Privacy- en dataverwerkingsbeleid

Privacy- en dataverwerkingsbeleid (v1.2)

Dit beleid beschrijft hoe Republica dos Fantasmas BV (commerciële naam: Inter Esse, btw BE0456170412) persoonsgegevens verwerkt in het kader van haar dienstverlening (bemiddeling/mediation, training, procesfacilitatie, advies/coaching en e-learning).

Contactpunt privacy: info@inter-esse.org

1. Wie verwerkt je gegevens?

Verwerkingsverantwoordelijke

• Republica dos Fantasmas BV (Inter Esse)
• Mechelsesteenweg 58, 2650 Edegem
• BTW: BE0456170412
• Contact: info@inter-esse.org

2. Welke persoonsgegevens verwerken we?

Afhankelijk van de opdracht kunnen we volgende categorieën verwerken:

• Identificatie- en contactgegevens: naam, voornaam, e-mailadres, telefoonnummer, functie, organisatie.
• Opdracht- en dossiergegevens: informatie die nodig is om de opdracht uit te voeren, waaronder (waar relevant) afspraken, verslagen/werknotities, input van deelnemers, feedback, en praktische gegevens voor organisatie. Bij opdrachten met een psychosociale risicoanalyse, bemiddeling of conflictinterventie kan dit ook getranscribeerde of samengevatte uitspraken uit gesprekken en interviews omvatten, voor zover noodzakelijk voor de uitvoering van de opdracht. Deze gegevens worden in geanonimiseerde of geaggregeerde vorm verwerkt zodra de analysefase aanvangt.
• Facturatiegegevens: facturatieadres, ondernemingsnummer/btw-nummer, referenties, betaalinformatie.
• E-learninggebruik (indien van toepassing): accountgegevens en voortgang/participatiegegevens. We registreren hierbij in principe geen inhoudelijke testresultaten, tenzij dit expliciet wordt overeengekomen.

We vragen om geen persoonsgegevens te bezorgen die niet nodig zijn voor de opdracht.

3. Waarom verwerken we deze gegevens? (doeleinden)

We verwerken persoonsgegevens voor:

• uitvoering van de overeenkomst en organisatie van de dienstverlening (planning, uitnodigingen, communicatie, uitvoering, opvolging),
• administratie en facturatie,
• kwaliteitsbewaking van onze dienstverlening (beperkt en proportioneel),
• analyse van interactie- en communicatiedynamieken in het kader van bemiddeling, procesfacilitatie en psychosociale risicoanalyse: persoonsgegevens die voortkomen uit gesprekken, interviews of interventies kunnen worden verwerkt om terugkerende patronen in betekenisgeving en interactie binnen een organisatie of team te identificeren en te beoordelen, met het oog op het in kaart brengen van psychosociale risico's op collectief niveau. Deze verwerking richt zich op het abstraheren van patronen, niet op het beoordelen of kwalificeren van individuele personen. Betrokkenen ontvangen voorafgaand aan hun gesprek een waarin de verwerkingsdoeleinden, hun rechten en de bewaartermijnen worden toegelicht.
• behandeling van betwistingen of juridische verdediging indien nodig.

Bijzondere categorieën van persoonsgegevens

In het kader van gesprekken en analyses kunnen incidenteel gegevens aan bod komen die betrekking hebben op bijzondere categorieën van persoonsgegevens (zoals gezondheidsgegevens of levensbeschouwelijke overtuigingen). Inter Esse verwerkt dergelijke gegevens niet doelgericht, registreert ze niet afzonderlijk en gebruikt ze niet als analytische categorie. In de analyse worden deze elementen enkel meegenomen voor zover zij onvermijdelijk deel uitmaken van de context, waarbij de verwerking gericht blijft op het abstraheren van patronen op geaggregeerd niveau.

4. Op welke rechtsgrond steunen we?

Afhankelijk van de situatie steunen we op:

• uitvoering van een overeenkomst (of precontractuele stappen op verzoek van de betrokkene),
• wettelijke verplichting (bv. boekhoudkundige verplichtingen),
• gerechtvaardigd belang (bv. minimale dossiervorming, kwaliteitsbewaking, verdediging bij betwisting),
• toestemming waar dat vereist of aangewezen is (bv. wanneer expliciet gevraagd of wanneer de context dat vergt).

Voor de analyse van patronen in interactie en communicatie (zie §3) steunen we niet op toestemming van individuele werknemers of deelnemers, omdat toestemming binnen een arbeidsrelatie zelden vrij gegeven kan worden in de zin van de GDPR. We steunen in dat geval op:

• de uitvoering van de overeenkomst met de opdrachtgever (de organisatie), en
• het gerechtvaardigd belang van de opdrachtgever bij het in kaart brengen van psychosociale risico's, in lijn met de zorgplicht uit de Codex over het welzijn op het werk.

Als waarborg verwerken we deze gegevens steeds op een geaggregeerd of geanonimiseerd niveau zodra de analysefase aanvangt en koppelen we individuele uitspraken niet identificeerbaar terug naar de opdrachtgever. Voor vragen over deze belangenafweging kun je contact opnemen via info@inter-esse.org. Een methodische toelichting vind je op Werkwijze.

5. Met wie delen we persoonsgegevens?

We delen persoonsgegevens niet met derden, behalve:

• met dienstverleners die ons ondersteunen (bv. IT, hosting, e-mail, e-learning platform, boekhouding) en die we contractueel als verwerker kunnen aanstellen waar nodig,
• wanneer dit wettelijk verplicht is,
• of wanneer dit nodig is om de overeenkomst uit te voeren en dit in de opdrachtkaders past.

6. Bewaartermijnen

• Dossier- en opdrachtgegevens (geanonimiseerde analyseresultaten, eindrapporten, methodische werknotities): we bewaren deze in principe tot 5 jaar na het einde van de opdracht, tenzij een langere bewaartermijn noodzakelijk is (bv. lopend geschil) of een wettelijke verplichting dit vraagt.
• Ruwe brondata uit gesprekken en interviews (transcripten, opnames, interviewnotities die uitspraken van individuele personen bevatten): worden vernietigd zodra het eindrapport is opgeleverd en aanvaard, en uiterlijk 6 maanden na afsluiting van de opdracht, tenzij de opdrachtgever schriftelijk om langere bewaring verzoekt om welbepaalde en gemotiveerde redenen.
• Facturen en boekhoudkundige stukken: 7 jaar (wettelijke bewaarplicht).
• E-learning accountgegevens: zolang de toegang actief is, en nadien maximaal 12 maanden voor administratieve opvolging, tenzij anders overeengekomen.

6bis. Gebruik van tools (verwerkers)

Voor de uitvoering van de dienstverlening maken we gebruik van volgende tools, die (afhankelijk van de opdracht) persoonsgegevens kunnen verwerken:

• Google Workspace (e-mail en documenten)
• Dropbox (bestandsopslag)
• Notion (project- en dossierbeheer)
• Huddle (e-learning platform)

Waar nodig worden deze partijen als (sub)verwerker aangesteld en gelden passende contractuele en beveiligingsmaatregelen.

7. Beveiliging

We nemen passende technische en organisatorische maatregelen, waaronder:

• toegangsbeheer (beperkte toegang),
• redelijke beveiliging van toestellen en accounts (bv. wachtwoordbeheer, waar mogelijk 2FA),
• zorgvuldige omgang met documenten en communicatie.

8. Doorgifte buiten de EER

In principe streven we ernaar om persoonsgegevens binnen de Europese Economische Ruimte (EER) te verwerken.

Omdat sommige IT-dienstverleners internationaal georganiseerd zijn, kan (afhankelijk van de gekozen configuratie en opslaglocatie) toch een doorgifte buiten de EER plaatsvinden.

In dat geval zorgen we voor passende waarborgen conform de GDPR (bv. standaardcontractbepalingen en/of gelijkwaardige maatregelen) en beperken we deze doorgifte tot wat noodzakelijk is.

9. Rechten van betrokkenen

Je kan (onder de voorwaarden van de GDPR) vragen om:

• inzage,
• rechtzetting,
• wissing,
• beperking van verwerking,
• overdraagbaarheid,
• bezwaar.

Vragen kan je richten aan **info@inter-esse.org**.

Je hebt ook het recht om klacht in te dienen bij de Gegevensbeschermingsautoriteit (GBA).

10. Rol als verwerker of verwerkingsverantwoordelijke

Onze rol in de zin van de GDPR hangt af van het type opdracht.

• Voor opdrachten met methodische autonomie (psychosociale risicoanalyse, bemiddeling, procesfacilitatie, conflictcoaching) treden we in beginsel op als verwerkingsverantwoordelijke, omdat we zelf de finaliteit en de middelen van de verwerking bepalen, in lijn met onze methodologie en onze deontologische verplichtingen.
• Voor opdrachten waarin we persoonsgegevens uitsluitend in opdracht en onder instructie van de klant verwerken (bv. zuivere e-learning hosting voor een derde), treden we op als verwerker.

In dat tweede geval sluiten partijen een verwerkersovereenkomst (DPA) conform artikel 28 GDPR.

11. Toepasselijk wettelijk en deontologisch kader

De verwerking van persoonsgegevens in het kader van opdrachten gebeurt steeds binnen het toepasselijke wettelijke en deontologische kader, waaronder — naargelang de aard van de opdracht — het Gerechtelijk Wetboek (bemiddeling), de Codex over het welzijn op het werk en relevante beroepscodes. Indien deze kaders strengere regels opleggen inzake vertrouwelijkheid, gegevensverwerking of gebruik van informatie, primeren deze regels op de bepalingen van deze privacy policy.