Verwerkers en gegevensbescherming

Centryxa Hybrid Health System
Handelsnaam van SharingGlobal
Versie 1.0

1. Doel

Dit document beschrijft hoe SharingGlobal, handelend onder de handelsnaam Centryxa Hybrid Health System, omgaat met externe partijen die in opdracht van SharingGlobal persoonsgegevens verwerken.

Het vormt een aanvulling op de Privacyverklaring, het Informatiebeveiligingsbeleid en het Dataretentie- en Vernietigingsbeleid.

2. Uitgangspunt

SharingGlobal/Centryxa kan voor haar bedrijfsvoering gebruikmaken van externe dienstverleners.

Wanneer een externe partij namens SharingGlobal persoonsgegevens verwerkt en daarbij kwalificeert als verwerker in de zin van de Algemene Verordening Gegevensbescherming (AVG), worden passende afspraken gemaakt overeenkomstig de toepasselijke privacywetgeving.

3. Verwerkingsverantwoordelijke en verwerker

Afhankelijk van de dienstverlening kan SharingGlobal optreden als verwerkingsverantwoordelijke.

Een externe partij kan als verwerker optreden wanneer deze persoonsgegevens uitsluitend ten behoeve van SharingGlobal en volgens haar instructies verwerkt.

Per samenwerking wordt beoordeeld welke privacyrechtelijke rol de betrokken partijen hebben. De feitelijke werkzaamheden en wettelijke criteria zijn daarbij bepalend.

4. Selectie van verwerkers

Bij de selectie van een verwerker wordt, voor zover relevant, aandacht besteed aan:

• betrouwbaarheid;
• aard van de dienstverlening;
• soort persoonsgegevens;
• beveiligingsniveau;
• vestigings- en verwerkingslocatie;
• gebruik van subverwerkers;
• continuïteit;
• incidentmanagement;
• verwijdering van gegevens na beëindiging.

De eisen worden afgestemd op het risico van de betreffende verwerking.

5. Verwerkersovereenkomst

Wanneer dit op grond van de AVG vereist is, wordt met de verwerker een schriftelijke verwerkersovereenkomst of gelijkwaardige contractuele regeling gesloten.

Daarin kunnen onder meer afspraken worden opgenomen over:

• onderwerp en duur van de verwerking;
• aard en doel van de verwerking;
• categorieën persoonsgegevens;
• categorieën betrokkenen;
• instructies van SharingGlobal;
• vertrouwelijkheid;
• informatiebeveiliging;
• subverwerkers;
• datalekken;
• ondersteuning bij rechten van betrokkenen;
• verwijdering of teruggave van gegevens;
• controle en informatieverstrekking.

6. Bijzondere persoonsgegevens

Binnen het Centryxa-systeem kunnen, afhankelijk van de gekozen dienstverlening, gezondheidsgegevens of andere bijzondere persoonsgegevens worden verwerkt.

Wanneer een externe verwerker noodzakelijkerwijs toegang krijgt tot dergelijke gegevens, worden passende aanvullende waarborgen getroffen.

Het uitgangspunt blijft dat medische gegevens zoveel mogelijk onder beheer van de gebruiker blijven en dat centrale verwerking zoveel mogelijk wordt beperkt.

7. Dataminimalisatie

Een verwerker krijgt uitsluitend toegang tot persoonsgegevens die noodzakelijk zijn voor de uitvoering van de overeengekomen werkzaamheden.

SharingGlobal/Centryxa streeft ernaar:

• het aantal gegevens te beperken;
• toegang te beperken tot noodzakelijke personen;
• verwerking in tijd te beperken;
• medische informatie niet onnodig centraal op te slaan;
• tijdelijke productiegegevens tijdig te verwijderen.

8. Verwerking uitsluitend op instructie

Een verwerker verwerkt persoonsgegevens uitsluitend overeenkomstig de gedocumenteerde instructies van SharingGlobal, tenzij een wettelijke verplichting anders voorschrijft.

De verwerker mag de gegevens niet zelfstandig voor andere doeleinden gebruiken.

9. Geheimhouding

Personen die bij een verwerker toegang hebben tot persoonsgegevens dienen gebonden te zijn aan passende vertrouwelijkheids- of geheimhoudingsverplichtingen.

Dit geldt in het bijzonder wanneer toegang mogelijk is tot medische of andere gevoelige informatie.

10. Informatiebeveiliging

Van verwerkers wordt verlangd dat zij passende technische en organisatorische maatregelen treffen die aansluiten bij de aard en risico’s van de verwerking.

Afhankelijk van de situatie kunnen hieronder vallen:

• toegangsbeveiliging;
• authenticatie;
• autorisatie;
• versleuteling;
• logging;
• malwarebescherming;
• back-ups;
• fysieke beveiliging;
• beveiligde communicatie;
• procedures voor incidenten;
• veilige verwijdering van gegevens.

11. Subverwerkers

Een verwerker mag subverwerkers uitsluitend inschakelen overeenkomstig de afspraken met SharingGlobal en de AVG.

Wanneer een subverwerker wordt ingeschakeld, dienen passende gegevensbeschermingsverplichtingen aan deze partij te worden opgelegd.

De oorspronkelijke verwerker blijft tegenover SharingGlobal verantwoordelijk voor de uitvoering van zijn contractuele verplichtingen voor zover de wet en overeenkomst dat bepalen.

12. Internationale doorgifte

Indien persoonsgegevens buiten de Europese Economische Ruimte worden verwerkt of toegankelijk worden gemaakt, wordt beoordeeld of hiervoor een geldige doorgiftegrondslag bestaat.

Waar noodzakelijk worden passende waarborgen toegepast, zoals:

• een adequaatheidsbesluit van de Europese Commissie;
• toepasselijke standaardcontractbepalingen;
• of een andere wettelijk toegestane doorgiftegrondslag.

13. Datalekken en beveiligingsincidenten

Een verwerker dient een beveiligingsincident waarbij persoonsgegevens van SharingGlobal/Centryxa betrokken zijn zonder onredelijke vertraging te melden.

De melding dient, voor zover beschikbaar, voldoende informatie te bevatten om SharingGlobal in staat te stellen de aard en mogelijke gevolgen van het incident te beoordelen.

SharingGlobal beoordeelt vervolgens of een wettelijke melding aan de Autoriteit Persoonsgegevens en/of betrokkenen noodzakelijk is.

14. Rechten van betrokkenen

Wanneer een verwerker een verzoek ontvangt dat betrekking heeft op persoonsgegevens waarvoor SharingGlobal verantwoordelijk is, wordt dit overeenkomstig de gemaakte afspraken aan SharingGlobal doorgeleid.

Verwerkers verlenen waar vereist redelijke ondersteuning bij verzoeken betreffende onder meer:

• inzage;
• rectificatie;
• verwijdering;
• beperking;
• bezwaar;
• overdraagbaarheid.

15. Bewaartermijnen

Verwerkers mogen persoonsgegevens niet langer bewaren dan noodzakelijk voor de overeengekomen dienstverlening of dan wettelijk verplicht.

Na beëindiging van de dienstverlening worden persoonsgegevens overeenkomstig de gemaakte afspraken:

• verwijderd;
• teruggegeven;
• of, wanneer een wettelijke bewaarplicht bestaat, gedurende de noodzakelijke periode afgeschermd bewaard.

16. Productiepartners

Wanneer een productiepartner persoonsgegevens ontvangt voor het vervaardigen of personaliseren van Centryxa-producten, wordt de gegevensverstrekking zoveel mogelijk beperkt tot hetgeen voor die specifieke opdracht noodzakelijk is.

Dit kan bijvoorbeeld betrekking hebben op:

• personalisatie van Cards;
• programmering van NFC;
• samenstelling van gegevensdragers;
• verzending van gepersonaliseerde producten.

Productiegegevens worden na afronding niet langer bewaard dan noodzakelijk overeenkomstig het Dataretentie- en Vernietigingsbeleid en de gemaakte contractuele afspraken.

17. Geen zelfstandige commerciële verwerking

Persoonsgegevens die een verwerker in opdracht van SharingGlobal ontvangt, mogen niet zonder afzonderlijke geldige rechtsgrond voor eigen commerciële doeleinden worden gebruikt.

Dit geldt onder meer voor:

• reclame;
• profilering;
• verkoop van gegevens;
• zelfstandige klantbenadering;
• samenvoeging met eigen marketingbestanden.

18. Controle en informatie

SharingGlobal kan van een verwerker redelijke informatie verlangen om te beoordelen of aan de overeengekomen gegevensbeschermingsverplichtingen wordt voldaan.

Afhankelijk van aard en risico van de verwerking kan dit bijvoorbeeld bestaan uit:

• beveiligingsdocumentatie;
• relevante certificeringen;
• auditinformatie;
• informatie over subverwerkers;
• incidentprocedures;
• bewijs van verwijdering.

19. Wijzigingen bij verwerkers

Van verwerkers wordt verwacht dat zij SharingGlobal informeren over wezenlijke wijzigingen die gevolgen kunnen hebben voor de bescherming van persoonsgegevens, voor zover dit contractueel of wettelijk is vereist.

Dit kan bijvoorbeeld betrekking hebben op:

• nieuwe subverwerkers;
• gewijzigde verwerkingslocaties;
• ernstige beveiligingsincidenten;
• wezenlijke wijzigingen in beveiligingsmaatregelen.

20. Beëindiging van samenwerking

Bij beëindiging van een samenwerking worden afspraken uitgevoerd over:

• teruggave van persoonsgegevens;
• verwijdering;
• beëindiging van toegangsrechten;
• verwijdering van tijdelijke bestanden;
• beëindiging van toegang door subverwerkers;
• eventuele wettelijke bewaarplichten.

21. Register en documentatie

SharingGlobal houdt, voor zover wettelijk vereist, passende documentatie bij over haar gegevensverwerkingen.

Daaronder kunnen vallen:

• verwerkersovereenkomsten;
• categorieën van verwerkers;
• verwerkingsactiviteiten;
• beveiligingsafspraken;
• datalekregistraties;
• relevante beoordelingen.

Deze documentatie is in beginsel interne compliance-documentatie en wordt niet automatisch openbaar gemaakt.

22. Openbaarmaking van verwerkers

SharingGlobal/Centryxa kan gebruikers informeren over relevante categorieën van externe partijen die persoonsgegevens verwerken.

Een volledige interne lijst van leveranciers, technische dienstverleners, beveiligingsmaatregelen en contractuele afspraken hoeft niet openbaar te worden gemaakt wanneer openbaarmaking de beveiliging, vertrouwelijkheid of gerechtvaardigde bedrijfsbelangen kan schaden.

Dit laat wettelijke informatieverplichtingen onverlet.

23. Eigen gegevensdragers van de gebruiker

Wanneer medische of persoonlijke informatie uitsluitend op een Card, NFC-drager of SSD onder beheer van de gebruiker staat en SharingGlobal geen toegang tot die informatie heeft, betekent dit niet automatisch dat SharingGlobal deze gegevens verwerkt.

Per proces wordt gekeken naar de feitelijke verwerking en de rol van SharingGlobal.

Dit onderscheid is belangrijk binnen het Privacy by Design-model van Centryxa.

24. Periodieke beoordeling

SharingGlobal/Centryxa beoordeelt haar gebruik van verwerkers periodiek en in ieder geval wanneer relevante veranderingen daartoe aanleiding geven.

Daarbij kan worden gekeken naar:

• noodzaak van de verwerking;
• hoeveelheid persoonsgegevens;
• beveiliging;
• contractuele afspraken;
• subverwerkers;
• bewaartermijnen;
• nieuwe risico’s.

25. Samenhang met overige documenten

Dit beleid moet worden gelezen in samenhang met onder meer:

• Privacyverklaring;
• Algemene Voorwaarden;
• Informatiebeveiligingsbeleid;
• Dataretentie- en Vernietigingsbeleid;
• Leveranciersvoorwaarden;
• Governance & Compliance;
• Medische informatie en gebruik;
• NFC-, SSD- en digitale gegevens.

26. Contact

Vragen over de verwerking van persoonsgegevens door SharingGlobal/Centryxa of haar verwerkers kunnen worden gericht aan:

SharingGlobal
handelend onder de handelsnaam
Centryxa Hybrid Health System

Broekstraat 1 B
6675 BD Valburg
KvK: 97419788
E-mail: support@sharingglobal.com / info@centryxa.com

27. Slotbepaling

Dit document vormt onderdeel van het privacy- en gegevensbeschermingskader van SharingGlobal/Centryxa.

Het uitgangspunt is dat externe partijen alleen toegang krijgen tot persoonsgegevens wanneer dat noodzakelijk is, voor een duidelijk omschreven doel en onder passende afspraken over vertrouwelijkheid, beveiliging en verwijdering.