Gegevensverwerking& AVG

Vertaling ter informatie. In geval van tegenstrijdigheden prevaleert de Engelse versie.

Deze pagina geeft een samenvatting van de publieke AVG- en gegevensverwerkingspositie van Altovar ten behoeve van inkoop, juridische beoordeling, beveiligingsbeoordeling en privacybeoordeling. Zij is bedoeld om een antwoord te geven op de vragen die steeds terugkeren bij de onboarding van leveranciers, due diligence-onderzoek en beveiligingsbeoordelingen.

Zij vormt een aanvulling op — en vervangt niet — het Privacybeleid, het Cookiebeleid, de Gebruiksvoorwaarden, en enige uitgevoerde verwerkersovereenkomst (DPA).

Altovar als verwerkingsverantwoordelijke: Voor persoonsgegevens die worden verzameld via onze website, verkoopactiviteiten, accountbeheer, facturering, correspondentie met de klantenservice en marketingvoorkeuren, treedt Altovar op als zelfstandige verwerkingsverantwoordelijke.

Altovar als verwerker: Wanneer een klant gebruikmaakt van de diensten van Altovar om namens die klant persoonsgegevens op te slaan, te analyseren, door te geven of anderszins te verwerken, treedt Altovar op als verwerker en blijft de klant verwerkingsverantwoordelijke, tenzij in de overeenkomst of de dienstenarchitectuur een andere verdeling is vastgelegd.

De verdeling van rollen wordt nader gespecificeerd in het toepasselijke bestelformulier, de dienstendocumentatie en de DPA.

Altovar is gevestigd in Europa en ontwerpt zijn infrastructuurstrategie om EU-jurisdictionele controle, een laag risico bij doorgifte en operationele transparantie te waarborgen.

Onze standaarddienstverlening is EU-gehost. Primaire applicatieworkloads, databases, back-ups en operationele systemen worden zodanig gekozen dat productiegegevens binnen de EER blijven, voor zover de architectuur van het product dit toelaat. Wanneer edge-delivery of ondersteuningstools een aanrakingspunt met een derde land met zich meebrengen, past Altovar gedocumenteerde waarborgen toe en beperkt het de toegang tot de minimaal noodzakelijke omvang.

Altovar verstrekt een verwerkersovereenkomst voor situaties waarin het als verwerker optreedt. Voor Business- en Enterprise-overeenkomsten kunnen de DPA-bepalingen zijn opgenomen in het bestelformulier of de raamovereenkomst voor diensten. Voor andere klanten is een standaard-DPA op verzoek beschikbaar.

De DPA omvat verwerkingsinstructies, vertrouwelijkheid, subverwerkers, beveiligingsmaatregelen, melding van inbreuken, bijstand bij de uitoefening van de rechten van betrokkenen, verwijdering/teruggave van gegevens, en medewerking aan audits binnen commercieel redelijke grenzen.

Verzoeken om een DPA of contractaddendum kunnen worden gestuurd naar [email protected].

Altovar hanteert een gecontroleerd beoordelingsproces voor leveranciers van infrastructuur, betalingen, communicatie en ondersteunende beveiligingsdiensten. Elke verwerker of subverwerker wordt vóór gebruik in productie beoordeeld op technische geschiktheid, jurisdictionele implicaties, beveiligingsmaatregelen, contractuele dekking en volwassenheid van de incidentrespons.

Subverwerkers zijn gebonden aan schriftelijke overeenkomsten die, waar van toepassing, de vereisten van artikel 28 AVG weerspiegelen. Altovar houdt een intern register van subverwerkers bij en geeft kennisgeving van materiële wijzigingen via de contractuele mechanismen die zijn vastgelegd in de DPA of de klantovereenkomst.

Altovar past gelaagde technische en organisatorische maatregelen toe die zijn afgestemd op de gevoeligheid van de workload en het betrokken dienstenniveau. Deze maatregelen omvatten doorgaans toegangsbeheer, beheer volgens het beginsel van de minste bevoegdheden, MFA op interne systemen, versleuteld transport, versleutelde opslag waar relevant, auditlogging, kwetsbaarhedenbeheer, back-upcontroles en scheiding van omgevingen.

Onze maatregelen worden herzien naarmate producten zich ontwikkelen. Wanneer een klant voor inkoop- of auditdoeleinden een samenvatting van de technische en organisatorische maatregelen (TOM's) nodig heeft, kan Altovar een actueel overzicht verstrekken onder een geheimhoudingsovereenkomst (NDA) of als onderdeel van het DPA-/beveiligingsbeoordelingsproces.

Wanneer Altovar optreedt als verwerkingsverantwoordelijke, behandelen wij verzoeken om inzage, rectificatie, verwijdering, bezwaar, overdraagbaarheid en beperking rechtstreeks, in overeenstemming met ons Privacybeleid.

Wanneer Altovar optreedt als verwerker, ondersteunen wij de klant — binnen de mogelijkheden van de dienst en het contractuele kader — zodat de klant aan zijn eigen verplichtingen jegens betrokkenen kan voldoen. Dit kan bestaan uit ondersteuning bij export, workflows voor verwijdering, toegangslogging, of operationele afstemming via de ondersteunings- en privacykanalen.

Altovar hanteert incidentbeheerprocedures voor gebeurtenissen op het gebied van beveiliging, beschikbaarheid, vertrouwelijkheid en integriteit die gevolgen hebben voor klant- of bedrijfsgegevens.

Wanneer Altovar optreedt als verwerker en kennis krijgt van een inbreuk in verband met persoonsgegevens die gevolgen heeft voor klantgegevens, stelt het de klant zonder onnodige vertraging op de hoogte, zodat de klant kan beoordelen of er meldingsverplichtingen jegens de toezichthoudende autoriteit of betrokkenen bestaan. Wanneer Altovar optreedt als verwerkingsverantwoordelijke, beoordeelt en behandelt het de meldingsplicht rechtstreeks in overeenstemming met de AVG en het toepasselijke nationale recht.

Altovar hanteert doorgiften naar derde landen niet als standaard bedrijfsmodel. Indien een specifieke afhankelijkheid van een dienst, een ondersteuningsproces, of een edge-deliveryfunctie een doorgiftescenario met zich meebrengt, baseert Altovar zich vóór gebruik in productie op een vastgesteld rechtsgeldig doorgiftemechanisme en evenredige aanvullende maatregelen.

Afhankelijk van de leverancier en de verwerkingscontext kunnen deze waarborgen bestaan uit adequaatheidsbesluiten, standaardcontractuele clausules, beperking van toegang, versleuteling, en een beoordeling van de gevolgen van de doorgifte (transfer impact assessment).

Naleving van de AVG wordt niet uitsluitend bereikt door de opstelling van de leverancier. Klanten blijven verantwoordelijk voor het kiezen van een passende rechtsgrond, het rechtmatig configureren van hun omgevingen, het vaststellen van bewaartermijnen die in overeenstemming zijn met hun verplichtingen, en het geven van geldige instructies in situaties waarin Altovar als verwerker optreedt.

Altovar biedt het contractuele en technische raamwerk dat nodig is voor conform gebruik, maar elke klant blijft verantwoordelijk voor de wijze waarop het de dienst in zijn eigen context gebruikt, met inbegrip van de toegang van medewerkers, geüploade inhoud, keuzes met betrekking tot bewaartermijnen, en integraties met derden.