Het GDPR-charter van Cevora

Dit charter is opgesteld door CEVORA, een vereniging naar Belgisch recht [VZW], waarvan de maatschappelijke zetel gevestigd is in de Auguste Reyerslaan 70 (5de verdieping), 1030 Brussel. Ingeschreven in de Kruispuntbank van Ondernemingen met ondernemingsnummer 0445142601 en vertegenwoordigd door dhr Olivier Lambert in zijn hoedanigheid van Directeur. Cevora is de ‘VERWERKER’ van persoonsgegevens in het kader van zijn diensten.

Met dit charter willen wij voldoen aan:

• de vereisten van het huidige wettelijke kader rond gegevensverwerking en
• de Verordening 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (hierna de ‘Algemene Verordening Gegevensbescherming’ of ‘AVG’).

In dit charter gaan we zowel in op de rechten en verplichtingen van ons, de VERWERKER, alsook op die van jou, de VERWERKINGSVERANTWOORDELIJKE of BETROKKENE.

De VERWERKINGSVERANTWOORDELIJKE en VERWERKER worden hieronder gezamenlijk de ‘partijen’ en individueel een ‘partij’ genoemd.

Artikel 1: Definities

Het is belangrijk dat we goed weten wat een aantal begrippen betekenen. Hieronder vind je een lijst terug met de meestvoorkomende begrippen in het charter en de betekenis van die begrippen.

‘Betrokkene’ betekent een geïdentificeerd of identificeerbaar natuurlijk persoon.

‘Derde Partij’ betekent elke partij die geen betrokkene, verwerkingsverantwoordelijke, verwerker, of subverwerker is onder dit charter, of een persoon die gemachtigd is om persoonsgegevens te verwerken onder het directe gezag van de VERWERKINGSVERANTWOORDELIJKE of VERWERKER.

‘Diensten’ betekent de diensten die door VERWERKER worden geleverd in het kader van zijn opdracht aan de verwerkingsverantwoordelijken (opleiding, outplacementbegeleiding, premies).

‘Persoonsgegevens’ betekent alle informatie over een betrokkene.

‘Persoonsgegevensinbreuk’ betekent een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens.

‘Subverwerker’ betekent iedere verwerker die door VERWERKER als onderaannemer is aangenomen en die ermee akkoord gaat Persoonsgegevens te verwerken in naam en voor rekening van VERWERKINGSVERANTWOORDELIJKE in overeenstemming met dit charter.

‘Toezichthoudende Autoriteit’ betekent een door een lidstaat ingevolge artikel 51 AVG ingestelde onafhankelijke overheidsinstantie.

‘Veiligheidsmaatregelen’ betekent alle maatregelen ter bescherming van persoonsgegevens tegen accidentele of onwettige vernietiging of verlies, alsmede tegen onbevoegde toegang, wijziging of doorgifte.

‘Vertrouwelijke Informatie’ betekent alle informatie die aan de andere partij in schriftelijke of materiële vorm is bezorgd en die als vertrouwelijk is aangemerkt of die redelijkerwijze als vertrouwelijk kan worden beschouwd vanwege de aard van informatie of de aard van omstandigheden die de openbaarmaking vereisen, zoals, maar niet beperkt tot, productinformatie, klantenlijsten, prijslijsten en financiële informatie.

‘Verwerkingsverantwoordelijke’ betekent de natuurlijk persoon of rechtspersoon, de overheidsinstantie, het agentschap of een andere instantie die, alleen of samen met anderen, de doelstellingen en middelen bepaalt voor de verwerking van persoonsgegevens die onder zijn gezag zijn verricht, voor de toepassing van dit charter begrepen als de VERWERKINGSVERANTWOORDELIJKE.

‘Verwerker’ betekent een natuurlijk of rechtspersoon, overheidsinstantie, agentschap of andere instantie die bevoegd is om persoonsgegevens namens de verwerkingsverantwoordelijke te verwerken, zoals de VERWERKER.

Artikel 2: Onderwerp van dit charter

2.1 De VERWERKINGSVERANTWOORDELIJKE wenst de verwerking van persoonsgegevens toe te vertrouwen aan Cevora. Cevora zal de persoonsgegevens verwerken in naam en voor rekening van de VERWERKINGSVERANTWOORDELIJKE. Voor het verlenen van de diensten is de VERWERKINGSVERANTWOORDELIJKE dus de verantwoordelijke voor de gegevensverwerking, en is Cevora een gegevensverwerker.

2.2 Cevora verwerkt de Persoonsgegevens enkel en alleen op basis van gedocumenteerde instructies van de VERWERKINGSVERANTWOORDELIJKE. Cevora zal de Persoonsgegevens die onderwerp uitmaken van de afspraken en overeenkomst met VERWERKINGSVERANTWOORDELIJKE niet verwerken op een manier die onverenigbaar is met de instructies van de VERWERKINGSVERANTWOORDELIJKE, AVG of de bepalingen zoals uiteengezet in dit charter.

2.3 Beide partijen verbinden zich er uitdrukkelijk toe om te voldoen aan de bepalingen van de relevante toepasselijke wetgeving inzake gegevensbescherming en zullen niets doen of nalaten waardoor de andere partij inbreuk zou plegen op de relevante en toepasselijke wetgeving inzake gegevensbescherming.

2.4 Verwerkingsactiviteiten. De verwerking uitgevoerd door Cevora in naam en voor rekening van de VERWERKINGSVERANTWOORDELIJKE heeft betrekking op de diensten geleverd door Cevora. De verwerkingsactiviteit bestaat uit:

• opleidingen aan bedienden en werkzoekenden
• premies voor elders gevolgde opleidingen aan bedrijven en bedienden van PC200
• outplacementbegeleiding van bedienden uit PC200

2.5 Categorieën Persoonsgegevens. De persoonsgegevens die worden verwerkt zijn:

• persoonlijke identificatiegegevens inclusief naam, voornaam, adres (voor werkzoekenden), rijksregisternummer, professioneel telefoonnummer, gsm-nummer, mailadres)
• in geval van aanvullende opleidingsdag of premies voor bedienden: het persoonlijke rekeningnummer om de premie uit te betalen. Persoonlijke kenmerken zoals diploma, statuut, paritair comité, werkloosheidsduur (voor werkzoekenden), leeftijd (o.b.v. rijksregisternummer), functie
• bedrijfsgegevens (naam, RSZ-nummer, ondernemingsnummer) van het bedrijf waar de deelnemer tewerkgesteld is/was of stage loopt
• Voor personen met een MyCevora-account beheren we ook de toegang tot deze module (mailadres + geëncrypteerd paswoord).

2.6 Betrokkenen. De Betrokkenen zijn:

• werknemers van de VERWERKINGSVERANTWOORDELIJKE, meer bepaald diegenen die de opleiding volgen
• bedienden die zich inschrijven voor een opleiding op zaterdag (aanvullende opleidingsdag) en daarvoor een premie ontvangen
• bedienden die opleiding volgen buiten de werktijd en daarvoor premies aanvragen
• bedienden van PC200-ondernemingen die graag op de hoogte blijven van onze diensten en zich inschrijven voor onze nieuwsbrieven
• ex-bedienden die via outplacement georganiseerd door de VERWERKSVERANTWOORDELIJKE outplacementbegeleiding krijgen en opleiding volgen via Cevora
• ex-bedienden die rechtstreeks kunnen inschrijven bij Cevora tot een jaar na ontslag
• werkzoekenden die rechtstreeks bij Cevora opleiding kunnen volgen
• contactpersonen van de bedrijven

2.7 Doeleinden. Cevora wendt de persoonsgegevens enkel aan om een goede dienstverlening te verzekeren. Cevora verbindt zich ertoe geen gebruik te maken van de persoonsgegevens voor eigen doeleinden, inclusief voor directmarketingdoeleinden zonder alvorens de toestemming te verkrijgen van de betrokkenen.

2.8 Alleen de persoonsgegevens die in artikel 2.5 van dit charter worden genoemd, kunnen en zullen door Cevora worden verwerkt. Bovendien worden de persoonsgegevens enkel en alleen verwerkt in het licht van de doeleinden die in dit artikel door de partijen worden bepaald.

2.9 Beide partijen verbinden zich ertoe de noodzakelijke maatregelen te nemen om te verzekeren dat persoonsgegevens niet onrechtmatig worden aangewend of in handen komen van een onbevoegde derde partij.

Artikel 3: Termijn van de verwerking

3.1 Dit charter is automatisch van toepassing van zodra de VERWERKINGSVERANTWOORDELIJKE diensten wenst af te nemen van Cevora.

3.2 In geval van een ernstige schending van dit charter of de toepasselijke bepalingen van de AVG, kan de VERWERKINGSVERANTWOORDELIJKE Cevora vragen om met onmiddellijke ingang de verwerking van persoonsgegevens te staken. Dat impliceert dat de VERWERKINGSVERANTWOORDELIJKEN en zijn betrokkenen geen beroep meer zullen doen op de diensten van Cevora.

3.3 Ingeval van beëindiging van de overeenkomst of indien de Persoonsgegevens niet langer relevant zijn voor het verlenen van de diensten, zal Cevora, op verzoek en naar keuze van de VERWERKINGSVERANTWOORDELIJKE alle Persoonsgegevens, anonimiseren verwijderen of teruggeven aan de VERWERKINGSVERANTWOORDELIJKE.

3.4 Met het oog op zijn dienstverlening en het beschikbaar stellen van de historiek van de gevolgde inschrijvingen via MyCevora houdt Cevora de persoons- en opleidingsgegevens acht jaar bij. Indien de VERWERINGSVERANTWOORDELIJKE dat wenst, kunnen gegevens worden geanonimiseerd, maar dat betekent dan ook dat deze gegevens niet meer consulteerbaar zijn via MyCevora, noch voor VERWERINGSVERANTWOORDELIJKE noch voor zijn werknemers. Indien Cevora daarvoor opteert staat hij zelf in voor de communicatie daarover aan zijn werknemers.

3.5 Ook wanneer een bediende tewerkgesteld bij de VERWERINGSVERANTWOORDELIJKE vraagt om zijn gegevens te anonimiseren, zal dat voor de VERWERKINGSVERANTWOORDELIJKE gevolgen hebben. De inschrijvingen voor deze bediende blijven in het overzicht, maar kunnen niet meer aan een persoon worden gelinkt.

Artikel 4: Verwerking van de persoonsgegevens

4.1 Cevora verwerkt de Persoonsgegevens in naam en voor rekening van de VERWERKINGSVERANTWOORDELIJKE voor de in artikel 2.4. genoemde doeleinden. Daarnaast verwerkt Cevora deze ook in eigen naam (als VERWERKINGSVERANTWOORDELIJKE) voor haar eigen doeleinden, zijnde:

• het garanderen van een goede dienstverlening
• -verslaggeving aan de sociale partners over haar prestaties

4.2 Indien er wijzigingen zijn in de verwerking van de persoonsgegevens, dan zal Cevora de VERWERKINGSVERANTWOORDELIJKE daarover informeren via de beschikbare kanalen (website, aanpassing van dit charter, mail).

Artikel 5: Bijstand aan de Verwerkingsverantwoordelijke

5.1 Cevora zal de VERWERKINGSVERANTWOORDELIJKE alle informatie verstrekken en alle bijstand verlenen die noodzakelijk is en/of die redelijkerwijze mag worden verwacht opdat de VERWERKINGSVERANTWOORDELIJKE in staat zou zijn om haar verplichtingen de AVG, inzonderheid artikelen 32-36 AVG, na te komen én van deze nakoming het bewijs te leveren.

5.2 Cevora zal – rekening houdend met de aard van de verwerking en de haar ter beschikking staande informatie – alle bijstand verlenen aan de VERWERKINGSVERANTWOORDELIJKE bij de verplichting tot uitvoeren van een gegevensbeschermingseffectbeoordeling zoals bedoeld in artikel 35 AVG, inzonderheid om te komen tot een volwaardige en correcte risicobeoordeling en -beheersing.

5.3 Cevora zal alle mogelijke maatregelen nemen opdat de VERWERKINGSVERANTWOORDELIJKE kan tegemoetkomen aan de verzoeken van een Betrokkene die zich beroept op diens rechten zoals opgenomen in de artikelen 15 tot 21 van de AVG.

5.4 Persoonsgegevensinbreuk. In geval van een persoonsgegevensinbreuk die verband houdt met het onderwerp van de verwerking van dit charter, zal Cevora de VERWERKINGSVERANTWOORDELIJKE onverwijld na kennisname van de Persoonsgegevensinbreuk informeren en assisteren. Deze kennisgeving bevat minstens de volgende informatie:

a) de aard van de persoonsgegevensinbreuk

b) de categorieën van persoonsgegevens die getroffen zijn

c) de categorieën en het geschatte aantal betrokkenen die getroffen zijn

d) de categorieën en het geschatte aantal datasets die persoonsgegevens bevatten

e) de vermoedelijke gevolgen van de persoonsgegevensinbreuk

de genomen of voorgenomen maatregelen om de persoonsgegevensinbreuk aan te pakken, waaronder in voorkomend geval maatregelen om mogelijke nadelige en schadelijke gevolgen te beperken

5.5 Indien Cevora gebruik maakt van een subverwerker, zal Cevora van deze subverwerker eisen dat dezelfde informatie wordt verstrekt wanneer een persoonsgegevensinbreuk plaatsvindt bij de subverwerker. Cevora zal de van de subverwerker ontvangen informatie onmiddellijk doorgeven aan de VERWERKINGSVERANTWOORDELIJKE.

5.6 De VERWERKINGSVERANTWOORDELIJKE beslist eenzijdig en naar eigen goeddunken, in overeenstemming met de relevante en toepasselijke wetgeving inzake gegevensbescherming, of de betrokkenen wiens persoonsgegevens zijn beïnvloed door een persoonsgegevensinbreuk, daarvan op de hoogte worden gesteld of niet. De AVG bepaalt dat het de verantwoordelijkheid van de VERWERKINGSVERANTWOORDELIJKE is om de bevoegde toezichthoudende autoriteit op de hoogte te stellen van een persoonsgegevensinbreuk. Cevora zal dat echter ook doen in het belang van haar klanten.

5.7 De partijen, en indien van toepassing de subverwerker(s), waarborgen om te goeder trouw samen te werken om enige nadelige gevolgen van een persoonsgegevensinbreuk te beperken.

Artikel 6: Informatieverplichtingen

6.1 Cevora zal, op verzoek van de VERWERKINGSVERANTWOORDELIJKE, de VERWERKINGSVERANTWOORDELIJKE voorzien van alle informatie die hij eist, en minstens met de volgende informatie:

• alle relevante details met betrekking tot de eigen bedrijfsstructuur, evenals accurate en actuele identificatiegegevens van alle entiteiten van Cevora die betrokken zijn bij de verwerking van de persoonsgegevens, inclusief de locatie van hun hoofdzetel
• de aspecten van de verwerking die afhankelijk zijn van, of afhankelijk kunnen zijn van de diensten van een subverwerker, alsook de identificatiegegevens van de subverwerker, inclusief de locatie van zijn hoofdzetel, voor zover dat geen afbreuk doet aan hetgeen bepaald is in artikel 9 van dit charter. Cevora zal de overeenkomst met de subverwerker(s) die betrekking heeft op, of relevant is voor de verwerking van persoonsgegevens doorgeven aan de VERWERKINGSVERANTWOORDELIJKE, tenzij een dergelijke overeenkomst met de subverwerker(s) Vertrouwelijke Informatie bevat, in welk geval dergelijke vertrouwelijke informatie mag worden verwijderd.
• geografische details van verwerkingslocaties, inclusief back-up en redundantiefaciliteiten
• de fysieke, organisatorische, technische en logische beveiligingsmaatregelen die VERWERKER, en indien van toepassing zijn subverwerker(s), hebben geïmplementeerd, zoals uiteengezet in artikel 11 van dit charter

Artikel 7: Verplichtingen van Cevora

7.1 Cevora zal onverwijld of binnen een redelijke termijn (dit naargelang de wettelijke verplichtingen daartoe bepaald in de AVG) en naar behoren alle redelijke verzoeken van de VERWERKINGSVERANTWOORDELIJKE behandelen met betrekking tot de verwerking van persoonsgegevens of in verband met dit charter.

7.2 Cevora garandeert dat er geen verplichtingen voortvloeien uit toepasselijk recht die het voor Cevora onmogelijk maken om te voldoen aan zijn verplichtingen onder deze charter.

7.3 Cevora verbindt zich ertoe geen persoonsgegevens te verwerken voor een ander doeleinde dan het leveren van de diensten en het nakomen van de verplichtingen onder dit charter.

7.4 Cevora zal verzekeren dat de toegang tot, inspectie, verwerking en verstrekking van persoonsgegevens enkel zal plaatsvinden in overeenstemming met het proportionaliteitsprincipe en het ‘need to know’-principe (d.i. gegevens worden enkel verleend aan die personen die de persoonsgegevens behoeven met betrekking tot het leveren van de diensten).

7.5 Cevora verbindt zich ertoe geen persoonsgegevens bekend te maken aan andere personen dan het personeel van Cevora die de persoonsgegevens nodig heeft om de verplichtingen na te komen, en zal verzekeren dat desbetreffend personeel gebonden is aan wettelijke of contractuele vertrouwelijkheidsverplichtingen.

7.6 Cevora verplicht een verwerkingsregister aan te maken en up-to-date te houden. Cevora zal het verwerkingsregister op eerste verzoek van de VERWERKINGSVERANTWOORDELIJKE, een auditeur aangesteld door de VERWERKINGSVERANTWOORDELIJKE en/of de toezichthoudende autoriteit ter beschikking stellen.

Artikel 8: Verplichtingen van de VERWERKINGSVERANTWOORDELIJKE

8.1 De VERWERKINGSVERANTWOORDELIJKE zal alle nodige assistentie verlenen en zal te goeder trouw samenwerken met Cevora om te verzekeren dat de verwerking van persoonsgegevens verloopt in overeenstemming met de vereisten van de AVG, en in het bijzonder met de principes die verband houden met de verwerking van persoonsgegevens.

8.2 De VERWERKINGSVERANTWOORDELIJKE zal Cevora, indien die dat verzoekt, in kennis stellen van de identiteit van het centrale aanspreekpunt bij de VERWERKINGSVERANTWOORDELIJKE die Cevora dient te contacteren in uitvoering van dit artikel 8.2 van dit charter.

8.3 De VERWERKINGSVERANTWOORDELIJKE verbindt zich ertoe geen verzoeken te richten aan Cevora die niet in overeenstemming zijn met de bepalingen van de AVG.

8.4 De VERWERKINGSVERANTWOORDELIJKE waarborgt dat hij geen verzoeken zal richten aan Cevora die van Cevora en/of zijn subverwerker(s) zou vereisen om verplichtingen zoals opgelegd door toepasselijk nationaal dwingend recht, waaraan Cevora en/of zijn subverwerker(s) onderhevig zijn, te schenden.

Artikel 9: Het gebruik van subverwerkers

9.1 Cevora werkt voor het leveren van zijn diensten met subverwerkers. In het kader van deze diensten is het nodig dat de subverwerker over een aantal gegevens beschikt. Cevora zal een ander type subverwerker uitsluitend inschakelen mits voorafgaandelijke schriftelijke toelichting aan de VERWERKINGSVERANTWOORDELIJKE. Cevora zal de VERWERKINGSVERANTWOORDELIJKE voorafgaandelijk informeren over de voorgenomen wijzigingen van Subverwerkers die betrekking hebben op de verwerking van de Persoonsgegevens in naam en voor rekening van VERWERKINGSVERANTWOORDELIJKE, teneinde de mogelijkheid te geven om binnen een redelijke termijn bezwaar aan te tekenen tegen dergelijke wijzigingen.

9.2 Onverminderd het voorgaande komen partijen overeen dat Cevora niet verplicht is om de identiteit van elke subverwerker mede te delen (categorieën van subverwerkers volstaan in combinatie met de informatie uiteengezet in artikel 6 en 9 van dit charter met betrekking tot subverwerkers). Niettegenstaande het bovenstaande kan de VERWERKINGSVERANTWOORDELIJKE Cevora te allen tijde verzoeken om de identiteit van een subverwerker vrij te geven, en Cevora zal dat doen als een dergelijke mededeling geen inbreuk vormt op enige vertrouwelijkheidsovereenkomst of handelsgeheimbepaling die Cevora met de relevante subverwerker heeft overeenkomen. Indien Cevora de identiteit van een subverwerker niet kan vrijgeven, is Cevora verplicht om een schriftelijke formele rechtvaardiging te verstrekken.

9.3 Cevora garandeert dat zijn subverwerkers gebonden zijn aan dezelfde verplichtingen met betrekking tot persoonsgegevens als de verplichtingen waaraan Cevora zelf door dit charter is gebonden.

9.4 Indien een Subverwerker haar verplichtingen, waaraan eveneens Cevora gebonden is door dit charter (i.e.gegevensbeschermingsverplichtingen), niet naleeft, zal Cevora volledig aansprakelijk blijven ten opzichte van de VERWERKINGSVERANTWOORDELIJKE voor de naleving van deze verplichtingen.

9.5 In het kader van dit charter maakt Cevora gebruik van volgende categorieën van subverwerkers teneinde de verlening van de diensten ten aanzien van de betrokkenen te verzekeren:

• agentschappen: administratieve opvolging van onze werknemersopleidingen (tot 1/1/2019 – daarna intern) en werkzoekendenopleidingen
• docenten: zij verzorgen de opleidingen
• trajectbegeleiders: begeleiding van onze werkzoekendengroepen (groepsdynamiek, begeleiden van zoektocht naar stage)
• outplacementconsulenten en opleidingsadviseurs: begeleiding van ex-bedienden PC200 in outplacementbegeleiding
• partners (VDAB, Bruxelles Formation, Centres de compétences, Forem, ...): gezamenlijke organisatie van opleidingen
• vormingscentra van andere paritaire comités: een selectie van onze opleidingen staan open voor arbeiders en bedienden van andere paritaire comités volgens de bepalingen van de onderlinge samenwerkingsovereenkomsten. Ook onze bedienden kunnen terecht in het opleidingsaanbod van de andere paritaire comités. In het kader van deze samenwerking wisselen we inschrijvingsgegevens uit met het oog op een administratieve beheer van de opleidingen.
• leverancier voor uitzenden van (e-)mailings
• softwareleveranciers: omwille van helpdeskfunctie hebben softwareleveranciers ook toegang nodig – in overeenkomsten duidelijk bepaald wat hun rechten en plichten zijn + intern nodige voorzorgsmaatregelen
• hosting

Artikel 10: Rechten van de Betrokkenen

10.1 Rekening houdend met de aard van de verwerking staat Cevora, voor zover mogelijk, de VERWERKINGSVERANTWOORDELIJKE bij in zijn verplichting om te antwoorden op verzoeken tot uitoefening van de rechten van betrokkenen, zoals bepaald in Hoofdstuk III van de AVG, door middel van passende technische en organisatorische maatregelen.

10.2 Met betrekking tot een verzoek van betrokkenen over hun rechten inzake de verwerking van de hen betreffende persoonsgegevens door Cevora en/of subverwerker(s), zijn de volgende voorwaarden van toepassing:

• Cevora zal de VERWERKINGSVERANTWOORDELIJKE onmiddellijk op de hoogte stellen van elk verzoek dat door een betrokkene wordt ingediend met betrekking tot Persoonsgegevens die door Cevora en/of haar subverwerkers namens de VERWERKINGSVERANTWOORDELIJKE worden verwerkt, zonder hierdoor enig gevolg te geven aan dergelijk verzoek, tenzij expliciet geautoriseerd door de VERWERKINGSVERANTWOORDELIJKE.
• Cevora zal onmiddellijk voldoen aan, en zal van zijn subverwerker(s) eisen dat zij onmiddellijk voldoen aan, elk verzoek van de VERWERKINGSVERANTWOORDELIJKE teneinde te kunnen voldoen aan het verzoek van de betrokkene die een van zijn/haar rechten wenst uit te oefenen.
• Cevora zorgt ervoor dat zowel zij als haar subverwerker(s) beschikken over de nodige technische en organisatorische capaciteiten om de toegang tot door haar beheerde persoonsgegevens te blokkeren en gegevens fysiek te vernietigen zonder mogelijkheid tot recuperatie, ingeval de VERWERKINGSVERANTWOORDELIJKE dat verzoekt.

Artikel 11: Veiligheidsmaatregelen

11.1 Cevora zal passende technische en organisatorische maatregelen nemen en handhaven zodanig dat de verwerking voldoet aan de vereisten van de AVG en de bescherming van de rechten van betrokkenen wordt gewaarborgd.

Cevora zal onder andere gepaste technische en organisatorische maatregelen nemen tegen onbevoegde of onrechtmatige verwerking, en zal op regelmatige basis de geschiktheid van deze veiligheidsmaatregelen evalueren en waar nodig aanpassen.

Cevora implementeert passende technische en organisatorische maatregelen om een overeenkomstig het risico afgestemd beveiligingsniveau te waarborgen, in overeenstemming met artikel 32 AVG.

Bij de beoordeling van het passende beveiligingsniveau wordt specifiek rekening gehouden met de verwerkingsrisico’s, vooral als gevolg van de vernietiging, het verlies, de wijziging, de ongeoorloofde verstrekking van of ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte Persoonsgegevens, hetzij per ongeluk, hetzij onrechtmatig.

Artikel 12: Audit

12.1 Cevora erkent dat de VERWERKINGSVERANTWOORDELIJKE onder toezicht staat van een of meerdere toezichthoudende autoriteit(en). Cevora zal daartoe zelf de nodige audits uitvoeren.

12.2 Cevora verleent op schriftelijk verzoek van de VERWERKINGSVERANTWOORDELIJKE of de betrokken toezichthoudende autoriteit toegang tot de relevante verslagen van deze audits.

12.3 Indien Cevora en de VERWERKINGSVERANTWOORDELIJKE overeenkomen dat er een materiële tekortkoming is in de naleving van de AVG of de bepalingen zoals uiteengezet in dit charter, dan zal Cevora deze tekortkoming zo snel als mogelijk herstellen. Cevora zal het charter dan ook aanpassen met de genomen maatregelen en in het bijzonder de VERWERKINGSVERANTWOORDELIJKE die deze tekortkoming meldt, daarover informeren.

Artikel 13: Overdracht aan derden

13.1 De overdracht van persoonsgegevens aan derden is op elke mogelijke manier verboden, tenzij dat wettelijk verplicht is of tenzij Cevora daarvoor de uitdrukkelijke toestemming heeft gekregen van de VERWERKINGSVERANTWOORDELIJKE. Indien een wettelijke verplichting tot overdracht van persoonsgegevens, die onder dit charter vallen, aan derden van toepassing is, zal Cevora de VERWERKINGSVERANTWOORDELIJKE voorafgaand aan deze overdracht informeren.

Artikel 14: Internationale overdracht

14.1 De partijen komen overeen dat persoonsgegevens niet worden overgedragen aan en/of bewaard bij een ontvanger buiten de Europese Economische Ruimte (EER) in een land dat niet onder een door de Europese Commissie verstrekt adequaatheidsbesluit valt.

14.2 Cevora informeert de VERWERKINGSVERANTWOORDELIJKE alvorens dergelijke internationale persoonsgegevensoverdracht in de toekomst toch zou plaatsvinden. Meer bepaald over de concreet genomen maatregelen om de bescherming van de persoonsgegevens van de betrokkene overeenkomstig de AVG te waarborgen.

Artikel 15: Handelwijze ten aanzien van nationale overheids- en gerechtelijke autoriteiten

15.1 Cevora zal de VERWERKINGSVERANTWOORDELIJKE onmiddellijk op de hoogte brengen van elk verzoek, bevel, aanvraag of dagvaarding van een bevoegde nationale overheids- of gerechtelijke instantie gericht aan Cevora of zijn subverwerker, die de mededeling van Persoonsgegevens inhoudt zoals ze verwerkt worden door Cevora of een subverwerker in naam en voor rekening van de VERWERKINGSVERANTWOORDELIJKE, of enige gegevens en/of informatie die verband houden met een dergelijke verwerking.

15.2 Onverminderd artikel 15.1. van dit Charter zal de VERWERKINGSVERANTWOORDELIJKE Cevora en/of haar (sub)verwerker(s) de nodige bijstand verlenen om te voldoen aan een verzoek, bevel, aanvraag of dagvaarding gericht aan Cevora of haar (sub)verwerker(s) door een bevoegde nationale overheid of gerechtelijke autoriteit. Indien de VERWERKINGSVERANTWOORDELIJKE geconfronteerd wordt met een verzoek, bevel, aanvraag of dagvaarding van een bevoegde nationale overheid of gerechtelijke autoriteit, waarbij het gaat om door Cevora verwerkte persoonsgegevens, verleent Cevora de nodige bijstand aan de VERWERKINGSVERANTWOORDELIJKE.

Artikel 16: Intellectuele eigendomsrechten

16.1 Alle intellectuele eigendomsrechten met betrekking tot de persoonsgegevens en met betrekking tot de databanken die persoonsgegevens bevatten zijn eigendom van de VERWERKINGSVERANTWOORDELIJKE, tenzij anderszins contractueel overeengekomen tussen de partijen. Niets in dit charter zal een overdracht van intellectuele eigendomsrechten vormen van de VERWERKINGSVERANTWOORDELIJKE naar Cevora, tenzij anders contractueel overeengekomen tussen de partijen.

Artikel 17: Vertrouwelijkheid

17.1 Cevora verbindt zich ertoe om de persoonsgegevens en de verwerking van deze persoonsgegevens als strikt vertrouwelijk te behandelen. Cevora zal de vertrouwelijkheid waarborgen door maatregelen te nemen die niet minder restrictief zijn dan de maatregelen die hij gebruikt om zijn eigen vertrouwelijke materiaal, inclusief persoonsgegevens, te beschermen.

17.2 Cevora garandeert dat de werknemers of subverwerkers die gemachtigd zijn om persoonsgegevens te verwerken, gebonden zijn door een contractuele geheimhoudingsplicht of een passende wettelijke plicht tot vertrouwelijkheid.

Artikel 18: Aansprakelijkheid

18.1 Cevora is enkel verantwoordelijk voor de schade veroorzaakt tijdens de verwerking van de persoonsgegevens indien hij niet voldeed aan de specifieke verplichtingen opgelegd voor verwerkers zoals bepaald in de AVG, of wanneer Cevora buiten of in strijd met de rechtmatige instructies van de VERWERKINGSVERANTWOORDELIJKE heeft gehandeld.

18.2 Indien administratieve boetes worden opgelegd als gevolg van een inbreuk door Cevora op de bepalingen van de AVG die specifiek van toepassing zijn op Cevora, dan zal Cevora daarvoor aansprakelijk zijn in verhouding tot de geleden schade. Cevora zal in geen geval aansprakelijk zijn indien hij kan bewijzen dat hij niet verantwoordelijk is voor de gebeurtenis die aanleiding heeft gegeven tot het schadegeval.

18.3 Indien blijkt dat zowel de VERWERKINGSVERANTWOORDELIJKE als Cevora aansprakelijk zijn voor schade veroorzaakt door de verwerking van persoonsgegevens, dan zullen beide partijen overeenkomstig hun individuele aandeel in de verantwoordelijkheid voor de schade veroorzaakt door de verwerking, een deel van de schadevergoeding dragen.

Artikel 19: Toepasselijk recht en jurisdictie

19.1 Tot en met 24 mei 2018 moet dit charter worden geïnterpreteerd in overeenstemming met zowel de Belgische privacywetgeving als de AVG met het oog op de naleving van deze AVG. Vanaf 25 mei 2018 zal de AVG integraal van toepassing zijn op dit charter.

19.2 Cevora aanvaardt dat indien de betrokkene een schadevergoeding eist onder dit charter, Cevora de beslissing van de betrokkene zal aanvaarden om:

• het geschil te laten bemiddelen door een onafhankelijk persoon
• het geschil te verwijzen naar de Belgische rechtbanken

19.3 De partijen komen overeen dat de keuze die wordt gemaakt door de betrokkene, de fundamentele of procedurele rechten van de betrokkene om andere rechtsmiddelen aan te wenden in overeenstemming met toepasselijk nationaal of internationaal recht, niet in het gedrang zal brengen.

19.4 Elk geschil tussen de partijen met betrekking tot de bepalingen van dit charter zal voor de bevoegde rechtbanken worden gebracht.