AVG privacy beleid

Algemene Verordening Gegevensbescherming (AVG)

Overzicht

25 mei 2018 is de Algemene Verordening Gegevensbescherming (‘Verordening’ of ‘AVG’) rechtstreeks van toepassing in alle lidstaten van de Europese Unie. De Verordening is de opvolger van de Wet bescherming persoonsgegevens in Nederland. Het doel van de Verordening is om twee belangen te waarborgen: de bescherming van natuurlijke personen in verband met de verwerking van hun gegevens en het vrije verkeer van persoonsgegevens binnen de Europese Unie (‘EU’).

In dit document wordt het privacy beleid van Minox beschreven. Het privacy beleid ziet toe op het verzamelen en verwerken van persoonsgegevens van Opdrachtgevers van Minox, gegevens die opdrachtgevers van Minox in het Minox systeem verwerkt en de gegevens van medewerkers van Minox. Doelstelling van het privacy beleid:

✓. Uitleg geven met betrekking tot hoe Minox compliant is met de AVG.

✓. Intern bewustzijn creëren met betrekking tot de maatregelen die Minox getroffen heeft ter uitvoering van de AVG.

✓ Ondersteuning bieden aan de naleving en toetsing van de maatregelen die Minox getroffen heeft ter uitvoering van de AVG.

Het document is voor intern en extern gebruik.

In dit privacy beleid komen de volgende onderwerpen aan de orde:

✓. Verwerkingsregister.

✓ Type persoonsgegevens en doelen.

✓ Informatieplicht.

✓. Rechten van betrokkenen.

✓. Beveiliging.

✓. Derde partijen.

✓. Datalekken.

✓. Bewaartermijnen.

✓. Privacy impact assessment.

✓ Doorgifte persoonsgegevens.

✓ Functionaris gegevensbescherming.

De protocollen en overige documenten waarnaar in dit privacy beleid wordt verwezen zijn als bijlage aan het privacy beleid toegevoegd.

Dit privacy beleid zal jaarlijks worden geëvalueerd. Indien vereist zal het privacy beleid en de protocollen worden aangepast. Daarnaast vindt aanpassing plaats indien blijkt dat het privacy beleid aanpassing behoeft.

1.1 Definities

Persoonsgegevens
alle informatie die direct of indirect tot een persoon te herleiden is. Hieronder vallen naast NAW-gegevens ook alle andere gegevens die Minox verzamelt via administratieve systemen, software en haar website.

Verwerkingsverantwoordelijke
degene die, alleen of samen met anderen, het doel, van en de middelen voor de verwerking van persoonsgegevens vaststelt. Derhalve de partij die bepaalt wat er met de gegevens gebeurt. De klant/gebruiker van Minox is als verwerkingsverantwoordelijke aan te merken.

Verwerker
een partij die ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt. Deze partij bepaalt niet voor welk doel de gegevens worden verzameld en gebruikt. Minox is als aanbieder van software als verwerker aan te merken.

In Bijlage I is een toelichting opgenomen ten aanzien van toepasselijkheid van de AVG op de verwerkingen van Minox.

In Bijlage II is een toelichting opgenomen ten aanzien van de toepasselijke wet- en regelgeving.

In Bijlage III is een toelichting met betrekking tot het begrip Verwerker opgenomen.

Privacy beleid

2.1 Type persoonsgegevens

Minox is verwerker van (persoons)gegevens in het geval van Minox Online (cloud versie). Voor de andere versies van Minox (on-premise versies: lokaal of in netwerk geïnstalleerd, of gehost) komen de gegevens niet bij Minox terecht, waardoor Minox in die gevallen geen verwerker is. Het beleid met betrekking tot gegevensverwerking in dit document heeft daarom ook alleen betrekking op Minox Online (cloud versie). Wij documenteren voor on-premise versies enkel bedrijfs- en -contactgegevens om nieuwsbrieven en contactpersonen te registreren voor support en marketing vanuit Minox B.V.

Persoonsgegevens zijn alle gegevens die betrekking hebben op een geïdentificeerde, of identificeerbare natuurlijke persoon (betrokkene):

Bedrijfsgegevens en transactiedata (financieel en niet-financieel) in het geval van een eenmanszaak in basisgegevens administratie, debiteuren, crediteuren (want de organisatie kan vereenzelvigd worden met een natuurlijk persoon).
Persoonsgegevens in basisgegevens administratie, debiteuren, crediteuren, vertegenwoordigers; dit is ook van toepassing op transacties en documenten (bijvoorbeeld facturen) als de betreffende gegevens daarop zijn vastgelegd. Een specifiek geval betreft het BSN van zzp’ers welke integraal is opgenomen in hun btw-identificatienummer. Ook persoonsgebonden e-mailadressen die gebruikt worden om service meldingen (bijvoorbeeld foutmeldingen, onderhoudsmeldingen, wachtwoordherstel, etc.) of nieuwsbrieven naartoe te sturen vallen hieronder.
Gebruikersgegevens onder gebruikersbeheer en in bijvoorbeeld logs (indien gebruikers gerelateerd zijn aan geïdentificeerde of identificeerbare natuurlijke personen).
Salarisboekingen en andere boekingen indien gerelateerd aan een geïdentificeerde of identificeerbare natuurlijk persoon (bijvoorbeeld als de namen van medewerkers worden vastgelegd in de omschrijving van salarisboekingen).
Tekenbevoegde(n) / Legal representative(s) in het kader van bankenkoppelingen (alleen in Bizcuit).
Initiator(en) / Requestor(s) in het kader van bankenkoppelingen (alleen in Bizcuit).
Gegevens met betrekking tot gebruikers van de software, medewerkers van een organisatie of een contact die wordt vastgelegd in het CRM systeem.

Minox verwerkt en registreert zelf geen bijzondere categorieën van persoonsgegevens [1]. De verwerking van deze bijzondere categorieën persoonsgegevens is verboden. Vanwege vrije gegevensinvoer is het voor Minox gebruikers wel mogelijk om dergelijke gegevens in te voeren. Minox legt de verantwoordelijkheid hiervoor expliciet bij de gebruiker en accepteert geen aansprakelijkheid voor de verwerking van deze gegevens. Dit geldt eveneens voor persoonsgegevens van strafrechtelijke aard. Bij het afsluiten van een overeenkomst met Minox is er akkoord gegaan met deze verantwoordelijkheid.

Minox verwerkt financiële gegevens, welke (afhankelijk van specifieke context) als ‘gevoelige gegevens’ geclassificeerd zouden kunnen worden. Op basis van de inschatting die Minox heeft gemaakt van de mate van gevoeligheid van de gegevens, zijn naar mening van Minox passende maatregelen getroffen. De betreffende maatregelen zijn in dit document opgenomen.

Een nationaal identificatienummer is een bij wet vastgesteld uniek nummer. In Nederland is het bekendste nationale identificatienummer het burgerservicenummer (BSN). Het BSN van zzp’ers is integraal opgenomen in hun btw-identificatienummer. Zzp’ers hebben de verplichting om hun BTW-nummer aan (potentiële) klanten bekend te maken, bijvoorbeeld op hun website en op facturen. Om deze reden is het mogelijk dat er in Minox BSN’s worden verwerkt. Er is hiervoor dus een specifiek doel. Minox volgt hierin de Belastingdienst en gaat met BSN’s om zoals er in het reguliere maatschappelijk verkeer wordt omgegaan.

Binnen Minox (zowel de software als de organisatie) wordt gebruik gemaakt van gepseudonimiseerde gegevens, welke mogelijkheid bieden tot identificatie middels herleiding, koppeling of deductie. Voorbeelden zijn klantnummers en administratienummers. In het kader van de AVG zijn gepseudonimiseerde gegevens wel persoonsgegevens, maar zijn gepseudonimiseerde gegevens ook een goede maatregel is om persoonsgegevens te beschermen en te beveiligen. Bij het nemen van passende technische en organisatorische maatregelen ter bescherming van persoonsgegevens neemt Minox daarom ook pseudonimisering van gegevens mee.

2.2 Doeleinden gegevensverwerking

Verwerking van persoonsgegevens vindt onder de volgende voorwaarden als plaats:

Minox heeft duidelijk bepaalde en gerechtvaardigde doelen voor het verzamelen van persoonsgegevens;
Minox heeft uitdrukkelijk omschreven doelen voor het verzamelen van persoonsgegevens.

Minox kent op hoofdlijnen drie doelen voor het verzamelen van persoonsgegevens [2]:

Uitvoering van de overeenkomst met de klant: Om klanten / gebruikers van Minox Online (cloud versie), danwel gebruikers van een Minox proef account, te faciliteren in hun wensen om een administratie te voeren of om Minox uit te proberen.
Klantwensen kunnen wettelijke vereisten omvatten met betrekking tot het voeren van een administratie, maar ook klant specifieke of algemene (niet-wettelijke) wensen of eisen. Een voorbeeld van dat laatste kan zijn een klant die medewerkers als kostenplaatsen wil vastleggen om de totale kosten per medewerker te registreren en rapporteren. De klant / gebruiker van Minox bepaalt hierbij zelf wat er wordt vastgelegd in Minox en Minox verwerkt deze gegevens overeenkomstig. Minox hecht veel waarde aan het aan haar klanten aanbieden van een flexibel te gebruiken applicatie en biedt om die reden veel mogelijkheden tot gegevensvastlegging. Minox zelf verplicht echter geen vastlegging van persoonsgegevens en zal zelf ook geen persoonsgegevens toevoegen, anders dan eventuele verrijking vanuit publiek beschikbare bronnen zoals bijvoorbeeld de KvK (bijvoorbeeld voor de adresgegevens van een eenmanszaak crediteur, of de tekenbevoegde(n) van een juridische entiteit van een klant welke rekeninginformatie- of betalingsdiensten wenst te gebruiken) of ratingbureaus (voor data verrijking om Minox klanten beter van dienst te zijn, bijvoorbeeld door een indicatie van de kredietwaardigheid van debiteuren te geven). Vastlegging geschiedt dus altijd direct of indirect op initiatief van de klant / gebruiker van Minox (de verwerkingsverantwoordelijke). Gegevens kunnen direct ingevoerd worden (via schermen), via bestandsinvoer (via verschillende kanalen en eventueel bewerkingen zoals OCR), of via koppelingen (zoals met een separate app, de KvK, banken of salarispakketten). De verwerkingsverantwoordelijke zal hiertoe opdracht moeten geven. Een specifiek geval is de accountant of administrateur die in opdracht van zijn/haar klantgegevens verwerkt en daarbij gebruik maakt van Minox. Die accountant of administrateur treedt eveneens op als verwerker en heeft om die reden de bijbehorende verantwoordelijkheden (op basis van o.a. de AVG). Vanwege naar de mening van Minox dwingende praktische overwegingen, hanteert Minox de expliciete aanname dat de betreffende verwerker handelt in opdracht van de verwerkingsverantwoordelijke. Minox legt de verantwoordelijkheid hiervoor expliciet bij de betreffende verwerker, zal de gegevens verwerken als ware deze geïnitieerd door de verwerkingsverantwoordelijke zelf, en accepteert geen aansprakelijkheid indien de verwerking van gegevens in Minox in strijd is met de AVG als de oorzaak hiervan ligt bij een andere verwerker. Een voorbeeld is een accountant die de administratie van zijn klant vanuit Minox exporteert naar een rapportagepakket, of een administrateur die in Minox een journaalpost in de administratie van zijn klant aanpast.

Een ander specifiek geval betreft de analyse van klantvragen of van ‘quality of service’ meldingen. Minox medewerkers hebben de mogelijkheid (persoonsgegevens) in te zien, maar dit gebeurt uitsluitend op verzoek van de verwerkingsverantwoordelijke (bijvoorbeeld in het kader van customer support) of indien er sprake is van een ‘quality of service’ melding. Dit laatste betreft systeemmeldingen als gevolg van datacontroles, welke periodiek (bijvoorbeeld de nachtelijke routine controles) en ad hoc (bijvoorbeeld na een data migratie of update of als onderdeel van debugging) worden uitgevoerd. Van de betreffende medewerkers is Minox in het bezit van een Verklaring Omtrent het Gedrag (VOG) waaruit blijkt dat gedrag in het verleden geen bezwaar vormt voor het vervullen van de betreffende taak of functie. Minox medewerkers die inloggen in Minox Online met een gebruikersaccount met uitgebreide rechten, loggen in met een persoonsgebonden gebruikersaccount met 2FA, en worden vanuit het systeem verplicht om per administratie waarin ingelogd wordt de reden op te geven waarom er wordt ingelogd. Indien er via de Minox applicatie wijzigingen worden gemaakt op transactie records, dan legt Minox altijd het tijdstip en de ingelogde gebruiker van laatste wijziging vast op het record. Een zeer beperkt aantal systemadministrators heeft toegang tot de productie database. Deze toegang wordt bij uitzondering verstrekt aan Minox medewerkers die bevoegd moeten zijn om de directe toegang te hebben in het kader van bijvoorbeeld onderhoudswerkzaamheden of voor het oplossen van urgente bugs. Deze medewerkers zijn zoals aangegeven in het bezit van een VOG.

Minox kan (persoons)gegevens op geautomatiseerde wijze benaderen voor het verbeteren van de kwaliteit van haar dienstverlening. Dit betreft analyse van gebruikersstatistieken op geaggregeerd niveau, waarbij in bepaalde gevallen naar meer gedetailleerde data kan worden gekeken om meer te leren over het gebruik van Minox. Minox medewerkers die inloggen in Minox Online met een gebruikersaccount met uitgebreide rechten, loggen ook in deze situatie in met een persoonsgebonden gebruikersaccount, en worden vanuit het systeem verplicht om per administratie waarin ingelogd wordt de reden op te geven waarom er wordt ingelogd. Er worden naar aanleiding van analyse van gebruikersstatistieken nooit wijzigingen aangebracht in gegevens.

Teneinde haar klanten goed van dienst te zijn, legt Minox klantgegevens vast in haar CRM- (intern ontwikkeld systeem ‘RBS’ opgeslagen in Minox LAN (wordt uitgefaseerd), en online applicatie Hubspot, bank- (Rabobank) en issue tracking systemen (Atlassen JIRA Cloud, Microsoft Excel opgeslagen in Minox LAN). Dit doel omvat bijvoorbeeld abonnementenbeheer, facturering, banktransacties, interne financiële verslaglegging, management rapportages, customer support, accountmanagement, bug tracking, feature requests, overige klantvragen en commercie. Deze gegevens worden niet gedeeld met personen die niet behoren tot Minox B.V. of aan haar gelieerde vennootschappen (die in de zin van dit statement niet gezien worden als derden), met uitzondering van door Minox ingehuurde derden zoals zorgvuldig geselecteerde adviseurs of incassobureau’s, en alleen indien de specifieke werkzaamheden van deze derden dit vereisen in het kader van een uitdrukkelijk omschreven doel voor het verzamelen van persoonsgegevens.
Minox legt gegevens van haar klanten, prospects en andere relaties vast in mailinglijsten voor nieuwsbrieven en andere commerciële en informatieve uitingen (MailChimp, WordPress, Microsoft Excel opgeslagen in Minox LAN). Minox maakt ook gebruik van cookies. Zie voor meer informatie de Minox Privacy Statement (incl. Cookie Statement)[3]. Deze gegevens omvatten mogelijk persoonsgegevens (NAW, emailadressen, tags zoals klantsegment of communicatie voorkeuren), maar geen bijzondere categorieën van persoonsgegevens.

Minox verwerkt zelf geen bijzondere categorieën van persoonsgegevens . De verwerking van deze bijzondere categorieën persoonsgegevens is verboden. Vanwege vrije gegevensinvoer is het voor Minox gebruikers wel mogelijk om dergelijke gegevens in te voeren. Minox legt de verantwoordelijkheid hiervoor expliciet bij de gebruiker en accepteert geen aansprakelijkheid voor de verwerking van deze gegevens. Dit geldt eveneens voor persoonsgegevens van strafrechtelijke aard.
Minox kan de verwerking van persoonsgegevens baseren op ten minste één van de grondslagen uit de AVG.

De zes rechtsgrondslagen zijn:

de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden.
de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen.
de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust.
de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen.
verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen.
de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.

Afhankelijk van specifieke scenario’s zijn van toepassing rechtsgrondslagen a (verwerkingsverantwoordelijke geeft expliciet toestemming door akkoord te gaan met specifieke en ondubbelzinnige voorwaarden, specifieke acties te initiëren of te accorderen, of door zelf de betreffende gegevens in Minox vast te leggen), b (overeenkomst Minox-klant) en/of c (het voeren van een financiële administratie is in veel gevallen voor de verwerkingsverantwoordelijke een wettelijke verplichting).

De gegevens zijn toereikend, ter zake dienend, en beperkt tot wat noodzakelijk is om de doel(eind)en van Minox te bereiken. Minox verplicht niet tot het vastleggen van niet ter zake dienende of noodzakelijke (persoons)gegevens. De gebruiker kan dit op eigen initiatief en onder eigen verantwoordelijkheid wel doen indien deze dit wenst. Indien er persoonsgegevens van derden worden verwerkt in Minox als gevolg van vastlegging in Minox door een gebruiker of via een koppeling, dan ligt de verantwoordelijkheid voor het verkrijgen van de toestemming van de betrokkene bij de verwerkingsverantwoordelijke.
De gegevens worden niet doorgegeven naar een land buiten de EU.
Minox voldoet aan alle overige door de AVG aan haar gestelde verplichtingen.

Verwerkingsverantwoordelijke helpen bij uitvoeren van plichten:
- Invulling van de rechten van de betrokkene (o.a. passende beveiligingsmaatregelen treffen voor de gegevensverwerkingen die Minox in opdracht van de verwerkingsverantwoordelijke uitvoert).
- Uitvoeren van gegevensbeschermingseffectbeoordelingen (indien nodig).
- Melden van datalekken (indien van toepassing).
Beveiliging van gegevens.

2.3 Verwerkingsregister

Minox heeft de hiervoor beschreven verwerkingen in een verwerkingsregister opgenomen. De verplichting om een register bij te houden geldt voor elke organisatie met meer dan 250 werknemers, gegevens verwerkt met een hoog risico voor betrokkenen met zich meebrengt en/of die structureel persoonsgegevens verwerkt. Minox verwerkt structureel persoonsgegevens en dient een register met verwerkingsactiviteiten bij te houden.

Als Bijlage IV is het verwerkingsregister opgenomen.

Klik hier om het Minox AVG-verwerkingsregister in te zien

In Bijlage V is een toelichting ten aanzien van de rechtmatige verwerking opgenomen.

2.4 Informatieplicht

Minox informeert klanten en gebruikers door middel van het privacy statement en een bericht aan haar klanten en gebruikers.

De betrokkene is doorgaans reeds op de hoogte van de informatie.
De informatie wordt doorgaans rechtstreeks verkregen bij de betrokkene.

In sommige gevallen wordt de informatie niet rechtstreeks verkregen bij de betrokkene, maar gebeurt dit wel met toestemming van de betrokkene. Voorbeelden zijn verkoopgegevens vanuit een gekoppelde webshop of bankmutaties vanuit een gekoppelde bank. Er is voor deze koppelingen een expliciete aanvraag en toestemming nodig van de Minox gebruiker. Ook zijn er in veel gevallen aan de kant van de koppelpartner nog aanvullende maatregelen getroffen, zoals de toestemming om bankmutaties met Minox te delen vanuit de kant van de bank.

Via het Privacy Statement Minox informeert Minox bezoekers van haar website over de gegevens die Minox verwerkt, de grondslagen van de verwerking, verwerkers en beveiliging van persoonsgegevens.

In Bijlage VI is een toelichting ten aanzien van de informatieplicht opgenomen.

2.5 Rechten van betrokkenen

Alle verzoeken waarin rechten ten aanzien van persoonsgegevens worden ingeroepen worden direct in behandeling genomen. Dit kan door middel van een e-mail naar avg@minox.nl.

In het Privacy Statement Minox staat beschreven op welke wijze Minox met de rechten van datasubjecten (opdrachtgevers, leveranciers, werknemers, sollicitanten en bezoekers van de website) omgaat:

Recht op:	Hoe gaat Minox ermee om?
Informatie en inzage	Een Data Subject heeft het recht om te zien welke gegevens Minox verwerkt. Ieder die daartoe een verzoek indient, kan inzage krijgen en daarnaast verstrekt Minox informatie over het hoe en waarom zij gegevens verwerkt.
Rectificatie van persoonsgegevens	Minox past foutieve gegevens aan zodra een verzoek daartoe wordt ingediend.
Verwijdering van persoonsgegevens	Indien Minox daartoe verzocht wordt, kan Minox persoonsgegevens verwijderen. Het kan echter zijn dat Minox persoonsgegevens niet mag verwijderen vanwege een wettelijke verplichting of een ander gerechtvaardigd belang. In dat geval blijven de gegevens voor de wettelijke termijn gehandhaafd.
Beperking	Als iemand het idee heeft dat Minox persoonsgegevens onrechtmatig of onjuist verwerkt, kan een verzoek ingediend worden om de verwerking te laten beperken. Minox honoreert een dergelijk verzoek, tenzij dit niet kan worden ingewilligd in verband met een andere wettelijke verplichting zoals het verplicht meewerken aan Justitiële verzoeken of fiscale verplichtingen.
Bezwaar	Voor de verwerking van persoonsgegevens kan ieder Data Subject bezwaar indienen. Minox zal een bezwaar in behandeling nemen en kenbaar maken wat zij daarmee doet. Indien het gaat om marketing, zal Minox verwerking beëindigen.
Overdraagbaarheid van gegevens	Persoonsgegevens kan een Data Subject laten overdragen. Hiertoe moet een verzoek worden ingediend bij Minox.
Indienen van klachten	Iedereen die vindt dat Minox niet handelt in overeenstemming met de regelgeving, kan daarover een klacht indienen bij Minox. Daarnaast kan een klacht ingediend worden bij de Autoriteit Persoonsgegevens.

2.6 Derde partijen

Minox kan gebruik maken van professionele marktpartijen bij het aanbieden van haar diensten (bijvoorbeeld voor het omzetten van gescande facturen naar digitale facturen in UBL formaat). Deze professionele partijen kennen een zelfstandige verplichting op het gebied van gegevensbescherming en worden door Minox verplicht om te voldoen aan regelgeving op het gebied van dataprotectie, voor zover zij niet reeds zelfstandig hieraan voldoen. Vragen over deze professionele marktpartijen en over hun wijze van gegevensverwerking kunnen gesteld worden aan Minox. In Bijlage VII. Is een overzicht van marktpartijen die Minox gebruikt voor het aanbieden van haar diensten van derde partijen gevoegd. Dit overzicht wordt aangepast indien Minox een overeenkomst sluit of beëindigd. Met deze partijen heeft Minox een verwerkersovereenkomst gesloten.

2.7 Beveiliging

Minox werkt onder meer waar nodig met versleutelde communicatie en beveiligde verbindingen. Daarnaast heeft Minox maatregelen genomen met betrekking tot fysieke en logische toegangsbeveiliging. Om Opdrachtgevers het mogelijk te maken hun administratie in de Cloud op te slaan, verstrekt Minox via het door de Opdrachtgever opgegeven e-mailadres inloggegevens, die door Opdrachtgevers zelf kunnen worden aangepast vanuit de Minox applicatie. Hiervoor dragen Opdrachtgevers een eigen verantwoordelijkheid. Wanneer hiervoor tussenkomst nodig is door support zal worden gevraagd om een uittreksel van de Kamer van Koophandel van niet ouder dan 3 maanden en een kopie paspoort van de natuurlijk persoon. Hierbij mogen bepaalde delen worden geanonimiseerd.

2.8 Datalekken

Minox beschikt over een protocol voor datalekken. Dit protocol is te benaderen via het Minox intranet en is actief gecommuniceerd naar medewerkers. Het datalek protocol is als Bijlage VIII aan dit privacy beleid gehecht.

2.9 Bewaartermijnen

Persoonsgegevens worden verwerkt voor de duur die noodzakelijk is. Uitgangspunt is dat een termijn wordt aangehouden van 7 jaar na beëindiging van de overeenkomst die opdrachtgever met Minox is aangegaan.
Gegevens van personeel worden als volgt jaar bewaard:

✓ Loonbeslag
Minimaal tot het moment van opheffing. Maximaal 7 jaar.

✓. NAW gegevens
Maximaal 7 jaar vanaf het jaar volgend op het jaar in van indiensttreding.

✓. Loonbelastingverklaring
Minimaal 5 jaar vanaf einde dienstverband. Maximaal 7 jaar.

✓. Kopie ID
Minimaal 5 jaar vanaf einde dienstverband.

✓. Arbeidsovereenkomst en wijzigingen
Maximaal 7 jaar vanaf einde dienstverband.

✓ Loonadministratie
Minimaal 7 jaar.

✓. Verslaglegging ivm Wet Verbetering Poortwachter en ziekteverzuimadministratie
Maximaal 2 jaar vanaf einde dienstverband.

✓. Carrière- en talentontwikkelingsprogramma’s en andere HR-ontwikkelingen
Minimaal 7 jaar vanaf opstellen document.

✓. Functionerings- en beoordelingsgesprekken
Maximaal 2 jaar vanaf einde dienstverband.

✓. Sollicitatiegegevens
Maximaal 4 weken zonder toestemming van sollicitant (1 jaar met toestemming) vanaf afloop sollicitatie.

✓. Kopie opleiding, cursus of training
Maximaal 2 jaar vanaf einde dienstverband.

2.10 Privacy impact assessment

Minox voert bij de elke nieuwe verwerking van persoonsgegevens en bij de ontwikkeling van nieuwe producten en software een privacy impact assessment (PIA) uit, tenzij vooraf al is vastgesteld dat de verwerking geen of beperkt risico met zich meebrengt.

De PIA bevat in ieder geval een systematische beschrijving van de (beoogde) gegevensverwerkingen en de doeleinden hiervan. Ook wordt beoordeeld of de nieuwe verwerking noodzakelijk is en of deze proportioneel is gelet op het doel dat wordt beoogd. Tot slot bevat de PIA een beschrijving van de maatregelen die Minox neemt om geconstateerde risico’s aan te pakken. De bevindingen naar aanleiding van een PIA worden door Minox schriftelijk vastgelegd in een verslag.

2.11 Doorgifte buiten EER

Minox mag de persoonsgegevens verwerken in landen binnen de Europese Unie (EU). Doorgifte naar landen buiten de Europese Unie wordt niet gedaan. Indien Minox dit in de toekomst wil veranderen, zal zij de Verwerkingsverantwoordelijke hierover minimaal 3 maanden van te voren informeren en volgens de artikelen van de Algemene Verordening Gegevensbescherming (AVG) hiervoor een passend contract en passende maatregelen treffen zoals toegestaan door de AVG. De Verwerkingsverantwoordelijke kan hiertegen bezwaar maken.

Minox zal de Verwerkingsverantwoordelijke melden om welk land of landen het gaat als er doorgifte plaatsvindt van gegevens naar andere landen binnen of buiten de Europese Unie (EU) en met welk doel. Verwerker zal in ieder geval zorgdragen dat er een passend beschermingsniveau is dan wel er een EU-Modelovereenkomst is gesloten.

2.11 Functionaris gegevensbescherming

Minox heeft niet de verplichting om een Functionaris voor gegevensbescherming (FG) aan te stellen: Minox is geen overheidsinstantie of overheidsorgaan, is niet hoofdzakelijk belast met verwerkingen die vanwege hun aard, hun omvang en/of hun doeleinden regelmatige en stelselmatige observatie op grote schaal van betrokkenen vereisen, en is niet hoofdzakelijk belast met verwerkingen die de grootschalige verwerking van bijzondere categorieën van persoonsgegevens en van persoonsgegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten behelzen. Minox mag wel vrijwillig een uitvoerend Privacy Officer aanstellen en heeft dit gedaan.

BIJLAGEN

Bijlage I. Toelichting wijze van gegevensverwerking door Minox

Figuur 1 – Handleiding Algemene verordening gegevensbescherming en Uitvoeringswet Algemene verordening gegevensbescherming- ‘Schema 1’

Minox verwerkt gegevens:

Verzamelen; vastleggen; opslaan; wijzigen; opvragen; raadplegen; gebruiken; verstrekken; wissen; vernietigen

Deze gegevens zijn (gedeeltelijk) persoonsgegevens:

Persoonsgegevens zijn alle gegevens die betrekking hebben op een geïdentificeerde, of identificeerbare natuurlijke persoon (betrokkene):

Bedrijfsgegevens en transactiedata (financieel en niet-financieel) in het geval van een eenmanszaak in basisgegevens administratie, debiteuren, crediteuren (want de organisatie kan vereenzelvigd worden met een natuurlijke persoon)
Persoonsgegevens in basisgegevens administratie, debiteuren, crediteuren, vertegenwoordigers; dit is ook van toepassing op transacties en documenten (bijvoorbeeld facturen) als de betreffende gegevens daarop zijn vastgelegd. Een specifiek geval betreft het BSN van zzp’ers welke integraal is opgenomen in hun btw-identificatienummer. Ook persoonsgebonden e-mailadressen die gebruikt worden om service meldingen (bijvoorbeeld foutmeldingen, onderhoudsmeldingen, wachtwoordherstel, etc.) of nieuwsbrieven naartoe te sturen vallen hieronder
Gebruikersgegevens onder gebruikersbeheer en in bijvoorbeeld logs (indien gebruikers gerelateerd zijn aan geïdentificeerde of identificeerbare natuurlijke personen)
Salarisboekingen en andere boekingen indien gerelateerd aan een geïdentificeerde of identificeerbare natuurlijk persoon (bijvoorbeeld als de namen van medewerkers worden vastgelegd in de omschrijving van salarisboekingen)
Tekenbevoegde(n) / Legal representative(s) in het kader van bankenkoppelingen (alleen in Bizcuit)
Initiator(en) / Requestor(s) in het kader van bankenkoppelingen (alleen in Bizcuit)
Gegevens met betrekking tot gebruikers van de software, medewerkers van een organisatie of een contact die wordt vastgelegd in het CRM systeem

Minox verwerkt zelf geen bijzondere categorieën van persoonsgegevens [4]. De verwerking van deze bijzondere categorieën persoonsgegevens is verboden. Vanwege vrije gegevensinvoer is het voor Minox gebruikers wel mogelijk om dergelijke gegevens in te voeren. Minox legt de verantwoordelijkheid hiervoor expliciet bij de gebruiker en accepteert geen aansprakelijkheid voor de verwerking van deze gegevens. Dit geldt eveneens voor persoonsgegevens van strafrechtelijke aard.

Een nationaal identificatienummer is een bij wet vastgesteld uniek nummer. In Nederland is het bekendste nationale identificatienummer het burgerservicenummer (BSN). Het BSN van zzp’ers is integraal opgenomen in hun btw-identificatienummer. Zzp’ers hebben de verplichting om hun btw-nummer aan (potentiële) klanten bekend te maken, bijvoorbeeld op hun website en op facturen. Om deze reden is het mogelijk dat er in Minox BSN’s worden verwerkt. Er is hiervoor dus een specifiek doel. Minox volgt hierin de Belastingdienst en gaat met BSN’s om zoals er in het reguliere maatschappelijk verkeer wordt omgegaan.

De gegevensverwerking is (vrijwel) geheel geautomatiseerd
Nvt
De gegevensverwerking valt niet onder één van de uitzonderingen op het materiële toepassingsbereik van de AVG
De verwerking valt binnen het territoriale toepassingsbereik van de AVG

Conclusie:

De Verordening is op de verwerking van toepassing.

Bijlage II. Toelichting toepasselijke wet- en regelgeving

Figuur 2 – Handleiding verordening gegevensbescherming en Uitvoeringswet Algemene verordening gegevensbescherming – ‘Schema 2’

Conclusie:

Verordening van toepassing, nationale beperkingen en uitzonderingen Nederlands recht van toepassing

Bijlage III. Toelichting verwerker

Figuur 1 – Handleiding Algemene verordening gegevensbescherming en Uitvoeringswet Algemene verordening gegevensbescherming – ‘Schema 3’

Minox is niet degene die op grond van een specifieke juridische bevoegdheid het doel en de middelen voor de verwerking vaststelt
Minox is niet degene die op grond van een impliciete bevoegdheid het doel en de middelen voor de verwerking vaststelt (de klant van Minox is degene die doet)
Minox is niet degene die feitelijk gezien invloed over de verwerking van de persoonsgegevens uitoefent en bepaalt daarom niet het doel en de middelen voor de verwerking (de klant van Minox is degene die doet)
Minox staat niet onder het gezag van of in een hiërarchische verhouding tot degene onder wiens verantwoordelijkheid zij de persoonsgegevens verwerkt

Conclusie: Minox is verwerker

Minox is nooit verwerkingsverantwoordelijke van de klantdata, maar altijd de verwerker. De klant van Minox is de verwerkingsverantwoordelijke. Minox verwerkt ten behoeve van de verwerkingsverantwoordelijke mogelijk persoonsgegevens omdat de verwerking van gegevens haar primaire opdracht is en het in voorkomende gevallen mogelijk is dat dit persoonsgegevens betreft. Met andere woorden, de dienstverlening van Minox is gericht op het verwerken van (persoons)gegevens ten behoeve van de verwerkingsverantwoordelijke. Minox heeft geen zeggenschap over de verwerkingen. Minox mag alleen handelen onder de verantwoordelijkheid van de verwerkingsverantwoordelijke en naar diens instructies.

Bijlage IV. Verwerkingsregister

20180524 AVG verwerkingsregister
NB. Indien het document niet kan worden geopend, is dit op te vragen via avg@minox.nl.

Bijlage V. Toelichting rechtmatige gegevensverwerking

Figuur 2 – Handleiding Algemene verordening gegevensbescherming en Uitvoeringswet Algemene verordening gegevensbescherming – ‘Schema 4’

Conclusie: de gegevensverwerking is rechtmatig

Bijlage VI. Toelichting informatieplicht

Figuur 3 – Handleiding Algemene verordening gegevensbescherming en Uitvoeringswet Algemene verordening gegevensbescherming – ‘Schema 5’

Bijlage VII. Overzicht van marktpartijen die Minox gebruikt bij het aanbieden van haar diensten (sub-verwerkers)

ID	Marktpartij	Dienst
1.	Go2UBL	Herkenning en omzetting van documenten naar digitale bestanden, bijvoorbeeld gescande inkoop- en/of verkoopfacturen naar UBL (onderdeel van Minox ‘Scan & Herken’). https://www.go2ubl.com/Image.ashx?id=7270_5D3F57F3-A4A6-4C18-94A7-94FFB2F58C99_ https://www.go2ubl.com/veelgestelde-vragen/

3.	Storecove	Koppeling met portals van leveranciers om inkoopfacturen automatisch op te halen (onderdeel van Minox ‘Factuurconnectie’). Minox slaat zelf niet de ingevoerde gebruikersnaam en wachtwoord op, maar geeft de ingevoerde gegevens alleen door aan Storecove. https://www.storecove.com/nl/nl/terms-and-conditions/
4.	Creaim	Minox koppelt met Creaim voor het doorsturen van BTW en ICP aangiftes en suppleties naar de Belastingdienst. Gebruikers dienen een eigen account te hebben bij Creaim om deze dienst te kunnen gebruiken. https://www.creaim.nl/privacy-statement/
5.	Mailgun	Minox maakt gebruik van de online diensten van Mailgun om e-mails vanuit Minox te versturen en te ontvangen. https://www.mailgun.com/privacy-policy/ https://www.privacyshield.gov/participant?id=a2zt0000000PCbmAAG&status=Active
6.	Bizcuit	Minox maakt gebruik van de Bizcuit app van gelieerde onderneming Bizcuit B.V. Gegevens die worden uitgewisseld hebben betrekking op gebruikers (en hun rechten), banktransacties (indien gekoppeld), betalings- en incasso-opdrachten (indien gekoppeld), documenten (indien gekoppeld). De uitwisseling van gegevens zal worden uitgebreid om meer diensten te kunnen leveren aan Minox en Bizcuit gebruikers. Er zal om expliciete toestemming gevraagd worden indien er functionaliteiten worden gebruikt waarbij uitwisseling van gegevens plaats zal vinden, waarbij de gebruiker zal worden geïnformeerd over welke gegevens uitgewisseld zullen worden en waarom. https://www.bizcuit.nl/privacy-statement/
7.	Diverse koppelpartners	Minox biedt een zogenaamde Open API, wat betekent dat marktpartijen hun applicaties en/of diensten kunnen aanbieden in combinatie met Minox (bijvoorbeeld een koppeling van een kassasysteem aan Minox). Tijdens het proces van koppelen zal expliciet om toestemming gevraagd worden om gegevens met Minox uit te wisselen, waarbij de gebruiker zal worden geïnformeerd over welke gegevens uitgewisseld zullen worden en waarom. De gebruiker dient de toestemming van kracht te maken door zijn/haar inloggegevens in te voeren. Dit zorgt er voor dat de toestemming en rechten van de gebruiker gebruikt worden voor het opzetten van de koppeling. Voorbeelden: Kassasystemen, webshops, rapportagepakketten, salarispakketten, uren- en projectensoftware.
8.	Amazon Web Services (AWS)	Minox maakt gebruik van AWS voor het hosten van haar cloud diensten. Alle gegevens worden opgeslagen in de cloud bij Amazon (gebruik makend van o.a. de AWS RDS en S3 diensten), waarbij de data altijd opgeslagen wordt op servers in Europa. Hoewel Amazon een Amerikaans bedrijf is, biedt ze de garantie dat de Minox data op Europees grondgebied staat en blijft staan. AWS is compliant met EU General Data Protection / GDPR wetgeving, zie voor meer informatie: https://aws.amazon.com/compliance/eu-data-protection https://aws.amazon.com/compliance/eu-us-privacy-shield-faq/ Daarmee heeft de Amerikaanse overheid geen toestemming om toegang te hebben tot de Minox data[5]. Ook is alle data tijdens transport en opslag volledig versleuteld. Minox hecht veel waarde aan de bescherming van de data van haar klanten en houdt de ontwikkelingen (o.a. ook in het kader van de AVG) goed in de gaten. https://aws.amazon.com/blogs/security/aws-and-the-general-data-protection-regulation/ https://aws.amazon.com/compliance/gdpr-center/ https://aws.amazon.com/agreement/
9.	Teamviewer	Minox Customer Support maakt gebruik van de applicatie Teamviewer om remote support te leveren aan Minox klanten. Teamviewer heeft geen toegang tot de data in Minox, maar de video stream waarin mogelijk Minox schermen met daarop zichtbaar persoonsgegevens loopt over de servers van Teamviewer. Om deze reden is Teamviewer voor de volledigheid in dit overzicht opgenomen. https://content.teamviewer.com/en/gdpr
10.	Lokaal geïnstalleerde applicaties en het Minox lokale netwerk	Minox Customer Support kan voor het leveren van support aan Minox klanten mogelijk gegevens exporteren naar bestanden buiten de Minox applicatie voor verdere analyse of om te delen met de klant. Voorbeelden zijn exports van facturen of rapporten, welke geopend worden in Microsoft Word, Microsoft Excel, Acrobat Reader of andere online of offline toepassingen van derden. Het exporteren en openen van bestanden die data van klanten bevatten zal alleen gebeuren op verzoek van de betreffende klant, en deze gegevens worden alleen bewaard binnen het beveiligde lokale netwerk van Minox (LAN), en alleen voor de duur van het klantverzoek. De gegevens worden dus weer verwijderd na het afronden van de support voor het betreffende klantverzoek.
11.	Email / Microsoft Exchange Online	In aansluiting op het punt hierboven is het mogelijk dat Minox Customer Support via email gegevens ontvangt van, of verstuurd naar, Minox klanten. Het is hierbij mogelijk dat de gegevens persoonsgegevens omvatten. Minox maakt hierbij gebruik van de Microsoft Exchange Online diensten. Deze mails worden verwijderd uit de Verzonden Items na verzending.
12.	MailChimp	Minox klanten hebben de mogelijkheid om één of meerdere nieuwsbrieven te ontvangen van Minox. Deze nieuwsbrieven worden verzonden op basis van emaillijsten welke worden bijgehouden in de cloud applicatie MailChimp. Ontvangers van een nieuwsbrief hebben te allen tijde de mogelijkheid om zich voor de betreffende nieuwsbrief af te melden met onmiddellijke ingang. https://mailchimp.com/legal/forms/data-processing-agreement/ https://kb.mailchimp.com/accounts/management/about-the-general-data-protection-regulation
13.	Jonar/ Paragon	Jonar is een in Canada gevestigde onderneming die het product Paragon ERP op de markt brengt. Minox maakt gebruik van dit product indien Minox ERP door een klant wordt afgenomen (Minox ERP is een bundel van Minox Xtra voor de financiële administratie en Paragon voor de ERP processen zoals bijvoorbeeld ordermanagement, voorraadbeheer, logistiek, planning en productie). Het product Paragon kan hierbij whitelabel worden gebruikt. Voor Minox ERP klanten (daarmee zijnde Paragon gebruikers) is Jonar sub-verwerker.
14. 15. 16. 17.	Google Cloud Salesfeed Hubspot LeadInfo	Minox ERP (uitvoeringen Handel, Handel Pro en Productie) maakt gebruik van Google Cloud voor het hosten van haar cloud diensten. Alle gegevens uit het ERP gedeelte van Minox ERP worden opgeslagen in de cloud bij Google, waarbij de data altijd opgeslagen wordt op servers in Europa. Hoewel Google een Amerikaans bedrijf is, biedt ze de garantie dat de Minox ERP data op Europees grondgebied staat en blijft staan. Google is compliant met EU General Data Protection / GDPR wetgeving, zie voor meer informatie: https://cloud.google.com/security/compliance/eu-data-protection https://business.safety.google/compliance/ Zie ook Google en AVG: https://www.google.com/intl/nl/cloud/security/gdpr Daarmee heeft de Amerikaanse overheid geen toestemming om toegang te hebben tot de Minox ERP data[6]. Ook is alle data tijdens opslag volledig versleuteld. Minox hecht veel waarde aan de bescherming van de data van haar klanten en houdt de ontwikkelingen (o.a. ook in het kader van de AVG) goed in de gaten. Voor Minox ERP klanten is Google sub-verwerker. Verzamelt gegevens zoals het IP-adres van bezoekers, geografische locatie en websitenavigatie. Deze informatie wordt gebruikt voor interne optimalisatie en statistieken voor exploitant van de website. Online CRM systeem waarin support tickets en bedrijfsgegevens worden opgeslagen voor het leveren van support.

Bijlage VIII. Datalek protocol

[1] Bijzondere categorieën van persoonsgegevens zijn gegevens waaruit ras of etnische afkomst blijkt, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, het lidmaatschap van een vakbond, genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, gegevens over gezondheid en gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid.

[2] Minox behoudt zich om praktische redenen het recht voor om genoemde applicaties te wijzigen door vergelijkbare applicaties, zonder daar expliciet melding van te maken.

[3] https://www.minox.nl/privacy-statement.

[4] Bijzondere categorieën van persoonsgegevens zijn gegevens waaruit ras of etnische afkomst blijkt, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, het lidmaatschap van een vakbond, genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, gegevens over gezondheid en gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid.

[5] Uitkomst van een eerdere zaak die Microsoft succesvol tegen de Amerikaanse overheid heeft aangespannen, is geweest dat de data die zich op Europees grondgebied bevond, niet hoefde te worden verschaft aan de Amerikaanse overheid. Zie bijvoorbeeld: Blog

Uiteraard is dit een specifieke uitspraak en kan er geen 100% uitsluitsel over alle mogelijke gevallen gegeven worden, maar vooralsnog is dit hoe de wetgeving hier uitspraken over gedaan heeft.

Het tweede aspect is of de Amerikaanse overheid, toegang kan krijgen tot de data. Dit is een technische restrictie gebaseerd op data encryptie. Ook hier geldt dat 100% uitsluitsel niet te geven is. Wel is het naar de mening van Minox onwaarschijnlijk dat Amazon zal meewerken aan het verstrekken van een encryptie key aan de Amerikaanse overheid. Ook is het naar de mening van Minox onwaarschijnlijk dat de Amerikaanse overheid de AWS encryptie zal hacken en in strijd zal handelen met eerdere gerechtelijke uitspraken. Mocht er een indicatie komen dat er veranderingen zijn op dit vlak (richting Minox of andere cloud service providers), dan zal Minox haar klanten hierover informeren.

Het is naar de mening van Minox onwaarschijnlijk dat de Amerikaanse overheid in strijd zal handelen met eerdere gerechtelijke uitspraken. Mocht er een indicatie komen dat er veranderingen zijn op dit vlak (richting Minox of andere cloud service providers), dan zal Minox haar klanten hierover informeren.

AVG Privacy beleid