Privacy Policy

MeasureWorks had al een consistent niveau van gegevensbescherming en -beveiliging binnen onze organisatie, maar om volledig te voldoen aan de GDPR heeft MeasureWorks het volgende ingesteld.

• Informatie-audit – het uitvoeren van een bedrijfsbrede informatie-audit om te identificeren en beoordelen welke persoonlijke informatie we hebben, waar deze vandaan komt, hoe en waarom deze wordt verwerkt en of en aan wie deze wordt vrijgegeven.
• Beleid & Procedures – [herzien/implementeren van nieuw] beleid en procedures voor gegevensbescherming om te voldoen aan de vereisten en normen van de GDPR en alle relevante wetten voor gegevensbescherming, waaronder: –
• Gegevensbescherming – ons belangrijkste beleid en proceduredocument voor gegevensbescherming is herzien om te voldoen aan de normen en vereisten van de GDPR. Er zijn verantwoordings- en beheermaatregelen getroffen om ervoor te zorgen dat we onze verplichtingen en verantwoordelijkheden begrijpen en adequaat verspreiden en onderbouwen; met speciale aandacht voor privacy by design en de rechten van individuen.
• Gegevensbewaring en -wissing – we hebben ons bewaarbeleid en -schema bijgewerkt om ervoor te zorgen dat we voldoen aan de principes van ‘gegevensminimalisatie ‘ en ‘opslagbeperking ‘ en dat persoonlijke gegevens op ethisch verantwoorde wijze worden opgeslagen, gearchiveerd en vernietigd. We hebben speciale procedures voor het wissen van gegevens om te voldoen aan de nieuwe ‘recht op wissen ‘ verplichting en zijn ons ervan bewust wanneer deze en andere rechten van betrokkenen van toepassing zijn; samen met eventuele vrijstellingen, reactietermijnen en meldingsverantwoordelijkheden.Voor klanten van MeasureWorks kan dit gaan om IP-adressen, e-mailadressen of andere gebruikers-ID’s waarvoor de klant verantwoordelijk is voor het aanvragen van gegevensverwijdering op verzoek. Als deze informatie ook is opgenomen in datasets die voor verwerking aan MeasureWorks zijn verstrekt, moet er een methode zijn om deze gegevens te verwijderen voordat ze aan MeasureWorks worden verstrekt of om ze op verzoek te verwijderen nadat ze naar MeasureWorks zijn verzonden.Als dit niet mogelijk is, zal een verzoek van een individu om gegevens te verwijderen resulteren in het permanent verwijderen van de volledige gegevensset van de klant uit alle systemen die eigendom zijn of beheerd worden door MeasureWorks.
• Inbreuken op gegevens – onze inbreukprocedures zorgen ervoor dat we over waarborgen en maatregelen beschikken om inbreuken op persoonsgegevens zo snel mogelijk te identificeren, te beoordelen, te onderzoeken en te melden. Onze procedures zijn robuust en zijn verspreid onder alle werknemers, zodat ze op de hoogte zijn van de rapportagelijnen en de te volgen stappen.
• Internationale gegevensoverdracht & openbaarmaking aan derden – in de onwaarschijnlijke gevallen dat MeasureWorks persoonlijke gegevens opslaat of overdraagt buiten de EU, hebben we robuuste procedures en beschermingsmaatregelen om de integriteit van de gegevens te beveiligen, te versleutelen en te behouden. Onze procedures omvatten een voortdurende controle van de landen met voldoende adequaatheidsbesluiten, evenals bepalingen voor bindende bedrijfsregels; standaard clausules voor gegevensbescherming of goedgekeurde gedragscodes voor de landen zonder. We voeren strenge due diligence-controles uit bij alle ontvangers van persoonlijke gegevens om te beoordelen en te verifiëren of ze passende waarborgen hebben om de informatie te beschermen, afdwingbare rechten voor betrokkenen te waarborgen en waar van toepassing effectieve rechtsmiddelen voor betrokkenen te hebben.
• Subject Access Request (SAR) – we hebben onze SAR-procedures herzien in verband met de herziene termijn van 30 dagen voor het verstrekken van de gevraagde informatie en voor het kosteloos verstrekken van deze informatie. Onze nieuwe procedures geven aan hoe de betrokkene moet worden geverifieerd en welke stappen moeten worden genomen om een verzoek om toegang te verwerken.

• Rechtsgrondslag voor verwerking – we evalueren voortdurend alle verwerkingsactiviteiten om de rechtsgrondslag voor verwerking te identificeren en ervoor te zorgen dat elke grondslag geschikt is voor de activiteit waarop deze betrekking heeft. Waar van toepassing houden we ook gegevens bij van onze verwerkingsactiviteiten, zodat we zeker weten dat we voldoen aan onze verplichtingen onder Artikel 30 van de GDPR en Schedule 1 van de Data Protection Bill.
• Privacykennisgeving/beleidslijnen – we hebben onze Privacykennisgeving(en) herzien om te voldoen aan de GDPR en ervoor te zorgen dat alle personen van wie we persoonlijke gegevens verwerken zijn geïnformeerd over waarom we die gegevens nodig hebben, hoe ze worden gebruikt, wat hun rechten zijn, aan wie de gegevens worden verstrekt en welke beschermingsmaatregelen er zijn om hun gegevens te beschermen.
• Toestemming verkrijgen – we hebben onze toestemmingsmechanismen voor het verkrijgen van persoonlijke gegevens herzien en ervoor gezorgd dat personen begrijpen wat ze verstrekken, waarom en hoe we deze gebruiken en dat ze duidelijke, vastomlijnde manieren hebben om toestemming te geven voor het verwerken van hun gegevens.Dit is voornamelijk van toepassing op gegevens die door onze klanten worden verzameld, waarbij we eisen dat ze strikte processen hebben voor het vastleggen van toestemming, zodat we een bevestigende opt-in kunnen aantonen, samen met tijd- en datumregistraties; en een gemakkelijk te zien en toegankelijke manier om toestemming op elk moment in te trekken.
• Direct marketing – we hebben de formulering en processen voor direct marketing herzien, inclusief duidelijke opt-in mechanismen voor marketingabonnementen; een duidelijke kennisgeving en methode voor opt-out en afmeldfuncties op al het latere marketingmateriaal.
• Data Protection Impact Assessments (DPIA) – in de onwaarschijnlijke gevallen waarin we persoonlijke gegevens verwerken die als zeer risicovol worden beschouwd, waarbij sprake is van grootschalige verwerking of gegevens uit speciale categorieën/strafrechtelijke veroordelingen; zullen we strikte procedures en beoordelingssjablonen toepassen voor het uitvoeren van effectbeoordelingen die volledig voldoen aan de vereisten van artikel 35 van de GDPR. We zullen zorgen voor documentatieprocessen die elke beoordeling vastleggen, ons in staat stellen het risico van de verwerkingsactiviteit te beoordelen en risicobeperkende maatregelen implementeren om het risico voor de betrokkene(n) te verminderen.
• Verwerkersovereenkomsten – wanneer we derden gebruiken om namens ons persoonsgegevens te verwerken(bijv. salarisadministratie, werving en selectie, hosting , enz.), hebben we verwerkersovereenkomsten en due diligence-procedures opgesteld om ervoor te zorgen dat zij(net als wij) voldoen aan hun/onze GDPR-verplichtingen en deze begrijpen. Deze maatregelen omvatten initiële en doorlopende beoordelingen van de geleverde dienst, de noodzaak van de verwerkingsactiviteit, de technische en organisatorische maatregelen en de naleving van de GDPR.
• Gegevens van speciale categorieën – in de onwaarschijnlijke gevallen dat we gegevens van speciale categorieën verkrijgen en verwerken, doen we dit in volledige overeenstemming met de vereisten van Artikel 9 en hebben we encrypties en beveiligingen van hoog niveau op al deze gegevens. Gegevens van bijzondere categorieën worden alleen verwerkt waar dat nodig is en worden alleen verwerkt als we eerst de juiste artikel 9(2) basis of de Data Protection Bill Schedule 1 voorwaarde hebben geïdentificeerd. Wanneer we ons baseren op toestemming voor verwerking, is dit expliciet en wordt dit geverifieerd door middel van een handtekening, waarbij het recht om toestemming te wijzigen of in te trekken duidelijk wordt aangegeven.