STEMMELS VERWERKERSOVEREENKOMST

TUSSEN
CARTAMUNDI DIGITAL NV, een vennootschap naar Belgisch recht met ondernemingsnummer 0888.293.534 en maatschappelijke zetel te Deinsesteenweg 108, bus B, 9031 Gent, België (Verwerker),
handelend in de hoedanigheid van Verwerker,
EN
de klant die het bordspel Stemmels heeft aangekocht, zoals nader omschreven in het bestelformulier (Verwerkingsverantwoordelijke),
handelend in de hoedanigheid van Verwerkingsverantwoordelijke,
elk apart een Partij genoemd en samen de Partijen.
ACHTERGROND
(A) De Verwerkingsverantwoordelijke en de Verwerker zijn een verkoopovereenkomst betreffende het bordspel Stemmels aangegaan (Hoofdovereenkomst).
(B) De Verwerkingsverantwoordelijke is in principe een school of een educatieve instelling die het bordspel Stemmels, alsook de bijbehorende applicatie (Applicatie) wenst te gebruiken.
(C) In het kader van de Applicatie verwerkt de Verwerker persoonsgegevens ten behoeve van de Verwerkingsverantwoordelijke.
In deze Verwerkersovereenkomst worden de aanvullende bepalingen, vereisten en voorwaarden uiteengezet waaronder de Verwerker Persoonsgegevens zal verwerken bij het verlenen van diensten in het kader van de Hoofdovereenkomst. Deze Verwerkersovereenkomst bevat de verplichte clausules die op grond van artikel 28 (3) van de AVG vereist zijn voor overeenkomsten tussen verwerkingsverantwoordelijken en verwerkers.
De Verwerkersovereenkomst komt geldig tot stand op het moment dat de Verwerkingsverantwoordelijke het bordspel bestelt via de online webshop van de Verwerker.

OVEREENGEKOMEN BEPALINGEN

1. Definities en Interpretatie

In deze Verwerkersovereenkomst zijn de volgende definities en interpretatieregels van toepassing.

  1. Definities:

    Doeleinden betekent de diensten die in de Hoofdovereenkomst beschreven worden en/of eender welk ander doeleinde dat specifiek geïdentificeerd werd in Bijlage A.

    Gegevensbeschermingswetgeving betekent elke toepasselijke wettelijke regeling van de Europese Unie, met inbegrip van o.a. besluiten, richtlijnen en voorschriften, voor de bescherming van persoonsgegevens, in het bijzonder de AVG, en de toepasselijke implementatiewetgeving krachtens het Belgische recht.

    AVG is de Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (Algemene Verordening Gegevensbescherming).

    Verwerkingsverantwoordelijke, Gegevensbeschermingseffectbeoordeling, Betrokkene, Persoonsgegevens, Inbreuk in verband met Persoonsgegevens, verwerken/verwerking en Verwerker hebben dezelfde betekenis als in de AVG.

  2. Deze Verwerkersovereenkomst is onderworpen aan de bepalingen van de Hoofdovereenkomst en maakt integraal deel uit van de Hoofdovereenkomst.
  3. In geval van tegenstrijdigheid of ambiguïteit tussen:
  • een bepaling in deze Verwerkersovereenkomst en een bepaling in de Bijlagen, prevaleert de bepaling in deze Verwerkersovereenkomst; en
  • een van de bepalingen van deze Verwerkersovereenkomst en de bepalingen van de Hoofdovereenkomst, prevaleren de bepalingen van deze Verwerkersovereenkomst.

2. Soorten Persoonsgegevens en verwerkingsdoeleinden

  1. De Verwerkingsverantwoordelijke behoudt de controle over de Persoonsgegevens en blijft verantwoordelijk voor de naleving van zijn verplichtingen krachtens de toepasselijke Gegevensbeschermingswetgeving, met inbegrip van het verrichten van de vereiste kennisgevingen en het verkrijgen van de nodige toestemmingen, alsook voor de verwerkingsinstructies die hij aan de Verwerker geeft. De Verwerkingsverantwoordelijke zal de Verwerker op de hoogte stellen van eventuele aanvullende nationale en/of sectorspecifieke dwingende wetgeving die van toepassing is op de verwerking door de Verwerker als gevolg van de verwerking door, en/of de tussenkomst van, de Verwerkingsverantwoordelijke.
  2. Bijlage A beschrijft de aard en het doel van de verwerking, de bewaartermijn(en) en de categorieën van Persoonsgegevens en soorten Betrokkenen waarvoor de Verwerker gegevens mag verwerken om de Doeleinden te verwezenlijken.

3. Verplichtingen van de Verwerker

  1. De Verwerker zal de Persoonsgegevens slechts verwerken voor zover en op zodanige wijze als nodig is voor de Doeleinden, overeenkomstig de schriftelijke instructies van de Verwerkingsverantwoordelijke. De Verwerker zal de Persoonsgegevens niet verwerken voor enig ander doeleinde of op een manier die niet in overeenstemming is met deze Verwerkersovereenkomst of de Gegevensbeschermingswetgeving. De Verwerker dient de Verwerkingsverantwoordelijke onverwijld op de hoogte te stellen indien hij van mening is dat de instructie van de Verwerkingsverantwoordelijke niet in overeenstemming is met de Gegevensbeschermingswetgeving.
  2. De Verwerker moet alle Persoonsgegevens vertrouwelijk behandelen en mag geen Persoonsgegevens aan derden verstrekken, tenzij de Verwerkingsverantwoordelijke of deze Verwerkersovereenkomst uitdrukkelijk toestemming geeft voor deze verstrekking, of zoals bij wet vereist is. Indien een wet, rechtbank, regelgevende instantie of toezichthoudende autoriteit de Verwerker verplicht Persoonsgegevens te verwerken of openbaar te maken, dient de Verwerker de Verwerkingsverantwoordelijke eerst op de hoogte te stellen van de wettelijke of regelgevende verplichting en de Verwerkingsverantwoordelijke de gelegenheid te bieden bezwaar te maken tegen de verplichting of deze aan te vechten, tenzij de wet een dergelijke kennisgeving verbiedt.
  3. De Verwerker moet de Verwerkingsverantwoordelijke redelijkerwijs bijstaan bij het voldoen aan de nalevingsverplichtingen van de Verwerkingsverantwoordelijke op grond van de Gegevensbeschermingswetgeving, rekening houdend met de aard van de verwerking door de Verwerker en de informatie waarover de Verwerker beschikt, onder meer met betrekking tot de rechten van de Betrokkene, Gegevensbeschermingseffectbeoordelingen alsook de rapportage aan en het overleg met toezichthoudende autoriteiten op grond van de Gegevensbeschermingswetgeving.

4. Werknemers van de Verwerker

  1. De Verwerker zal ervoor zorgen dat alle werknemers:
    • op de hoogte zijn van het vertrouwelijke karakter van de Persoonsgegevens en gebonden zijn aan geheimhoudingsverplichtingen en gebruiksbeperkingen ten opzichte van de Persoonsgegevens; en
    • op de hoogte zijn van zowel de plichten van de Verwerker als hun persoonlijke plichten en verplichtingen onder de Gegevensbeschermingswetgeving en deze Verwerkersovereenkomst.

5. Beveiliging

  1. De Verwerker dient passende technische en organisatorische maatregelen te treffen tegen ongeoorloofde of onrechtmatige verwerking, toegang, openbaarmaking, kopiëren, wijziging, opslag, reproductie, weergave of verspreiding van Persoonsgegevens, en tegen onopzettelijk of onrechtmatig verlies, vernietiging, wijziging, openbaarmaking of beschadiging van Persoonsgegevens, zoals verder beschreven in Bijlage B.
  2. De Verwerker moet dergelijke maatregelen treffen om een beveiligingsniveau te garanderen dat in verhouding staat tot het respectieve risico, waaronder in voorkomend geval:
    • de pseudonimisering en versleuteling van persoonsgegevens;
    • het vermogen om op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerkingssystemen en diensten te garanderen;
    • het vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig te herstellen; en
    • een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van de beveiligingsmaatregelen.

6. Inbreuk in verband met Persoonsgegevens

  1. De Verwerker zal moet de Verwerkingsverantwoordelijke zonder onnodige vertraging en, indien mogelijk, in ieder geval binnen 4824 uur op de hoogte stellen indien hij kennis krijgt van een Inbreuk in verband met Persoonsgegevens.
  2. Wanneer de Verwerker kennis krijgt van een Inbreuk in verband met de Persoonsgegevens, moet hij zonder onnodige vertraging de Verwerkingsverantwoordelijke de volgende informatie bezorgen:
    • een beschrijving van de aard ervan, met vermelding van de categorieën van Betrokkenen en bij benadering, het aantal Betrokkenen en Persoonsgegevensregisters in kwestie;
    • de waarschijnlijke gevolgen; en
    • een beschrijving van de maatregelen die zijn genomen of worden voorgesteld om de Inbreuk in verband met Persoonsgegevens aan te pakken, met inbegrip van maatregelen om de eventuele nadelige gevolgen ervan te beperken.
  3. Onmiddellijk na een Inbreuk in verband met Persoonsgegevens, zullen de Partijen met elkaar samenwerken om de zaak te onderzoeken. De Verwerker zal in redelijkheid samenwerken met de Verwerkingsverantwoordelijke bij de behandeling van de aangelegenheid door de Verwerkingsverantwoordelijke, waaronder:
    • het verlenen van medewerking aan een onderzoek;
    • het ondernemen van redelijke en snelle stappen om de gevolgen te beperken en eventuele schade als gevolg van de Inbreuk in verband met Persoonsgegevens tot een minimum te beperken.
  4. De Verwerker zal derden niet in kennis stellen van een Inbreuk in verband met Persoonsgegevens zonder voorafgaande schriftelijke toestemming van de Verwerkingsverantwoordelijke, behalve wanneer hij hiertoe wettelijk verplicht is.
  5. De Verwerkeringsverantwoordelijke moet alle redelijke kosten dekken die verband houden met de prestatie van de Verwerker krachtens dit artikel 6 tenzij de zaak het gevolg is van nalatigheid, opzettelijk wangedrag of schending van deze Verwerkersovereenkomst door de Verwerker.

7. Grensoverschrijdende doorgifte van Persoonsgegevens

  1.  De Verwerker (of een Subverwerker) zal enkel Persoonsgegevens doorgeven of anderszins verwerken buiten de Europese Economische Ruimte (EER) mits naleving van de toepasselijke wettelijke voorwaarden.
  2. De Verwerkingsverantwoordelijk verklaart zich akkoord met de doorgiftes zoals weergegeven in Bijlage A.

8. Subverwerkers

  1. De Verwerker mag een derde (Subverwerker) alleen machtigen om de Persoonsgegevens te verwerken indien:
    • de Verwerkingsverantwoordelijke in de gelegenheid wordt gesteld bezwaar aan te tekenen tegen de aanwijzing van elke Subverwerker binnen 14 dagen nadat de Verwerker de Verwerkingsverantwoordelijke in kennis heeft gesteld van zijn voornemen om een dergelijke Subverwerker aan te wijzen. Dit echter met dien verstande dat de Verwerkingsverantwoordelijke alleen schriftelijk en op redelijke en met bewijsstukken gestaafde gronden bezwaar kan aantekenen tegen een dergelijke aanwijzing; en
    • de Verwerker met de Subverwerker een schriftelijke overeenkomst sluit die in wezen dezelfde voorwaarden bevat als die welke in deze Verwerkersovereenkomst zijn vervat, met name met betrekking tot het eisen van passende technische en organisatorische maatregelen ter beveiliging van de gegevens, en de Verwerker, op schriftelijk verzoek van de Verwerkingsverantwoordelijke, kopieën van dergelijke overeenkomsten aan de Verwerkingsverantwoordelijke verstrekt; en
  2. De Subverwerkers die bij aanvang van deze Verwerkersovereenkomst goedgekeurd zijn, worden vermeld in Bijlage A. De Verwerker dient in Bijlage A een lijst op te nemen van alle goedgekeurde Subverwerkers, met vermelding van de naam en locatie van elke Subverwerker en de contactgegevens van de persoon die verantwoordelijk is voor de naleving van de regels inzake gegevensbescherming.
  3. Onverminderd artikel 13.1 blijft de Verwerker ten opzichte van de Verwerkingsverantwoordelijke volledig aansprakelijk voor iedere niet-nakoming door een Subverwerker van zijn verplichtingen met betrekking tot de verwerking van de Persoonsgegevens.

9. Klachten, verzoeken van Betrokkenen en rechten van derden

  1. De Verwerker dient de passende technische en organisatorische maatregelen te treffen die schriftelijk afgesproken werden tussen de Partijen en moet onverwijld de informatie verstrekken aan de Verwerkingsverantwoordelijke die de Verwerkingsverantwoordelijke redelijkerwijs kan verlangen, om de Verwerkingsverantwoordelijke in staat te stellen te voldoen aan:
    • de rechten van Betrokkenen op grond van de Gegevensbeschermingswetgeving, met inbegrip van het recht op toegang, het recht om persoonsgegevens te rectificeren en te wissen, het recht om bezwaar te maken tegen de verwerking en geautomatiseerde verwerking van persoonsgegevens, en het recht om de verwerking van persoonsgegevens te beperken; en
    • informatie- of beoordelingskennisgevingen die door een toezichthoudende autoriteit aan de Verwerker zijn betekend op grond van de Gegevensbeschermingswetgeving.
  2. De Verwerker dient de Verwerkingsverantwoordelijke onverwijld op de hoogte te stellen indien hij een klacht, kennisgeving of mededeling ontvangt die direct of indirect betrekking heeft op de verwerking van de Persoonsgegevens of op de naleving door een van de Partijen van de Gegevensbeschermingswetgeving.
  3. De Verwerker dient de Verwerkingsverantwoordelijke binnen 5 werkdagen op de hoogte te stellen indien hij een verzoek ontvangt van een Betrokkene om toegang tot zijn Persoonsgegevens of om uitoefening van een van de rechten die hij op grond van de Gegevensbeschermingswetgeving heeft.
  4. De Verwerker moet redelijkerwijs zijn medewerking verlenen en de Verwerkingsverantwoordelijke bijstaan bij het reageren op klachten, kennisgevingen, mededelingen of verzoeken van Betrokkenen.
  5. De Verwerker mag de Persoonsgegevens niet bekendmaken aan een Betrokkene of aan een derde, anders dan op verzoek of instructie van de Verwerkingsverantwoordelijke, zoals bepaald in deze Verwerkersovereenkomst of vereist bij wet.

10. Looptijd en beëindiging

  1. Deze Verwerkersovereenkomst zal volledig van kracht blijven totdat (i) de Verwerkingsverantwoordelijke definitief stopt met het gebruiken van de Applicatie of (ii) de Verwerker stop met de ondersteuning of het aanbieden van de Applicatie (Looptijd).
  2. Elke bepaling van deze Verwerkersovereenkomst die uitdrukkelijk of stilzwijgend van kracht moet worden of blijven bij of na beëindiging van de Hoofdovereenkomst (met inbegrip van o.a. artikel 13.1), zal onverminderd van kracht blijven.

11. Teruggave en vernietiging van gegevens

  1. Bij beëindiging van de Hoofdovereenkomst, om welke reden dan ook, of bij het verstrijken van de Looptijd daarvan, moet de Verwerker alle of een deel van de Persoonsgegevens die verband houden met deze Verwerkersovereenkomst en die zich in zijn bezit of onder zijn beheer bevinden, veilig wissen of vernietigen, of, indien de Verwerkingsverantwoordelijke hierom schriftelijk verzoekt, deze teruggeven en niet bewaren.
  2. Indien een wet, voorschrift of overheids- of regelgevende instantie de Verwerker verplicht documenten of materialen te bewaren die de Verwerker anders zou moeten terugbezorgen of vernietigen, moet de Verwerker de Verwerkingsverantwoordelijke schriftelijk op de hoogte stellen van die bewaarplicht, met vermelding van de details van de documenten of materialen die de Verwerker moet bewaren, de rechtsgrondslag voor de bewaring, en de vaststelling van een specifieke termijn voor vernietiging zodra de bewaarplicht eindigt.
  3. De Verwerker moet schriftelijk verklaren dat hij de Persoonsgegevens heeft vernietigd binnen 14 dagen nadat hij de vernietiging heeft voltooid.

12. Audit

  1. De Verwerker zal de Verwerkingsverantwoordelijke alle informatie ter beschikking stellen die nodig is om aan te tonen dat de verplichtingen uit hoofde van deze Verwerkersovereenkomst en de Gegevensbeschermingswetgeving worden nageleefd en zal de Verwerkingsverantwoordelijke en diens gemachtigde controleurs toestaan audits uit te voeren met betrekking tot de naleving door de Verwerker van zijn verplichtingen uit hoofde van deze Verwerkersovereenkomst en de Gegevensbeschermingswetgeving.
  2. Een dergelijke audit mag niet vaker dan eenmaal per contractjaar plaatsvinden, geschiedt uitsluitend op kosten van de Verwerkingsverantwoordelijke en wordt slechts uitgevoerd indien de Verwerkingsverantwoordelijke de Verwerker ten minste dertig (30) dagen van tevoren schriftelijk in kennis heeft gesteld van zijn voornemen om een audit uit te voeren. De audit moet plaatsvinden tijdens de normale kantooruren en mag de zakelijke activiteiten van de Verwerker niet op onredelijke wijze hinderen. De Verwerker heeft het recht om van de Verwerkingsverantwoordelijke en een externe controleur te verlangen dat zij een geheimhoudingsverklaring aangaan voordat de audit wordt uitgevoerd.

13. Slotbepalingen

  1. Voor zover toegestaan onder het toepasselijk recht, zijn alle beperkingen en/of uitsluitingen van aansprakelijkheid in de Hoofdovereenkomst van toepassing op deze Verwerkersovereenkomst.
  2. Indien op enig moment gedurende de Looptijd wordt vastgesteld dat een van de bepalingen van deze Verwerkersovereenkomst ongeldig, onwettig of niet-afdwingbaar is of is geworden, worden de geldigheid, wettigheid en afdwingbaarheid van de overige bepalingen van de Verwerkersovereenkomst hierdoor op geen enkele wijze beïnvloed of aangetast. De Partijen zullen te goeder trouw onderhandelen om een dergelijke ongeldige, onwettige of niet-afdwingbare bepaling te vervangen door een geldige, wettige en afdwingbare bepaling waarvan het effect dat van de ongeldige, onwettige of niet-afdwingbare bepaling zo dicht mogelijk benadert.
  3. Deze Verwerkersovereenkomst wordt beheerst door en geïnterpreteerd in overeenstemming met de wetten die van toepassing zijn op de Hoofdovereenkomst. Dezelfde rechtbank als vermeld in de Hoofdovereenkomst is als enige bevoegd om zich uit te spreken over alle geschillen die voortvloeien uit of verband houden met deze Verwerkersovereenkomst.

BIJLAGE A

Beschrijving van verwerking en contactgegevens

Aanvullende Doeleinden en specifieke instructies met betrekking tot de verwerking

De Verwerker verwerkt de Persoonsgegevens om de Verwerkingsverantwoordelijke in staat te stellen het Stemmels bordspel te gebruiken, spelsessies aan te maken en te kunnen genieten van alle functionaliteiten van de Applicatie, waaronder de indeling van de leerlingen die de Applicatie zullen gebruiken in verschillende groepen.

De Verwerkingen omvatten onder meer de verzameling, registratie en opslag van Persoonsgegevens.

Categorieën van Betrokkenen

  • Werknemers en/of adviseurs van de Verwerkingsverantwoordelijke
  • Klanten van de Verwerkingsverantwoordelijke
  • Gebruikers van de Applicatie
  • Andere (gelieve te specificeren): de leerlingen waarvan de gegevens door de leerkrachten ingegeven worden in de Applicatie

Categorieën van Persoonsgegevens

  • Voornaam, pseudoniemen en/of klasnummers van de Betrokkenen
  • Eventuele andere Persoonsgegevens die de Verwerkingsverantwoordelijke meedeelt via de Applicatie

Bewaartermijn

  • de ontvangen Persoonsgegevens m.b.t. tot de leerlingen worden steeds op het einde van het lopende schooljaar verwijderd;
  • de Persoonsgegevens m.b.t. de leerkrachten worden automatisch 5 jaar na het laatste gebruik verwijderd.

Contactgegevens van de persoon die verantwoordelijk is voor de naleving van de gegevensbescherming

 

Volledige naam
Functie
E-mail
Telefoonnummer
Verwerker
Marc Van Den Bosch
Functionaris voor gegevensbescherming
Marc.van.den.bosch@cartamundi.com
014 42 02 01

Lijst van Subverwerkers

Naam van de onderneming
Amazon Web Services
Google Ireland Limited
Sendinblue
Contactgegevens van de persoon die verantwoordelijk is voor de naleving van de gegevensbescherming
Plaats van verwerking
eu-west-1, EU, Ierland (https://aws.amazon.com/about-aws/global-infrastructure/) Eventuele Verwerking buiten de EER zoals hier beschreven: https://aws.amazon.com/compliance/gdpr-center/
EU, Ierland Eventuele Verwerking buiten de EER zoals hier beschreven: https://privacy.google.com/businesses/processorterms
EU, Parijs
Aard van de subverwerking (beschrijving van diensten)
Cloud hostingprovider
Analyse van het gebruik teneinde inzichten te verwerven ter verbetering van het platform
Versturen van e-mails inzake accountregistratie

BIJLAGE B

Technische en organisatorische maatregelen

  1. Algemeen De verwerkingsactiviteiten uitgevoerd door Cartamundi (en zijn subverwerker(s)) gebeuren op basis van zo beperkt mogelijke identificatie zoals hoger gedetailleerd. Het is Cartamundi niet toegelaten deze persoonsgegevens buiten het kader van de beoogde activiteit te gebruiken of te verrijken behoudens mits expliciete toestemming van de eindgebruiker zelf.
  2. Organisatie van informatiebeveiliging Cartamundi streeft een hoge professionele zorgvuldigheid van haar dienstverlening na en is verantwoordelijk om haar klanten de diensten aan te bieden conform onder andere wettelijke vereisten en contractuele afspraken. Onderdeel van deze verantwoordelijkheid is de verplichting om adequate bescherming te bieden tegen verschillende bedreigingen die beschikbaarheid, integriteit, vertrouwelijkheid en nauwkeurigheid van de diensten kunnen aantasten. Om de blootstelling aan en het effect van bedreigingen voor de privacy en veiligheid van de diensten te beperken heeft de opdrachtnemer passende beveiliging geïmplementeerd voor de verwerking van persoonsgegevens.De informatiebeveiliging zal jaarlijks door het management van Cartamundi worden geëvalueerd om ervoor te zorgen dat deze is bijgewerkt op basis van continue risicobeoordeling voor informatiebeveiliging. De conclusies van de evaluatie door het management omvatten aanbevelingen met betrekking tot mogelijkheden voor verbetering en eventuele behoeften aan wijzigingen, waaronder: a) ervoor zorgen dat de informatiebeveiliging de beoogde uitkomst(en) kan bereiken; b) ongewenste effecten voorkomen of verminderen; en c) voortdurende verbetering bereiken.Cartamundi heeft een toegewijd functionaris voor gegevensbescherming in dienst die beschikt over de noodzakelijke kwalificaties.Cartamundi verklaart voldoende initiatieven te nemen om ervoor te zorgen dat al haar medewerkers voldoende bewust gemaakt worden in het kader van privacygerelateerde onderwerpen. Alle personeelsleden van Cartamundi hebben kennis van de bepalingen betreffende de Algemene Verordening Gegevensbescherming en krijgen regelmatig een opfrissingscursus. Cartamundi waarborgt dan ook dat de tot het verwerken van de persoonsgegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen. Cartamundi heeft hiertoe met de betreffende medewerkers en hulppersonen een confidentialiteitsovereenkomst gesloten.
  3. Toezicht, nazicht en onderhoud Cartamundi beschikt over een beheersplan voor het geval er zich incidenten voordoen die de beschikbaarheid, de integriteit en/of de vertrouwelijkheid van de persoonsgegevens in gevaar brengen. Deze procedure omschrijft de te nemen stappen bij ontdekking van een beveiligingsincident van persoonsgegevens alsook welke personen verantwoordelijk zijn om dit incident aan te pakken en zo een gezonde toestand te herstellen. Cartamundi houdt een eigen inventaris van incidenten bij.
  4. Naleving en documentatie Cartamundi houdt de ontwikkelingen met betrekking tot nieuwe regelgeving welke op de organisatie en dienstverlening van toepassing kan zijn, nauwlettend in de gaten. Cartamundi houdt alle documentatie met betrekking tot informatiebeveiliging gecentraliseerd bij en werkt die regelmatig bij.
  5. Fysieke beveiliging van de omgeving De persoonsgegevens worden bewaard op de plaats van hosting. Cartamundi neemt, desgevallend in de relatie met haar subverwerkers (hostingpartij) fysieke beveiligingsmaatregelen, die in overeenstemming zijn met de algemeen aanvaarde industriestandaarden. Cartamundi zorgt ervoor dat de plaatsen waar persoonsgegevens worden verwerkt, niet toegankelijk zijn voor onbevoegden. Daartoe werden reeds diverse organisatorische maatregelen genomen:
    • Het gebouw is uitgerust met een alarmsysteem met bewegingscontrole in elk kantoor betrokken door Cartamundi. Het systeem wordt voor onze kantoren geactiveerd bij afwezigheid van medewerkers van Cartamundi. Het alarmsysteem is aangesloten op een controlecentrum met telefonische terugmelding.
    • De kantoren worden afgesloten en het gebouw is enkel toegankelijk door bevoegde personen via een toegangscode aan de buitendeuren en aan de hekkens aan de straatkant. De hekkens sluiten automatisch buiten de kantooruren.
    • Medewerkers met toegang tot vertrouwelijke informatie zijn voorzien van een laptop en nemen die verplicht met zich mee na de werkdag waardoor bij afwezigheid geen devices met voorzieningen voor toegang tot dergelijke gegevens aanwezig blijven.
    • Cartamundi hanteert een clean desk policy waardoor (vertrouwelijke) informatie niet zomaar beschikbaar is.
  6. Beveiliging van de netwerken De persoonsgegevens worden bewaard op de plaats van hosting. Dagelijks worden backups genomen met een retentieperiode van 1 jaar, gegevens m.b.t. tot de leerlingen worden steeds op het einde van het lopende schooljaar verwijderd. Cartamundi neemt, desgevallend in de relatie met haar subverwerkers (hostingpartij) beveiligingsmaatregelen, die in overeenstemming zijn met de algemeen aanvaarde industriestandaarden.
    • Het netwerk van Cartamundi Digital maakt deel uit van het globale netwerk van de Cartamundi groep en staat onder beheer van de centrale IT afdeling van de groep (onderdeel van Cartamundi HQ te Turnhout).
    • Het netwerk wordt centraal gemonitord en is georganiseerd volgens algemeen aanvaarde industriestandaarden zoals netwerksegmentatie, firewalls met gecontroleerde routing en package content inspectie, malware detectie, bescherming tegen DoS attacks, …
    • Internettoegang en connectiviteit met centrale diensten van de Cartamundi groep verloopt voor de vesting van Cartamundi Digital te Drongen via een VPN tunnelled leased line met HQ te Turnhout. Er is geen rechtstreekse toegang van en naar het Internet mogelijk.
    • Toegang tot (delen van) het Cartamundi netwerk van binnenaf kan enkel via kabel of wifi met persoonlijke toegangscode voor de medewerkers. Wifi toegang voor gasten laat enkel Internettoegang toe en is gescheiden van interne diensten en devices.
    • Toegang tot (delen van) het Cartamundi netwerk van buitenaf kan enkel via VPN software met two-factor authenticatie van de medewerker (wachtwoord en bevestiging van de connectie via smartphone van de medewerker).
    • Cartamundi heeft een password policy in voege zodat sterkte van wachtwoorden gegarandeerd is en gebruiksduur beperkt blijft.
    • Toegang tot de servers gehost bij AWS verloopt steeds via een beveiligde verbinding met authenticatie en encryptie via wachtwoorden en X509 certificaten (SSH tunnelling).
  7. Logische beveiliging De door Cartamundi genomen beveiligingsmaatregelen omvatten in ieder geval:
    • Maatregelen om te waarborgen dat enkel bevoegde medewerkers toegang hebben tot de persoonsgegevens voor de doeleinden die zijn uiteengezet, en op basis van het need-to-know principe;
    • Maatregelen waarbij Cartamundi haar medewerkers en subverwerkers uitsluitend toegang geeft tot persoonsgegevens via op naam gestelde accounts, waarbij het gebruik van die accounts adequaat gelogd wordt en waarbij de betreffende accounts alleen toegang geven tot die persoonsgegevens waartoe de toegang voor de betreffende (rechts)persoon noodzakelijk is;
    • Maatregelen om te waarborgen dat persoonsgegevens logisch gescheiden worden verwerkt van de persoonsgegevens die Cartamundi voor zichzelf of namens derde partijen verwerkt;
    Bevoegde medewerkers van Cartamundi krijgen een persoonlijke login, waarbij het systeem een sterk paswoord afdwingt. De sessie van een medewerker wordt na een bepaalde periode van inactiviteit vergrendeld door middel van een automatische log off. Cartamundi trekt de bevoegdheid om persoonsgegevens te verwerken direct na beëindiging van het dienstverband of bij een verandering van functie in.
  8. Logging, opsporing en analyse van toegang Cartamundi hanteert ten allen tijde passende en adequate (toegangs)controlemechanismen en loggingmechanismen om ongeoorloofde toegang en niet toegelaten verwerkingen te voorkomen en te detecteren.
    • Cartamundi voert het beleid om op het niveau van systemen, databases en code repositories enkel de personen toegewezen aan het project toegang te verlenen en dit volgens hun taken in het project.
    • Gezien het niet beschikken over high-sensitive data is de logging gebaseerd op de standaard aangeboden logging op de systemen, databases en code repositories, zoals auth logs, access logs, query logs en version logs.
    • De retentieperiode voor standaard logs is 6 maand, voor applicatie logs 12 maand.
  9. Bewaartermijnen Cartamundi bewaart de persoonsgegevens niet langer dan strikt noodzakelijk, waaronder begrepen de wettelijke bewaartermijnen, of zolang de Verwerkingsverantwoordelijke dit noodzakelijk acht voor het toegestane doel.
  10. Rechten van de betrokkenen 10.1 De betrokkene heeft kennis van zijn of haar rechten via het platformVoor die verwerkingen waarvoor verwerkingsverantwoordelijke is, kan en zal Cartamundi ten allen tijde eindgebruikers via een privacy statement/cookieverklaring afdoende in kennis stellen van hun rechten en hoe zij ze kunnen uitoefenen. In de webapplicatie waar andere dan technisch strikt noodzakelijke cookies gebruikt worden is de mogelijkheid voorzien om een pop-up op het platform te plaatsen, waarbij de eindgebruiker via opt-in zijn/haar toestemming kan beheren. 10.2 Cartamundi garandeert dat de betrokkenen al hun rechten kunnen uitoefenen. Het ‘recht om vergeten te worden’ impliceert dat
    • alle persoonsgegevens van de gebruiker worden geschrapt of geanonimiseerd;
    • alle (persoonsgegevens uit) kopies, rapporten, exports worden verwijderd