Beleid voor de bescherming van persoonlijke gegevens

Allereerst. Ja. socialjuice is GDPR-compatibel. Wij bij Waldo Studio BV doen er alles aan om persoonlijke gegevens veilig te verwerken en de privacy van de betrokken personen te respecteren. Dit beleid zal jaarlijks worden herzien of telkens wanneer er wijzigingen plaatsvinden in onze gegevensverwerking.

Reikwijdte en definities

Reikwijdte. Dit Beleid inzake de bescherming van persoonsgegevens (het “Beleid”) beschrijft de interne regels van Waldo Studio BV voor de verwerking en bescherming van persoonsgegevens. Het Beleid is van toepassing op Waldo Studio BV, inclusief medewerkers en opdrachtnemers van Waldo Studio BV (“wij”, “ons”, “onze”, “Waldo Studio BV”). Het management van elke entiteit is uiteindelijk verantwoordelijk voor de implementatie van dit beleid, en zorgt er ook voor dat er op entiteitsniveau adequate en effectieve procedures bestaan ​​voor de implementatie ervan en voor voortdurende monitoring van de naleving ervan. Voor de doeleinden van dit Beleid worden werknemers en contractanten gezamenlijk de “werknemers” genoemd.
Privacybeheer. Privacy Manager is een medewerker van Waldo Studio BV die verantwoordelijk is voor de naleving van de bescherming van persoonsgegevens binnen Waldo Studio BV (de “Privacy Manager”). De Privacy Manager is verantwoordelijk voor het uitvoeren van de verplichtingen die door dit Beleid worden opgelegd en voor het toezicht op andere werknemers, die aan dit Beleid onderworpen zijn, met betrekking tot hun naleving van dit Beleid. De Privacy Manager moet in een vroeg stadium bij alle projecten betrokken worden, zodat er al in de planningsfase rekening gehouden wordt met de bescherming van persoonsgegevens.
De aangewezen Privacy Manager bij Waldo Studio BV is Sander Belaen.
Definities.
Bevoegde toezichthoudende autoriteit
betekent een overheidsinstantie die verantwoordelijk is voor het reguleren van en toezicht houden op de bescherming van persoonsgegevens met betrekking tot de activiteiten van Waldo Studio BV.

Gegevensinbreuk
betekent een schending van de beveiliging en/of vertrouwelijkheid die leidt tot de accidentele of onwettige vernietiging, verlies, wijziging, ongeoorloofde openbaarmaking van of toegang tot verzonden, opgeslagen of anderszins verwerkte Persoonsgegevens.

Dit omvat, maar is niet beperkt tot, e-mails die worden verzonden naar een onjuiste of openbaar gemaakte lijst met ontvangers, een onwettige publicatie van de Persoonsgegevens, verlies of diefstal van fysieke gegevens en ongeoorloofde toegang tot persoonlijke informatie.

Gegevensbeheerder
betekent de natuurlijke of rechtspersoon, overheidsinstantie, agentschap of ander orgaan dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van Persoonsgegevens bepaalt (een beslissing neemt).

Gegevensverwerker
betekent een natuurlijke of rechtspersoon, overheidsinstantie, agentschap of ander orgaan dat de Persoonsgegevens namens de gegevensbeheerder verwerkt.
Wetten voor gegevensbescherming
betekent alle wetten en wettelijke regels over het gebruik en de bescherming van persoonsgegevens die van toepassing zijn op de activiteiten van Waldo Studio BV, inclusief maar niet beperkt tot Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van dergelijke gegevens, en tot intrekking van Richtlijn 95/46/EG (Algemene Verordening Gegevensbescherming, GDPR).

Verzoek om betrokkene (DSR)
betekent elk verzoek van de Betrokkene met betrekking tot zijn persoonsgegevens en/of rechten van de betrokkene.

Betrokkene
betekent een natuurlijke persoon, wiens Persoonsgegevens wij verwerken. Betrokkenen omvatten, maar zijn niet beperkt tot, gebruikers, websitebezoekers, werknemers, opdrachtnemers en partners van Waldo Studio BV.

Persoonlijke gegevens
betekent alle informatie met betrekking tot een geïdentificeerde of identificeerbare Betrokkene; een Betrokkene kan worden geïdentificeerd aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of aan één of de combinatie van factoren die specifiek zijn voor de fysieke, fysiologische, genetische, mentale, economische, culturele of sociale identiteit van die Betrokkene.

Verwerking
betekent elke bewerking of reeks bewerkingen die door Waldo Studio BV wordt uitgevoerd op Persoonsgegevens, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, aanpassen of wijzigen, opvragen, raadplegen, gebruiken, openbaar maken door verzending, verspreiden of anderszins beschikbaar stellen, uitlijnen of combineren, beperken, wissen of vernietigen.

Standaardcontractbepalingen
betekent het besluit van de Europese Commissie van 5 februari 2010 betreffende modelcontractbepalingen voor de overdracht van persoonsgegevens aan in derde landen gevestigde verwerkers krachtens Richtlijn 95/46/EG van het Europees Parlement en de Raad (2010/87/EU).

Derden
betekent een natuurlijke of rechtspersoon die toegang heeft tot de Persoonsgegevens voor verdere verwerking en die geen werknemer, lid of gelieerde onderneming van Waldo Studio BV is. Deze definitie is niet van toepassing op natuurlijke personen, die regelmatig als opdrachtnemer diensten verlenen aan Waldo Studio BV.

Gebruiker
betekent een Betrokkene die gebruik maakt van onze diensten die worden aangeboden op de website van Waldo Studio BV.

Principes voor gegevensverwerking

De verwerkingsactiviteiten van Waldo Studio BV moeten in overeenstemming zijn met de beginselen die in deze sectie zijn gespecificeerd. De Privacy Manager moet ervoor zorgen dat de nalevingsdocumentatie van Waldo Studio BV, evenals de gegevensverwerkingsactiviteiten, in overeenstemming zijn met de gegevensbeschermingsbeginselen.

Wij moeten de Persoonsgegevens verwerken in overeenstemming met de volgende beginselen: Rechtmatig, eerlijk en op een transparante wijze (rechtmatigheid, eerlijkheid en transparantie). We zullen altijd een wettelijke basis hebben voor de verwerking (beschreven in Hoofdstuk 3 van dit Beleid), de hoeveelheid gegevens verzamelen die geschikt is voor het doel en de rechtsgronden, en we ervoor zorgen dat de Betrokkenen op de hoogte zijn van de verwerking; Verzameld voor gespecificeerde, expliciete en legitieme doeleinden en niet verder verwerkt op een manier die onverenigbaar is met die doeleinden (doelbinding). We mogen de Persoonsgegevens niet verwerken voor de doeleinden die niet zijn gespecificeerd in onze nalevingsdocumentatie zonder specifieke goedkeuring van de Privacy Manager te verkrijgen; Adequaat, relevant en beperkt tot wat nodig is voor de doeleinden waarvoor ze worden verwerkt (gegevensminimalisatie). We zorgen er altijd voor dat de gegevens die we verzamelen niet buitensporig zijn en beperkt worden door de strikte noodzaak; Nauwkeurig en waar nodig actueel gehouden (nauwkeurigheid). We streven ernaar om onnauwkeurige of valse gegevens over betrokkenen te verwijderen en ervoor te zorgen dat we de gegevens bijwerken. Betrokkenen kunnen ons vragen om correctie van de Persoonsgegevens; Niet langer bewaard in een vorm die identificatie van Betrokkenen mogelijk maakt dan nodig is voor de doeleinden waarvoor de Persoonsgegevens worden verwerkt (beperking van de bewaartermijn). De opslagperioden moeten beperkt zijn zoals voorgeschreven door de gegevensbeschermingswetten en dit beleid; en Verwerken op een manier die een passende beveiliging van de Persoonsgegevens garandeert, inclusief bescherming tegen ongeoorloofde of onwettige verwerking en onopzettelijk verlies, vernietiging of schade, met behulp van passende technische of organisatorische maatregelen (vertrouwelijkheid, integriteit en beschikbaarheid).

Verantwoording. Wij zullen in staat zijn aan te tonen dat wij de wetten inzake gegevensbescherming naleven (aansprakelijkheidsbeginsel). In het bijzonder moeten we alle relevante procedures, inspanningen, intern en extern overleg over de bescherming van persoonsgegevens garanderen en documenteren, inclusief: het feit dat er een persoon is aangesteld die verantwoordelijk is voor de naleving van de gegevensbescherming door Waldo Studio BV; waar nodig, een registratie van een gegevensverwerkingseffectbeoordeling; kennisgevingen, beleid en procedures ontwikkeld en geïmplementeerd, zoals de Privacyverklaring, dit beleid of de reactieprocedure bij inbreuk op gegevens; het feit dat het personeel training krijgt over de naleving van de wetgeving inzake gegevensbescherming; en beoordeling, implementatie en testen van organisatorische en technische gegevensbeschermingsmaatregelen. De Privacymanager moet de verwerkingsactiviteiten van Waldo Studio BV bijhouden. Dit is een verantwoordingsdocument dat de verwerkingsactiviteiten van persoonsgegevens van Waldo Studio BV beschrijft, opgesteld in overeenstemming met Art. 30 van de GDPR (de “Registratie van verwerkingsactiviteiten”). In het register van verwerkingsactiviteiten moeten ten minste de volgende informatie over elke verwerkingsactiviteit worden bewaard: contactgegevens van Waldo Studio BV, de EU-vertegenwoordiger en, indien van toepassing, van de functionaris voor gegevensbescherming; naam van de activiteit, het doel en de rechtsgrond ervan, samen met, indien van toepassing, de legitieme belangen van Waldo Studio BV; betrokken betrokkenen en categorieën van persoonsgegevens; bewaartermijnen voor gegevens; algemene beschrijving van toepasselijke beveiligingsmaatregelen; ontvangers, inclusief de betrokken gezamenlijke verwerkingsverantwoordelijken, verwerkers en contractanten, evenals het feit van de internationale gegevensoverdracht met de op de overdracht toegepaste waarborgen; indien van toepassing, een verwijzing naar de Data Processing Impact Assessment; indien van toepassing, een verwijzing naar het dossier van het datalek waarbij de persoonsgegevens betrokken zijn; indien Waldo Studio BV optreedt als gegevensverwerker, omvat de te verstrekken informatie de namen en contactgegevens van verwerkingsverantwoordelijken, naam en contactgegevens van de vertegenwoordiger van de verwerkingsverantwoordelijke (indien van toepassing), categorieën van verwerkingen (activiteiten), namen van derde landen of internationale organisaties waaraan persoonsgegevens worden overgedragen (indien van toepassing), waarborgen voor uitzonderlijke overdrachten van persoonsgegevens naar derde landen of internationale organisaties (indien van toepassing) en een algemene beschrijving van technische en organisatorische beveiligingsmaatregelen.

Toegang tot persoonlijke gegevens. Juridische gronden en doeleinden

Juridische gronden.
Elke verwerkingsactiviteit moet een van de wettelijke gronden hebben die in deze sectie worden gespecificeerd om de Persoonsgegevens te verwerken. Als we niet over een van de beschreven zaken beschikken, kunnen we de Persoonsgegevens niet verzamelen of verder verwerken. Als het de bedoeling is dat Waldo Studio BV persoonsgegevens gebruikt voor andere doeleinden dan die gespecificeerd in de Registratie van verwerkingsactiviteiten, moet de Privacymanager de juiste wettelijke basis daarvoor evalueren, bepalen en, indien nodig, verzamelen/vastleggen. Uitvoering van de overeenkomst. Waar Waldo Studio BV een contract heeft met de Betrokkene, b.v. de Gebruiksvoorwaarden van de website of de arbeidsovereenkomst, en het contract vereist de verstrekking van persoonlijke gegevens van de Betrokkene, zal de toepasselijke rechtsgrond de uitvoering van het contract zijn. Toestemming. Om de persoonsgegevens te verwerken op basis van de toestemming, moeten we de toestemming verkrijgen vóór de Verwerking en het bewijs van de toestemming bewaren in de administratie van de Persoonsgegevens van de Betrokkene. De Privacymanager moet ervoor zorgen dat de toestemming die van Betrokkenen wordt verzameld, voldoet aan de vereisten van de Wetgeving inzake Gegevensbescherming en dit Beleid. In het bijzonder moet de Privacy Manager ervoor zorgen dat: de Betrokkene vrij moet zijn om toestemming te geven of te weigeren.
de toestemming heeft de vorm van een actieve indicatie van de Betrokkene, d.w.z. het selectievakje voor toestemming mag niet vooraf zijn aangevinkt voor de gebruiker. het verzoek om toestemming geeft duidelijk de doeleinden van de verwerking weer, en andere informatie gespecificeerd in paragraaf 6.2 is beschikbaar voor de Betrokkene. de Betrokkene moet de vrijheid hebben om toestemming te geven of deze in te trekken.
Gerechtvaardigde belangen. Wij hebben het recht om persoonsgegevens te gebruiken in onze ‘legitieme belangen’. Tot de belangen kunnen de doeleinden behoren die gerechtvaardigd zijn door de aard van onze bedrijfsactiviteiten, zoals de marketinganalyse van persoonsgegevens. Wil Waldo Studio BV legitieme belangen gebruiken als rechtsgrond voor de verwerking, dan moet de Privacy Manager ervoor zorgen dat: het legitieme belang bij de verwerking duidelijk wordt gedefinieerd en vastgelegd in de Registratie van verwerkingsactiviteiten; eventuele voorziene risico’s voor de rechten en belangen van Betrokkenen worden opgemerkt. De voorbeelden van de risico’s zijn te vinden in paragraaf 7.2.; de Betrokkenen redelijke verwachtingen hebben over de verwerking en er aanvullende beschermende maatregelen worden genomen om de risico’s aan te pakken; met inachtneming van de voorwaarden van paragraaf 6.7 (Recht om bezwaar te maken tegen de verwerking), krijgt de Betrokkene de mogelijkheid om zich af te melden voor de verwerking vanwege de beschreven legitieme belangen. Indien aan tenminste één van bovenstaande voorwaarden niet wordt voldaan door Waldo Studio BV, moet de Privacy Manager een andere rechtsgrond voor de verwerking kiezen en voorstellen, zoals toestemming. Wettelijke naleving en algemeen belang. Naast de hierboven genoemde gronden, kunnen wij door de wetten van de Europese Unie of de wetten van de EU-lidstaat worden verzocht om persoonlijke gegevens van onze gebruikers te verwerken. Er kan bijvoorbeeld van ons worden verlangd dat we de informatie van Gebruikers verzamelen, analyseren en controleren om te voldoen aan de financiële of arbeidswetgeving. Wanneer we een dergelijke verplichting hebben, moeten we ervoor zorgen dat:
wij verwerken persoonsgegevens strikt in overeenstemming met de relevante wettelijke vereisten;
wij gebruiken of bewaren de verzamelde Persoonsgegevens niet voor andere doeleinden dan wettelijke naleving; en de betrokkenen correct en tijdig worden geïnformeerd over onze verplichtingen, reikwijdte en voorwaarden voor de verwerking van persoonsgegevens. Belangrijk: Wanneer Waldo Studio BV de wettelijke vereisten van een ander land heeft om persoonlijke gegevens te verwerken, moet de Privacymanager voorstellen om een ​​andere rechtsgrond te gebruiken voor de verwerking onder de wetgeving inzake gegevensbescherming, zoals legitieme belangen of toestemming.

Toegang tot persoonlijke gegevens.
De werknemers moeten toegang hebben tot de persoonsgegevens op een “need-to-know”-basis. De gegevens zijn alleen toegankelijk als dit strikt noodzakelijk is om een ​​van de activiteiten uit te voeren die zijn gespecificeerd in het Register van verwerkingsactiviteiten. De werknemers en opdrachtnemers hebben alleen toegang tot de Persoonsgegevens als zij over de daarvoor benodigde inloggegevens beschikken. Afdelingshoofden binnen Waldo Studio BV zijn verantwoordelijk voor de toegang tot en verwerking van persoonsgegevens door hun medewerkers. De hoofden moeten de lijst bijhouden van medewerkers die recht hebben op toegang tot en verwerking van persoonsgegevens. De Privacymanager heeft het recht om de lijst te bekijken en, waar nodig, om wijzigingen te verzoeken om aan de vereisten van dit Beleid te voldoen. Hoofden van de afdelingen binnen Waldo Studio BV moeten ervoor zorgen dat de medewerkers onder hun toezicht op de hoogte zijn van de Wetgeving inzake Gegevensbescherming en zich houden aan de regels die in dit Beleid zijn vastgelegd. Om ervoor te zorgen dat onze medewerkers in staat zijn om aan de eisen inzake gegevensbescherming te voldoen, moeten wij hen een adequate opleiding op het gebied van gegevensbescherming bieden. Alle werknemers die toegang hebben tot persoonlijke gegevens, moeten strikte vertrouwelijkheid betrachten met betrekking tot de gegevens waartoe zij toegang hebben. De medewerkers die toegang krijgen tot persoonsgegevens mogen voor de verwerking uitsluitend die middelen (software, panden etc.) gebruiken die door Waldo Studio BV zijn voorgeschreven. De gegevens mogen vanuit de beheerinstructies niet openbaar worden gemaakt of anderszins ter beschikking worden gesteld. De werknemers die binnen hun bevoegdheid vallen, moeten de vertegenwoordigers van Waldo Studio BV, inclusief de Privacy Manager, assisteren bij alle inspanningen met betrekking tot de naleving van de wetgeving inzake gegevensbescherming en/of dit beleid. Wanneer een medewerker verdachte activiteiten, datalekken, niet-naleving van de gegevensbeschermingswetten en/of dit beleid detecteert of vermoedt, of een DSR niet naar de bevoegde afdeling binnen Waldo Studio BV is doorgestuurd, moet de medewerker dergelijke activiteiten melden aan de Privacy Manager. Werknemers die niet zeker weten of zij op legitieme wijze Persoonsgegevens kunnen verwerken of openbaar maken, moeten advies inwinnen bij de Privacymanager voordat zij actie ondernemen. Elke incidentele toegang tot persoonsgegevens voor activiteiten die niet zijn gespecificeerd in de Registratie van verwerkingsactiviteiten is verboden. Als er een strikte noodzaak is voor onmiddellijke toegang, moet de Privacymanager de toegang eerst goedkeuren.

Derden

Voordat persoonsgegevens worden gedeeld met een persoon buiten Waldo Studio BV, moet de Privacymanager ervoor zorgen dat deze Derde een adequaat niveau van gegevensbescherming heeft en voldoende garanties voor gegevensbescherming bieden in overeenstemming met de wetgeving inzake gegevensbescherming, inclusief maar niet beperkt tot de vereisten voor verwerker (Art. 28 van de GDPR) en naleving van internationale overdrachten (Sectie 5 van de GDPR). Waar nodig moet de Privacy Manager ervoor zorgen dat Waldo Studio BV een passend gegevensbeschermingscontract met de derde partij afsluit.

Een medewerker kan persoonsgegevens alleen met derden delen indien en voor zover dat rechtstreeks door de leidinggevende is voorgeschreven en gespecificeerd in de Registratie van verwerkingsactiviteiten.

Als we de verwerking van de Persoonsgegevens moeten verwijderen, wijzigen of stopzetten, moeten we ervoor zorgen dat de Derden, met wie we de Persoonsgegevens hebben gedeeld, deze verplichtingen dienovereenkomstig zullen nakomen.

Wanneer Waldo Studio BV wordt ingeschakeld als gegevensverwerker namens een andere entiteit, moet de Privacymanager ervoor zorgen dat Waldo Studio BV aan de verwerkersplicht voldoet. In het bijzonder moet er een passende gegevensverwerkingsovereenkomst in overeenstemming met de gegevensbeschermingswetgeving aanwezig zijn. De Privacymanager moet toezicht houden op de naleving van de gegevensverwerkingsinstructies van de verwerkingsverantwoordelijke, onder meer met betrekking tot de omvang van de verwerkingsactiviteiten, de betrokkenheid van subverwerkers, internationale overdrachten, opslag en verdere verwijdering van verwerkte persoonsgegevens. De persoonsgegevens die in het kader van de rol van verwerker worden verwerkt, mogen niet voor andere doeleinden worden verwerkt dan gespecificeerd in de relevante instructies, overeenkomst of andere rechtshandeling die de relaties met de verwerkingsverantwoordelijke regelt.

Internationale overboekingen

Als we de werknemers, contractanten, gelieerde bedrijven of gegevensverwerkers buiten de EER hebben, en we persoonlijke gegevens aan hen overdragen voor de verwerking, moet de Privacy Manager ervoor zorgen dat Waldo Studio BV alle noodzakelijke en passende veiligheidsmaatregelen neemt in overeenstemming met de wetgeving inzake gegevensbescherming.

De Privacy Manager moet de beschikbare waarborgen beoordelen en aan het management van Waldo Studio BV de passende waarborgen voor elke internationale overdracht voorstellen. De volgende regimes zijn van toepassing op de overdracht van Persoonsgegevens buiten de EU: wanneer de Europese Commissie besluit dat het land een adequaat niveau van bescherming van persoonsgegevens kent, vereist de overdracht geen aanvullende waarborgen. De volledige lijst met adequate rechtsgebieden is te vinden op de relevante pagina van de website van de Europese Commissie. om Persoonsgegevens over te dragen aan onze contractanten of partners (gegevensverwerkers of beheerders) in andere derde landen, moeten we standaardcontractbepalingen met die partij afsluiten. De conceptversie en de richtsnoeren zijn te vinden op de relevante pagina van de website van de Europese Commissie; als we een bedrijfsfiliaal of een entiteit in andere landen hebben, kunnen we ervoor kiezen om bindende bedrijfsregels aan te nemen in overeenstemming met artikel 47 van de GDPR of een goedgekeurde gedragscode overeenkomstig artikel 40 van de GDPR; we kunnen ook persoonlijke gegevens overdragen aan entiteiten die beschikken over een goedgekeurde certificering in overeenstemming met artikel 42 van de GDPR, die een passend niveau van gegevensbescherming van het bedrijf certificeert.

Als onderdeel van de informatieverplichtingen moet Waldo Studio BV de Betrokkenen informeren dat hun Persoonsgegevens naar andere landen worden overgedragen, en hen informatie verstrekken over de waarborgen die voor de overdracht worden gebruikt. De informatieplicht dient te worden uitgevoerd conform paragraaf 6.2.

In de uitzonderlijke gevallen (de “Afwijking”), waarin we de hierboven genoemde waarborgen niet kunnen toepassen en we Persoonsgegevens moeten overdragen, moeten we een uitdrukkelijke toestemming (actieve verklaring) van de Betrokkene vragen of moet dit strikt noodzakelijk zijn voor de uitvoering van het contract tussen ons en de Betrokkene, of zijn er andere afwijkende voorwaarden van toepassing in overeenstemming met de Wetten op Gegevensbescherming. De Privacymanager moet eventuele overdrachten van Afwijkingen vooraf goedkeuren en de goedgekeurde Afwijkingen documenteren, evenals de reden daarvoor.

Rechten van betrokkenen

Onze verantwoordelijkheden.
Privacy Manager is eindverantwoordelijk voor het doorgeven van alle door Waldo Studio BV ontvangen DSR. In het geval van het ontvangen van openstaande of ongebruikelijke DSR's, moet de werknemer advies inwinnen bij de Privacymanager voordat hij actie onderneemt. Tech Support binnen Waldo Studio BV is dagelijks verantwoordelijk voor het afhandelen van DSR's van Waldo Studio BV Gebruikers. De afdeling Human Resources is verantwoordelijk voor de afhandeling van de DSR van medewerkers van Waldo Studio BV. Alle DSR's van de Gebruikers moeten worden geadresseerd en beantwoord vanaf het volgende e-mailadres: info@socialjuice.io. DSR van de medewerkers kunt u rechtstreeks richten aan de HR-manager of via info@socialjuice.io. De verantwoordelijke medewerker moet binnen één (1) maand na ontvangst van het verzoek op de DSR reageren. Indien het naleven van de DSR meer dan een maand in beslag neemt, dient de verantwoordelijke medewerker advies in te winnen bij de Privacymanager en, indien nodig, de Betrokkene te informeren over de verlenging van de reactietermijn met maximaal twee (2) extra maanden. De verantwoordelijke medewerker moet de ontvangen DSR analyseren op de volgende criteria:
Identificatie van de betrokkene. Alvorens de DSR-inhoud in overweging te nemen, moet de verantwoordelijke medewerker zich ervan vergewissen dat de Betrokkene dezelfde persoon is die hij/zij beweert te zijn. Hiervoor moet de verbinding tussen de persoonsgegevensrecords en de betrokkene tot stand worden gebracht. Hiervoor moeten de volgende methoden worden gebruikt: controle van het e-mailadres van de Betrokkene – in de regel moet het e-mailadres hetzelfde zijn als Waldo Studio BV van de betreffende gebruiker; indien het e-mailadres afwijkt van de registratie in de database dient de Privacy Manager te worden geraadpleegd, bij goedkeuring waarvan de verantwoordelijke medewerker voor de identificatie aanvullende gegevens uit het account kan opvragen, zoals geboortedatum, adres en e-mailadres. Als de Betrokkene de verificatie niet heeft ondergaan, moet de Privacymanager weigeren het verzoek uit te voeren en de Betrokkene hierover zonder onnodige vertraging, maar uiterlijk binnen één (1) maand na ontvangst van het verzoek informeren. Persoonlijke gegevens. De verantwoordelijke medewerker dient te controleren of Waldo Studio BV toegang heeft tot de gevraagde persoonsgegevens. Indien Waldo Studio BV de persoonsgegevens niet onder controle heeft, dient de verantwoordelijke medewerker de Betrokkene hiervan op de hoogte te stellen en, indien mogelijk, instructies te geven over de verdere stappen om toegang te krijgen tot de betreffende gegevens; Inhoud van het verzoek. Afhankelijk van de inhoud van de DSR moet de verantwoordelijke medewerker het type verzoek definiëren en controleren of het voldoet aan de voorwaarden die zijn voorgeschreven door dit beleid en de wetgeving inzake gegevensbescherming. De soorten verzoeken en de respectieve voorwaarden voor elk ervan kunnen worden geraadpleegd in de paragrafen 6.3-6.9. Indien het verzoek niet aan de beschreven criteria voldoet, moet de verantwoordelijke medewerker weigeren aan de DSR te voldoen en de Betrokkene informeren over de redenen voor de weigering; Gratis. Over het algemeen zijn alle verzoeken van betrokkenen en de uitoefening van hun rechten kosteloos. Indien de verantwoordelijke medewerker constateert dat de Betrokkene de rechten op een buitensporige of ongegronde manier uitoefent (bijvoorbeeld met de bedoeling de bedrijfsactiviteiten van Waldo Studio BV te schaden of te onderbreken), moet de medewerker advies inwinnen bij de Privacymanager en, na ontvangst van deze laatste, de Betrokkene een redelijke vergoeding in rekening brengen of weigeren aan het verzoek te voldoen; Documenteren. Telkens wanneer Waldo Studio BV de DSR ontvangt, moet de Privacy Manager ervoor zorgen dat de gegevens en het tijdstip, de Betrokkene, het type verzoek en de beslissing die daarover wordt genomen, goed gedocumenteerd zijn. In geval van weigering om aan het verzoek te voldoen, moeten de redenen voor de weigering eveneens worden gedocumenteerd; Ontvangers. Bij het aanspreken van de DSR moet de Privacy Manager ervoor zorgen dat alle betrokken ontvangers op de hoogte zijn gebracht van de noodzakelijke acties die zijn ondernomen. Het recht om geïnformeerd te worden.
Waldo Studio BV moet elke Betrokkene op de hoogte stellen van de verzameling en verdere verwerking van de Persoonsgegevens.
Tot de te verstrekken gegevens behoren onder meer: ​​de naam en contactgegevens van Waldo Studio BV; generieke doeleinden van en de wettelijke basis voor het verzamelen en verder verwerken van gegevens; categorieën van verzamelde Persoonsgegevens; ontvangers/categorieën van ontvangers; bewaartermijnen; informatie over de rechten van betrokkenen, inclusief het recht om een ​​klacht in te dienen bij de bevoegde toezichthoudende autoriteit; de gevolgen van de gevallen waarin de gegevens noodzakelijk zijn voor de uitvoering van de overeenkomst en de Betrokkene de vereiste gegevens niet verstrekt; details van de waarborgen wanneer persoonsgegevens buiten de EER worden overgedragen; en elke externe bron van de persoonlijke gegevens, zonder specificatie voor het specifieke geval (behalve als we het directe verzoek van de betrokkene ontvangen). De Gebruikers moeten op de hoogte worden gesteld van het Privacybeleid dat toegankelijk is op de website van Waldo Studio BV en dat wordt verstrekt tijdens de gebruikersregistratie. De werknemers en contractanten moeten worden geïnformeerd door middel van een op zichzelf staande privacyverklaring voor werknemers, waarin de details worden beschreven op p. 6.2.2 op een casusgebaseerde manier, waarbij de specifieke doeleinden en activiteiten worden beschreven. Waldo Studio BV moet Betrokkenen informeren over de gegevensverwerking, inclusief eventuele nieuwe verwerkingsactiviteiten die bij Waldo Studio BV worden geïntroduceerd, binnen de volgende termijn: als persoonsgegevens rechtstreeks bij de betrokkene worden verzameld, moet de betrokkene op de hoogte worden gesteld op het moment dat wij Persoonsgegevens van de Betrokkenen verzamelen door de Betrokkene onze privacyverklaring te tonen; als de persoonsgegevens uit andere bronnen worden verzameld: (a) binnen één maand na het verzamelen ervan; b) indien de persoonsgegevens moeten worden gebruikt voor communicatie met de betrokkene, uiterlijk op het moment van de eerste mededeling aan die betrokkene; of (c) indien openbaarmaking aan een andere ontvanger wordt overwogen, uiterlijk op het moment dat de persoonsgegevens voor het eerst openbaar worden gemaakt. op verzoek van de Betrokkene; en binnen één (1) maand na elke wijziging in onze praktijken op het gebied van persoonlijke gegevens, een wijziging van de beheerder van persoonlijke gegevens of na aanzienlijke wijzigingen in onze privacyverklaringen. Het recht op toegang tot de informatie.
Aan de Betrokkene mogen alleen de persoonlijke gegevensrecords worden verstrekt die in het verzoek zijn gespecificeerd. Indien de Betrokkene toegang vraagt ​​tot alle persoonsgegevens die hem of haar betreffen, dient de medewerker eerst advies in te winnen bij de Privacymanager, zodat alle persoonsgegevens van de Betrokkene in kaart worden gebracht en verstrekt. Een Betrokkene heeft het recht om:
te weten komen of wij de Persoonsgegevens van de Betrokkene verwerken;
openbaarmaking verkrijgen over aspecten van de verwerking, inclusief gedetailleerde en gevalspecifieke informatie over doeleinden, categorieën van Persoonsgegevens, ontvangers/categorieën van ontvangers, bewaartermijnen, informatie over iemands rechten, details van de relevante waarborgen wanneer persoonsgegevens buiten de EER worden overgedragen, en eventuele externe bronnen van de persoonsgegevens; en op verzoek een kopie verkrijgen van de Persoonsgegevens die worden verwerkt.


Het recht om de informatie van de Betrokkene te verifiëren en rectificatie ervan te vragen. De informatie die we verzamelen kan onnauwkeurig of verouderd zijn (bijvoorbeeld fouten in nationaliteit, geboortedatum, informatie over schulden, economische activiteiten). Als we onthullen dat de Persoonsgegevens onjuist zijn of als de Betrokkene ons hierom vraagt, moeten we ervoor zorgen dat we alle fouten corrigeren en de relevante informatie bijwerken.

Het recht om de verwerking te beperken. Door de beperking van de verwerking kunnen betrokkenen het gebruik van hun gegevens tijdelijk stopzetten om de mogelijke schade die door dergelijk gebruik wordt veroorzaakt te voorkomen. Dit recht is van toepassing wanneer de Betrokkene: de juistheid van de Persoonsgegevens betwist; is van mening dat wij de Persoonsgegevens onrechtmatig verwerken; en maakt bezwaar tegen de verwerking en wil dat wij geen Persoonsgegevens verwerken terwijl wij het verzoek in behandeling nemen. In het geval dat wij het beperkingsverzoek ontvangen, mogen wij de betreffende Persoonsgegevens voor geen enkel ander doel verwerken dan voor het opslaan ervan of voor doeleinden van wettelijke naleving totdat de omstandigheden van de beperking niet langer bestaan.

Het recht om de toestemming in te trekken. Voor de activiteiten waarvoor toestemming nodig is, kan de Betrokkene zijn toestemming te allen tijde intrekken. Als de Betrokkene de toestemming intrekt, moeten wij de wijzigingen vastleggen en mogen wij de Persoonsgegevens niet verwerken voor op toestemming gebaseerde doeleinden. Het intrekken van de toestemming heeft geen invloed op de rechtmatigheid van de verwerking die vóór de intrekking heeft plaatsgevonden.

Het recht om bezwaar te maken tegen de verwerking. Als we de informatie verwerken in onze legitieme belangen, bijvoorbeeld voor direct marketing-e-mails of voor onze marketingonderzoeksdoeleinden, kan de Betrokkene bezwaar maken tegen de verwerking. In het geval dat we het bezwaarverzoek ontvangen, moeten we het verzoek van de Betrokkene in overweging nemen en, als we geen dwingende belangen hebben, de verwerking voor de gespecificeerde doeleinden stopzetten. Als de persoonsgegevens nog voor andere doeleinden moeten worden verwerkt, moet de Privacymanager ervoor zorgen dat de database beschikt over een registratie dat de gegevens niet verder kunnen worden verwerkt voor de bezwaarde activiteiten. Het bezwaarverzoek kan alleen worden afgewezen als de betreffende persoonsgegevens worden gebruikt voor wetenschappelijk/historisch onderzoek of statistische doeleinden en op passende wijze zijn beveiligd, dat wil zeggen door middel van anonimiserings- of pseudonimiseringstechnieken.

Recht op verwijdering/vergetelheid. De Betrokkenen hebben het recht om ons te verzoeken hun Persoonsgegevens te wissen als aan een van de volgende voorwaarden is voldaan: Persoonsgegevens zijn niet langer nodig voor de doeleinden van verzameling. Een gebruiker heeft bijvoorbeeld persoonsgegevens verstrekt voor een eenmalige activiteit, zoals gegevensvalidatie of deelname aan een wedstrijd, en aan het doel is al voldaan; de Betrokkene trekt zijn toestemming in of maakt bezwaar tegen de verwerking (indien van toepassing) en er is geen andere rechtsgrond voor de verwerking; of wij verwerken de Persoonsgegevens op onrechtmatige wijze of het wissen ervan is vereist door de toepasselijke wetgeving van de Europese Unie of een van de lidstaten van de Europese Unie. Voorwaarden waaronder wij het recht hebben om het wissen te weigeren: Persoonsgegevens worden verwerkt voor wetenschappelijk/historisch onderzoek of statistische doeleinden en worden op passende wijze beschermd, d.w.z. gepseudonimiseerd of geanonimiseerd; Persoonsgegevens zijn nog steeds nodig voor naleving van de wetgeving (bijvoorbeeld naleving van financiële of arbeidswetgeving). Alleen de persoonlijke gegevensrecords die in het verzoek zijn gespecificeerd, moeten worden verwijderd. Indien de Betrokkene verzoekt om alle persoonsgegevens die hem of haar betreffen te verwijderen, dient de medewerker eerst advies in te winnen bij de Privacymanager, om er zeker van te zijn dat alle gegevens over de Betrokkene in kaart zijn gebracht en kunnen worden verwijderd. Als de Gebruiker nog steeds een account bij ons heeft en verzoekt om het wissen van informatie die nodig is voor het onderhouden van het account, moeten we de Gebruiker informeren dat het wissen de gebruikerservaring zal beïnvloeden of kan leiden tot de sluiting van het account.

Gegevensportabiliteit. Betrokkenen kunnen ons vragen om alle Persoonsgegevens en/of een deel daarvan in een machinaal leesbaar formaat over te dragen aan een derde partij. Dit recht geldt in twee gevallen: er zijn persoonsgegevens verzameld met het oog op het verlenen van onze diensten (uitvoering van de overeenkomst); of verzameld op basis van toestemming. Om te bepalen of aan één van de voorwaarden van p.6.9.1 is voldaan, moet de medewerker advies inwinnen bij de Privacymanager en de toepasselijke rechtsgrondslag controleren in de Registratie van verwerkingsactiviteiten. Indien het antwoord negatief is, kan het verzoek door Waldo Studio BV worden geweigerd en moet de Privacy Manager beslissen of hij op vrijwillige basis aan het verzoek wil voldoen. Om aan het verzoek te voldoen, moet de verantwoordelijke medewerker de gevraagde Persoonsgegevens consolideren en de gegevens in het formaat waarmee wij doorgaans werken, naar de aangezochte organisatie sturen. De Betrokkene moet de benodigde contactgegevens van de organisatie verstrekken.

Nieuwe gegevensverwerkingsactiviteiten

Melding aan Privacy Manager
Voordat een nieuwe activiteit wordt geïntroduceerd waarbij persoonsgegevens worden verwerkt, moet een medewerker die verantwoordelijk is voor de uitvoering ervan de Privacy Manager op de hoogte stellen. Bij ontvangst van informatie over een nieuwe activiteit moet Privacy Manager: vaststellen of de data processing impact assessment (DPIA) en/of het overleg met de Toezichthoudende Autoriteit noodzakelijk is. Als het antwoord positief is, moet de Privacymanager ervoor zorgen dat de DPIA wordt uitgevoerd en/of de Toezichthoudende Autoriteit wordt geraadpleegd in overeenstemming met de vereisten van deze sectie en de wetgeving inzake gegevensbescherming; de wettelijke basis voor de verwerking bepalen en, indien nodig, verdere actie ondernemen voor de vaststelling ervan; ervoor zorgen dat de verwerkingsactiviteit wordt uitgevoerd in overeenstemming met dit beleid, ander beleid van Waldo Studio BV en de wetten op gegevensbescherming; de verwerkingsactiviteit toevoegen aan de Registratie van verwerkingsactiviteiten;
wijzig de privacy-informatieverklaringen en informeer, indien nodig, de betrokken Betrokkene hierover.

Impactbeoordeling van gegevensverwerking
Om ervoor te zorgen dat onze huidige of toekomstige verwerkingsactiviteiten de rechten van de Betrokkenen niet (zullen) schenden, moet Waldo Studio BV, waar vereist door de wetgeving inzake gegevensbescherming, de Data Processing Impact Assessment (DPIA) uitvoeren, een risicogebaseerde beoordeling van de verwerking en zoeken naar maatregelen om de risico's te beperken. De Privacymanager moet ervoor zorgen dat de DPIA wordt uitgevoerd in overeenstemming met deze Paragraaf. De Privacy Manager moet, waar nodig, met inschakeling van de bevoegde medewerkers en/of externe adviseurs, een DPIA uitvoeren als aan minstens één van de volgende voorwaarden is voldaan: de verwerking impliceert het gebruik van nieuwe technologieën, zoals de Kunstmatige Intelligentie, het gebruik van geconnecteerde en autonome apparaten, enz. die bepaalde juridische, economische of soortgelijke gevolgen voor de Betrokkene teweegbrengen; we beoordelen en evalueren systematisch de persoonlijke aspecten van de Betrokkenen op basis van geautomatiseerde profilering, waarbij we de persoonlijke score/beoordeling toekennen, en door deze activiteit juridische of soortgelijke gevolgen voor de Betrokkene creëren; wij verwerken op grote schaal gevoelige gegevens, waaronder Persoonsgegevens met betrekking tot strafrechtelijke veroordelingen en overtredingen, de gegevens over kwetsbare betrokkenen, de persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of filosofische overtuigingen of lidmaatschap van een vakbond blijken, en de verwerking van genetische gegevens, biometrische gegevens met het doel een natuurlijke persoon op unieke wijze te identificeren, gegevens over de gezondheid of gegevens over het seksleven of de seksuele geaardheid van een natuurlijke persoon; wij verzamelen of verwerken op grote schaal Persoonsgegevens uit een publiek toegankelijk gebied of openbare bronnen, of combineren of matchen twee verschillende datasets; en de Toezichthoudende Autoriteit op haar openbare lijst vereist het uitvoeren van een DPIA voor een bepaald soort activiteit waarbij wij betrokken zijn. De lijst met verwerkingsactiviteiten waarvoor het uitvoeren van een DPIA vereist is, is te vinden op de website van elke Toezichthoudende Autoriteit. De beoordeling bevat in ieder geval de volgende gegevens:
een systematische beschrijving van de verwerkingsactiviteiten en de doeleinden van de verwerking, inclusief, indien van toepassing, het legitieme belang dat door ons wordt nagestreefd. De beschrijving moet de beoogde gegevenscategorieën en betrokkenen omvatten, de omvang van de verwerkingsactiviteiten, zoals de frequentie, het volume, het beoogde aantal records, enz.; ontvangers van de gegevens, bewaartermijnen en, indien van toepassing, internationale overdrachten; een beoordeling van de noodzaak en evenredigheid van de verwerkingen in relatie tot de doeleinden. De DPIA moet uitleggen of de activiteit noodzakelijk is voor het doel en of het doel kan worden bereikt met minder ingrijpende methoden; een beoordeling van de risico’s voor de rechten en vrijheden van betrokkenen, inclusief de rechten van betrokkenen met betrekking tot hun Persoonsgegevens. De voorbeelden van risico's zijn de verwerking die kan leiden tot fysieke, materiële of immateriële schade, in het bijzonder: waarbij de verwerking aanleiding kan geven tot discriminatie, identiteitsdiefstal of fraude, financieel verlies, reputatieschade, verlies van vertrouwelijkheid van persoonsgegevens beschermd door beroepsgeheim, ongeoorloofde ongedaanmaking van pseudonimisering of enig ander aanzienlijk economisch of sociaal nadeel; wanneer betrokkenen mogelijk hun rechten en vrijheden worden ontnomen of verhinderd worden controle uit te oefenen over hun persoonsgegevens; wanneer persoonsgegevens worden verwerkt waaruit raciale of etnische afkomst, politieke opvattingen, religie of filosofische overtuigingen, lidmaatschap van een vakbond en de verwerking van genetische gegevens, gegevens over de gezondheid of gegevens over het seksleven of strafrechtelijke veroordelingen en misdrijven of daarmee verband houdende veiligheidsmaatregelen blijken; waar persoonlijke aspecten worden geëvalueerd, met name het analyseren of voorspellen van aspecten met betrekking tot prestaties op het werk, de economische situatie, gezondheid, persoonlijke voorkeuren of interesses, betrouwbaarheid of gedrag, locatie of verplaatsingen, om persoonlijke profielen aan te maken of te gebruiken; waar persoonsgegevens van kwetsbare natuurlijke personen, in het bijzonder van kinderen, worden verwerkt; of wanneer bij de verwerking een grote hoeveelheid persoonsgegevens betrokken is en een groot aantal betrokkenen wordt getroffen; en de maatregelen om de risico's aan te pakken, met inbegrip van waarborgen, beveiligingsmaatregelen en mechanismen om de bescherming van persoonsgegevens te waarborgen en om de naleving van deze verordening aan te tonen. Wanneer de DPIA niet voorschrijft hoe de risico’s effectief kunnen worden aangepakt, moet de Privacymanager het overleg met de bevoegde Toezichthoudende Autoriteit initiëren om hulp te krijgen bij het zoeken naar de oplossing. In dit geval mag Waldo Studio BV de activiteit niet uitvoeren voordat de Toezichthoudende Autoriteit de betreffende verwerkingsactiviteit heeft goedgekeurd.

Gegevensbewaring

Algemene regel.
De Privacy Manager moet ervoor zorgen dat Waldo Studio BV de bewaartermijnen voor gegevens en/of criteria voor het bepalen van de bewaartermijnen voor elke verwerkingsactiviteit die zij uitvoert duidelijk heeft gedefinieerd. In de Registratie verwerkingsactiviteiten moeten de termijnen per verwerkingsactiviteit worden vermeld. Iedere afdeling binnen Waldo Studio BV dient zich te houden aan de bewaartermijnen van gegevens conform het bewaarschema opgenomen in Registratie van verwerkingsactiviteiten. De Privacy Manager moet toezicht houden op elke afdeling en ervoor zorgen dat deze aan deze vereiste voldoet. Na afloop van de bewaarperiode moeten de persoonsgegevens worden verwijderd uit de beschikking van de afdeling die verantwoordelijk is voor de verwerking of, in gevallen waarin de gegevens niet nodig zijn voor andere doeleinden, volledig worden vernietigd, inclusief back-upkopieën en andere media. Wanneer de bewaartermijn voor een verwerkingsactiviteit is verstreken, maar de verwerkte persoonsgegevens noodzakelijk zijn voor andere verwerkingsdoeleinden, moet de afdelingsmanager ervoor zorgen dat de persoonsgegevens niet worden gebruikt voor de stopgezette verwerkingsactiviteit en dat de verantwoordelijke werknemers er geen toegang toe hebben, tenzij dit nodig is voor een andere activiteit.

Vrijstellingen. De regels genoemd in paragraaf 8.1 kennen de volgende uitzonderingen:
Zakelijke behoeften. De bewaartermijnen voor gegevens kunnen worden verlengd, maar niet langer dan 60 dagen, in het geval dat het verwijderen van gegevens onze lopende activiteiten zal onderbreken of schaden. De Privacy Manager moet elke onvoorziene verlenging goedkeuren; Technische onmogelijkheid. Sommige informatie is technisch onmogelijk of onevenredig moeilijk te verwijderen. Het verwijderen van de informatie kan bijvoorbeeld leiden tot schending van de systeemintegriteit, of het is onmogelijk om de informatie uit de back-upkopieën te verwijderen. In een dergelijk geval kan de informatie verder worden opgeslagen, onder voorbehoud van goedkeuring door de Privacy Manager en het aanbrengen van respectievelijke wijzigingen in de Registratie van verwerkingsactiviteiten; en anonimisering. De Persoonsgegevens kunnen verder worden verwerkt voor welk doel dan ook (bijvoorbeeld marketing) als we deze gegevens volledig anonimiseren nadat de bewaartermijn is verstreken. Dit betekent dat alle persoonlijke identificatiegegevens en verbindingen daarmee uit de gegevens worden verwijderd. Om Persoonsgegevens als anoniem te beschouwen, moet het onmogelijk zijn om de Betrokkene uit de dataset opnieuw te identificeren.

Beveiliging

Elke afdeling binnen Waldo Studio BV zal alle passende technische en organisatorische maatregelen nemen die beschermen tegen ongeoorloofde, onwettige en/of accidentele toegang, vernietiging, wijziging, blokkering, kopiëren, distributie, evenals tegen andere illegale acties van onbevoegde personen met betrekking tot de persoonsgegevens onder hun verantwoordelijkheid.

De medewerker die verantwoordelijk is voor het toezicht na de beveiliging van persoonsgegevens binnen Waldo Studio BV is IT-specialist. Deze persoon implementeert de richtlijnen en andere specificaties op het gebied van gegevensbescherming en informatiebeveiliging binnen zijn verantwoordelijkheidsgebied. Hij/zij adviseert het management van Waldo Studio BV over de planning en implementatie van informatiebeveiliging bij Waldo Studio BV en moet in een vroeg stadium betrokken worden bij alle projecten om al in de planningsfase rekening te houden met veiligheidsgerelateerde aspecten.

Procedure voor reactie op inbreuk op gegevens

Reactieteam.
In geval van het onthullen van het Datalek, zal de CEO van Waldo Studio BV met spoed het Datalek-responsteam (het “Responseteam”) vormen, dat het Datalek zal afhandelen, de juiste personen op de hoogte zal stellen en de risico’s ervan zal beperken. Het Response Team moet een multidisciplinaire groep zijn onder leiding van de CEO van Waldo Studio BV en bestaan ​​uit de Privacy Manager, een specialist op het gebied van privacywetgeving (zowel intern als extern) en deskundige en bekwame informatiebeveiligingsspecialisten binnen Waldo Studio BV of, indien nodig, outsourcingprofessionals. Het team moet ervoor zorgen dat alle werknemers en betrokken contractanten/verwerkers zich aan dit beleid houden en een onmiddellijke, effectieve en vakkundige reactie geven op elke vermoedelijke/vermeende of daadwerkelijke datalek die Waldo Studio BV treft. De potentiële leden van het Reactieteam moeten bereid zijn te reageren op een Datalek. Het Response Team zal alle in dit Beleid genoemde verantwoordelijkheden van Waldo Studio BV uitvoeren. De taken van het Responsteam zijn: het melden van het Datalek aan de bevoegde Toezichthoudende Autoriteit(en);
in geval van een hoog risico voor de rechten en vrijheden van Betrokkenen, om het Datalek aan de Betrokkene te communiceren; indien Waldo Studio BV als verwerker gegevens verkrijgt van enige derde partij, en bij een Datalek betrokken gegevens betrokken zijn, de derden te informeren over het Datalek; om de contractanten van Waldo Studio BV of andere derde partijen die de bij het Datalek betrokken Persoonsgegevens verwerken, te communiceren; en om alle passende technische en organisatorische maatregelen te nemen om het Datalek te beëindigen en de gevolgen ervan te beperken;
om het feit van het Datalek vast te leggen in de Registratie van verwerkingsactiviteiten en een interne datalekrapportage in te dienen waarin de gebeurtenis wordt beschreven. Het responsteam zal zijn taken uitvoeren totdat alle noodzakelijke maatregelen die door dit beleid worden vereist, zijn genomen.

Kennisgeving aan toezichthoudende autoriteit.
Waldo Studio BV zal de Bevoegde Toezichthoudende Autoriteit zonder onnodige vertraging en, waar mogelijk, uiterlijk 72 uur nadat zij kennis heeft gekregen van het Datalek, op de hoogte stellen van het Datalek. De bevoegde toezichthoudende autoriteit wordt bepaald op basis van de woonplaats van de Betrokkenen, wier informatie betrokken was bij het Datalek. Indien het Datalek de Persoonsgegevens van Betrokkenen uit meer dan één land betreft, zal Waldo Studio BV alle Bevoegde Toezichthoudende Autoriteiten hiervan op de hoogte stellen. Om de melding aan de autoriteit te richten, moet het responsteam bijlage 1 bij dit beleid gebruiken. Bijlage 1 bevat alle benodigde contactgegevens van de toezichthoudende autoriteiten van de EU. Indien het Datalek Betrokkenen uit andere landen dan de EU betreft, zal het Responsteam een ​​bevoegde privacyspecialist om advies vragen. De melding aan de Bevoegde Toezichthoudende Autoriteit zal ten minste de volgende informatie bevatten: de aard van de Inbreuk in verband met persoonsgegevens, inclusief, indien mogelijk, de categorieën en een geschat aantal betrokken Betrokkenen en Persoonsgegevens; de naam en contactgegevens van het Response Team, Privacy Manager of, indien niet van toepassing, van de CEO; de waarschijnlijke gevolgen van het Datalek. Leg het standpunt van Waldo Studio BV uit over de doeleinden en mogelijke verdere risico’s van het Datalek. De Persoonsgegevens kunnen bijvoorbeeld worden gestolen voor verdere verkoop, fraudeactiviteiten of chantage van de betrokken Betrokkenen; en de maatregelen die Waldo Studio BV heeft genomen of voorgesteld zal worden te nemen om het Datalek aan te pakken, inclusief, waar van toepassing, maatregelen om de mogelijke nadelige gevolgen ervan te beperken. Voor het indienen van een melding dient het Reactieteam het Meldingsformulier Datalek van Waldo Studio BV aan de Toezichthoudende Autoriteit te gebruiken.

Meldingen aan betrokkenen.
Wanneer de Inbreuk in verband met gegevens waarschijnlijk zal leiden tot een hoog risico voor de rechten en vrijheden van Betrokkenen (bijvoorbeeld het stelen van geld, activa, eigendomsinformatie), moeten we de Inbreuk in verband met gegevens ook zonder onnodige vertraging aan de betrokken Betrokkenen communiceren. De Privacymanager moet bepalen of er sprake is van een hoog risico op basis van de risicofactoren gespecificeerd in paragraaf 7.2.3 van dit Beleid. De kennisgeving bevat de volgende informatie:
beschrijving van het Datalek – wat er is gebeurd en wat tot het Datalek heeft geleid, zoals een inbreuk op de beveiliging, nalatigheid van een medewerker, een fout in het systeemwerk. Als het Reactieteam besluit de oorzaken van het Datalek niet openbaar te maken, mag deze clausule niet worden vermeld; de maatregelen die Waldo Studio BV heeft genomen met betrekking tot het Datalek, waaronder beveiligingsmaatregelen, intern onderzoek en kennisgeving aan de toezichthoudende autoriteit; aanbevelingen voor de betrokken Betrokkenen hoe risico’s en mogelijke gevolgen kunnen worden beperkt, zoals richtlijnen over het herstellen van de toegang tot een account, het voorkomen van maatregelen (wijziging van een wachtwoord); en de contactgegevens van het Response Team of een van zijn leden.
De kennisgeving aan de Betrokkenen moet worden gedaan via de e-mailbrief of, wanneer het onmogelijk is om de e-mail te gebruiken, via andere beschikbare communicatiemiddelen. Vrijstellingen. Wij hoeven de melding niet naar de Betrokkenen te sturen als aan een van de volgende voorwaarden is voldaan: Waldo Studio BV heeft passende technische en organisatorische beschermingsmaatregelen geïmplementeerd, en die maatregelen zijn toegepast op de Persoonsgegevens die getroffen zijn door het Datalek, in het bijzonder de maatregelen die de Persoonsgegevens ontoegankelijk maken voor personen die niet bevoegd zijn om er toegang toe te hebben, zoals encryptie; Waldo Studio BV heeft vervolgmaatregelen genomen die ervoor zorgen dat het hoge risico voor de rechten en vrijheden van Betrokkenen waarnaar in dit artikel wordt verwezen zich waarschijnlijk niet langer zal voordoen; of het zou een onevenredige inspanning vergen om met elke betrokken Betrokkene te communiceren. In een dergelijk geval zal er in plaats daarvan sprake zijn van een openbare communicatie of soortgelijke maatregel waarbij de Betrokkenen op een even effectieve manier worden geïnformeerd. Als we een van de vrijstellingen toepassen, moeten we de omstandigheden documenteren, de reden waarom we niet informeren en de acties die zijn ondernomen om aan een van de vrijstellingen te voldoen.

Communicatie met derden.
Indien een Datalek betrekking heeft op de Persoonsgegevens die met ons zijn gedeeld of door ons namens een Derde zijn verwerkt, moeten wij de Derde daar ook binnen 24 uur van op de hoogte stellen. Als wij de Persoonsgegevens verwerken als Gegevensverwerker, ontslaat de kennisgeving van de Derde ons niet van de plicht om de gevolgen van het Datalek te beperken, maar mogen wij de Bevoegde Toezichthoudende Autoriteit en Betrokkenen niet informeren. In het geval van ontvangst van de melding over het Datalek van de Gegevensverwerker of andere Derden die toegang hebben tot de Persoonsgegevens, zal de CEO van Waldo Studio BV, in overeenstemming met deze Paragraaf: het Reactieteam vormen; de Derde te verzoeken de informatie vermeld in Paragrafen 10.2-3 van dit Beleid te verzenden; indien nodig de bevoegde toezichthoudende autoriteit(en) en betrokkenen informeren; en voer andere stappen uit van de reactieprocedure bij inbreuk op gegevens.

BIJLAGE 1 BIJ HET BELEID BESCHERMING VAN PERSOONSGEGEVENS

Europese nationale gegevensbeschermingsautoriteiten

Oostenrijk
Österreichische Datenschutzbehörde
Hohenstaufengasse 3
1010 Wenen
Tel. +43 1 531 15 202525
Fax +43 1 531 15 202690
e-mail: dsb@dsb.gv.at
Website: http://www.dsb.gv.at/

Art 29 WP-lid: Dr. Andrea JELINEK, directeur, Österreichische Datenschutzbehörde

België
Commissie voor de bescherming van de privésfeer
Commissie voor de bescherming van de persoonlijke levenssfeer
Drukpersstraat 35 / Drukpersstraat 35 1000 Brussel / 1000 Brussel
Tel. +32 2 274 48 00
Fax +32 2 274 48 35
e-mail: commissie@privacycommission.be
Website: http://www.privacycommission.be/

Art 29 WP Vice-voorzitter: Willem DEBEUCKELAERE, Voorzitter van de Belgische Privacycommissie