Data Privacy- en Beschermingsbeleid

1. Introductie

De Haan verzamelt en verwerkt persoonsgegevens van klanten, leveranciers, zakenpartners, (potentiële) werknemers en andere personen met wie wij een relatie hebben. Dit beleid beschrijft hoe wij persoonsgegevens verzamelen, gebruiken, bewaren, beveiligen en verwijderen, in overeenstemming met: 

• de Algemene Verordening Gegevensbescherming (AVG),
• toepasselijke Nederlandse en Europese wet- en regelgeving,
• interne richtlijnen zoals opgenomen in het KAM-handboek en het Personeelshandboek.

De Haan hecht grote waarde aan zorgvuldige, veilige en transparante omgang met persoonsgegevens.

2. Doel van dit beleid

Met dit beleid zorgt De Haan dat wij:

• voldoen aan wettelijke verplichtingen op het gebied van gegevensbescherming;
• de privacyrechten van betrokkenen respecteren en beschermen;
• open en transparant zijn over het verwerken en bewaren van persoonsgegevens;
• risico’s op datalekken, misbruik, verlies of ongeautoriseerde toegang minimaliseren. 

3. Reikwijdte van dit beleid

Dit beleid is van toepassing op:

• alle medewerkers van De Haan (vast, tijdelijk, stagiairs, oproepkrachten);
• alle externe partijen die namens De Haan diensten verlenen, zoals leveranciers en onderaannemers. 

Het beleid heeft betrekking op alle persoonsgegevens die De Haan verwerkt, waaronder maar niet beperkt tot:

• naam, adres, e-mailadres, geboortedatum, telefoonnummers;
• identificatienummers (zoals BSN of verzekeringsnummer);
• klantgegevens, contractdata, factuurgegevens;
• HR-gegevens van medewerkers;
• overige informatie die herleidbaar is tot een individu. 

De Haan houdt een AVG-register bij waarin voor elke gegevenscategorie wordt vastgelegd:

• welke gegevens worden verwerkt;
• met welk doel;
• op basis van welke wettelijke grondslag;
• hoe lang ze worden bewaard. 

4. Rollen en verantwoordelijkheden

Iedere medewerker

Iedereen die met persoonsgegevens werkt, draagt verantwoordelijkheid voor:

• correcte, veilige en zorgvuldige omgang met gegevens;
• het voorkomen van ongewenste toegang of verspreiding;
• het melden van mogelijke incidenten of datalekken. 

KAM & Facility Coördinator

• beheert dit beleid en ziet toe op naleving;
• onderhoudt het AVG-register;
• begeleidt datalek-onderzoeken en meldingen;
• verzorgt periodieke updates van dit beleid.

Functioneel Beheer / IT

• zorgt voor passende technische beveiligingsmaatregelen;
• beheert systemen, VPN-verbindingen, toegangsrechten en back-ups;
• ondersteunt gebruikers bij vragen over databeveiliging.

Externe verwerkers

Iedere partij die namens De Haan persoonsgegevens verwerkt moet een verwerkersovereenkomst ondertekenen. Hierin worden onder andere vastgelegd:

• beveiligingsmaatregelen,
• bewaartermijnen,
• doelbinding,
• geheimhouding. 

5. Grondslagen voor verwerking

De Haan verwerkt persoonsgegevens alleen wanneer daar een rechtsgrond voor bestaat, zoals:

• uitvoering van een overeenkomst (bijv. verhuizing, opslag, HR-overeenkomst);
• wettelijke verplichting (fiscale bewaartermijnen, personeelsdossiers);
• gerechtvaardigd belang (kwaliteitscontroles, IT-beveiliging, planning);
• toestemming (bij marketing of nieuwsbrieven, indien vereist).

6. Rechten van betrokkenen

Iedere betrokkene heeft volgens de AVG het recht op:

• inzage in zijn/haar persoonsgegevens;
• correctie van onjuiste gegevens;
• verwijdering ("recht op vergetelheid");
• beperking van verwerking;
• bezwaar tegen verwerking;
• dataportabiliteit (overdraagbaarheid);
• intrekking van toestemming, indien de verwerking daarop is gebaseerd.

De Haan faciliteert deze rechten binnen de wettelijke termijnen.

 7. Algemene richtlijnen voor medewerkers

• Alleen medewerkers die gegevens nodig hebben voor hun functie krijgen toegang.
• Gegevens worden niet informeel gedeeld.
• Sterke, unieke wachtwoorden zijn verplicht en worden nooit gedeeld.
• Onbevoegde toegang moet direct worden gemeld.
• Medewerkers volgen privacy- en beveiligingstrainingen.
• Gegevens worden regelmatig gecontroleerd op juistheid en actualiteit.
• Gegevens worden niet langer bewaard dan wettelijk of operationeel noodzakelijk.
• Gebruik van privéapparaten voor het verwerken van bedrijfsgegevens is niet toegestaan, tenzij expliciet goedgekeurd en beveiligd.

 8. Opslag en beveiliging van gegevens

8.1 Papieren gegevens

• worden bewaard in afgesloten kasten of ruimtes;
• worden nooit onbeheerd achtergelaten op printers of bureaus;
• worden vernietigd via gecertificeerde vernietigingsmiddelen wanneer ze niet langer nodig zijn.

8.2 Digitale gegevens

• worden opgeslagen op beveiligde servers, systemen en netwerkschijven;
• zijn beschermd door toegangscontrole, firewalls en beveiligingssoftware;
• worden nooit opgeslagen op laptops, telefoons of tablets, tenzij versleuteld en goedgekeurd;
• worden regelmatig geback-upt; back-ups worden getest volgens IT-procedures;
• apparaten die niet meer worden gebruikt, worden fysiek vernietigd volgens procedure. 

9. Gebruik, delen en openbaarmaking van gegevens

• Gegevens worden uitsluitend gebruikt voor het doel waarvoor ze zijn verzameld.
• Medewerkers vergrendelen hun scherm wanneer zij de werkplek verlaten.
• Kopieën worden niet lokaal opgeslagen op eigen apparaten.
• Gegevens worden alleen gedeeld met gecertificeerde en goedgekeurde leveranciers.
• Externe partijen ontvangen alleen gegevens die noodzakelijk zijn voor hun taak.

10. Bewaartermijnen

De Haan hanteert bewaartermijnen gebaseerd op AVG, fiscale wetgeving en operationele noodzaak. Voorbeelden:

• Klantgegevens: zolang noodzakelijk voor uitvoering + wettelijke bewaarplicht.
• HR-dossiers: conform wettelijke termijn (basisgegevens 7 jaar, sollicitaties max. 4 weken tenzij toestemming).
• Facturen: wettelijke fiscustermijn van 7 jaar.

Alle bewaartermijnen zijn vastgelegd in het AVG‑register. 

11. Datalekken

Een datalek is elke situatie waarbij gegevens:

• verloren zijn gegaan,
• ingezien zijn door onbevoegden,
• zijn gewijzigd,
• of toegankelijk waren zonder autorisatie.

Procedure datalekken

1. Direct melden bij KAM & Facility Coördinator en/of IT.
2. Analyse van aard, omvang en impact.
3. Registratie in het datalekregister.
4. Indien nodig melding bij de Autoriteit Persoonsgegevens binnen 72 uur.
5. Indien vereist, communicatie naar betrokkenen.
6. Vastleggen van maatregelen ter voorkoming van herhaling.

Opzettelijke schendingen kunnen leiden tot disciplinaire maatregelen, waaronder ontslag op staande voet. 

12. Gebruik van AI, automatisering en digitale tools

De Haan volgt de Europese AI Act (EU 2024/1689) en interne richtlijnen:

• AI-systemen mogen niet worden gebruikt voor verwerking van vertrouwelijke gegevens zonder goedkeuring.
• Medewerkers voeren geen privacygevoelige informatie in externe AI-tools in zonder toestemming van de KAM-coördinator.
• Beslissingen met impact op medewerkers worden altijd door een mens beoordeeld.
• Transparantie: betrokkenen worden geïnformeerd wanneer AI wordt ingezet.
• AI mag geen discriminerende uitkomsten genereren. 

13. Toezicht, evaluatie en handhaving

• Het beleid is beschikbaar in het KAM-handboek onder Werkvoorschriften.
• Jaarlijkse evaluatie door de KAM & Facility Coördinator.
• Medewerkers worden minimaal één keer per jaar herinnerd aan dit beleid.
• Bij wijzigingen wordt de meest recente versie via hyperlink gepubliceerd op de website.

---

In geval van privacy gerelateerde klachten en geschillen kunnen deze bij onze KAM en Facility Coördinator gerapporteerd worden.
Telefoonnummer: +31-78-69.20333 of email: quality@dehaan.nl