GDPR Assessment ToolStap 1 van 166% Bergman Juridisch Adviesbureau H.L. Wichersstraat 11A 9723 AD Groningen T +31 507 852 282 F +31 507 119 380 Groningen, 25/01/2021 Betreft: Uw GDPR Assessment rapport Geachte heer/mevrouw {Naam (Achternaam):5.6}, U heeft vandaag misschien wel uw eerste stappen gezet richting GDPR/AVG compliance. Gefeliciteerd daarmee! Een van de pijlers van de nieuwe privacyregels is ‘bewustwording’. Ik hoop dat u door het invullen van onze vragenlijsten zich bewuster bent geworden van de wijze waarop u vandaag omgaat met persoonsgegevens. Misschien heeft u zelfs al een paar ideeën opgedaan hoe u dat morgen nóg beter kunt doen. Ik wens u in ieder geval veel succes met uw inspanningen om voor 25 mei 2018 aan alle nieuwe regels te voldoen. Bergman Juridisch Adviesbureau is u daar graag behulpzaam bij. Ik nodig u dan ook van harte uit om eens verder te kijken op onze website: www.bergmanjuridisch.nl. Als u op dit moment vragen heeft kunt u ons tijdens kantooruren telefonisch bereiken op telefoonnummer 050 - 050 758 22 82 of per e-mail: info@bergmanjuridisch.nl. Ik hoor graag van u en wens u nogmaals veel succes! Met vriendelijke groet, Geoffrey Bergman Bergman Juridisch AdviesbureauUw gegevensBergman Juridisch Adviesbureau heeft deze tool ontwikkeld voor ondernemers die werken aan de implementatie van de nieuwe Europese privacywetgeving (GDPR). Met dit formulier stellen wij u een aantal vragen over uw organisatie en de gegevens die u verwerkt. Op basis daarvan ontvangt u een rapport met aanbevelingen.Naam* Voornaam Achternaam Bedrijfsnaam*E-mailadres Website Adres* Straat + huisnummer Postcode Stad AfghanistanAland-eilandenAlbaniëAlgerijeAmerikaans SamoaAndorraAngolaAnguillaAntarcticaAntigua en BarbudaArgentiniëArmeniëArubaAustraliëOostenrijkAzerbeidzjanBahama'sBahreinBangladeshBarbadosWit-RuslandBelgiëBelizeBeninBermudaBhutanBoliviaBonaire, Sint Eustatius en SabaBosnië en HerzegovinaBotswanaBouvet eilandBraziliëBrits-Indisch oceaan gebiedBrunei DarussalamBulgarijeBurkina FasoBurundiCambodjaKameroenCanadaKaapverdiëKaaimaneilandenCentraal-Afrikaanse RepubliekTsjaadChiliChinaKersteilandCocoseilandenColombiaComorenCongo, Democratische RepubliekCongo, RepubliekCook eilandenCosta RicaIvoorkustKroatiëCubaCuraçaoCyprusTsjechiëDenemarkenDjiboutiDominicaDominicaanse RepubliekEcuadorEgypteEl SalvadorEquatoriaal-GuineaEritreaEstlandSwazilandEthiopiëFalkland eilandenFaeröerFijiFinlandFrankrijkFrans GuyanaFrans-PolynesiëFranse zuidelijke gebiedenGabonGambiaGeorgiëDuitslandGhanaGibraltarGriekenlandGroenlandGrenadaGuadeloupeGuamGuatemalaGuernseyGuineeGuinee-BissauGuyanaHaïtiHeard en McDonaldeilandenVaticaanstadHondurasHong KongHongarijeIJslandIndiaIndonesiëIranIrakIerlandManIsraëlItaliëJamaicaJapanJerseyJordaniëKazachstanKeniaKiribatiKoeweitKirgiziëLao Democratische VolksrepubliekLetlandLibanonLesothoLiberiaLibiëLiechtensteinLitouwenLuxemburgMacauMacedoniëMadagaskarMalawiMaleisiëMaldivenMaliMaltaMarshalleilandenMartiniqueMauritaniëMauritiusMayotteMexicoMicronesiaMoldaviëMonacoMongoliëMontenegroMontserratMarokkoMozambiqueMyanmarNamibiëNauruNepalNederlandNieuw-CaledoniëNieuw-ZeelandNicaraguaNigerNigeriaNiueNorfolk eilandNoord-KoreaNoordelijke MarianenNoorwegenOmanPakistanPalauPalestina, StaatPanamaPapoea-Nieuw-GuineaParaguayPeruFilipijnenPitcairnPolenPortugalPuerto RicoQatarRéunionRoemeniëRuslandRwandaSaint BarthélemySint HelenaSaint Kitts en NevisSaint LuciaSint MaartenSaint Pierre en MiquelonSaint Vincent en de GrenadinesSamoaSan MarinoSao Tomé en PrincipeSaoedi-ArabiëSenegalServiëSeychellenSierra LeoneSingaporeSint MaartenSlowakijeSloveniëSalomonseilandenSomaliëZuid-AfrikaZuid-GeogiëZuid-KoreaZuid SoedanSpanjeSri LankaSoedanSurinameSvalbard en Jan Mayen eilandenZwedenZwitserlandSyriëTaiwanTadzjikistanTanzaniaThailandTimor-LesteTogoTokelauTongaTrinidad en TobagoTunesiëTurkijeTurkmenistanTurks- en CaicoseilandenTuvaluOegandaOekraïneVerenigde Arabische EmiratenVerenigd KoninkrijkVerenigde StatenUruguayKleine eilanden van de Verenigde StatenOezbekistanVanuatuVenezuelaVietnamBritse MaagdeneilandenAmerikaanse MaagdeneilandenWallis en FutunaWestelijke SaharaYemenZambiaZimbabwe Land Telefoon*UitnodigingscodeVoer een getal tussen 7475 en 9999 in.Als een (branche)organisatie u heeft uitgenodigd om de tool te gebruiken als onderdeel van een certificeringsproces dient u hier uw uitnodigingscode in te vullen.Toestemmingen* Ik begrijp dat deze tool een hulpmiddel is en dat ik zelf verantwoordelijk ben voor het doorvoeren van de juiste aanpassingen in mijn bedrijfsvoering. Bergman Juridisch Adviesbureau mag mij per e-mail op de hoogte houden van voor mij relevante informatie ten aanzien van de GDPR. Ik geef Bergman Juridisch Adviesbureau toestemming om mijn gegevens te gebruiken voor het genereren van een rapport en deze gegevens een jaar te bewaren met het doel om op een later moment ondersteuning te bieden bij verwerken van de aanbevelingen van het rapport.Kerngegevens van uw organisatieRechtsvorm*EenmanszaakVennootschap onder firmaMaatschapBesloten vennootschapNaamloze vennootschapStichtingFormele verenigingInformele verenigingKies de rechtsvorm van uw onderneming uit de lijst.Aantal medewerkers*Minder dan 10 medewerkersMinder dan 50 medewerkersMinder dan 250 medewerkers250 medewerkers of meerKies het aantal medewerkers die binnen uw organisatie werken. Als uw organisatie onderdeel is van een concern, telt u dan ook de medewerkers van andere organisaties binnen het concern mee.Uw jaaromzet*Minder dan €2.000.000Minder dan €10.000.000Minder dan €50.000.000Meer dan €50.000.000Kies uw omzetcategorie. Als uw organisatie onderdeel is van een concern, telt u omzet van andere organisaties binnen het concern mee.Uw balanstotaal*Minder dan €2.000.000Minder dan €10.000.000Minder dan €43.000.000Meer dan €43.000.000Kies de balanstotaal categorie die op uw organisatie van toepassing is. Als uw organisatie onderdeel is van een concern, ga dan uit van het cumulatieve balanstotaal van alle organisaties binnen het concern. Mijn organisatie is een publiekrechtelijke rechtspersoon of ander overheidslichaamKerngegevens van uw organisatieEr zijn in uw organisatie meer dan 250 mensen werkzaam. Vanaf 250 medewerkers moet u aan extra vereisten voldoen zoals het bijhouden van een verwerkingsregister voor 'on-premises' databestanden en u moet een privacyfunctionaris of Data Protection Officer aanstellen. U dient deze wijzigingen door te voeren in uw bedrijfsvoering.Uw jaaromzet is groter dan €50.000.000, hierdoor wordt u voor de GDPR/AVG niet langer aangemerkt als kleine of (middel-)grote ondernemer. U valt hierdoor in een strenger regime. Wij adviseren u contact met ons op te nemen voor een maatwerkoplossing - het rapport dat deze tool genereert is mogelijk onvolledig.Uw balanstotaal is groter dan €43.000.000, hierdoor wordt u voor de GDPR/AVG niet langer aangemerkt als kleine of (middel-)grote ondernemer. U valt hierdoor in een strenger regime. Wij adviseren u contact met ons op te nemen voor een maatwerkoplossing - het rapport dat deze tool genereert is mogelijk onvolledig.Op basis van het aantal medewerkers, de door u opgegeven jaaromzet en het door u opgegeven balanstotaal hebben wij bepaald dat uw organisatie in de categorie van micro-, kleine- of middelgrote onderneming valt.LET OP! Op basis van het aantal medewerkers, de door u opgegeven jaaromzet en het door u opgegeven balanstotaal hebben wij bepaald dat uw organisatie waarschijnlijk niet in de categorie van micro-, kleine- of middelgrote onderneming valt. Ook publiekrechtelijke organisaties vallen in een aparte categorie. Voor een volledige assessment kunt u deze tool niet gebruiken. Wij raden u aan contact met ons op te nemen voor een maatwerkoplossing.Omdat uw organisatie in de categorie van micro-, kleine- of middelgrote ondernemingen valt en u geen overheidsinstelling bent, hoeft niet aan bijzondere vereisten te voldoen.Welke gegevens worden in uw organisatie verwerktWij stellen u nu een aantal vragen over de (persoons-)gegevens die binnen uw organisatie worden verwerkt. In sommige gevallen vragen wij u naar een wettelijke grondslag voor de door u gekozen verwerkingen, vul dan het wetsartikel in waarop de verwerking is gebaseerd.Op welke schaal verwerkt u persoonsgegevens?*Ik verwerk de gegevens van minder dan 1000 consumenten/ondernemersIk verwerk de gegevens van meer dan 1000 consumenten/ondernemersHet verwerken van (persoons-)gegevens is de kernactiviteit van mijn organisatie.Ik verwerk (persoons-)gegevens als onderdeel van mijn publieke taak.Wettelijke grondslag publieke taak*Omschrijf de wettelijke grondslag van uw publieke taak.Welke bijzondere gegevens verwerkt u? Informatie over ras, godsdienst, seksuele geaardheid Informatie over politieke opvattingen of lidmaatschap van vakbonden Gegevens over gezondheid en medische informatie Genetische of biometrische gegevens Strafrechtelijke documentatiegegevens Gegevens van kinderen onder de 16 jaar Gegevens van kinderen jonger dan 13 jaarWettelijke grondslagVul hieronder in op basis van welke wettelijke grondslag u bijzondere persoonsgegevens verwerkt.Toestemming verwerken persoonsgegevens minderjarigenOp welke wijze verkrijgt u de toestemming van ouders of wettelijke vertegenwoordigers?Verwerking van persoonsgegevensU heeft aangegeven dat u gegevens verwerkt van minder dan 1.000 consumenten en bedrijven. Naar ons oordeel bent u daarmee een 'kleine' gegevensverwerker en zijn normale beveiligings- en voorzorgsmaatregelen afdoende.U heeft aangegeven dat u gegevens verwerkt van meer dan 1.000 consumenten en bedrijven. Naar ons oordeel bent u daarmee niet langer een kleine gegevensverwerker. Hoewel het verwerken van persoonsgegevens niet uw kernactiviteit is, bent u toch gehouden gedegen beveiligings- en voorzorgmaatregelen te nemen om datalekken te voorkomen. Wij nemen contact met u op om de maatregelen die u op dit vlak heeft getroffen te bespreken en te beoordelen.U heeft aangegeven dat het verwerken van persoonsgegeven van consumenten en bedrijven de kernactiviteit van uw organisatie is. U bent in ieder geval verplicht om een register van verwerkingen bij te houden en een privacyfunctionaris of Data Protection Officer (DPO) aan te stellen. Uw organisatie dient bovendien te zijn voorbereid op het omgaan met vergeet- en portatieverzoeken. Ga in uw organisatie na of u op deze punten aan de toepasselijke regelgeving voldoet. Wij nemen contact met u op om de maatregelen die u op dit vlak heeft getroffen te bespreken en te beoordelen.Publieke instellingen en overheden moeten ongeacht de omvang van de organisatie aan de strengste eisen voldoen als het gaat om gegevensbescherming. U bent in ieder geval verplicht om een register van verwerkingen bij te houden en een privacyfunctionaris of Data Protection Officer (DPO) aan te stellen. Uw organisatie dient bovendien te zijn voorbereid op het omgaan met verzoeken op grond van het inzage- en vergeetrecht. Ga in uw organisatie na of u op deze punten aan de toepasselijke regelgeving voldoet. Wij nemen contact met u op om de maatregelen die u op dit vlak heeft getroffen te bespreken en te beoordelen.U verwerkt informatie over ras, godsdienst of seksuele geaardheid terwijl u heeft aangegeven dit niet te doen op basis van een wettelijke grondslag (bevoegdheid). Volgens de GDPR/AVG is dit niet toegestaan. Stop met het verzamelen van deze gegevens om aan de regels uit de GDPR/AVG te voldoen.U verwerkt informatie over politieke opvattingen of lidmaatschap van vakbonden terwijl u heeft aangegeven dit niet te doen op basis van een wettelijke grondslag (bevoegdheid). Volgens de GDPR/AVG is dit niet toegestaan. Stop met het verzamelen van deze gegevens om aan de regels uit de GDPR/AVG te voldoen.U verwerkt gegevens over gezondheid of medische informatie terwijl u heeft aangegeven dit niet te doen op basis van een wettelijke grondslag (bevoegdheid). Volgens de GDPR/AVG is dit niet toegestaan. Stop met het verzamelen van deze gegevens om aan de regels uit de GDPR/AVG te voldoen.U verwerkt genetische of biometrische gegevens terwijl u heeft aangegeven dit niet te doen op basis van een wettelijke grondslag (bevoegdheid). Volgens de GDPR/AVG is dit niet toegestaan. Stop met het verzamelen van deze gegevens om aan de regels uit de GDPR/AVG te voldoen.U verwerkt strafrechtelijke documentatiegegevens terwijl u heeft aangegeven dit niet te doen op basis van een wettelijke grondslag (bevoegdheid). Volgens de GDPR/AVG is dit niet toegestaan. Stop met het verzamelen van deze gegevens om aan de regels uit de GDPR/AVG te voldoen.U verwerkt gegevens van kinderen jonger dan 13 jaar terwijl u heeft aangegeven dit niet te doen op basis van een wettelijke grondslag (bevoegdheid). Volgens de GDPR/AVG is dit niet toegestaan. Stop met het verzamelen van deze gegevens om aan de regels uit de GDPR/AVG te voldoen.U verwerkt persoonsgegevens van kinderen jonger dan 16 jaar. U mag deze persoonsgegevens enkel verwerken met toestemming van de ouders of wettelijke vertegenwoordigers. U heeft geen toestemmingstekst ingegeven. Als u geen toestemming vraagt voldoet u niet aan de wettelijke eisen.U verwerkt persoonsgegevens van kinderen jonger dan 16 jaar. U mag deze persoonsgegevens enkel verwerken met toestemming van de ouders of wettelijke vertegenwoordigers. Wij zullen de door u ingegeven toestemmingstekst beoordelen. Na de beoordeling nemen wij contact met u op.U heeft aangegeven dat u persoonsgegevens verwerkt op basis van een wettelijke grondslag. Wij zullen de door u aangegeven grondslag beoordelen. Na de beoordeling nemen wij contact met u op.Gebruik van gegevens voor marketing en marktonderzoekWij stellen u hier een aantal vragen over de wijze waarop u gegevens van consumenten en bedrijven inzet voor marketingdoeleinden en op welke wijze u hiervoor toestemming heeft gekregen.Verstuurt u nieuwsbrieven of commerciële mailings?*Ja, middels een opt-inJa, middels een opt-outIk verstuur geen nieuwsbrieven of commerciële mailingsKies wat van toepassing is. Een opt-in vereist een handeling van de klant, bijvoorbeeld het aanvinken van een selectievakje onderaan een formulier. Als u dit vinkje standaard 'aan' heeft staan, dan is er sprake van een opt-out.Toestemmingstekst nieuwsbrieven en commerciële mailings*Plak hier de toestemmingstekst zoals deze bij het formulier op uw website leesbaar is. Als u meerdere toestemmingsteksten gebruikt, plak deze dan onder elkaar met een witregel er tussen.Marktonderzoek*Ik gebruik verzamelde gegevens voor markt- en doelgroeponderzoekIk gebruik verzamelde gegevens enkel voor technische doeleindenIk gebruik verzamelde gegevens niet voor de hierboven genoemde doeleindenToelichting*Licht hieronder toe op welke wijze u de door uw organisatie verzamelde gegevens gebruikt.Wetenschappelijk onderzoek*Ja, mijn organisatie doet zuiver wetenschappelijk onderzoekNee, mijn organisatie doet geen zuiver wetenschappelijk onderzoekGebruikt uw organisatie gegevens voor zuiver wetenschappelijk onderzoek?Toelichting wetenschappelijk onderzoek*Licht hieronder toe welk zuiver wetenschappelijk onderzoek uw organisatie doet of aan meewerkt.Gebruik van gegevens voor marketing en marktonderzoekU heeft aangegeven dat u toestemming vraagt voor het gebruik van persoonsgegevens ten behoeve van het verzenden van nieuwsbrieven en commerciële mailings door middel van een opt-out. DIt is onder de GDPR/AVG niet toegestaan.U heeft aangegeven dat u toestemming vraagt voor het gebruik van persoonsgegevens ten behoeve van het verzenden van nieuwsbrieven en commerciële mailings door middel van een opt-in. DIt is onder de GDPR/AVG vereist en u voldoet op dit punt.U heeft aangegeven dat u geen nieuwsbrieven of commerciële mailings verstuurt. Houd er rekening mee dat als u dit in de toekomst wel gaat doen u mogelijk niet meer voldoet aan de regels.Wij zullen de door u opgegeven toestemmingstekst voor het verzenden van nieuwsbrieven en/of commerciële mailings beoordelen. Wanneer hier aanleiding toe is nemen wij contact met u op.U heeft aangegeven dat u verzamelde gegevens gebruikt voor marketingtechnische doeleinden. Wij zullen de toestemmingstekst controleren aan de hand van de door u ingevulde toelichting. Wanneer hier aanleiding toe is nemen wij contact met u op.U heeft aangegeven dat u verzamelde gegevens niet gebruikt voor marketing- of technische doeleinden. Als u de gegevens alleen gebruikt voor het doel van de toestemming, hoeft u op dit punt geen actie te ondernemen.U heeft aangegeven dat u verzamelde gegevens gebruikt voor zuiver wetenschappelijk onderzoek. Wij zullen de toestemmingstekst controleren aan de hand van de door u ingevulde toelichting. Wanneer hier aanleiding toe is nemen wij contact met u op.Het delen van gegevensHieronder stellen wij u vragen over derde partijen die uw organisatie inschakelt voor het verwerken van gegevens.Hoe beheert u uw mailinglijsten?*Ik gebruik hiervoor software van een derde partijIk heb mijn mailinglijsten in eigen beheerE-mail(marketing) providersMailChimpGetResponseConstant ContactEmmaAWeberIContactMad MimiSendInBlueActiveCampaignFreshmailSimplyCastVerticalResponseCampaing MonitorBenchmark EmailYeswareMailerLiteJango MailMailrelayMPZMailSalesforce Marketing CloudMailjetAstonish EmailSendPulseIntercomAnders, namelijk:Als u meerdere systemen gebruikt, kies dan voor 'anders' en vul de namen van uw providers handmatig in.Bewerkersovereenkomst(en) E-mailmarketing Sleep bestanden hierheen of Upload hier per derde partij uw bewerkingsovereenkomsten voor het afhandelen van uw e-mail marketing.Hoe beheert u uw klantgegevens?*Ik gebruik een CRM-systeemIk gebruik extern gehoste webwinkelsoftwareIk maak gebruik van beideIk verwerk gegevens van relaties op eigen systemenVeel bedrijven gebruiken een CRM (Customer Relationship Managment) systeem voor het beheren van relaties, ook bij derde partijen gehoste webwinkelsoftware valt onder deze categorie.Welke CRM-systeem gebruikt uw organisatie?*ExactSalesforceSageSAPZohoMicrosoft DynamicsOracleMaximizerApptiveGoldMineSugarCRMInfusionsoftCommenceBPMonlineSalesboomUpdateProphet37signals HighriseNimbleAnders, namelijk:Als u meerdere systemen gebruikt, kies dan voor 'anders' en vul de namen van uw providers handmatig in.Bewerkersovereenkomst(en) CRM Sleep bestanden hierheen of Upload hier per derde partij uw bewerkingsovereenkomsten voor CRM.Welke webwinkelsoftware gebruikt u?LightspeedCCV ShopFlexioshopmyShopMijnwebwinkelLogiVertShoppaginaAnders, namelijk:Als u meerdere systemen gebruikt, kies dan voor 'anders' en vul de namen van uw providers handmatig in.Bewerkersovereenkomsten webwinkelproviders Sleep bestanden hierheen of Upload hier per derde partij uw bewerkingsovereenkomsten voor webwinkelproviders.Andere partijen*Ja, mijn organisatie deelt informatie met andere derdenNee, mijn organisatie deelt alleen informatie met de derden die ik hierboven heb genoemdZijn er andere partijen waarmee u informatie deelt? Denk aan een buitendienst, facilitair callcenter, boekhouder of accountant.Informatie over het delen van gegevens*Omschrijf hieronder welke informatie u met wie deelt en waarom.Bewerkingsovereenkomst(en) overige derde partijen Sleep bestanden hierheen of Het delen van gegevensU geeft aan gegevens te wisselen met derde partijen in de V.S. onder het Privacy Shield. Sinds 16 juli 2020 is het Privacy Shield ongeldig verklaard. De verwerking van gegevens via voorgenoemde partijen kan onrechtmatig zijn.U beheert uw eigen mailinglijsten en wisselt hiervoor geen gegevens uit met derde partijen. Op u zijn bovendien geen bijzondere verplichtingen van toepassing, dus uw huidige praktijk voldoet aan de eisen.U beheert uw eigen mailinglijsten en wisselt hiervoor geen gegevens uit met derde partijen. Op u zijn echter bijzondere verplichtingen van toepassing, dus uw huidige praktijk voldoet mogelijk niet aan de eisen. Wij nemen contact met u op om uw situatie te beoordelen.Een vertrouwde derde partij verzorgt uw e-mailcommunicatie, dus uw huidige praktijk voldoet aan de eisen. Voor de zekerheid controleren toch nog uw verwerkersovereenkomst.Wij hebben niet kunnen vaststellen of uw e-mailmarketing provider voldoet aan de wettelijke eisen. Wij zullen de verwerkersovereenkomst controleren en indien nodig contact met u opnemen.U beheert zelf uw eigen klantgegevens en wisselt hiervoor geen gegevens uit met derde partijen. Op u zijn bovendien geen bijzondere verplichtingen van toepassing, dus uw huidige praktijk voldoet aan de eisen.Een vertrouwde CRM-provider verzorgt de verwerking van uw klantgegevens, dus uw huidige praktijk voldoet aan de eisen. Voor de zekerheid controleren toch nog uw verwerkersovereenkomst.Een vertrouwde webwinkelaanbieder verzorgt de verwerking van uw klantgegevens, dus uw huidige praktijk voldoet aan de eisen. Voor de zekerheid controleren toch nog uw verwerkersovereenkomst.Wij hebben niet kunnen vaststellen of uw CRM-provider voldoet aan de wettelijke eisen. Wij zullen de verwerkersovereenkomst controleren en indien nodig contact met u opnemen.Wij hebben niet kunnen vaststellen of uw webwinkel- provider voldoet aan de wettelijke eisen. Wij zullen de verwerkersovereenkomst controleren en indien nodig contact met u opnemen.Bewaren en vergeten van gegevensNu stellen we u een aantal vragen over hoe u gegevens bewaart, voor welke duur en of u in staat bent op verzoek gegevens te verwijderen (vergeetverzoeken).Waar slaat u gegevens op?*In de cloud / server van derdenMijn organisatie gebruikt enkel papieren dossiers op kantoorOp een eigen server of PCWie is uw service provider?*Verwerkersovereenkomst opslagprovider Sleep bestanden hierheen of Hoe lang bewaart u gegevens?*Ik bewaar gegevens niet, deze worden na gebruik direct verwijderd.Minder dan 1 jaar1 jaar2 jaren3 jarenLanger dan drie jarenHoe worden uw gegevens beveiligd?*Gegevens worden beveiligd verzonden en beveiligd opgeslagenGegevens worden onbeveiligd verzonden en onbeveiligd opgeslagenGegevens worden beveiligd verzonden en onbeveiligd opgeslagenGegevens worden beveiligd verzonden en geanonimiseerd opgeslagenWelke beveiligingstechnieken gebruikt uw organisatie?*Hoe handelt u vergeetverzoeken af?*Alle gegevens worden onder één kenmerk opgeslagen (bijvoorbeeld een klantnummer). Op verzoek van de belanghebbende verwijder ik de gegevens zelf uit alle gegevensbestandenAlle gegevens worden onder één kenmerk opgeslagen (bijvoorbeeld een klantnummer). Op verzoek van de belanghebbenden geef ik opdracht aan door mij gecontracteerde derden de gegevens te verwijderenAlle gegevens worden onder één kenmerk opgeslagen (bijvoorbeeld een klantnummer). Op verzoek van de belanghebbende worden alle gegevens in een geautomatiseerd proces verwijderdIk gebruik geen kenmerk, ik handel de vergeetverzoeken af op basis van verschillende gegevensIk gebruik slechts één gegevensbestand, op verzoek van de belanghebbende verwijder ik deze gegevensBedrijven zijn verplicht gegevens die zij verwerken op verzoek van de belanghebbende te verwijderen.Hoe kan een belanghebbende een vergeetverzoek indienen?* Een webformulier Schriftelijk per e-mail Telefonisch Per post / faxKies alleen de opties die u in uw privacyvoorwaarden aangeeft.Hoe administreert u vergeetverzoeken?*Ik bewaar de schriftelijke reactie op het vergeetverzoek met een geanonimiseerd kenmerkIk bewaar de schriftelijke reactie op het vergeetverzoek met individualiseerbare gegevens zoals een naam of e-mailadresIk bewaar afgehandelde vergeetverzoeken nietBewaren en vergeten van gegevensU regelt uw eigen data-opslag en wisselt hiervoor geen gegevens uit met derde partijen. Op u zijn bovendien geen bijzondere verplichtingen van toepassing, dus uw huidige praktijk voldoet aan de eisen.U regelt uw eigen data-opslag en wisselt hiervoor geen gegevens uit met derde partijen. Op u zijn echter bijzondere verplichtingen van toepassing, dus uw huidige praktijk voldoet mogelijk niet aan de eisen. Wij nemen contact met u op om uw situatie te beoordelen.U geeft aan dat u geen digitale dossiers heeft, of persoonsgegevens digitaal opslaat. Ook in dat geval moet u zorgvuldig omgaan met persoonsgegevens. U mag deze bijvoorbeeld niet langer dan noodzakelijk bewaren. Het risico op datalekken is echter zeer klein. Tegelijkertijd is het niet eenvoudig om aan de inzage-, vergeet- en dataportabiliteitsregels te voldoen: houd er rekening mee dat het werken met papieren dossiers veel tijd kost. Bovendien is de vraag of uw dossiers 'machineleesbaar' zijn.U geeft aan dat u gegevens opslaat bij derden, bijvoorbeeld in 'de cloud'. Wij zullen uw bewerkersovereenkomst met uw provider beoordelen en indien nodig contact met u opnemen.U geeft aan dat u gegevens niet langer bewaart dan noodzakelijk is voor de uitvoering van de overeenkomst tussen u en uw klant. Dit is volledig in lijn met de GDPR/AVG - u hoeft op dit punt geen actie te ondernemen.U geeft aan dat u gegevens langer dan nodig is voor de uitvoering van de overeenkomst bewaart, maar niet langer dan twee jaren. Het is aannemelijk dat u hier een goede reden voor heeft. In de sommige gevallen wordt opgeslagen data echter 'vergeten'. Ga voor uzelf na of u sommige gegevens eerder kunt verwijderen of anonimiseren dan u nu doet.U geeft aan dat u gegevens langer dan twee jaar bewaart. Het is mogelijk dat u hier een goede reden voor heeft. In de meeste gevallen wordt opgeslagen data 'vergeten'. Wij nemen contact met u op om uw situatie te bespreken.U geeft aan dat u gegevens onbeveiligd verzendt en/of opslaat. U bent hiertoe verplicht: het onbeveiligd verzenden of opslaan brengt een groot risico op datalekken met zich mee. U voldoet op dit punt niet aan de regels volgens de GDPR/AVG.U geeft aan dat u gegevens beveiligd verzendt en beveiligd of zelfs geanonimiseerd opslaat. U heeft het risico op datalekken zo klein mogelijk gemaakt. U voldoet op dit punt aan de regels volgens de GDPR/AVG en hoeft geen actie te ondernemen.Wij zullen de door u toegepaste beveiligingstechnieken beoordelen. Als deze aan het minimumniveau voldoen (SSL encryptie en met wachtwoord beveiligde data-opslag) hoort u niets van ons.U geeft aan dat data niet aan de hand van één kenmerk kan worden gevonden en verwijderd. Het risico is daarom groot dat er gegevens achterblijven. U dient een werkproces in te richten dat het risico daarop zoveel mogelijk verkleint.U geeft aan dat u data op het verzoek van een belanghebbende eenvoudig kunt (laten) verwijderen. U voldoet daarmee op dit punt aan de regels uit de GDPR/AVG. Verdere actie is op dit punt niet vereist.U geeft aan dat vergeetverzoeken telefonisch kunnen worden gedaan. Dit is onwerkbaar, omdat u afgehandelde vergeetverzoeken dient te administreren. In de praktijk is het in het geval van een telefonisch verzoek onmogelijk dit te doen zonder alsnog persoonsgegevens van de belanghebbende opgeslagen te houden, hetgeen op grond van de GDPR/AVG niet is toegestaan.U geeft aan dat u vergeetverzoeken niet administreert of in uw vergeetverzoekadministratie tot de persoon herleidbare gegevens bewaart. U bent verplicht om vergeetverzoeken te administreren én tegelijkertijd de verzoeker daadwerkelijk te vergeten. U voldoet op dit punt dus niet aan de regels uit de GDPR/AVG.U geeft aan dat u vergeetverzoeken met administreert aan de hand van een niet tot de persoon te herleiden kenmerk. U voldoet op dit punt aan de regels uit de GDPR/AVG en hoeft geen actie te ondernemen.DataportabiliteitOnder de GDPR hebben belanghebbenden het recht om de gegevens die u verwerkt op te vragen en deze eventueel bij een andere verwerker onder te brengen. Deze vragen zijn bedoeld om te beoordelen of uw organisatie is ingericht om dergelijke verzoeken af te handelen.Op welke wijze worden overdrachtsverzoeken afgehandeld?*Handmatig op verzoek van de belanghebbendeGeautomatiseerd op verzoek van de belanghebbendeBelanghebbenden kunnen data zelf downloaden en/of verzenden via een portaalpagina op de websiteBelanghebbenden kunnen data zelf downloaden en/of overdragen middels een applicatie of APIWorden van gebruikersgedrag afgeleide of gegenereerde gegevens ook inzichtelijk gemaakt?*Ja, deze worden ook aan de belanghebbende toegezonden als hij hierom vraagtJa, alle verzamelde gegevens worden automatisch meegezondenJa, de belanghebbende kan deze informatie eveneens zelf downloadenNee, ik verstuur alleen de gegevens die de belanghebbende zelf heeft verzondenDenk hierbij aan het geregistreerde (koop)gedrag, opgeslagen videobeelden, opgeslagen telefoongesprekken, ingevulde vragenlijsten en dergelijke.Op welke wijze worden de data aan de belanghebbende beschikbaar gesteld?*Als databestand in het bronformaatAls spreadsheet / databaseSchriftelijk per e-mail (met eventuele bijlagen)In de vorm van afbeeldingen, bijvoorbeeld screenshotsZijn de aangeleverde gegevens zonder specifieke software leesbaar door een mens én door een computer?*JaNeeIk weet het nietDe AVG vereist een 'machineleesbaar' dataformaat. Machineleesbaar houdt simpel gezegd in dat een computer of scanner zonder al te veel moeite de benodigde gegevens kan uitlezen. Er mag in ieder geval geen sprake zijn van coderingen, wachtwoorden, versleutelingen. OOk de meta-gegevens moeten worden ingesloten.Hoe lang duurt het voordat de belanghebbende de gegevens aangeleverd krijgt?*In beginsel direct maar altijd binnen 30 dagenBinnen 30 dagenMeer dan 30 dagen / onbekendDataportabiliteitU geeft aan dat u in staat bent gegevens over te dragen aan derden wanneer hierom wordt verzocht. U voldoet op dit punt aan de regels volgens de GDPR/AVG en hoeft geen actie te ondernemen.U geeft aan dat u overdrachtsverzoeken op een afwijkende manier afhandelt. Wij zullen uw werkwijze beoordelen en indien nodig contact met u opnemen. Houd er rekening mee dat overdrachtsverzoeken binnen 30 dagen moeten worden afgehandeld, ga voor uzelf na of uw werkwijze snel genoeg is.U geeft aan dat u afgeleide of gegenereerde gegevens niet op verzoek beschikbaar stelt. U bent dit - afhankelijk van het type gegeven - wel verplicht. Wij zullen contact met u opnemen om te bespreken welke gegevens u van gebruikersgedrag afleidt of op basis daarvan genereert.U geeft aan dat u gegevens op verzoek aanlevert in het bronformaat, database- of spreadsheet bestand. Dit is de beste en meest volledige manier om informatie door te geven. Zorg er wel voor dat uw gegevens niet gecodeerd of met een wachtwoord beveiligd zijn!U geeft aan dat u gegevens op verzoek aanlevert in de vorm van een e-mail met bijlagen, afbeeldingsbestanden (scans) of op een andere manier. Houd er rekening mee dat u binnen 30 dagen aan portabiliteitsverzoeken moet voldoen, ga voor uzelf na of uw werkproces niet te omslachtig is. Bovendien moeten de aangeleverde gegevens 'machineleesbaar' zijn. Scans van bijvoorbeeld handgeschreven brieven zullen dit in de regel niet zijn.U geeft aan dat u door u geleverde gegevens machineleesbaar zijn. U voldoet hiermee aan de regels uit de GDPR/AVG.U geeft aan dat u niet weet of uw dataformaat machineleesbaar is. Wij nemen contact met u op om dit te beoordelen.U geeft aan dat u door u geleverde gegevens niet machineleesbaar zijn. U voldoet hiermee niet aan de regels uit de GDPR/AVG.U geeft dat u overdrachtsverzoeken zo snel mogelijk maar altijd binnen 30 dagen afhandelt. Dit is het uitgangspunt van de nieuwe privacyregels. U hoeft op dit punt geen verdere actie te ondernemen.U geeft dat u overdrachtsverzoeken binnen 30 dagen afhandelt. Het uitgangspunt is dat u deze verzoeken zo spoedig mogelijk afhandelt, de 30-dagen termijn is de bovengrens. Ga voor uzelf na of u het proces verder kunt stroomlijnen.U geeft aan dat u door u geleverde gegevens niet binnen 30 dagen aan de verzoeker beschikbaar worden gesteld. U voldoet hiermee niet aan de regels uit de GDPR/AVG. Optimaliseer het proces zodat u niet langer dan 30 dagen nodig heeft om de gevraagde informatie te verzamelen en te leveren.Privacy in uw organisatieDe laatste vragen gaan over de wijze waarop privacybeleid is ingebed in uw organisatie.Kunnen medewerkers vanaf een extern netwerk persoonsgegevens raadplegen?*Ja, via een beveiligde VPN-verbindingJa, via een virtuele werkomgevingJa, via bedrijfsapparatuur (bijvoorbeeld een laptop of telefoon) opgeslagen gegevensbestandenJa, via een beveiligd internetportaal (extranet)Nee, medewerkers kunnen enkel op de werkplek klantgegevens benaderenNiet van toepassing, ik heb geen medewerkersLicht de door u gebruikte beveiligingstechnieken toe*Zijn uw medewerkers verplicht tot geheimhouding?*Ja, via een geheimhoudingsbeding in de arbeidsovereenkomstJa, via een aparte geheimhoudingsovereenkomst (NDA)Nee, ik heb dit niet expliciet afgesprokenGeheimhoudingsovereenkomst*Heeft u binnen uw organisatie één persoon die verantwoordelijk is voor privacygerelateerde zaken?*NeeJaPrivacyfunctionaris / Data Protection Officer*Vul hier de naam en contactgegevens van uw privacyfunctionaris of DPO in.Bent u in staat datalekken te bemerken en te melden?*JaNeeOp welke wijze zorgt u ervoor dat alle in de organisatie werkzame personen zich voldoende bewust zijn van privacyvraagstukken en risico's?*Zijn er naar uw mening andere zaken van belang die niet in deze vragenlijst aan de orde zijn gekomen?Privacy in uw organisatieU geeft aan dat uw medewerkers vanaf externe locaties toegang hebben tot persoonsgegevens. U gebruikt hiervoor een VPN of een virtuele werkplek. Dit zijn moderne beveiligingstechnieken die in beginsel volstaan. U voldoet op dit punt aan de regels van de GDPR/AVG en hoeft geen actie te ondernemen.U geeft aan dat uw medewerkers vanaf externe locaties toegang hebben tot persoonsgegevens via bedrijfshardware of een beveiligd extranet . U dient zorgt te dragen voor adequate beveiliging van deze systemen. Het is eveneens van belang dat medewerkers zich bewust zijn van privacyrisico's.WIj zullen de door u toegepaste beveiligingstechnieken beoordelen. Als deze aan het minimumniveau voldoen (SSL encryptie en met wachtwoord beveiligde data-opslag) hoort u niets van ons!U heeft uw medewerkers verplicht tot geheimhouding middels een geheimhoudingsbeding en/of NDA. Dit is in lijn met de GDPR/AVG, daarmee voldoet u op dit punt en hoeft u geen actie te ondernemen.U geeft aan dat u geen afspraken met uw medewerkers heeft met betrekking tot geheimhouding. Op grond van de GDPR/AVG bent u dit wel verplicht. Sluit daarom een NDA met uw medewerkers en neem een geheimhoudingsbeding op in uw model-arbeidsovereenkomst.U geeft aan dat u een privacyfunctionaris of Data Protection Officer (DPO) heeft aangesteld. U bent hiertoe verplicht op grond van het aantal medewerkers in uw organisatie, uw omzet, balanstotaal of omdat het verwerken van persoonsgegevens de kernactiviteit van uw organisatie is. Ook publiekrechtelijke rechtspersonen en overheidsinstellingen zijn hiertoe verplicht. U voldoet op dit punt aan de GDPR/AVG en hoeft geen actie te ondernemen.U geeft aan dat u niet in staat bent datalekken te bemerken en te melden. U voldoet op dit punt niet aan de GDPR/AVG.U geeft aan dat u in staat bent datalekken te bemerken en te melden. U voldoet op dit punt aan de GDPR/AVG en hoeft geen actie te ondernemen.U heeft nagedacht over de wijze waarop u zorgt voor bewustwording over privacy en privacyrisico's in uw organisatie. Indien nodig zullen wij u een suggestie doen om dit proces verder te optimaliseren.U geeft aan dat er andere zaken van belang zijn die niet in deze vragenlijst aan de orde zijn gekomen. Wij zullen uw opmerkingen bestuderen en komen hier indien nodig bij u op terug.VoorwaardenTot slot vragen we u om de privacyvoorwaarden en een eventuele cookie-verklaring te uploaden. U kunt daarna het formulier verzenden. U ontvangt uw assessmentrapport per e-mail.Upload uw privacyvoorwaarden en cookie-verklaring Sleep bestanden hierheen of * Ik heb dit formulier naar waarheid ingevuld.
