in eerste instantie toekomen aan het athumiAthumi.
Xxxxxx gaat namens alle Partijen na of de Verwerker de passende technische en organisatorische maatregelen neemt om de Verwerking te beveiligen.
Athumi waakt er over dat de Verwerker enkel Subverwerkers aanstelt om Persoonsgegevens in het kader van VIP te verwerken na uitdrukkelijke, specifieke goedkeuring van athumiAthumi.
2.9Machtigingen en protocollen
Partijen spreken af dat in geval een machtiging aangevraagd moet worden of een protocol afgesloten moet worden, het (DPO-team van) athumiAthumi optreedt als coördinator en facilitator van de werkzaamheden, met dien verstaande dat alle Partijen bij de procedure betrokken worden. Athumi is als coördinator en facilitator bevoegd de machtigingsaanvragen en protocollen te onderhandelen en te ondertekenen.
2.10Het verrichten van een gegevensbeschermingseffectbeoordeling
De Verwerking door de Partijen die valt onder deze Overeenkomst, vergt het opstellen van een gegevensbeschermingseffectbeoordeling conform artikel 35 GDPRAVG. Deze wordt verricht door alle Partijen gezamenlijk, zij het dat de Partijen, vanuit overwegingen inzake efficiëntie, overeenkomen dat athumiAthumi hierbij het initiatief neemt. Als zodanig kan athumiAthumi de risico’s die zich kunnen stellen als gevolg van de Verwerking, identificeren en omschrijven, alsook, aan de Verwerker de maatregelen voorstellen en opleggen die nodig zijn om die risico’s te beheren en te beheersen.
Indien noodzakelijk, ondersteunen de andere Partijen athumiAthumi met het opmaken van een gegevensbeschermingseffectbeoordeling, waar mogelijk, door het overhandigen van de technische en organisatorische maatregelen waar zij over beschikken.
Conform artikel 36 AVG zullen Partijen de toezichthoudende autoriteit voorafgaand raadplegen indien uit de gegevensbeschermingseffectbeoordeling blijkt dat de Verwerking een hoog risico zou opleveren.
2.11Werkwijze bij een Datalek
Partijen verbinden zich ertoe om elkaar zonder onredelijke vertraging op de hoogte te stellen van elke Inbreuk in verband met persoonsgegevens die impact heeft op de andere Partij of op beide Partijen. In voorkomend geval verschaffen de Partijen elkaar alle informatie die ze nuttig of nodig achten om de beveiligingsmaatregelen te optimaliseren en die nodig is om een eventuele melding bij de toezichthoudende autoriteit of aan de Betrokkenen in orde te brengen (in overeenstemming met de artikelen 33 en 34 van de AVG).
Deze informatie bevat minstens volgende elementen:
De aard van het Datalek, waar mogelijk onder vermelding van de categorieën van Betrokkenen en persoonsgegevensregisters in kwestie en, bij benadering, het aantal Betrokkenen en persoonsgegevensregisters in kwestie;
De naam en de contactgegevens van de DPO of een ander contactpunt waar meer informatie kan worden verkregen;
De waarschijnlijke gevolgen van de inbreuk in verband met Persoonsgegevens;
De maatregelen die het lokaal bestuurde gemeente heeft voorgesteld of genomen om de Inbreuk in verband met persoonsgegevens aan te pakken, waaronder, in voorkomend geval, de maatregelen ter beperking van de eventuele nadelige gevolgen daarvan.
Athumi, zal zonder onredelijke vertraging, en indien mogelijk uiterlijk 72 uur, na het vaststellen van een Inbreuk in Verband met Persoonsgegevens een melding doen bij de toezichthoudende entiteit autoriteit in overeenstemming met artikel 33 van de AVG. athumiAthumi zal het lokaal bestuurde gemeente onmiddellijk op de hoogte stellen van de melding aan de toezichthoudende entiteitautoriteit.
Alle Partijen zullen samenwerken met de toezichthoudende entiteit autoriteit in verband met eventuele verzoeken om informatie en assistentie in verband met deze melding.
Athumi meldt eveneens, indien nodig, het Datalek ook aan de Betrokkenen overeenkomstig artikel 34 van de AVG. De Partijen zullen samenwerken om de nodige informatie tijdig aan de Betrokkenen te verstrekken.
2.12Contacten met toezichthouders
De contacten met de toezichthoudende autoriteit verlopen in eerste instantie via de DPO van athumiAthumi.
Betreft het een vraag of verzoek in het kader van de opvolging van een klacht die door de Betrokkene bij de toezichthoudende autoriteit is ingediend, wordt de vraag of het verzoek voor overleg overgemaakt aan de Partij tegen wie de klacht is ingediend.
Betreft het een vraag of een verzoek in het kader van het beheer van het VIP-platform, wordt de vraag of het verzoek behandeld door athumiAthumi. In voorkomend geval verschaft het lokaal bestuurde gemeente op vraag van athumiAthumi alle informatie die ze nuttig of nodig acht om de vraag of het verzoek te behandelen.
2.13Vertrouwelijkheid
De Partijen verbinden zich er uitdrukkelijk toe het vertrouwelijk karakter en de beveiliging van de Persoonsgegevens die zij in het kader van deze Overeenkomst verwerken, te waarborgen.
De Partijen waken erover dat alle Medewerker(s) of aangestelde(n) die toegang hebben tot de Persoonsgegevens, contractueel en/of statutair tot vertrouwelijkheid gebonden zijn.
De Partijen zien erop toe dat Xxxxxxxxxx(s) of aangestelde(n) enkel toegang verkrijgen tot Persoonsgegevens verwerkt in het Vastgoedinformatieplatform op basis van het noodzakelijkheidsbeginsel (“need-to-know”-principe).
De Partijen voorkomen dat door middel van functie- en rollenscheiding een combinatie van toegangsrechten zou kunnen leiden tot ongeautoriseerde handelingen of niet-toegelaten toegang tot Persoonsgegevens door Medewerker(s) of aangestelde(n).
De verplichting tot vertrouwelijkheid blijft gelden na beëindiging van de Overeenkomst.
2.14Technische en organisatorische maatregelen
Partijen nemen elk voor de Verwerking waarvoor zij verantwoordelijk zijn gepaste technische en organisatorische maatregelen in overeenstemming met artikel 32 van de AVG om de Persoonsgegevens en de Verwerking ervan te beveiligen tegen vernietiging, verlies, vervalsing, niet toegelaten verspreiding of toegang en elke andere vorm van onrechtmatige Verwerking.
Partijen komen overeen dat athumiAthumi als operationeel beheerder verantwoordelijk is voor de uitvoering van de technische en organisatorische maatregelen op het VIP en de ondersteunende infrastructuur. De specifieke maatregelen die genomen moeten worden, zijn opgenomen in Bijlage 4 die aan deze Overeenkomst is toegevoegd.
Op éénvoudig verzoek van één van de Partijen, bezorgen de andere Partijen extra verduidelijking over de technische en organisatorische maatregelen aan de desbetreffende DPO.
De Partijen zullen op gezette tijdstippenminstens eenmaal per jaar de doeltreffendheid van de technische en organisatorische maatregelen ter beveiliging van de Verwerking, testen, beoordelen en evalueren. Indien nodig zullen de technische en organisatorische maatregelen worden geactualiseerd.
2.15Plaats van de Verwerking en doorgifte
Partijen komen overeen dat de Verwerkingen van de Persoonsgegevens enkel binnen de EER zal gebeuren. Xxxxxx neemt de taak op zich om daarover te waken jegens de (Sub)Verwerker(s).
2.16Aansprakelijkheid
Partijen zijn elk aansprakelijk voor de schade die het gevolg is van inbreuken op de AVG door de Verwerking die zij uitvoeren in het kader van deze Overeenkomst.
De aansprakelijkheid van Partijen is beperkt zoals voorzien in de verwerkingsopdracht, zonder evenwel afbreuk te doen aan artikel 82 van de AVG.
3bepalingen geldend tussen verwerkingsverantwoordelijke en verwerker
3.1Voorwerp
Deze afdeling 3 geldt voor de Verwerkingsactiviteiten betreffende de facturatie en het innen van de gemeentelijke bronretributies waarbij het lokaal bestuurde gemeente optreedt als Verwerkingsverantwoordelijke en athumiAthumi als Verwerker.
In deze afdeling wordt verwezen naar het lokaal bestuurde gemeente als ‘Verwerkingsverantwoordelijke’ en athumiAthumi als ‘Verwerker’.
De beschrijving van de instructies van de Verwerkingsverantwoordelijke inzake de Verwerking door de Verwerker zijn opgenomen in Bijlage 2.
3.2verwerkingsopdracht
De Verwerker verwerkt de persoonsgegevens uitsluitend overeenkomstig de verwerkingsopdracht, de in deze Overeenkomst vastgelegde verplichtingen en de Toepasselijke Gegevensbeschermingswetgeving. De Verwerker verwerkt de Persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Verwerkingsverantwoordelijk. De Verwerker beschouwt de verwerkingsopdracht als de volledige instructie van de Verwerkingsverantwoordelijke. De verwerkingsopdracht wordt nader omschreven in Bijlage 2 bij deze Overeenkomst.
3.2.1Principe van self- billing
Partijen
komen overeen dat de Verwerker maandelijks in naam en voor rekening
van de Verwerkingsverantwoordelijke een afrekeningsstuk zal opmaken
op basis waarvan de door Verwerker aan de
Verwerkingsverantwoordelijke verschuldigde bronretributies worden
uitbetaald binnen de 30 dagen nadat het afrekeningsstuk
overeenkomstig huidig artikel geacht wordt finaal te zijn uitgereikt.
Het aldus uitgereikte
afrekeningsstuk wordt geacht aanvaard en finaal door de Verwerker te
zijn uitgereikt indien de Verwerkingsverantwoordelijke deze niet
betwist binnen een termijn van 15 dagen na het uitreiken van het
afrekeningsstuk.
3.3naleving wetgeving
De Verwerker verbindt zich ertoe om de Toepasselijke Gegevensbeschermingswetgeving na te leven.
De Verwerkingsverantwoordelijke verbindt er zich toe de Toepasselijke Gegevensbeschermingswetgeving na te leven. Dit houdt onder meer in dat de Verwerkingsverantwoordelijke er steeds op zal toezien dat er een gepaste rechtsgrond voor de verwerking bestaat en dat deze, indien noodzakelijk, een gegevensbeschermingseffectbeoordeling opstelt.
Indien de Verwerker van oordeel is dat de verwerkingsopdracht niet of niet meer in overeenstemming is met de Toepasselijke Gegevensbeschermingswetgeving, licht ze de Verwerkingsverantwoordelijke daarover in en kan ze de Verwerking tijdelijk of permanent stopzetten. De Verwerkingsverantwoordelijke onderzoekt de melding van Verwerker. Indien dit onderzoek uitwijst dat de Verwerking toch nog steeds conform de Toepasselijke Gegevensbeschermingswetgeving verloopt, kan de Verwerkingsverantwoordelijke de Verwerker opdragen om de Verwerking te hervatten. In het tegenovergestelde geval zal de Verwerkingsverantwoordelijke bevestigen dat de Verwerking opgeschort blijft tot wanneer de vereisten van Toepasselijke Gegevensbeschermingswetgeving zijn voldaan.
Indien de Verwerkingsverantwoordelijke van oordeel is dat de Verwerking niet of niet meer in overeenstemming is met de Toepasselijke Gegevensbeschermingswetgeving, licht ze athumiAthumi daarover in en draagt ze hem onmiddellijk op om de Verwerking per direct al dan niet tijdelijk stop te zetten.
3.4doorgifte
De Verwerker zal de Persoonsgegevens die Verwerkt worden niet doorgeven aan enige derde partij anders dan noodzakelijk voor de uitvoering van de Verwerking, tenzij dit noodzakelijk is om te voldoen aan een wettelijke verplichting. In dat geval zal de Verwerker de Verwerkingsverantwoordelijke voorafgaandelijk aan de doorgifte in kennis stellen van dat wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.
3.5Vertrouwelijkheid personeel
De Verwerker verbindt zich er uitdrukkelijk toe het vertrouwelijk karakter en de veiligheid van de Persoonsgegevens die zij in het kader van de Overeenkomst Verwerkt, te waarborgen.
Alle Medewerkers van de Verwerker, zowel intern als extern, gemachtigd tot het uitvoeren van de Overeenkomst, zijn gehouden tot een wettelijke dan wel contractuele vertrouwelijkheidsverplichting.
De Verwerker verschaft zijn Medewerkers alleen toegang tot Persoonsgegevens op een "need-to-know" basis voor zover dat nodig is voor het uitvoeren van de Verwerking.
De verplichting tot vertrouwelijkheid blijft gelden na beëindiging van de Overeenkomst.
3.6 subverwerking
De Verwerker mag beroep doen op Subverwerkers om Persoonsgegevens in het kader van deze Overeenkomst te verwerken.
De Verwerkingsverantwoordelijke gaat akkoord met de lijst van Subverwerkers opgesomd in Bijlage 3. Binnen een termijn van 30 dagen voor het aannemen of vervangen van een andere Subverwerker dan de lijst van Bijlage 3 licht de Verwerker de Verwerkingsverantwoordelijke in over de toevoeging of verandering. De Verwerkingsverantwoordelijke kan vervolgens binnen die termijn van 30 dagen een bezwaar maken tegen het aannemen van de voorgestelde Subverwerker.
Extern ingehuurde Medewerkers worden voor deze Overeenkomst niet als Subverwerker beschouwd. De Verwerker zal erop toezien dat deze extern ingehuurde Medewerkers dezelfde vertrouwelijkheidsclausule, zoals beschreven in artikel 3.5 van deze Overeenkomst naleven zoals dit voor de eigen Medewerkers van Verwerker het geval is.
De Verwerker en de Subverwerker sluiten een overeenkomst waarin dezelfde verplichtingen inzake gegevensbescherming opgelegd worden als die welke in afdeling 3 van de voorliggende Overeenkomst zijn opgenomen. De Verwerker zal de Subverwerkers ook dezelfde geheimhoudingsverplichting opleggen. De Verwerker zal op eenvoudig verzoek van de Verwerkingsverantwoordelijke het nodige bewijs voorleggen om aan te tonen dat de overeenkomsten met haar Subverwerkers voldoen aan de in dit artikel gestelde voorwaarden.
De Verwerker houdt een actueel overzicht bij van de overeenkomsten met Subverwerkers en kan deze binnen redelijke termijn op eenvoudig verzoek bezorgen aan de Verwerkingsverantwoordelijke.
Indien een Subverwerker haar gegevensbeschermingsverplichtingen niet vervult, zal de Verwerker volledig aansprakelijk blijven ten opzichte van de Verwerkingsverantwoordelijke voor de naleving van deze verplichtingen.
3.7Technische en organisatorische maatregelen
De Verwerker treft alle passende technische en organisatorische beveiligingsmaatregelen die nodig zijn om de Persoonsgegevens te beveiligen om aan de vereisten van de Toepasselijke Gegevensbeschermingswetgeving te voldoen en de bescherming van de rechten van de Betrokkene te waarborgen. Deze beveiligingsmaatregelen omvatten minstens, maar zijn niet beperkt tot de maatregelen zoals omschreven in artikel 32 van de AVG.
Bij vaststelling van deze maatregelen houdt de Verwerker rekening met de stand van de techniek en de kost voor beveiliging, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van personen. In het bijzonder zal de Verwerker de Persoonsgegevens beveiligen tegen vernietiging, verlies, vervalsing, niet toegelaten verspreiding of toegang en elke andere vorm van onwettige Verwerking.
Athumi wijst een functionaris voor gegevensbescherming aan en heeft tenminste een actueel informatieveiligheidsbeleid- en plan.
3.8Bijstand
3.8.1 Algemeen
De Verwerker zal, rekening houdend met de aard van de Verwerking en de hem ter beschikking staande informatie, de Verwerkingsverantwoordelijke alle informatie verstrekken en alle bijstand verlenen die noodzakelijk is en/of die redelijkerwijze mag worden verwacht opdat het lokaal bestuurde Verwerkingsverantwoordelijke in staat zou zijn om haar verplichtingen uit hoofde van de artikelen 32 tot en met 36 van de AVG na te komen én van deze nakoming het bewijs te leveren.
3.8.2Bijstand bij verzoeken van een betrokkene
De Verwerker verleent aan de Verwerkingsverantwoordelijke bijstand en medewerking bij het vervullen van diens plicht om verzoeken tot uitoefening van de in hoofdstuk III van de AVG vastgestelde rechten van de Betrokkene, te beantwoorden.
Indien een Betrokkene zich rechtstreeks tot de Verwerker wendt om zich te beroepen op één van de rechten die hem ingevolge hoofdstuk III van de AVG zijn toegekend, zal de Verwerker dit onverwijld melden aan de Verwerkingsverantwoordelijke en alleen tegemoetkomen aan het verzoek van de Betrokkene na schriftelijk akkoord van de Verwerkingsverantwoordelijke.
3.8.3 bijstand bij een inbreuk in verband met persoonsgegevens
De Verwerker verbindt zich ertoe elk Datalek en alle ernstige pogingen tot onrechtmatige of ongeautoriseerde Verwerkingen of toegangen tot Persoonsgegevens zonder onredelijke vertraging, en uiterlijk 24 uur na kennisname, te melden aan de Verwerkingsverantwoordelijke conform artikel 33 van de AVG.
De Verwerker zal alle maatregelen treffen die redelijkerwijs nodig zijn om (verdere) schending van de beveiligingsmaatregelen en eventuele schade van een dergelijk Datalek te voorkomen of te beperken en zal aan de Verwerkingsverantwoordelijke alle informatie die ze nuttig of nodig acht, verschaffen.
De Verwerker zal alle maatregelen treffen die redelijkerwijs nodig zijn om de nadelige gevolgen van een dergelijk Datalek zoveel mogelijk te beperken en zal aan de Verwerkingsverantwoordelijke alle informatie die ze nuttig acht, verschaffen.
Rekening houdend met de aard van de verwerking en de hem ter beschikking staande informatie, verleent de Verwerker bijstand aan de Verwerkingsverantwoordelijke bij het nakomen van diens verplichtingen betreffende:
Het melden van een Datalek aan de toezichthoudende autoriteit conform artikel 33 van de AVG;
Het mededelen van een Datalek aan de Betrokkene conform artikel 34 van de AVG.
Het is de Verwerker evenwel niet toegestaan om het Datalek zelf te melden aan de bevoegde toezichthoudende autoriteit of de mededeling aan de Betrokkene zelf te verrichten. Dit is uitsluitend de bevoegdheid van de Verwerkingsverantwoordelijke.
3.8.4andere bijstandsverplichtingen
De Verwerker zal, rekening houdend met de aard van de Verwerking en de hem ter beschikking staande informatie, de Verwerkingsverantwoordelijke bijstand verlenen bij het nakomen van diens verplichtingen betreffende:
Het beveiligen van de Verwerking conform artikel 32 van de AVG;
Het uitvoeren van een gegevensbeschermingseffectbeoordeling conform artikel 35 van de AVG;
Het voorafgaand aan een voorgenomen Verwerking raadplegen van de toezichthoudende autoriteit, wanneer dit na een gegevensbeschermingseffectbeoordeling nodig zou blijken, conform artikel 36 van de AVG.
3.9Controle
De Verwerkingsverantwoordelijke of zijn daartoe aangestelde heeft op elk ogenblik het recht om de naleving van deze Overeenkomst te controleren. Daartoe heeft zij het recht om zich ter plaatse te begeven in de lokalen of plaatsen waar de Verwerker de Verwerking uitvoert. De Verwerkingsverantwoordelijke zal de Verwerker minstens 30 15 dagen voorafgaand aan het uitvoeren van de controle schriftelijk inlichten. De Verwerkingsverantwoordelijke zal de controles, tenzij dwingend anders vereist, enkel op werkdagen tijdens kantooruren uitvoeren.
Op eenvoudig verzoek van de Verwerkingsverantwoordelijke is de Verwerker ertoe gehouden alle inlichtingen die van toepassing zijn bij de uitvoering van deze Overeenkomst mee te delen en bijstand te verlenen bij het uitvoeren van de audits of bij het vervullen van de verplichting om verzoeken om uitoefening van de in de AVG vastgestelde rechten van de Betrokkene te beantwoorden.
In geval de Verwerkingsverantwoordelijke een derde aanstelt om de naleving van de Overeenkomst te controleren, heeft de Verwerker het recht om deze aangestelde te weren indien de Verwerker ervan overtuigd is dat de aangestelde de controle niet onafhankelijk kan uitvoeren of niet in het bezit is van de vereiste beroepskwalificaties. In onderling overleg met de Verwerkingsverantwoordelijke wordt er een oplossing voorzien om alsnog de audit te kunnen laten doorgaan.
3.10Internationale doorgifte van de gegevens
De Verwerker is niet gerechtigd om Persoonsgegevens in een land buiten de EER te verwerken, tenzij de Verwerkingsverantwoordelijke aan de Verwerker expliciet schriftelijk toestemming verleent of om te voldoen aan een specifieke eis uit hoofde van een Unierechtelijke of lidstaatrechtelijke bepaling waaraan de Verwerker is onderworpen. In dat geval stelt de Verwerker de Verwerkingsverantwoordelijke, voorafgaand aan de Verwerking, in kennis van dat wettelijk voorschrift, tenzij de Unierechtelijke of lidstaatrechtelijke bepaling deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Met behoud van bovenstaande, ziet Xxxxxxxxx er tevens op toe dat geen van haar Subverwerkers Persoonsgegevens in een land buiten de EER Verwerkt.
Indien de Verwerker de Persoonsgegevens, na daartoe verkregen schriftelijke toestemming van de Verwerkingsverantwoordelijke, verwerkt in een land buiten de EER, en indien de Verwerking niet rechtmatig kan plaatsvinden onder het EU-VS Data Privacy Frameworkconform de bepalingen opgenomen in het adequaatheidsbesluit van 10 juli 2023, gaan de Partijen hierbij aanvullend op deze Overeenkomst akkoord met de ongewijzigde versie van de door de Europese Commissie goedgekeurde “Standaardcontractbepalingen voor de doorgifte van persoonsgegevens aan verwerkers die gevestigd zijn in derde landen die geen passend beschermingsniveau waarborgen” en/of nemen de Partijen kennis van eventuele Bindende Bedrijfsvoorschriften die van toepassing zouden zijn op de internationale doorgifte van persoonsgegevens.
De Verwerkingsverantwoordelijke gaat bij aanvang van deze Overeenkomst akkoord met de eventuele gegevensdoorgifte die gepaard gaat met het gebruik van Subverwerkers of Verwerkers van Subverwerkers zoals opgenomen in Bijlage 3.
3.11Aansprakelijkheid
De Verwerker is aansprakelijk ten aanzien van de Verwerkingsverantwoordelijke voor schade die voortvloeit uit een handeling of een nalatigheid wanneer bij de Verwerking niet is voldaan aan de specifiek tot Verwerkers gerichte verplichtingen van de Toepasselijke Gegevensbeschermingswetgeving dan wel uit een handeling of nalatigheid in strijd met de rechtmatige instructies van de Verwerkingsverantwoordelijke.
De aansprakelijkheid van de Verwerker is beperkt zoals voorzien in de verwerkingsopdracht, zonder evenwel afbreuk te doen aan art. 82 van de AVG.
3.12Beëindiging van de verwerkingsopdracht
Indien de Verwerker zijn verplichtingen als Verwerker, opgelijst in afdeling 3 van voorliggende Overeenkomst, niet naleeft, kan de Verwerkingsverantwoordelijke, onverminderd het recht om een schadevergoeding te bekomen, na schriftelijke gemotiveerde ingebrekestelling de opdracht geheel of gedeeltelijk beëindigen indien de Verwerker nalaat passende maatregelen te treffen binnen een termijn van 6 maanden.
Na beëindiging van de verwerkingsopdracht dient de Verwerker aan de Verwerkingsverantwoordelijke, zonder onredelijke vertraging, en onverwijld op verzoek, een kopie te bezorgen van alle Persoonsgegevens die door haar in het kader van de opdracht als Verwerker Verwerkt worden, in gestructureerd, gangbaar en machine leesbaar formaat.
Als alle Persoonsgegevens zijn bezorgd, stelt de Verwerker onmiddellijk een einde aan elke Verwerking van de Persoonsgegevens. Bestaande kopieën worden veilig verwijderd, tenzij opslag van de Persoonsgegevens verplicht is op grond van de Toepasselijke Gegevensbeschermingswetgeving.
4Bepalingen gemeenschappelijk aan de partijen
4.1Voorwerp
Deze afdeling 4 bepaalt de bepalingen gemeenschappelijk aan de Partijen van deze Overeenkomst.
4.2Contact
Elke Partij duidt een contactpunt aan voor de aangelegenheden met betrekking tot de Verwerking van Persoonsgegevens in het kader van deze Overeenkomst (hierna: de “SPOC”). Wanneer een SPOC gedurende de looptijd van deze Overeenkomst zou wijzigen, moet dit gemeld worden aan de Partijen, zonder dat evenwel aanpassing van deze Overeenkomst noodzakelijk is. De contactgegevens van de contactpunten worden opgenomen in Bijlage 1 van deze Overeenkomst.
4.3Inwerkingtreding
De Overeenkomst treedt in werking na ondertekening door beide Partijen, na de inwerkingtreding van het gemeenteraadsbesluit en ten vroegste op de datum van inwerkingtreding van het VIP-decreet.
4.4Duur
De overeenkomst is van onbepaalde duur.
4.5Toepasselijk recht en bevoegde rechtbank
In geval van betwisting is het Belgische recht van toepassing en zijn de hoven en rechtbanken van het gerechtelijk arrondissement Brussel, bevoegd.
4.6Deelbaarheid
Indien een bepaling van deze Overeenkomst geheel of gedeeltelijk ongeldig of niet-afdwingbaar wordt geacht, wordt deze (voor zover deze ongeldig of niet-afdwingbaar is) als scheidbaar beschouwd en wordt de geldigheid van de andere bepalingen van deze Overeenkomst niet aangetast.
De Partijen zullen vervolgens te goeder trouw onderhandelen om de ongeldige, onwettige of nietige bepaling te vervangen door een geldige bepaling die zoveel als mogelijk de gevolgen heeft van de ongeldige, onwettige of nietige bepaling.
4.7Enige overeenkomst en Wijzigingen
De Overeenkomst omvat de volledige afspraken tussen de Partijen met betrekking tot het onderwerp en de beoogde verplichtingen in deze Overeenkomst, en vervangt hierbij alle eerdere afspraken, voorstellen, onderhandelingen, overeenkomsten, toezeggingen en verklaringen, hetzij mondeling hetzij schriftelijk.
De bepalingen van onderhavige Overeenkomst kunnen uitsluitend bij een door vertegenwoordigingsbevoegde personen van beide Partijen ondertekend geschrift worden aangepast, gewijzigd, aangevuld of ingeperkt. De aanpassingen, wijzigingen, aanvullingen of inperkingen treden slechts in werking vanaf de datum van ondertekening ervan, tenzij wanneer anders uitdrukkelijk en schriftelijk wordt overeengekomen.
Deze Overeenkomst werd elektronisch opgesteld en ondertekend.
Voor athumiAthumi
_____________________________ Xxxxx Xx Xxxxx Transitiemanager Vlaams Datanutsbedrijf (athumiAthumi)
|
Voor [Lokaal bestuurGemeente]
_____________________________ [gegevens lokaal bestuurgemeente]
|
Bijlagen:
Bijlage 1: Instructie en toetreding lokaal bestuurgemeente
Bijlage 2: Toelichting verwerkingsopdracht
Bijlage 3: Onderverwerkers
Bijlage 4: Technische en organisatorische maatregelen
Identificatie lokaal bestuurvan de gemeente
[LOKAAL BESTUURGEMEENTE], ingeschreven in het KBO met nummer [XXX], met zetel [adres van de maatschappelijke zetel], vertegenwoordigd door het college van burgemeester en schepenen, voor wie tekenen: [de burgemeester of de bevoegde schepen] en [de algemeen directeur] in uitvoering van het gemeenteraadsbesluit/collegebesluit.
SPOC
|
athumiAthumi |
Lokaal bestuurGemeente |
Contactpersoon Naam + functie |
Xxxxx
Xxxxxxxxxx |
[Aan te vullen door lokaal bestuurgemeente] |
DPO |
xxxxxxx@xxxxxx.xx |
[Aan te vullen door lokaal bestuurgemeente] |
Datum:
Handtekening [Lokaal bestuurGemeente]
beschrijving van de instructies van de verwerkingsverantwoordelijke van de verwerking door DE VERWERKER
In het kader van de Overeenkomst voert de athumiAthumi op de onderstaande Persoonsgegevens de Verwerkingen uit waarvan per gegevenssoort de aard van de Verwerking, alsmede het doel ervan en de categorieën van Betrokkenen, de classificatie (*optioneel) worden vermeld.
Zoals
bepaald in het VIP-decreet zal athumiAthumi de prijs van een product
innen bij de ontvangende entiteiten (of “aanvragers”) van
vastgoedinformatie.
De prijs voor een “product
vastgoedinlichtingen” bijvoorbeeld bestaat uit de
platformretributie (ten voordele van athumiAthumi) en de
gemeentelijke bronretributie (ten voordele van het lokaal bestuurde
gemeente). Athumi zal bijgevolg de gemeentelijke bronretributies
innen in naam en voor rekening van het lokaal bestuurde gemeente bij
de aanvragers. Maandelijks vereffent athumiAthumi deze tegoeden met
het lokaal bestuurde gemeente.
Soort Persoonsgegevens |
Aard van de Verwerking |
Doel van de Verwerking |
Categorie(ën) van Betrokkenen |
Classificatie (*) |
Contact- en identificatiegegevens |
Gebruik e-mailadres voor verstrekken informatie en doorsturen facturen m.o.o. de inning van de retributie |
|
|
/ |
Financiële gegevens |
Overmaken facturen voor aanvraag vastgoedinformatie, inning en doorstorting van de gelden |
|
|
/ |
subverwerker(s)
Xxxxxx doet beroep op volgende subverwerker(s) voor de Verwerking van Persoonsgegevens zoals uiteengezet in deze Overeenkomst.
Wanneer bijkomende subverwerkers worden aangesteld of indien de samenwerking met een subverwerker wordt stopgezet, zal deze bijlage worden aangepast overeenkomstig 4.7 deze Overeenkomst.
Subverwerker |
Beschrijving van de Verwerkingsactiviteiten door de Subverwerker |
Categorieën van Persoonsgegevens |
Vindt er een gegevensdoorgifte naar derde landen plaats?
Indien ja, welke maatregelen zijn er genomen in het licht van hoofdstuk V AVG? |
Heeft de Verwerker met de Subverwerker een overeenkomst gesloten op grond van art. 28 AVG?2
|
Naam : Digitaal Vlaanderen, Adres: Xxxxxxxxx 00/x, 0000 Xxxxxxx
Data
Protection Officer:
|
|
|
☒ Neen. ☐ Ja, in/naar de volgende landen:
|
☒ Ja. ☐ Neen, want: |
Naam: Cronos Public Services NV Adres: Xxxxxxxx 00x, 0000 Xxxxxxx
Data Protection Officer, incl. contactgegevens: xxx@xxxxxx.xx |
Hosting (servers in een privaat datacenter beheerd door Cronos in België) van het Vastgoedinformatieplatform dat er onder meer voor zorgt dat gegevens uit centrale authentieke bronnen (open-data) automatisch worden opgehaald. Lokale besturen vullen de vastgoedinlichtingen verder aan met de eigen lokale vastgoedinformatie. Opslag van de vastgoedinlichtingen gebeurt eveneens op deze omgeving. |
|
☒ Neen. ☐ Ja, in/naar de volgende landen:
|
☒ Ja. ☐ Neen, want: |
Atos Belgium X.X/X.X Xx Xxxxxxxxx 0 X-0000 Xxxxxxxx RPR-RPM Brussels |
De
Verwerker staat in voor de hosting van het clearing house platform
die de verwerking op zich neemt van de clearing en settlement van
alle financiële transacties gekoppeld aan producten van het VIP
platform. |
|
☒ Neen. ☐ Ja, in/naar de volgende landen:
|
☒ Ja. ☐ Neen, want: |
Eviden Belgium NV
Xx
Xxxxxxxxx 0 0000 Xxxxxxxx Aanspreekpunt
DPO: |
De
Verwerker staat in voor het beheer van het clearing house platform
die de verwerking op zich neemt van de clearing en settlement van
alle financiële transacties gekoppeld aan producten van het VIP
platform. |
|
☒ Neen. ☐ Ja, in/naar de volgende landen:
|
☒ Ja. ☐ Neen, want: |
CCV
Belgium 8900 Ieper Data Protection Officer (CCV groep) : xx@xxxxxxxxxx.xx |
De Verwerker staat in voor een financiële ontzorging van het Lokaal bestuurde gemeente door de gemeentelijke retributies te innen voor naam en voor rekening voor het Lokaal bestuurde gemeente ingeval er betaalt wordt via een payment service provider. Ingeval de aanvrager van vastgoedinformatie online (contant) betaalt via een payment service providerserviceprovider worden er persoonsgegevens verwerkt voor deze finaliteit. |
|
☒ Neen. ☐ Ja, in/naar de volgende landen:
|
☒ Ja. ☐ Neen, want: |
Athumi maakt gebruik van de informatieclassificatie van de Vlaamse overheid als kompas voor het implementeren van de nodige technische en organisatorische maatregelen om het beveiligingsniveau van de verwerking te waarborgen.
De classificatie die van toepassing is, is de op één na hoogste classificatie die uit de inventaris van alle geïdentificeerde Persoonsgegevens kan afgeleid worden. Het is die classificatie die de informatieclassificatie van het volledige platform bepaalt. De gegevens die via het Vastgoedinformatieplatform verwerkt worden, zijn na analyse volgens dit model ingedeeld in informatieklasse 4.
Om de beschikbaarheid, integriteit en vertrouwelijkheid van de Persoonsgegevens tijdens de verwerking te garanderen worden, op basis van deze indeling, de hierna beschreven technische en organisatorische veiligheidsmaatregelen genomen.
Meer informatie omtrent deze minimale maatregelen is beschikbaar op vraag van het lokaal bestuurde gemeente. xxxxx://xxx.xxxxxxxxxx.xx/xxxxxxxx-xxxxxxxxxx/xxxx-xxxxxxxxxxx/xxxxxxxxxxxxxxxxxxxxx-xxxxxxxxxx-xx-xxxxxxxxxxxxxxxx/xxxxxxxxxxxxxxxxxxxx-xx-xxxxxxxxxxxxxxxxxxx/xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Organisatorische veiligheidsmaatregelen
De Partijen treffen in ieder geval ten minste volgende organisatorische en technische beveiligingsmaatregelen:
Een informatieveiligheidsbeleid hebben;
Een DPO aangewezen hebben;
Een informatieveiligheidscel aangesteld te hebben;
Een procedure m.b.t. de behandeling van Datalekken te hebben;
De medewerkers van de Partij, incl. ingehuurd of tijdelijk personeel en eventuele derde partijen die rechtstreeks of onrechtstreeks betrokken zijn bij de uitvoering van de opdracht zijn
Gehouden zijn tot een confidentialiteitsplicht, die wettelijk en/of contractueel is opgelegd;
Ingelicht zijn omtrent de regels van de AVG;
De informatieveiligheidsinstructies hebben die ze moeten respecteren;
Het (lokale) netwerk van de organisatie beveiligd is opgezet, o.m. door een actieve firewall;
De e-mailtoepassing wordt beveiligd, minstens door een virusscanner
Het lokaal bestuurDe gemeente is verantwoordelijk voor het uitvoeren van gepaste maatregelen op de toestellen onder hun beheer. De aangestelde administrators verstrekken lokale Medewerkers de benodigde rechten en toegang, waarbij zij het principe van minimale toegang toepassen. Alleen Medewerkers die toegang nodig hebben tot het loket om hun taken uit te voeren, krijgen deze rechten toegewezen.
Op niveau van athumiAthumi
Er is een functionaris voor gegevensbescherming aangesteld. De functionaris voor gegevensbescherming controleert of de Verwerkingen gebeuren in overeenstemming met de bepalingen van de Toepasselijke Gegevensbeschermingswetgeving en met de verwerkersopdracht.
Athumi beschikt over een informatieveiligheidsbeleid en –plan.
Conform de AVG:
Xxxxx een geheimhoudingsverklaring ondertekend door alle relevante interne en externe Medewerkers, inclusief Subverwerkers;
Is er een incidentenbeheerprocedure opgesteld en naar alle relevante Medewerkers gecommuniceerd;
Zijn er procedures opgesteld en gecommuniceerd naar alle relevante Medewerkers met betrekking tot volgende aspecten:
Recht van inzage,
Recht op rectificatie,
Recht op gegevenswissing,
Recht op beperking van de verwerking,
Recht op overdraagbaarheid van de persoonsgegevens,
Recht van bezwaar;
Maatregelen zijn getroffen voor de fysieke beveiliging van de omgeving.
Is een register van verwerkingsactiviteiten opgesteld zoals bedoeld in art 30 AVG.
Op niveau Vastgoedinformatieplatform
Conform de AVG:
Beschikt de privacylogging over een auditfunctionaliteit die toegankelijk is voor de functionaris voor gegevensbescherming van athumiAthumi.
Processen zijn geïmplementeerd met betrekking tot het toegangsbeheer, het loggingsbeheer, het security event management.
Is er een register van verwerkingsactiviteiten opgesteld;
Beschikt de privacylogging over een auditfunctionaliteit die toegankelijk is voor de functionaris voor gegevensbescherming van de het lokaal bestuurde gemeente.
Processen zijn uitgeschreven en geïmplementeerd met betrekking tot het toegangsbeheer, het loggingsbeheer, het security event management.
In lijn met de Overeenkomst zijn verplichtingen inzake de Verwerking van Persoonsgegevens contractueel vastgelegd met de respectieve Subverwerkers.
Het Vastgoedinformatieplatform is uitvoering gedocumenteerd voor interne doeleinden op Confluence, Azure Devops en SharePoint.
Technische veiligheidsmaatregelen
De componenten worden gehost in een privaat datacenter onder beheer van Cronos public services. De vereiste om het operationele beheer te laten voldoen aan de informatieveiligheidsvereisten van athumiAthumi werden contractueel vastgelegd
Geen anonieme toegang tot vastgoedplatform componenten.
Least privilege principe bij het toekennen van functioneel noodzakelijke toegangen wordt gehanteerd op basis van persoonlijke credentials.
Het Least privileged principe wordt bewaakt door een aangestelde toegangsbeheerder.
Systeembeheerder
Het toegangsbeheer voor infrastructuur componenten maakt gebruik van het Role Based Access (RBAC) principe. Toegangen (lezen, schrijven, wijzigen, verwijderen) worden per rol bepaald en iedere rol houdt rekening met de minimale autorisaties noodzakelijk voor de uitvoering van de taak
Applicatie
De applicatie heeft dedicated credentials nodig om toegang te vragen tot externe bronnen. Deze credentials worden met de nodige veiligheidsmaatregelen beheerd (secretsmanagment) en de toegang tot deze credentials is op basis van least privilege principe.
Encryptie ter afscherming van de Persoonsgegevens
Communicatie tussen Partijen verloopt steeds over een beveiligde en versleutelde verbinding (HTTPS).
De toegangsbeveiliging voor externe applicaties is ingeregeld via de Autorisatie server van het Vlaams Datanutsbedrijf en de controles via een Policy Enforcement Point van het API-beheerplatform APIGEE onder het beheer van onderverwerker Cronos public services.
Communicatie tussen het Policy Enforcement Point (PEP) en het Vastgoedinformatieplatform verloopt steeds via een beveiligde site-to-site VPN-tunnel (IPSEC).
Alle data, documenten en metadata, inclusief hun backup’s die door het Vastgoedinformatieplatform worden behandeld zijn altijd in een versleutelde opslag bewaard.
Logging
Diverse aspecten van het Vastgoedinformatieplatform worden gelogd om verschillende redenen:
Technische logging van de beschikbaarheid en performantie van de onderliggende infrastructuur met het oog op bedrijfszekerheid;
Traffic logging van alle transacties die via het Vastgoedinformatieplatform verlopen met het oog op probleem- en incidentanalyse;
Privacylogging voor auditing doeleinden van alle transacties die via het Vastgoedinformatieplatform verlopen in lijn met de wettelijke bepalingen en best practices (wie heeft welk gegeven op welk tijdstip geraadpleegd over wie en met welke finaliteit). Deze privacy logging wordt apart van de andere logs beheerd in een afgeschermd auditregister.
Veiligheidscontroles
Geautomatiseerde testen
Continue code vulnerability testen zijn ingeregeld via code build & release pipelines.
Security testing zal op regelmatige basis worden ingepland
1 Een product is een welbepaalde combinatie van vastgoedinformatie over één perceel, of een onderdeel ervan, die vooraf door het Vlaams Datanutsbedrijf is vastgelegd en die op aanvraag wordt ontsloten door de aanleverende entiteiten. Het lokaal bestuur De gemeente kan een aanleverende entiteit zijn voor een product die via het VIP-platform wordt ontsloten.
UF-1557745.1 |