Verwerkersovereenkomst (GDPR)
Werkdocument / modeltekst — te valideren door een jurist/DPO vóór gebruik als contract.
Deze verwerkersovereenkomst (art. 28 AVG) regelt de verwerking van persoonsgegevens door Complemy, uitgebaten door YAMY BV, Klaproosstraat 36, 8800 Roeselare, België, KBO 0505.624.079 (de verwerker) namens het aangesloten bedrijf (de verwerkingsverantwoordelijke).
1. Voorwerp
De verwerker verwerkt persoonsgegevens van de medewerkers van het bedrijf uitsluitend om het opleidingsprogramma te leveren en de compliance-rapportering mogelijk te maken, en enkel op instructie van het bedrijf.
2. Categorieën gegevens en betrokkenen
Medewerkers (cursisten) van het bedrijf, met inbegrip van voormalige medewerkers van wie het bedrijf de opleidingshistoriek in zijn compliance-dossier bewaart. Gegevens: naam, zakelijk e-mailadres, functie/afdeling, leervoortgang, quizscores, certificaten en tokengebruik. Geen bijzondere categorieën.
3. Verplichtingen van de verwerker
- Verwerkt enkel op gedocumenteerde instructie van het bedrijf.
- Waarborgt vertrouwelijkheid bij wie toegang heeft tot de gegevens.
- Neemt passende technische en organisatorische maatregelen (art. 32): versleuteling, tweestapsverificatie voor beheerders, toegangscontrole op basis van rollen, scheiding tussen klanten, logging en back-ups.
- Helpt het bedrijf bij verzoeken van betrokkenen en bij datalekken, en meldt incidenten zonder onnodige vertraging. Het bedrijf beschikt daarnaast zelf over ingebouwde functies om een medewerker te anonimiseren (statistiek blijft, persoonsgegevens gewist) of volledig te verwijderen.
4. Subverwerkers
De verwerker doet een beroep op subverwerkers (o.a. hosting, e-mail, betaling, facturatie, en Mindsmith Inc. (Verenigde Staten) voor de levering van de lesmodules) en informeert het bedrijf over wijzigingen. Een actuele lijst is op verzoek beschikbaar.
5. Doorgifte buiten de EER
Persoonsgegevens en leerresultaten worden opgeslagen en verwerkt op servers binnen de Europese Economische Ruimte.
Eén uitzondering: de lesmodules zelf worden geleverd vanaf servers van Mindsmith Inc. in de Verenigde Staten. Daarbij zijn voor die leverancier het IP-adres, de browsergegevens en het tijdstip van raadpleging zichtbaar. Namen, e-mailadressen, quizresultaten en voortgang worden niet met Mindsmith gedeeld: die gegevens worden uitsluitend op de eigen servers van de verwerker bewaard.
Voor die doorgifte wordt gesteund op het adequaatheidsbesluit voor het EU-US Data Privacy Framework, dan wel op standaardcontractbepalingen. De verwerker werkt eraan om de lesmodules op termijn vanaf eigen Europese servers te leveren.
6. Duur en einde
Deze overeenkomst geldt zolang de verwerker gegevens namens het bedrijf verwerkt. Na afloop worden de gegevens verwijderd of geanonimiseerd, behoudens wettelijke bewaarplichten.