Privacyreglement Human ConneXion

Privacyreglement Human ConneXion
Privacy en Verwerking Persoonsgegevens
Dit Privacyregelement is opgesteld door Human ConneXion B.V., definities in het
Privacyregelement hebben dezelfde betekenis als in Bijlage 1 van het Privacyregelement. Het
Privacyregelement specificeert op welke wijze Human ConneXion omgaat met de verwerking
van persoonsgegevens en wat de Werkgever ten aanzien van Privacy mag verwachten.
1
Verantwoordelijke en Bewerker
1.1
Human ConneXion is de Gegevensbewerker in opdracht van de Werkgever, die de
Verantwoordelijke is, voor het Verwerken van HR Gegevens.
1.2
Human ConneXion is de Verantwoordelijke voor het Verwerken van Medische Gegevens.
Artikelen 1.3, 2, 3, 4, 6.1, 7.1, 8, 9.2, 10, 12, 13.1 en 15.1 van het Privacyregelement zijn ook
van toepassing op de Verwerking van Medische Gegevens door Human ConneXion.
1.3
Human ConneXion zal, zoals omschreven in Artikel 1.1 van het privacyregelement, de
Verwerkingen uitvoeren.
1.4
Human ConneXion zal de in Artikel 1.3 vermelde Verwerkingen alleen uitvoeren op instructie
van de Werkgever en in overeenstemming met de doeleinden zoals goedgekeurd door de
Werkgever.
2
Toepasselijk recht
2.1
Human ConneXion voldoet bij de uitvoering van de verplichtingen van het contract tussen
Human ConneXion en de Werkgever aan de Wbp en elke wet- en regelgeving die van
toepassing is op de Verwerking van HR Gegevens en Medische Gegevens.
2.2
Human ConneXion verleent adequaat medewerking aan eventuele verzoeken van de
Werkgever om ervoor te zorgen dat de Verwerking geschied in overeenstemming met de Wbp.
3
Beveiliging
3.1
Human ConneXion legt passende technische, fysieke en organisatorische maatregelen ten
uitvoer om de Persoonsgegevens te beveiligen tegen onbedoeld of onrechtmatig tenietgaan of
onbedoeld verlies, onbedoelde wijziging, onbevoegde Openbaarmaking of onbevoegde
terbeschikkingstelling en tegen alle andere vormen van onrechtmatige Verwerking inclusief,
maar niet beperkt tot, onnodige verzameling en verdere Verwerking. Deze maatregelen
garanderen een passend beveiligingsniveau, rekening houdend met de stand van de techniek
en kosten van de tenuitvoerlegging van de maatregelen, gelet op de risico's die de Verwerking
en de aard van de te beschermen Persoonsgegevens met zich brengen. De maatregelen die
Human ConneXion treft zijn nader gespecificeerd in Appendix I van dit privacyregelement,
1
Versie 2014-07-31
welke Appendix Human ConneXion zal aanpassen wanneer dit nodig is om te voldoen aan de
gebruikelijke marktstandaarden.
3.2
Human ConneXion zorgt ervoor dat elke hosting provider die Human ConneXion contracteert
om de HR Gegevens en Medische Gegevens te hosten of the onderhouden voldoet aan de ISO
27001 standaarden voor het instellen, implementeren, controleren en verbeteren van een
managementsysteem voor informatiebeveiliging.
4
Niet-openbaarmaking en geheimhouding
4.1
Human ConneXion zal Persoonsgegevens geheim houden en zal deze niet toegankelijk maken
voor enige Medewerker of Derde zonder de vooraf verkregen schriftelijke toestemming van de
Werkgever, behalve (i) wanneer Openbaarmaking conform Artikel 4.3-5.2 van het
Privacyregelement nodig is voor het uitvoeren van Verwerkingen, of (ii) conform Artikel 8.1(b)
van het Privacyregelement, wanneer Persoonsgegevens moeten worden Geopenbaard aan een
bevoegde publieke toezichthouder om te voldoen aan een wettelijke verplichting.
4.2
Human ConneXion zal elke Openbaarmaking minimaal zes maanden administreren, behalve
wanneer de Wbp een andere termijn voorschrijft. De registratie omvat, maar is niet beperkt tot:
(a)
(b)
(c)
(d)
de naam en adresgegevens van de Derde aan wie de Persoonsgegevens zijn
Geopenbaard;
de Persoonsgegevens die zijn Geopenbaard;
de data en het tijdstip waarop de Persoonsgegevens zijn Geopenbaard; en
de doeleinden van de Openbaarmaking.
4.3
Human ConneXion zal Medewerkers alleen toegang verlenen tot de Persoonsgegevens voor
zover dit nodig is om de Verwerkingen uit te voeren. Human ConneXion zorgt ervoor dat elke
Medewerker met toegang tot de Persoonsgegevens de geheimhouding en beveiliging van de
Persoonsgegevens respecteert en handhaaft. Ten aanzien van medische gegevens geldt dat
alleen de bedrijfsarts, diens waarnemers en medewerkers die rechtstreeks betrokken zijn bij de
behandeling of verzuimbegeleiding van de betrokkene, toegang hebben tot de gegevens.
5
Sub-Bewerkers
5.1
Human ConneXion zal Sub-Bewerkers geen Persoonsgegevens laten Verwerken zonder vooraf
verkregen toestemming van de Werkgever. Elke toestemming van de Werkgever om SubBewerkers in te zetten bij de Verwerking van Persoonsgegevens is onder de voorwaarde dat
Human ConneXion volledig aansprakelijk blijft jegens de Werkgever voor de uitvoering van het
contract door Sub-Bewerkers en al het overige handelen of nalaten van Sub-Bewerkers in
verband met de Verwerking.
5.2
Human ConneXion zorgt ervoor dat Sub-Bewerkers contractueel gebonden zijn aan dezelfde
verplichtingen in verband met de Verwerking als die waar Human ConneXion op grond van het
Privacyregelement aan is gebonden.
6
Audit en nakoming
6.1
Human ConneXion zal zelf een audit uitvoeren op de naleving van haar verplichtingen uit het
Privacyregelement. De audit:
2
Versie 2014-07-31
(a)
(b)
(c)
(d)
(e)
dekt alle diensten van bewerking die Human ConneXion in het vorige kalenderjaar heeft
geleverd;
wordt minimaal één keer per twee jaar uitgevoerd;
wordt uitgevoerd overeenkomstig de standaarden en kwaliteitseisen zoals vastgesteld
door de branchevereniging Organisatie voor Vitaliteit, activering en Loopbaan;
wordt voor rekening van Human ConneXion uitgevoerd door een onafhankelijke auditor,
die Human ConneXion aanwijst; en
resulteert in een auditrapport.
Op verzoek van de Werkgever, zal Human ConneXion de Werkgever voorzien van een
vertrouwelijke kopie van het auditrapport zodat de Werkgever in redelijkheid de naleving van
het Privacyregelement door Human ConneXion kan nagaan. De Verwerker zal onmiddellijk
maatregelen nemen om ervoor te zorgen dat eventuele tekortkomingen en problemen die zijn
gerapporteerd in het auditrapport adequaat worden aangepakt.
7
Inspectie of onderzoek door publieke toezichthouder
7.1
Human ConneXion zal aan een bevoegde publieke toezichthouder toegang verlenen tot de voor
Verwerking relevante systemen, faciliteiten en ondersteunende documentatie, indien dit nodig is
om te voldoen aan een wettelijke verplichting. Als een bevoegde publieke toezichthouder
oordeelt dat het Verwerken onder de Overeenkomst onrechtmatig is, zal Human ConneXion
onmiddellijk maatregelen treffen om naleving van de Wbp te bewerkstelligen.
8
Meldingen van Openbaarmakingen en Datalekken
8.1
Human ConneXion zal de Werkgever onverwijld, en in elk geval binnen vierentwintig (24) uur,
op de hoogte brengen als:
(a)
(b)
(c)
zij in verband met de Verwerkingen een vordering, gebod om in de rechtbank te
verschijnen als getuige of deskundige (subpoena) of verzoek van een bevoegde
publieke toezichthouder tot het uitvoeren van een inspectie of onderzoek heeft
ontvangen, behalve wanneer het Human ConneXion wettelijk verboden is om de
werkgever daarvan op de hoogte te stellen;
zij voornemens is om Persoonsgegevens te Openbaren aan een bevoegde publieke
toezichthouder; of
zij ontdekt of redelijkerwijs vermoedt dat er een Datalek heeft plaatsgevonden.
8.2
In het geval van een Datalek zal Human ConneXion onverwijld herstelmaatregelen treffen.
Verder zal Human ConneXion de Werkgever voorzien van alle relevante informatie die de
werkgever met betrekking tot het Datalek verzoekt. Human ConneXion zal volledige
medewerking aan de Werkgever verlenen bij het tot stand brengen en het uitvoeren van een
response plan om het Datalek te adresseren. Human ConneXion zal op verzoek van de
Werkgever meewerken aan het adequaat informeren van de betrokken Individuen.
9
Medewerking bij klachten, verzoeken en vragen
9.1
Human ConneXion zal vragen en verzoeken van de Werkgever over de Verwerking onder het
Privacyregelement onverwijld en adequaat behandelen.
3
Versie 2014-07-31
9.2
Human ConneXion zal de Werkgever onverwijld informeren over klachten, verzoeken of vragen
van Individuen, inclusief maar niet beperkt tot verzoeken tot het wijzigen, verwijderen of
blokkeren van Persoonsgegevens. Human ConneXion zal zich niet rechtstreeks tot het Individu
wenden behalve wanneer de Werkgever dit specifiek heeft geïnstrueerd, in welk geval Human
ConneXion binnen een redelijke termijn zal reageren, en in elk geval binnen drie (3) weken na
ontvangst van het verzoek, de vraag of de klacht. Human ConneXion zal in elk geval
meewerken met de Werkgever om vragen, verzoeken of klachten van Individuen te behandelen
en op te lossen. Human ConneXion heeft de nodige procedures ingesteld om dergelijke vragen,
verzoeken en klachten in behandeling te nemen en na te kunnen komen.
9.3
De Werkgever zal Human ConneXion hierbij de bevoegdheid en instructie geven om
rechtstreeks op vragen, verzoeken of klachten van Individuen te reageren, inclusief maar niet
beperken tot verzoeken tot het corrigeren, verwijderen of blokkeren van Medische Gegevens.
Human ConneXion zal procedures instellen om dergelijke vragen, verzoeken en klachten in
behandeling te kunnen nemen. Human ConneXion zal binnen een redelijke termijn reageren, en
in elk geval binnen drie (3) weken na ontvangst van het verzoek, de vraag of de klacht.
10
Melden van niet-nakoming en het recht om te schorsen of op te zeggen
10.1
Human ConneXion zal de Werkgever onverwijld melden als Human ConneXion:
(i)
(ii)
om welke reden dan ook niet kan voldoen aan haar verplichtingen uit het Addendum; of
zich bewust wordt van omstandigheden of veranderingen in de Wbp die het nakomen
van haar verplichtingen onder het Privacyregelement substantieel bemoeilijken;
10.2
Als Human ConneXion niet zal voldoen aan zijn verplichtingen onder het Privacyregelement is
de Werkgever, zonder afbreuk te doen aan Artikel 3 (Beveiliging) van het Privacyregelement,
bevoegd om de Verwerking tijdelijk geheel of gedeeltelijk te schorsen tot de niet-nakoming is
hersteld. Voor zover herstel niet mogelijk is, zal de Werkgever bevoegd zijn om het
desbetreffende deel van de Verwerking door Human ConneXion met onmiddellijke ingang op te
zeggen. De Werkgever is ook bevoegd om, wanneer Human ConneXion het Privacyregelement
niet na komt, het contract met onmiddellijke ingang op te zeggen als de schorsing van de
Verwerking op grond van deze bepaling door de Werkgever een periode van zes (6) maanden
overschrijdt.
11
Retourneren en vernietigen van Persoonsgegevens
11.1
Alle Persoonsgegevens zullen onmiddellijk na eerste verzoek van de Werkgever aan de
Werkgever worden geretourneerd. Human ConneXion zal de Persoonsgegevens niet langer
bewaren dan noodzakelijk voor het voldoen aan zijn verplichtingen op grond van het contract.
11.2
Bij de beëindiging van het contract zal Human ConneXion de Persoonsgegevens en alle
kopieën daarvan aan de Werkgever retouneren en/of alle Persoonsgegevens volgens instructie
van de werkgever te vernietigen, behalve wanneer het contract of Wbp anders aangeeft. In dat
geval zal Human ConneXion de Persoonsgegevens niet langer Verwerken, behalve voor zover
vereist op grond van de Overeenkomst of Wbp. De werkgever mag Human ConneXion
verzoeken om spoedig, en in elk geval binnen vierentwintig (24) uur, en schriftelijk te bevestigen
en te garanderen dat Human ConneXion alle Persoonsgegevens en kopieën daarvan heeft
geretourneerd en/of vernietigd. Human ConneXion zal op verzoek van de Werkgever een audit
4
Versie 2014-07-31
van de Verwerkingssystemen toestaan om de Werkgever te laten verifiëren dat Human
ConneXion aan alle verplichtingen onder Artikel 11.2 voldoet.
12
Doorgifte van Persoonsgegevens
12.1
Human ConneXion zal geen Persoonsgegevens doorgeven aan een Niet Adequaat Land buiten
de EER of enige Persoonsgegevens toegankelijk maken vanuit een Niet Adequaat Land zonder
de vooraf verleende schriftelijke toestemming van de Werkgever.
5
Versie 2014-07-31
BIJLAGE 1 - DEFINITIES
" Richtlijn 95/46/EG" betekent de Richtlijn 95/46/EG betreffende de bescherming van natuurlijke
personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die
gegevens;
"Datalek" betekent de onbevoegde verkrijging, toegang of Openbaring van Persoonsgegevens;
"Derde" betekent een ieder die niet Partij is bij de Overeenkomst;
"EER " betekent alle lidstaten van de Europese Unie, Noorwegen, IJsland, Liechtenstein en (voor de
toepassing van het Addendum) Zwitserland;
"Gegevensbewerker" betekent de onderneming of natuurlijke persoon die Persoonsgegevens verwerkt
in opdracht van een Verantwoordelijke;
"HR Gegevens" betekent alle Persoonsgegevens die niet Medische Gegevens zijn;
"Human ConneXion" betekent Human ConneXion B.V., gevestigd aan het Kerkenbos 1053 E, 6546BB
Nijmegen;
"Individu" betekent elke natuurlijke persoon wiens Persoonsgegevens worden Verwerkt door Human
ConneXion in de uitvoering van de Overeenkomst;
"Medewerker" betekent elke medewerker, agent, aannemer, oproepkracht of elke andere persoon die
onder het directe gezag van Human ConneXion werkt;
"Medische Gegevens" betekent alle Persoonsgegevens die onder het medisch beroepsgeheim en
verschoningsrecht vallen;
"Niet Adequaat Land" betekent elk land dat niet wordt geacht een adequaat niveau van bescherming
van Persoonsgegevens te hebben zoals gedefinieerd in Richtlijn 95/46/EG;
"Openbaarmaking" betekent elke vorm van openbaar maken van Persoonsgegevens aan (inclusief
toegang op afstand door) iedere Medewerker of onbevoegde Derde. "Openbaren" of "Geopenbaard"
worden op dezelfde wijze gevormd;
"Persoonsgegevens" betekent elk gegeven betreffende een geïdentificeerd of identificeerbaar Individu;
"Sub-Bewerker" betekent iedere Derde die Persoonsgegevens Verwerkt onder instructie of toezicht van
Human ConneXion maar die niet onder het directe gezag van Human ConneXion valt;
"Verantwoordelijke" betekent de onderneming of natuurlijke persoon die alleen of tezamen met
6
Versie 2014-07-31
anderen het doel van de Verwerking en de middelen daartoe bepaalt;
"Verwerking" betekent elke automatische of niet automatische activiteit die wordt uitgevoerd met
betrekking tot Persoonsgegevens, zoals het verzamelen, vastleggen, opslaan, organiseren, wijzigen,
gebruiken, openbaren, doorgeven of verwijderen van Persoonsgegevens. "Verwerken", "Verwerk" of
"Verwerkt" worden op dezelfde wijze gevormd;
"Wbp" betekent Wet bescherming persoonsgegevens en alle wetten, regelgeving en sectorale
richtlijnen die regels bevatten ter bescherming van individuen met betrekking tot de Verwerking van HR
Gegevens en Medische Gegevens.
"Werkgever" betekent persoon of organisatie die mensen in dienst heeft
7
Versie 2014-07-31
APPENDIX I – BESCHRIJVING VAN BEVEILIGINGSMAATREGELEN
Onder verwijzing naar artikel 3.1. heeft Human ConneXion, ingeschrevene bij het CBP onder
meldingsnummer m1427318, de volgende maatregelen getroffen m.b.t. de beveiliging van
persoonsgegevens:
Organisatorische maatregelen:
Human ConneXion is zich bewust van het grote belang van beveiliging van de persoonsgegevens: Het
maakt onderdeel uit van het algehele kwaliteitsbeleid wat inhoudt dat:
• het de continue aandacht van directie, management en medewerkers heeft,
• er passende procedures zijn m.b.t. de omgang met ICT-middelen en informatie (data);
privacyreglement en geheimhoudingsverklaringen inbegrepen.
• de verantwoordelijkheden en activiteiten binnen Human ConneXion en met de ketenpartners
duidelijk zijn belegd,
• het vast onderdeel is van het overleg binnen Human ConneXion en met de ketenpartners,
• de Plan-Do-Check-Act cyclus wordt gevolgd om een blijvend passend beveiligingsniveau te
waarborgen.
Technische maatregelen:
Om een veilige en betrouwbare ICT te waarborgen, heeft Human ConneXion de volgende technische
maatregelen ingericht:
• Verbinding: Gegevens van en naar het WebIVS worden uitsluitend verstuurd via de sterkst
mogelijke encryptie van dit moment: 256-bits SSL;
• Hosting: De infrastructuur van WebIVS wordt gehost door een gecertificeerd datacenter (ISO
27001:2005) in Nederland en is tot het uiterste beveiligd;
• Gescheiden opslag: De persoonsgegevens zijn gescheiden opgeslagen van de
verzuimgegevens. Daarmee is vertrouwelijke medische informatie niet te herleiden tot
personen;
• Toegangsbeveiliging: Alle gebruikersgegevens van het WebIVS worden versleuteld opgeslagen.
Ook de beheerders van Human ConneXion kunnen wachtwoorden niet achterhalen.
Wachtwoordherstel gaat daarom via een beveiligde procedure. Als een account een maand niet
gebruikt wordt het automatisch gedeactiveerd.
• Continuous multi-level permission checks: Bij elke handeling controleert het systeem of de
desbetreffende gebruiker deze gegevens mag zien en/ of bewerken. De permissie wordt per
gebruikersrol toegekend;
• Beperking toegang data: De geautoriseerde toegang is beperkt tot data van maximaal 4 jaar.
Dossierinformatie ouder dan 4 jaar is niet te benaderen door (bevoegde) gebruikers.
• Beschikbaarheid systeem: Wanneer een van de resources storing heeft of overbelast is, wordt
deze automatisch vervangen door een andere. Hierdoor is WebIVS altijd bereikbaar: 24/7/365
• Backup: Alle gegevens en bestanden van WebIVS worden automatisch gebackupt. Deze
backup wordt gehost in hetzelfde beveiligde datacenter (ISO 27001:2005) als de operationele
omgeving.
Fysieke maatregelen kantoor:
• De fysieke toegang tot ruimten waar zich informatie en ICT-voorzieningen bevinden is
voorbehouden aan bevoegd personeel,
• De serverruimte en de daaraan gekoppelde bekabelingsystemen zijn ingericht in lijn met de
geldende eisen,
• Gegevens en programmatuur worden van apparatuur verwijderd of veilig overschreven, voordat de
apparatuur wordt afgevoerd.
•
Informatie wordt bewaard en vernietigd conform de wettelijke bewaartermijnen en archiefrichtlijnen.
8
Versie 2014-07-31

Download Report