Algemene verordening gegevensbescherming

[Janus]

In mei 2018 gaat de Algemene verordening gegevensbescherming (AVG) definitief in. Daar horen ook afspraken bij met de verwerker van persoonsgegevens (acumulus) waarin de afspraken en verplichtingen duidelijk staan opgeschreven (zie https://ictrecht.nl/juridisch-advies/bewerkersovereenkomst/). Heeft acumulus al zo'n document?

[Bert-Jan]

Ja. Online.

https://wiki.acumulus.nl/index.php?page=privacy-verklaring

[Janus]

Dat is duidelijk. Bedankt voor de snelle reactie!

[Bert-Jan]

We zullen deze verklaring integraal opnemen in onze algemene voorwaarden.

Het is nog een beetje vers allemaal. Ik lees diverse benaderingen op internet.

[GrahamC]

"AVG" is eigenlijk beter bekend als GDPR.

Hier kun je deelnemen aan een quiz om te zien hoe het bij jouw organisatie staat..

https://www.ultimategdprquiz.com

[Guido]

Acumulus heeft nu ook de functionaliteit

https://forum.acumulus.nl/index.php/topic,6583.0.html

[Bap Boumans]

Ik zie dat ik in het kader van de AVG verwerkingsovereenkomsten moet afsluiten met iedere verwerker van wiens diensten ik gebruik maak, dus ook met de eigenaar van Acumulus. Ik zie dat jullie al een privacyverklaring hebben opgesteld en lees dat jullie deze in de algemene voorwaarden opnemen. Begrijp ik het goed dat het hiermee in een overeenkomst met mij is vastgelegd en kan ik volstaan met in mijn register van verwerkingsactiviteiten hiernaar te verwijzen? MvG, Bap

[Bert-Jan]

Je kunt binnenkort een verwerkersovereenkomst downloaden vanuit Acumulus.

[Bap Boumans]

TOP! Dank daarvoor en voor het snelle antwoord!

[eduardw]

Is de overeenkomst al ergens te downloaden zodat ik m'n papierwerk-archiefje weer wat verder vol kan proppen en de bureaucratie kan pleasen? 😇

[Bert-Jan]

Deze kun je nu downloaden bij Beheer -> Contractgegevens. Rechts onderaan.

[eduardw]

Gevonden! Dankjewel 👍

[mclpeters]

Ik zou het bestand graag afdrukken om in mijn AVG map op te slaan, wanneer ik dit via de website doe krijg ik het menu links in beeld er bij, is er een andere mogelijkheid? (en dan bedoel ik niet kopiëren plakken. )

[veenie]

Toevallig met de laatste details bezig van de GDPR.

Als webshop is het best wel een gedrocht om alles goed in te voeren.
Nu viel mij alleen iets op in jullie verwerkers overeenkomst:

Artikel 2 - Duur en einde van de overeenkomst
De opdrachtnemer en opdrachtgever zijn slechts aan de bepalingen van deze verwerkersovereenkomst verbonden, gedurende de termijn dat de opdrachtgever rechtmatig in het bezit is van een geldige licentie (abonnement) waarmee deze zich toegang kan verschaffen tot de applicatie.
Ingeval de opdrachtgever niet (meer) over rechtmatige toegang tot de applicatie beschikt, zal opdrachtnemer zich inspannen binnen redelijke termijn, doch uiterlijk binnen tien maanden de bij opdrachtnemer opgeslagen gegevens duurzaam van alle gegevensdragers te verwijderen.

Ik begrijp jullie standpunt maar de wet gaat hier toch echt tegen in.. Want zoals het er nu staat houdt het in dat jullie nog 10 maanden de gegevens op de servers kunnen houden en gebruiken zonder de verwerkersovereenkomst na te leven.
Nou ga ik er vanuit dat dit niet met kwade bedoeling is maar daarmee maak je wel je hele verklaring in een keer ongeldig. De verwerkersovereenkomst loopt inderdaad door tot het einde van de contractuele verplichtingen. Echter blijft deze van kracht zolang de verwerker nog beschikking heeft over persoons gegevens van de opdrachtgever.

Misschien handig om dit anders te formuleren / aan te passen? 

[Bert-Jan]

Dat lijkt mij wel een terechte opmerking.

Ik zal dit bespreken met de jurist.

Theoretisch kan dit ook betekenen dat wij de gegevens 1 dag na het aflopen van het contract verwijderen om geen risico's te lopen.

Dat zal voor heel veel mensen grote problemen geven.

[veenie]

Hallo Bert,

Na 1 dag verwijderen is ook niet handig dat begrijp ik ook weer .
Iets opnemen als dat de geldigheid duurt tot het verwijderen van de gegevens lijkt mij voldoende dat staat ook in de meeste verwerkingsovereenkomsten die ik zelf heb waarvan 90% op basis is van voorbeelden uit instanties die daarin thuis zijn.

[Bert-Jan]

Ik denk wel dat het zoiets wordt.

Alleen vraag ik mij nu toch serieuzer af of wij die gegevens wel zolang moeten bewaren hoewel dat vele levens redt.

Misschien gaan we terug naar een maand.

[Guido]

Ik begrijp jullie standpunt maar de wet gaat hier toch echt tegen in.. Want zoals het er nu staat houdt het in dat jullie nog 10 maanden de gegevens op de servers kunnen houden en gebruiken zonder de verwerkersovereenkomst na te leven.

"kunnen houden": ja. : Het komt geregeld voor dat iemand er na een paar maanden achter komt dat zijn administratie toch nog niet verwijderd had moeten worden..

"kunnen gebruiken": nee. : Hiervoor is artikel 4.1 beschikbaar:

Opdrachtnemer verplicht zich jegens opdrachtgever nimmer handelingen met betrekking tot de persoonsgegevens van de betrokkenen te verrichten, die resulteren en/of kunnen resulteren in een wettelijke kwalificatie van opdrachtnemer als verwerkingsverantwoordelijke.

De verwerkersovereenkomst loopt inderdaad door tot het einde van de contractuele verplichtingen. Echter blijft deze van kracht zolang de verwerker nog beschikking heeft over persoons gegevens van de opdrachtgever.

We hebben technisch gezien de beschikking over de persoonsgegevens maar we kunnen en mogen er niets mee. (Artikel 4.1). Volgens mij "beschikt" SIEL juridisch gezien nooit over de gegevens. En zodra de contractuele verplichtingen aflopen stopt ook alle verwerking van deze gegevens.


Dank voor de input.. Ik ben benieuwd wat onze jurist er van maakt

- Guido

[Bert-Jan]

Het is niet wenselijk om de overeenkomst langer te laten duren dan het abonnement.

De klant is verantwoordelijk voor de gegevens. Wanneer de klant ons aan het einde van het abonnement verzoekt om alle gegevens te verwijderen, dan doen wij dat onvoorwaardelijk.
Als de klant dat niet doet, neemt de klant een risico. De klant laat belangrijke gegevens achter zonder zich er van te verzekeren dat de gegevens worden verwijderd.

Als de klant de gegevens achterlaat, dan vallen deze nog steeds onder onze privacyregels en mogen wij op geen enkele manier iets doen met deze data.

Wat gebeurt er als je jouw meubels opslaat bij een storage-bedrijf en je zegt het contract op maar je haalt jouw meubels niet op?

[Petra-Z]

Hallo,

Het kan straks voorkomen dat klanten een verzoek doen tot verwijderen van hun persoonsgegevens, maar de factuur met persoonsgegevens zal 7 jaren moeten worden bewaard voor de belastingdienst.
Nu kwam ik iets tegen over een vereenvoudigde factuur: https://www.belastingdienst.nl/wps/wcm/connect/bldcontentnl/belastingdienst/zakelijk/btw/administratie_bijhouden/facturen_maken/factuureisen/aangepaste_regels_facturen/vereenvoudigde_factuur

Als ik het goed begrijp hoeft er dan bij facturen tot 100 euro geen naam en adres van de koper op de factuur. Is dit een mogelijke oplossing wanneer iemand zijn/ haar gegevens wil laten verwijderen (vergeetverzoek), of is het hoe dan ook verplicht de 'normale/volledige' facturen 7 jaren te bewaren.

Bedankt alvast!

[Bert-Jan]

Van facturen aan bedrijven en instanties moet je alle gegevens 7 jaar bewaren.

Tot de AVG in beeld kwam, was het bevel van de belastingdienst dat je alles 7 jaar moet bewaren. Dus ook gegevens van particulieren.

Met de AVG kun je bij facturen aan particulieren de relatie aanpassen. Je maakt bijvoorbeeld een relatie aan met de naam "Anonieme particulier". Je opent de boeking van de factuur en je wijzigt de relatie in deze Anonieme particulier. Daarna verwijder je de relatie die verwijderd wil worden.

[Bert-Jan]

Maar ik zou dat alleen doen voor facturen die vallen onder de eisen van de vereenvoudigde factuur.

Totdat hier meer duidelijkheid over is.

[Petra-Z]

Dan doe ik dat, bedankt.

[Guido]

Je zou ook de relatiekaart kunnen openen en alle informatie van de relatie die niet noodzakelijk is voor de factuur kunnen weghalen.