Type persoonsgegevens

De te verwerken persoonsgegevens moeten altijd beperkt worden tot die gegevens die daadwerkelijk nodig zijn in het kader van de hierboven beschreven situaties. De persoonsgegevens die verwerkt worden zijn de volgende:

• Naam, adres, woonplaats;
• (Mobiele) telefoonnummer;
• E-mailadres;
• Geslacht;
• Geboortedatum;
• Van consumenten: koopgedrag en voorkeuren

Aangezien schending van de AVG de naam van de formules ernstig kan schaden, kunnen we je van tijd tot tijd specifieke instructies geven. Tevens moet je op basis van overeenkomsten en andere documentatie kunnen aantonen dat onderstaande richtlijnen opgevolgd worden. Tenzij door ons gegeven instructies aantoonbaar in strijd zijn met de AVG dien je deze instructies binnen redelijke termijn op te volgen.

Beveiligingseisen veranderen voortdurend en daarom vereist effectieve beveiliging frequente evaluatie en regelmatige verbetering van de beveiligingsmaatregelen. Daarom zullen we de toegepaste beveiligingsmaatregelen en processen periodiek evalueren. Maatregelen worden in goed overleg tussen partijen verscherpt, aangevuld of verbeterd om te blijven voldoen aan de verplichtingen.

Instructies

1. Verwerk en bescherm persoonsgegevens altijd met de grootste zorgvuldigheid en volgens de laatste stand van de techniek en met inachtneming van de AVG. Doe niets wat hiermee in strijd is.
2. Zorg ervoor dat al je werknemers, vertegenwoordigers en/of onderaannemers die betrokken zijn bij de verwerking van de persoonsgegevens van de vertrouwelijke aard van deze persoonsgegevens op de hoogte zijn. Zorg ervoor dat deze personen en partijen een geheimhoudingsovereenkomst hebben getekend. Het is niet toegestaan persoonsgegevens aan enige derde te tonen, te verstrekken of anderszins ter beschikking te stellen, tenzij dit noodzakelijk of toegestaan is ingevolge de Franchiseovereenkomst of in het geval hiervoor expliciete voorafgaande schriftelijke toestemming van franchisegever is verkregen.
3. Zowel franchisegever als franchisenemer zullen aan elkaar hun volledige en tijdige medewerking verlenen om:
4. na goedkeuring van en in opdracht van door of namens partijen ingeschakelde betrokkenen toegang te laten krijgen tot de hun betreffende persoonsgegevens;
5. persoonsgegevens te verwijderen of te corrigeren;
6. aan te tonen dat persoonsgegevens verwijderd of gecorrigeerd zijn indien zij incorrect zijn en
7. partijen anderszins in de gelegenheid te stellen om aan hun verplichtingen onder de AVG of andere toepasselijke wetgeving op het gebied van verwerking van persoonsgegevens te voldoen.
8. Partijen zullen hun persoonsgegevens logisch gescheiden verwerken van de persoonsgegevens die de ene partij voor zichzelf (buiten het kader van de Franchiseovereenkomst en de Merk A-formule) verwerkt.
9. Indien wij er aanleiding toe zien (bijvoorbeeld in geval van (vermoeden van) informatie- of privacy-incidenten) en daarom verzoeken, dien je in elk geval eenmaal per jaar ons in de gelegenheid te stellen om op een gezamenlijk te bepalen moment de naleving van deze instructies en de AVG te (laten) controleren. De tijd die wij als franchisegever en jij als franchisenemer hieraan besteden zijn voor eigen kosten.
10. Wanneer een incident zoals bedoeld in de AVG (bijvoorbeeld als er in jouw of ons computersysteem is ingebroken en jouw of onze informatie ligt op straat) zich heeft voorgedaan (bij ons als franchisegever, bij jullie als franchisenemer of bij een derde partij) zal de partij die dit constateert franchisegever en/of franchisenemer hier zo spoedig mogelijk na ontdekking (uiterlijk binnen 24 uur) over informeren en alle informatie hierover verstrekken die hiermee in verband staat zodat de andere partij alle informatie heeft om te kunnen beoordelen of het beveiligingsincident heeft geleid tot een datalek van persoonsgegevens en of op het datalek meldplicht rust aan Autoriteit persoonsgegevens en betrokkenen. Onder deze meldplicht aan ons valt tevens het vermoeden van het bestaan of ontstaan van een incident. Verder zullen partijen elkaar meedelen welke maatregelen zij hebben getroffen om het incident op te lossen of te voorkomen en eventuele schade te beperken.
11. Indien franchisegever of franchisenemer voor de verwerking gebruik wenst te maken van derden (onderaannemers genaamd in de AVG), zal de betreffende partij dit melden aan de andere partij. Indien de andere partij daartegen zwaarwegende, gegronde bezwaren heeft, zal de betreffende partij verplicht zijn om een andere derde in te schakelen. Onder zwaarwegende, gegronde bezwaren wordt in dit kader onder andere bedoeld dat de derde aantoonbaar niet kan of wil voldoen aan de in de AVG genoemde verplichtingen. In het kader van de Merk A-formule wordt daar ook onder verstaan de situatie dat de onderaannemer tevens werkt voor met de Merk A-formule concurrerende partijen.
12. Ook na beëindiging van de franchiseovereenkomst dien je diverse van deze afspraken te blijven nakomen, waaronder die betreffende geheimhouding en aansprakelijkheid.
13. Bewaar persoonsgegevens nooit langer dan nodig is en over de bewaartermijn moet je al voordat je ze wilt verzamelen nadenken hoe lang je ze wil bewaren. Ook wij zullen persoonsgegevens niet langer bewaren dan waarvoor wij die gegevens nodig hebben. Aan het eind van de overeengekomen bewaartermijnen moeten de persoonsgegevens dus permanent vernietigd worden.
14. In alle gevallen waarin deze afspraken niet voorzien, zullen franchisegever en franchisenemer in onderling overleg treden en daarbij geldt altijd de AVG als uitgangspunt.
15. Alle je medewerkers die in het kader van de uitvoering van de formules persoonsgegevens verwerken, moeten daarvoor geschikt zijn. Hierover moet je op verzoek bewijsstukken van kunnen overleggen.
16. Bij aanvang dienstverband dienen medewerkers van partijen een introductieprogramma te volgen, waarin aandacht is voor privacybescherming en hoe omgegaan kan en moet worden met persoonsgegevens. Wij kunnen je op verzoek helpen bij het bepalen van de inhoud van dit introductieprogramma. De tijd, die wij als franchisegever en jij als franchisenemer hieraan besteden, is voor eigen kosten.
17. Het beschikbaar stellen van persoonsgegevens dient te allen tijde plaats te vinden via rechtstreekse toegang tot de IT-systemen, waarin deze verwerkt worden.
18. Tref maatregelen om te waarborgen dat alleen bevoegde gebruikers toegang hebben tot persoonsgegevens wordt verleend, zoals bijvoorbeeld:
19. registratie in het digitale personeelssysteem;
20. eigen gebruikersaccounts met alleen de benodigde rechten in de betreffende systemen
21. Onmiddellijke beëindiging van toegang zodra dit niet meer noodzakelijk is. (Bijvoorbeeld bij uitdiensttreding.)
22. Als er een verhoogd risico is op verlies van gegevens of foutieve verwerkingen, schakel dan iemand in die de benodigde kennis, ervaring en rechten heeft voor een gezamenlijke controle.

Als op een datalek (mogelijk) een meldplicht rust, zijn partijen verplicht het datalek binnen 72 uur na het constateren ervan, te melden aan de Autoriteit Persoonsgegevens en in sommige situaties ook aan betrokkenen. Partijen zijn verplicht om elkaar in staat te stellen deze wettelijke verplichting na te komen.