AVG verklaring

Hierbij verklaart de Stichting AVG voor Verenigingen dat Stichting Oldtimervrienden Limburg het AVG-programma

geheel of gedeeltelijk heeft doorlopen. Stichting Oldtimervrienden Limburg verklaart hiermee dat de inspanningen

zijn verricht zoals die voortvloeien uit de Algemene Verordening Gegevensbescherming (AVG).

Indien niet alle programmaonderdelen zijn afgewerkt en de verklaring toch wordt aangevraagd, dan is geen

volledige invulling gegeven aan de eisen van de wetgever. De Stichting AVG voor Verenigingen adviseert de

openstaande punten alsnog zo snel mogelijk af te werken en in elk geval in het programma een aantekening te

maken wanneer dit zal gebeuren.

In de hierna volgende verklaring staan alle onderdelen/stappen die Stichting Oldtimervrienden Limburg heeft

doorlopen om te voldoen aan de AVG-wetgeving. Per onderdeel is duidelijk aangegeven welke gegevens en

onderdelen van de wet van toepassing zijn en hoe daar aan voldaan is. Waar nodig is additionele informatie

verstrekt ter verduidelijking van de situatie.

Stichting Oldtimervrienden Limburg begrijpt dat AVG-wetgeving continu van toepassing is en dat wij regelmatig de

gegevens moeten controleren en updaten.

Met het volledig doorlopen van het AVG-programma van de Stichting AVG voor Verenigingen heeft Stichting

Oldtimervrienden Limburg kennis over de materie ontvangen die door de AVG wordt geraakt, en verklaart zelf naar

eer en geweten aan de wet te voldoen. De onderdelen van de zelfverklaring door Stichting Oldtimervrienden

Limburg zijn te vinden op de volgende pagina('s) van deze verklaring.

Aldus opgemaakt te Gorinchem,

d.d. 19-5-2018,

door Stichting AVG voor Verenigingen

gevestigd aan de Stephensonweg 14 te Gorinchem.

2.1 Inventarisatie persoonsgegevens.

Geef hieronder aan welke persoonsgegevens binnen jouw vereniging gebruikt worden.

Gewone persoonsgegevens

gezien als bijzondere gegevens.

Bijzondere persoonsgegevens

op unieke identificatie

daarmee verband houdende

veiligheidsmaatregelen

(zonder voorlegger gekopieerd)

mogen het BSN alleen gebruiken als dat wettelijk

is bepaald. Dit geldt bijvoorbeeld voor

zorgverleners, zoals huisartsen, apotheken en

zorgverzekeraars. Ook in het onderwijs en

kinderopvang wordt het BSN gebruikt.

3.1 Inventarisatie doelbinding.

Welke persoonsgegevens verwerk je, met welk doel en heb je ze daar ook voor gekregen? Dat noemen we

‘doelbinding’. Het is belangrijk dat je persoonsgegevens alleen verwerkt (dus opslaat en gebruikt) voor de

doeleinden waarvoor je deze hebt verkregen.

Voor de inventarisatie van de vormen van doelbinding binnen de verenigingen hebben wij onderstaand schema

gemaakt. Voor doelbindingen die bij sommige verenigingen veel voorkomen, hebben wij het schema al ingevuld en

die kun je dus zo aanvinken. (Voorbeeld: schoenmaat bij sportclubs). Komen er binnen je vereniging nog andere

doelbindingen voor, dan kun je deze in de open vorm noteren bij 3.3.

LET OP: Het is verstandig om zo min mogelijk persoonsgegevens te hanteren. Vraag dus alleen de gegevens die je

echt nodig hebt voor het goed functioneren van je vereniging.

(N = Naam, A = Adres, W = Woonplaats, T = Telefoon, E = e-mailadres)

Persoonsgegevens: NAWTE + geboortedatum.

Overeenkomst: Lidmaatschapsovereenkomst (papier of formulier op de website).

Verwerkingen: Ledenadministratie, contributieheffing, informatieverstrekking en uitnodigingen voor

bijeenkomsten.

Verwerkt door: Afdeling ledenadministratie en afdeling communicatie.

Bewaartermijn: Gedurende het lidmaatschap en daarna maximaal 7 jaar in de boekhouding.

Alleen MAWTE

Persoonsgegevens: NAWTE + profielinformatie zoals: schoen- en/of kledingmaat, dieet wensen, etc.

Overeenkomst: Lidmaatschapsovereenkomst (papier of formulier op de website).

Verwerkingen: Ledenadministratie, contributieheffing, informatieverstrekking en uitnodigingen voor

bijeenkomsten.

Verwerkt door: Afdeling ledenadministratie en afdeling communicatie.

Bewaartermijn: Gedurende het lidmaatschap en daarna maximaal 7 jaar in de boekhouding.

Persoonsgegevens: NAWTE + medische gegevens.

Overeenkomst: Lidmaatschapsovereenkomst met handtekening op papier.

Verwerkingen: (Via dubbele beveiliging) Persoonlijk advies, analyses op basis van geanonimiseerde

rapportages.

Verwerkt door: Ledenadviesafdeling, afdeling ledenadministratie.

Bewaartermijn: Gedurende het lidmaatschap en daarna maximaal 1 maand.

Organisaties buiten de overheid mogen het BSN (burger-servicenummer) alleen gebruiken als dat volgens de wet

is toegestaan. Anders mag het niet! Het is toegestaan voor bijvoorbeeld zorgverleners zoals huisartsen en

apotheken en ook voor zorgverzekeraars. Ook in het onderwijs wordt het BSN gebruikt. Hier heet het ook wel

onderwijsnummer of persoonsgebonden nummer. Organisaties kunnen niet onder het verbod uitkomen door

mensen toestemming te vragen voor het gebruik van hun BSN!

Persoonsgegevens: NAWTE + BSN.

Overeenkomst: Lidmaatschapsovereenkomst met handtekening op papier.

Verwerkingen: (Via dubbele beveiliging) Interactie met de overheid in het belang van (en met toestemming

van) het lid.

Verwerkt door: Afdeling ledenadministratie.

Bewaartermijn: Gedurende het lidmaatschap en daarna maximaal 1 maand.

Persoonsgegevens: Naam en e-mailadres.

Overeenkomst: Aanmelding voor nieuwsbrief (formulier op de website).

Verwerkingen: Informatie verstrekking in de vorm van nieuwsbrieven.

Verwerkt door: Afdeling communicatie.

Bewaartermijn: Gedurende de periode dat men aangemeld is en na afmelden nog maximaal 3 maanden.

Persoonsgegevens: NAWTE.

Overeenkomst: Mondelinge toestemming, afgifte visitekaartje en/of via LinkedIn.

Verwerkingen: Informatieverstrekking in de vorm van nieuwsbrieven of gerichte contacten.

Verwerkt door: Afdeling communicatie, directie, vakkennisafdelingen en/of relatie beheerder.

Bewaartermijn: Gedurende de periode dat men contact heeft en daarna maximaal 5 jaar.

Persoonsgegevens: NAWTE + politieke voorkeur.

Overeenkomst: Mondelinge toestemming, afgifte visitekaartje en/of via LinkedIn.

Verwerkingen: Persoonlijke contacten en nieuwsvoorziening.

Verwerkt door: Afdeling communicatie, directie.

Bewaartermijn: Gedurende de periode dat men contact heeft en daarna maximaal 5 jaar.

Het bestuur van de VvE dient op grond van het reglement ex artikel 5:112 BW een register bij te houden van

eigenaars en een register van gebruikers. In dit register zijn persoonsgegevens opgenomen.

Persoonsgegevens: NAWTE + bankgegevens + kentekengegevens.

Overeenkomst: Akte van splitsing en het reglement ex artikel 5:112 BW.

Verwerkingen: Beheeractiviteiten van de VvE in de breedste zin van het woord in het belang van( en met

toestemming van) de (gezamenlijke) eigenaars.

Verwerkt door: Bestuur en beheerder.

Bewaartermijn: Gedurende lidmaatschap of gebruik en 12 maanden daarna en voorts alleen in de financiële

administratie voor maximaal 7 jaar.

Persoonsgegevens: NAWTE + geboortedatum, kopie ID en bankgegevens.

Overeenkomst: Arbeidsovereenkomst.

Verwerkingen: Salariëring.

Verwerkt door: HRM-afdeling.

Bewaartermijn: Gedurende de periode dat men een contract heeft en daarna maximaal 7 jaar in de

boekhouding.

Persoonsgegevens: Naam + foto.

Overeenkomst: Aanvullende personeelsovereenkomst.

Verwerkingen: Medewerkersfoto’s op website.

Verwerkt door: Administratie, afdeling communicatie.

Bewaartermijn: Gedurende de periode dat men een contract heeft en daarna maximaal 3 maanden.

Persoonsgegevens: NAWTE.

Overeenkomst: Vrijwilligersovereenkomst.

Verwerkingen: Informatieverstrekking.

Verwerkt door: Afdeling communicatie, vakkennisafdelingen en/of relatie beheerder.

Bewaartermijn: Gedurende de periode dat men een contract heeft en daarna maximaal 3 maanden.

Persoonsgegevens: NAWTE.

Overeenkomst: Geen overeenkomst nodig.

Verwerkingen: Toesturen van (of bellen over) informatie over de vereniging en/of producten/diensten.

Verwerkt door: Afdeling marketing/communicatie.

Bewaartermijn: Gedurende de periode dat men gezien wordt als prospect voor de vereniging of haar

diensten/producten.

Persoonsgegevens: NAWTE.

Overeenkomst: Digitale toestemming vooraf, b.v. bij aanvragen van informatie of inschrijven voor een

nieuwsbrief.

Verwerkingen: Digitaal toesturen van (of benaderen over) informatie over de vereniging en/of

producten/diensten.

Verwerkt door: Afdeling marketing/communicatie.

Bewaartermijn: Gedurende de periode dat men gezien wordt als prospect voor de vereniging of haar

diensten/producten.

3.3 Beschrijving van extra doelbinding.

Als je meer persoonsgegevens, verwerkingen en/of overeenkomsten hebt dan bij 3.2 beschreven, voeg deze dan

hieronder toe. Voeg de extra beschrijving over doelen en doelbinding hieronder toe zodat we die kunnen opnemen

in de AVG-verklaring.

4.1 Privacy policy vindbaar, verwijzing in documenten.

De privacy policy van de vereniging moet voor iedereen vindbaar zijn. Het eenvoudigste is om deze op de website

van de vereniging te zetten en op elke pagina (onderaan) een link hier naar toe te leggen.

In alle overeenkomsten (documenten waarin persoonsgegevens gevraagd worden) moet een verwijzing staan naar

de privacy policy.

overeenkomst, aanmeldingsformulier, etc.) naar onze privacy policy op de website van de vereniging.

aanmeldingsformulier, etc.) niet naar onze privacy policy op de website van de vereniging.

5.1 Werken met verwerkersovereenkomst.

Als vereniging mag je persoonsgegevens niet doorgeven aan een andere partij zonder een

verwerkersovereenkomst. In een verwerkersovereenkomst spreek je af wat de ander met de gegevens mag doen én

ook vooral wat niet.

verwerkersovereenkomst hebben afgesloten als dit noodzakelijk is voor uitvoering van de doeleinden

waarvoor we ze hebben gekregen.

verwerkersovereenkomst hebben afgesloten.

6.1 Toegangsbeveiliging.

Om zeker te weten dat alleen geautoriseerde personen de persoonsgegevens kunnen inzien en bewerken, moeten

deze altijd beveiligd zijn met een wachtwoord en als het kan ook met een gebruikersnaam. Zo kun je een Excelbestand

beveiligen met een wachtwoord en een PC voorzien van een gebruikersnaam en een wachtwoord. Zorg er

dus voor dat je altijd minimaal één keer een wachtwoord moet weten voordat je de persoonsgegevens van jouw

vereniging kunt inzien of bewerken.

gebruikersnaam en een wachtwoord.

gebruikersnaam en een wachtwoord.

toegangsbeveiliging.

7.1 Software en antivirussoftware up-to-date.

Om systemen zo veilig mogelijk te laten zijn, moet je ze up-to-date houden. Dit doe je door het aanzetten van het

automatisch ophalen en installeren van updates van de software. Zorg ook voor goede antivirussoftware. Zorg

ervoor dat alle software ingesteld is op het automatisch ophalen en uitvoeren van updates. Maak goede afspraken

met al je softwareleveranciers.

beveiligingssoftware waarbij zowel de beveiligingssoftware als het besturingssysteem ingesteld zijn om

automatisch updates op te halen en te installeren.

beveiligingssoftware waarbij zowel de beveiligingssoftware als het besturingssysteem ingesteld zijn om

automatisch updates op te halen en te installeren.

software updates.

8.1 Opslaan alleen binnen de EU.

Binnen de EU is het niveau van gegevensbescherming gelijk. Dat komt omdat alle EU-lidstaten moeten voldoen

aan de AVG. Als je persoonsgegevens verwerkt buiten de EU, bijvoorbeeld door deze te laten verwerken door een

partij buiten de EU of een internationale vereniging, moet je kijken of er een adequaatheidsbesluit van de Europese

Commissie bestaat. Je moet ook weten en kunnen aantonen dat er passende of geschikte waarborgen zijn, en hoe

er een kopie van kan worden verkregen of waar ze kunnen worden geraadpleegd.

De wetgever is dus extra streng als je persoonsgegevens wilt verwerken/opslaan buiten de EU. Als je dat toch zou

willen, dan moet er heel veel geregeld worden bovenop de normale AVG-verplichtingen. Dus check of je

dienstverlener (drukker, verspreider, enz.) de toevertrouwde persoonsgegevens binnen de EU opslaat.

Het is dus het makkelijkste om persoonsgegevens alleen te verwerken binnen de EU, dit raden wij daarom ook

sterk aan.

gevestigd zijn buiten de EU.

gevestigd zijn buiten de EU.

9.1 Data back-up.

Om de persoonsgegevens te beschermen tegen het verlies of diefstal moet je back-ups maken. Het is noodzakelijk

om dat regelmatig te doen. Zorg ervoor dat deze back-up veilig wordt opgeborgen.

10.1 Geautoriseerde medewerkers.

Via autorisatie regel je wie binnen de vereniging welke persoonsgegevens mag verwerken.

De secretaris en de voorzitter hebben toegang tot de persoonsgegevens.

Wij als vereniging hebben personen geautoriseerd om de persoonsgegevens van de vereniging in te zien en te

verwerken indien dit nodig in voor de uitoefening van hun functie.

Wij als vereniging hebben van personen de persoonsgegevens geregistreerd.

vereniging.

vereniging.

11.1 Vernietigen persoonsgegevens.

Geef hieronder aan dat je vereniging alle persoonsgegevens vernietigt door bijvoorbeeld een regel te wissen in

Excel en/of het versnipperen van een aanmeldingsformulier als er geen overeenkomst meer is. Persoonsgegevens

mogen niet langer worden bewaard dan voor verwezenlijking van de doeleinden waarvoor ze worden verwerkt. Dus:

na beëindiging van een overeenkomst worden de persoonsgegevens van die persoon vernietigd.

Wijs aan wie verantwoordelijk is voor het vernietigen van persoonsgegevens of de controle op de vernietiging.

NB: Verscheuren en weggooien is onvoldoende. Schaf daarom een versnipperaar aan.

Let op: In de financiële administratie mogen (of eigenlijk: moeten!) deze persoonsgegevens nog wel blijven staan,

want daar geldt een (wettelijke) bewaarplicht van 7 jaar.

waarvan ze verkregen zijn verlopen is of de toestemming is ingetrokken.

waarvan ze verkregen zijn verlopen is of de toestemming is ingetrokken.

12.1 Toestemming voor direct marketing en bij minderjarigheid.

Bij direct marketing.

De wetgever maakt onderscheid tussen gewone direct marketing (bellen en post sturen) of digitale marketing (via email,

fax, Facebook, LinkedIn of sms). Doordat gewone direct marketing een organisatie geld kost zal dat altijd

beperkt blijven. Juist digitale marketing is nagenoeg gratis en kan daardoor heel veel toegepast worden met alle

gevolgen van dien.

Bij minderjarigheid (jonger dan 16 jaar).

Als je persoonsgegevens hebt van personen jonger dan 16 jaar, dan moet je daarvoor altijd schriftelijk een

handtekening (op papier!) voor akkoord hebben van de ouder, verzorger of wettelijke vertegenwoordiger. Geef

hieronder aan dat je vereniging dat ook altijd zo doet.

marketing.

marketing.

schriftelijke toestemming is gegeven door de ouder, verzorger of wettelijke vertegenwoordiger.

schriftelijke toestemming is gegeven door de ouder, verzorger of wettelijke vertegenwoordiger.

13.1 Papieren documenten en beveiliging.

Als persoonsgegevens ook vastliggen op papier (denk aan aanmeldingsformulieren), dan moeten die papieren met

persoonsgegevens achter slot en grendel zijn opgeslagen. Praktisch: bewaar dus alle papieren met

persoonsgegevens in een kast die je steeds op slot doet. Alleen personen die voor hun werk voor de vereniging

daarvoor toestemming hebben, mogen in die kast komen.

en grendel.

achter slot en grendel.

14.1 Datalekken.

Iedereen in de vereniging moet op de hoogte zijn wat een een datalek is en wat je eraan moet doen. Geef aan wat

voor jullie van toepassing is:

gemeld moet worden zodat wij als vereniging adequaat het datalek kunnen afhandelen en documenteren.

intern gemeld moet worden zodat wij als vereniging adequaat het datalek kunnen afhandelen en

documenteren.

15.1 Medewerkers geïnstrueerd

Wij hebben onze medewerkers als volgt geïnstrueerd:

bescherming.

bescherming.

16.3 Ondertekening.

Met het inzenden van dit stappenplan verklaar ik hierbij dat ik naar eer en geweten dit stappenplan heb ingevuld

namens de vereniging.

Aldus verklaard door:

Naam vereniging: Stichting OldtimerVrienden Limburg (STOVL)

Naam persoon: Ad Hoogenboom

Plaats: Geleen

Datum: 19-05-2018