1 Doelstelling
Dit document omvat het door ELICIO toegepaste privacybeleid in het kader van zijn activiteiten.
De bescherming van uw persoonlijke levenssfeer en van uw persoonsgegevens is voor ELICIO van essentieel belang.
Dit privacybeleid is opgesteld met de bedoeling om de naleving van de Europese verordening 2016/679 van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming, of GDPR) te garanderen.
Dit privacybeleid is bedoeld om u volledig te informeren en legt uit hoe we uw persoonsgegevens verzamelen, gebruiken en bewaren.
2 Welke draagwijdte heeft dit beleid?
Wat omvat ‘de verwerking van uw gegevens’ en wie is daarvoor verantwoordelijk?
We verzamelen en gebruiken alleen de persoonsgegevens die noodzakelijk zijn in het kader van onze activiteiten en waarmee we u kwaliteitsvolle producten en de diensten kunnen aanbieden.
De nv ELICIO, met maatschappelijke zetel te John Cordierlaan 9, 8400 Oostende, is verwerkingsverantwoordelijke van de persoonsgegevens die ze moet verwerken.
We zijn bijgevolg zowel uw partner als die van de toezichthoudende autoriteiten (bijvoorbeeld de Gegevensbeschermingsautoriteit) voor alle vragen met betrekking tot het gebruik van uw gegevens door onze vennootschap.
Voor bepaalde diensten doen we een beroep op gespecialiseerde derden die in sommige gevallen als verwerker optreden. Die moeten dan onze richtlijnen volgen en ons privacybeleid naleven. In andere gevallen zijn die derden ook medeverwerkingsverantwoordelijke en moeten ze op hun beurt de wettelijke verplichtingen hieromtrent naleven.
We verzekeren ons ervan dat die verwerkers alleen de gegevens ontvangen die strikt noodzakelijk zijn voor de uitvoering van hun deel van de overeenkomst.
Voor andere entiteiten die al dan niet deel uitmaken van de groep ELICIO treden we eveneens als verwerker op. In dat geval zijn die entiteiten verwerkingsverantwoordelijke van de persoonsgegevens. Wij volgen dan hun instructies.
3 Op welke gegevens heeft ons beleid betrekking?
De gegevens waarop dit beleid betrekking heeft, zijn persoonsgegevens van natuurlijke personen, namelijk gegevens waarmee een persoon rechtstreeks of onrechtstreeks kan worden geïdentificeerd.
In het kader van uw contact en interactie met ELICIO, kunnen we ertoe gebracht worden verschillende persoonsgegevens te verzamelen zoals:
We verwerken nooit gegevens betreffende uw ras of etnische afkomst, politieke opvattingen, religie, levensbeschouwelijke overtuigingen of vakbondslidmaatschap, genetische gegevens, seksueel gedrag of seksuele gerichtheid, tenzij de wetgeving ons dat oplegt of indien dit voortvloeit uit uw gebruik van onze producten en diensten (bijvoorbeeld: u vermeldt dat soort informatie).
4 Richtlijnen voor de verwerking van persoonsgegevens
ELICIO zal bij de verwerking van persoonsgegevens in het kader van het beheer en van de uitvoering van zijn verbintenissen onder meer de volgende principes naleven:
5 Wanneer worden uw persoonsgegevens verzameld?
De gegevens die we gebruiken, kunnen rechtstreeks via u worden verzameld of via de volgende bronnen worden verkregen met de bedoeling onze databanken te controleren of uit te breiden:
Sommige van uw gegevens kunnen ook met name door ELICIO worden verzameld:
Deze beelden worden enkel opgeslagen met het oog op de veiligheid van goederen en personen en om misbruik, fraude en andere inbreuken waarvan onze klanten en/of ons personeel het slachtoffer kunnen worden, te voorkomen (wij signaleren de aanwezigheid van camera's met pictogrammen die onze contactgegevens vermelden).
6 Op welke basis en waarom gebruiken we uw persoonsgegevens?
We verwerken uw persoonsgegevens voor diverse doeleinden. Voor elke verwerking worden enkel de gegevens die relevant zijn voor het beoogde doel verwerkt.
In het algemeen gebruiken wij uw persoonsgegevens:
De doeleinden waarvoor ELICIO de persoonsgegevens verwerkt, omvatten, maar zijn niet beperkt tot:
7 Wie heeft toegang tot uw gegevens en aan wie worden ze meegedeeld?
Alleen de gemachtigde gebruikers hebben toegang tot uw persoonsgegevens om de hierboven vermelde doeleinden te verwezenlijken. Onder gemachtigde gebruikers verstaat men de personen die in het kader van de uitoefening van hun functie bij ELICIO de toestemming hebben om in het kader van de verwezenlijkte activiteiten persoonsgegevens te verwerken op basis van de richtlijnen van ELICIO.
Om de hierboven vermelde doeleinden te verwezenlijken, verstrekt ELICIO uw persoonsgegevens aan:
8 Hoelang bewaren we uw gegevens?
We zullen uw persoonsgegevens bewaren zolang noodzakelijk is om te voldoen aan de toepasselijke wettelijke en reglementaire bepalingen, of voor een andere duur, wanneer dit operationeel vereist is, zoals voor een goede boekhouding, een doeltreffend beheer van de klantenrelatie en om juridische claims of vragen van de regulerende instantie te kunnen beantwoorden.
De klantengegevens worden bijgehouden voor de duur van de overeenkomst en gedurende een principiële periode van tien jaar na het einde van de contractuele relatie.
Zo worden de gegevens met betrekking tot potentiële klanten gedurende maximaal een jaar bijgehouden, naargelang de levensduur van het project waarvoor we ze verzamelden en wanneer de persoon interesse heeft getoond.
Sommige gegevens worden langer gearchiveerd om te voldoen aan onze wettelijke verplichtingen en voor bewijsdoeleinden, met name om uw rechten en die van onze vennootschap te waarborgen. Die gearchiveerde gegevens zijn enkel toegankelijk om een bewijs in rechte te leveren, om een controle mogelijk te maken door een bevoegde autoriteit (zoals de fiscale administratie) of een overlegging mogelijk te maken van documenten aan de gerechtelijke of administratieve autoriteiten of politiediensten.
9 Beveiliging en vertrouwelijkheid
ELICIO verbindt zich ertoe om de noodzakelijke en geschikte technische, fysieke en organisatorische maatregelen te nemen om de persoonsgegevens te beschermen tegen de ongeoorloofde toegang tot die gegevens, de onrechtmatige of ongeoorloofde verwerking, het verlies of de accidentele schade en de ongeoorloofde vernietiging ervan. Deze maatregelen worden regelmatig geëvalueerd en indien nodig bijgewerkt met de bedoeling om een maximale bescherming van de persoonsgegevens van de betrokken personen te garanderen.
Bij een inbreuk of informatielek zoals hierboven omschreven, neemt ELICIO de noodzakelijke/geschikte maatregelen om de omvang en de gevolgen ervan vast te stellen, er zo snel mogelijk een einde aan te maken en indien nodig het effect ervan voor de betrokken personen te beperken.
10 Wat zijn uw rechten en hoe kunt u die uitoefenen?
Rechten van de betrokken personen
In overeenstemming met de toepasselijke regelgeving hebt u verschillende rechten:
A. Recht op inzage, rectificatie en wissing
Elke betrokken persoon heeft het recht om de inzage van zijn gegevens aan te vragen. Indien een betrokken persoon dat recht uitoefent, moet ELICIO hem hierover informatie verschaffen, met inbegrip van:
Indien gegevens onjuist of onvolledig zijn, kan de betrokken persoon vragen om die recht te zetten.
In bepaalde omstandigheden kan de betrokken persoon, in overeenstemming met de reglementering met betrekking tot de gegevensbescherming, vragen om persoonsgegevens die op hem betrekking hebben te wissen, onder andere wanneer die gegevens niet meer noodzakelijk zijn voor de doeleinden waarvoor ze werden verzameld of verwerkt. ELICIO kan echter weigeren om die gegevens te wissen, bijvoorbeeld voor de invoering, de toepassing of het bewijs van een recht in rechte.
Om uw gegevens perfect up-to-date te houden, vragen we u om ons elke wijziging (bijvoorbeeld: wijziging van burgerlijke stand, woonplaats) mee te delen.
B. Recht op bezwaar, op beperking van de verwerking van uw gegevens en op intrekking van uw toestemming
U hebt het recht om bezwaar te maken tegen bepaalde verwerkingshandelingen van uw persoonsgegevens die wij wensen te verrichten. Zo hebt u het recht om zonder opgave van een reden bezwaar te maken tegen het gebruik van uw gegevens voor prospectiedoeleinden. U kunt eveneens een beperking van de verwerking van uw gegevens vragen.
U kunt dit recht echter slechts in bepaalde omstandigheden uitoefenen:
U kunt zich echter niet verzetten tegen een verwerking die noodzakelijk is voor de uitvoering van een met u afgesloten overeenkomst of van precontractuele afspraken die op uw vraag tussen ons zijn gemaakt, of tegen de naleving van een wettelijke of reglementaire bepaling waaraan we zijn onderworpen.
Indien u de toestemming hebt gegeven voor de verwerking van uw persoonsgegevens, dan hebt u het recht om die toestemming op elk moment in te trekken.
C. Recht op gegevensoverdraagbaarheid
Indien nodig en voor zover van toepassing, kan de betrokken persoon vragen om bepaalde persoonsgegevens die hij aan ELICIO in het kader van zijn beheer en de uitvoering van zijn activiteiten heeft bezorgd, te krijgen en aan een andere verwerkingsverantwoordelijke over te dragen. Wanneer dit technisch mogelijk is, kan de betrokken persoon ELICIO vragen om die gegevens rechtstreeks aan een andere verwerkingsverantwoordelijke over te dragen.
10.2 Bij wie kunt u terecht?
Wanneer u uw rechten met betrekking tot uw persoonsgegevens wenst uit te oefenen, kunt u dit meedelen aan:
In dat verband moet uw aanvraag gedateerd en ondertekend zijn en moet er een kopie/scan van uw identiteitskaart bij gevoegd worden.
In overeenstemming met de regelgeving hebt u het recht om een klacht in te dienen bij de bevoegde toezichthoudende autoriteit.
11 Doorgifte van gegevens buiten de EER
In geval van internationale doorgifte van gegevens vanuit de EER naar een land dat de Europese Commissie heeft erkend als land met een passend niveau van gegevensbescherming dat overeenstemt met het niveau dat in de wetgeving van de EER wordt voorzien, worden uw persoonsgegevens op deze basis doorgegeven.
Voor doorgiftes naar landen buiten de EER die niet erkend zijn door de Europese Commissie als landen met een passend niveau van gegevensbescherming, zullen wij ons beroepen op een afwijking die van toepassing is op de situatie (bv. bij een internationale betaling is de doorgifte noodzakelijk voor de uitvoering van de overeenkomst) ofwel op het feit dat de ontvanger van de gegevens aanvaard heeft om de persoonsgegevens te verwerken in overeenstemming met de door de Europese Commissie opgestelde standaardcontractbepalingen voor de gegevensverantwoordelijken of de verwerkers.
Om een kopie te ontvangen van deze standaardbepalingen of om te weten waar u ze kunt terugvinden, kunt u een schriftelijk verzoek richten zoals beschreven in sectie 10.2.
12 Inbreuk op de persoonsgegevens
A. Melding van inbreuken betreffende persoonsgegevens
De gemachtigde gebruikers moeten er tijdens de uitoefening van hun functie voor zorgen dat incidenten (al dan niet bewust) die de persoonlijke levenssfeer van de betrokken personen kunnen schenden, worden vermeden.
Bij een inbreuk op persoonsgegevens moeten zo snel mogelijk geschikte maatregelen worden genomen om het risico op schade voor de betrokken personen en voor ELICIO (aantasting van de reputatie, opgelegde sancties ...) te beperken.
In elk geval moeten alle gemachtigde gebruikers en alle andere personen die informatie van ELICIO raadplegen, gebruiken of beheren onmiddellijk alle inbreuken op de beveiliging en incidenten in verband met de beveiliging van informatie aan de FG melden opdat er meteen een analyse kan plaatsvinden, de nodige maatregelen kunnen worden genomen en om te weten of de inbreuk aan de Gegevensbeschermingsautoriteit en/of de betrokken personen moet worden gemeld.
Wanneer de melding via e-mail gebeurt, is het belangrijk dat die e-mail naar de FG wordt verzonden (zie sectie 10.2) en dat er uitdrukkelijk in het onderwerp van de mail wordt vermeld dat het een bericht met hoge urgentie betreft in verband met een mogelijke inbreuk op persoonsgegevens.
De informatie moet de volgende elementen bevatten: een volledige en gedetailleerde beschrijving van het incident, met inbegrip van de identiteit van de persoon die de melding doet (naam, voornaam, adres, e-mailadres (indien van toepassing) en telefoonnummer), het type incident en het aantal betrokken personen.
B. Onderzoek en risicoanalyse
In principe binnen de 24 uur nadat ELICIO een incident of inbreuk heeft vastgesteld of nadat een verwerker, een gemachtigde gebruiker, een ontvanger, een betrokken persoon of een derde een incident of inbreuk heeft gemeld, start ELICIO een onderzoek.
Het onderzoek zal uitwijzen wat de aard van het incident is, wat het type van de beoogde gegevens is en of er specifiek persoonsgegevens beïnvloed zijn (en zo ja, wie de betrokken personen zijn en hoeveel persoonsgegevens getroffen zijn). Het onderzoek zal bepalen of er al dan niet sprake is van een inbreuk op persoonsgegevens.
Indien er van een inbreuk sprake is, wordt er een risicoanalyse uitgevoerd om te weten wat de mogelijke gevolgen van de inbreuk (kunnen) zijn en in het bijzonder de (mogelijke) effecten voor de betrokken personen.
ELICIO beslist vervolgens, op basis van de aard van de inbreuk, of er al dan niet een verplichting is om de inbreuk aan de Gegevensbeschermingsautoriteit en/of de betrokken persoon te melden.
C. Inbreuken documenteren
Alle inbreuken worden in een register gedocumenteerd. Het register specificeert de hoofdoorzaak van het incident en de factoren die ertoe hebben bijgedragen, de volgorde van de gebeurtenissen, de handelingen als reactie, de aanbevelingen en de lessen die eruit getrokken zijn met de bedoeling om de te verbeteren domeinen te bepalen. De aanbevolen veranderingen aan de systemen en procedures moeten worden gedocumenteerd en zo snel mogelijk worden doorgevoerd.
In het kader van zijn opdracht als controleur van de naleving van de reglementering met betrekking tot de gegevensbescherming onderzoekt de FG eveneens hoe de behandeling van de in het verslag opgenomen inbreuk wordt opgevolgd.
13 Functionaris voor gegevensbescherming (FG)
ELICIO heeft een functionaris voor gegevensbescherming aangeduid. U kunt per post (GDPR verantwoordelijke ELICIO – John Cordierlaan 9, 8400 Oostende) of via mail (privacy@elicio.be) met die persoon contact opnemen.
Die functionaris voor gegevensbescherming is bevoegd om:
14 Hoe kunt u kennisnemen van dit beleid en de wijzigingen ervan?
In een wereld van voortdurende technologische veranderingen, zullen wij het privacy-beleid regelmatig bijwerken.
We nodigen u uit om kennis te nemen van de laatste versie van dit document op onze website en we zullen u van belangrijke veranderingen op de hoogte houden via onze website of via onze gebruikelijke communicatiekanalen.
15 Hoe kunt u contact met ons opnemen?
Indien u vragen hebt over het gebruik van uw persoonsgegevens bedoeld in dit beleid, kunt u met onze functionaris voor gegevensbescherming (FG) contact opnemen per post naar GDPR ELICIO – John Cordierlaan 9, 8400 Oostende of via e-mail naar privacy@elicio.be.
Dit privacybeleid is van toepassing vanaf 25 mei 2018.