AVG-naleving – Livappy

Inleiding

Livappy OÜ (Lõkke 12, 10122 Tallinn, Estland) zet zich in voor volledige naleving van de Algemene verordening gegevensbescherming (AVG) van de Europese Unie in al haar activiteiten. Dit AVG-nalevingsbeleid dient zowel als interne richtlijn als als publieke verklaring over de wijze waarop Livappy gegevensbescherming en privacy waarborgt in overeenstemming met de AVG.

Voor vragen of opmerkingen over dit beleid of over gegevensbescherming bij Livappy kunt u contact met ons opnemen via info@livappy.com.

Toepassingsgebied

Dit beleid is van toepassing op alle verwerkingsactiviteiten van persoonsgegevens die Livappy OÜ uitvoert in het kader van het aanbieden van diensten aan personen in de Europese Unie. Als in de EU gevestigde onderneming valt Livappy onder de jurisdictie van de AVG voor elke verwerking van persoonsgegevens van personen in de EU¹. In de praktijk betekent dit dat alle persoonsgegevens die door Livappy worden verzameld, gebruikt, opgeslagen of anderszins verwerkt – afkomstig van klanten, gebruikers, werknemers of partners in de hele EU – worden behandeld in overeenstemming met de vereisten van de AVG.

Livappy zet zich ervoor in dat de beginselen en regels van de AVG van toepassing zijn op alle relevante gegevensverwerking, ongeacht het EU-land waarin de betrokkene woont. Wij erkennen dat de AVG de grondrechten op privacy van personen in de EU beschermt en ons verplichtingen oplegt telkens wanneer wij met EU-persoonsgegevens omgaan².

Onder dit beleid vallen onder meer (maar niet uitsluitend) de volgende activiteiten van Livappy die onder de AVG vallen: het verzamelen van persoonsgegevens van gebruikers en klanten, het opslaan of hosten van die gegevens (bijvoorbeeld op onze cloudservers), het analyseren van persoonsgegevens voor bedrijfsdoeleinden en het delen van gegevens met geautoriseerde dienstverleners. Al deze activiteiten worden uitgevoerd in overeenstemming met de AVG en binnen de Europese Economische Ruimte (EER), of op basis van goedgekeurde doorgiftemechanismen wanneer gegevens buiten de EER worden verplaatst. Kortom: als Livappy persoonsgegevens van een EU-burger verwerkt, valt die verwerking binnen het toepassingsgebied van dit beleid en van de AVG-naleving.

Transparantie

Livappy hanteert het beginsel van transparantie door betrokkenen duidelijk te informeren over hoe wij hun persoonsgegevens verzamelen, gebruiken en delen. De AVG verplicht organisaties open en eerlijk te zijn over de persoonsgegevens die zij verzamelen en de doeleinden waarvoor deze worden gebruikt³. In lijn hiermee verstrekt Livappy betrokkenen uitgebreide privacyverklaringen telkens wanneer wij persoonsgegevens verzamelen. Deze verklaringen (zoals ons Privacybeleid) bevatten alle verplichte informatie, waaronder:

Identiteit van de verwerkingsverantwoordelijke:

Wij identificeren Livappy OÜ als de verwerkingsverantwoordelijke en vermelden onze contactgegevens (adres en e-mail) in alle privacycommunicatie.

Verzameling en gebruik van gegevens:

Wij leggen uit welke persoonsgegevens wij verzamelen en hoe en waarom wij deze verzamelen. Dit omvat de categorieën gegevens (bijv. naam, contactgegevens, identiteitsdocumenten enz.) en de doeleinden waarvoor deze worden verwerkt (zoals het leveren van onze diensten, identiteitsverificatie, klantenondersteuning, marketing enz.).

Rechtsgronden:

Voor elke verwerkingsactiviteit vermelden wij de rechtsgrond onder de AVG die deze rechtvaardigt – bijvoorbeeld of wij ons baseren op toestemming van de gebruiker, noodzaak voor de uitvoering van een overeenkomst, een wettelijke verplichting of gerechtvaardigde belangen. Wij zorgen ervoor dat geen persoonsgegevens worden verwerkt zonder een geldige rechtsgrond op grond van de artikelen 6 en 9 AVG.

Bewaartermijnen:

Wij informeren personen hoelang wij persoonsgegevens bewaren. Livappy houdt zich aan het beginsel van opslagbeperking, wat betekent dat wij persoonsgegevens niet langer bewaren dan noodzakelijk is om de vermelde doeleinden te verwezenlijken of dan wettelijk vereist is, waarna de gegevens veilig worden verwijderd of geanonimiseerd.

Ontvangers van gegevens:

Wij maken bekend welke derden of partners persoonsgegevens kunnen ontvangen. Dit houdt in dat wij aangeven of persoonsgegevens worden gedeeld met onze dienstverleners of verwerkers (bijvoorbeeld cloudhostingaanbieders, identiteitsverificatiediensten, analysetools) en dat personen op de hoogte zijn van de categorieën ontvangers.

Rechten en contact:

Wij informeren personen over hun rechten als betrokkene onder de AVG (uiteengezet in het volgende hoofdstuk) en geven duidelijke instructies over hoe zij deze rechten kunnen uitoefenen, onder meer door contact met ons op te nemen via info@livappy.com. Wij vermelden in onze privacyverklaringen ook het recht om een klacht in te dienen bij een toezichthoudende autoriteit en overige vereiste informatie.

Alle privacyinformatie wordt in beknopte, transparante en gemakkelijk toegankelijke vorm gepresenteerd, in duidelijke taal zoals de AVG vereist. Livappy verstrekt deze informatie op het moment dat de gegevens worden verzameld (of, indien ontvangen van derden, bij de eerste gelegenheid overeenkomstig de artikelen 13 en 14 AVG). Wij verplichten ons ertoe onze privacyverklaringen bij te werken telkens wanneer onze gegevenspraktijken veranderen, en wij zullen belangrijke wijzigingen onverwijld communiceren om voortdurende transparantie te waarborgen. In essentie streeft Livappy ernaar dat personen nooit in het ongewisse verkeren over hoe hun gegevens worden behandeld, waarmee wij het vertrouwen versterken en voldoen aan de hoge eisen van de AVG op het gebied van transparantie³.

Rechten van betrokkenen

Op grond van de AVG hebben personen (betrokkenen) sterke rechten met betrekking tot hun persoonsgegevens, en Livappy zet zich volledig in om deze rechten mogelijk te maken en te eerbiedigen. De rechten die aan betrokkenen worden toegekend zijn: het recht op informatie, het recht op inzage, het recht op rectificatie, het recht op gegevenswissing ("recht op vergetelheid"), het recht op beperking van de verwerking, het recht op overdraagbaarheid van gegevens, het recht van bezwaar tegen verwerking en het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking gebaseerd besluit (waaronder profilering)⁴. Wij erkennen al deze rechten en hebben procedures ingericht om de uitoefening ervan te faciliteren.

Uitoefening van rechten

Livappy beschikt over gebruiksvriendelijke procedures waarmee personen hun AVG-rechten kunnen uitoefenen. Betrokkenen kunnen te allen tijde verzoeken indienen door contact met ons op te nemen via info@livappy.com. Wij bieden ook onlineformulieren of instellingen in de app (indien van toepassing) aan om het indienen van verzoeken om inzage, correctie, verwijdering enz. te vereenvoudigen.

Wanneer een verzoek wordt ontvangen, zal Livappy:

Het verzoek verifiëren:

Om veiligheidsredenen kan het nodig zijn de identiteit van de verzoeker te verifiëren, zodat persoonsgegevens niet aan een onbevoegde persoon worden verstrekt. Dit kan inhouden dat wij om aanvullende informatie of authenticatie vragen wanneer het verzoek wordt gedaan vanaf een e-mailadres of account dat bij ons nog niet bekend is.

Tijdig reageren:

Wij reageren op alle verzoeken van betrokkenen zonder onnodige vertraging en binnen één maand na ontvangst, zoals de AVG vereist⁶. Als een verzoek complex is of als het om meerdere verzoeken gaat, kunnen wij deze termijn met maximaal twee maanden verlengen, maar wij zullen de verzoeker binnen de oorspronkelijke termijn van één maand op de hoogte stellen van de verlenging en de redenen daarvoor. In elk geval worden de status en de uitkomst van het verzoek duidelijk gecommuniceerd.

Het verzoek uitvoeren waar mogelijk:

Als het verzoek geldig is en er geen wettelijke uitzondering van toepassing is, zal Livappy het verzoek uitvoeren. Zo verstrekken wij een kopie van de persoonsgegevens die wij van de betrokkene verwerken (recht op inzage), corrigeren wij onjuistheden (rectificatie), verwijderen wij gegevens op verzoek indien geen zwaarderwegende rechtmatige reden zich daartegen verzet (gegevenswissing), of staken wij bepaalde verwerkingen naar aanleiding van een bezwaar of een verzoek om beperking, steeds in overeenstemming met de voorwaarden van de AVG. Wanneer om overdraagbaarheid van gegevens wordt verzocht, verstrekken wij de persoonsgegevens in een gestructureerd, gangbaar en machineleesbaar formaat.

Elke weigering of beperking toelichten:

In het uitzonderlijke geval dat wij niet aan een verzoek kunnen voldoen (bijvoorbeeld wanneer een uitzondering van toepassing is of wanneer het verzoek kennelijk ongegrond of buitensporig is), zullen wij de betrokkene informeren over de specifieke reden waarom wij het verzoek niet kunnen uitvoeren en hem of haar wijzen op het recht een klacht in te dienen bij een toezichthoudende autoriteit. Wij brengen geen kosten in rekening voor het beantwoorden van verzoeken tot uitoefening van rechten, tenzij een verzoek herhaaldelijk of buitensporig is (in welk geval eventuele kosten of een weigering strikt binnen de door de AVG toegestane grenzen blijven).

Faciliteren en documenteren:

De interne procedures van Livappy waarborgen dat medewerkers zijn opgeleid om verzoeken van betrokkenen te herkennen en correct af te handelen⁷. Wij houden een registratie bij van verzoeken en reacties om onze naleving aan te tonen. Indien nodig informeren wij ook relevante externe verwerkers of ontvangers (bijvoorbeeld wanneer gegevens zijn gedeeld en moeten worden gewist of gerectificeerd, geven wij het verzoek zoals vereist door aan die partijen).

Livappy heeft diep respect voor de zeggenschap van personen over hun persoonsgegevens. Door deze rechten te eerbiedigen en het proces eenvoudig te maken, tonen wij onze verantwoordingsplicht en onze inzet voor de versterking van de positie van betrokkenen zoals de AVG beoogt. Ons team staat te allen tijde klaar om personen te helpen hun rechten te begrijpen en uit te oefenen.

Gegevensbescherming door ontwerp en door standaardinstellingen

Livappy omarmt gegevensbescherming door ontwerp en door standaardinstellingen als kernbeginselen in al onze producten, diensten en bedrijfsprocessen. Dit betekent dat wij vanaf het allereerste begin van elk project of systeem overwegingen inzake gegevensbescherming integreren en ervoor zorgen dat privacywaarborgen standaard zijn ingebouwd en niet achteraf worden toegevoegd⁸. Onze aanpak omvat de volgende praktijken:

Integratie in de ontwerpfase:

Telkens wanneer wij software, applicaties of bedrijfsprocessen ontwikkelen of bijwerken waarbij persoonsgegevens betrokken zijn, beoordelen wij proactief de privacyrisico's en nemen wij beschermende maatregelen op in de ontwerpfase. Zo beperken wij de gegevensverzameling tot wat noodzakelijk is voor het gespecificeerde doel (minimale gegevensverwerking) en kiezen wij systeemarchitecturen die persoonsgegevens beschermen (zoals het gebruik van pseudonimisering of aggregatietechnieken waar passend).

Privacyvriendelijke standaardinstellingen:

De diensten van Livappy zijn geconfigureerd met privacyvriendelijke standaardinstellingen. Dit betekent dat, tenzij een gebruiker actief anders kiest, alleen de minimaal noodzakelijke persoonsgegevens worden verzameld en gebruikt. Functies die van invloed kunnen zijn op de privacy staan standaard ingesteld op de meest beschermende instellingen⁹. Gebruikers hoeven niet in te stemmen met extra gegevensverzameling om de dienst te laten functioneren – privacy is de standaardinstelling.

Gegevensbeschermingseffectbeoordelingen (DPIA's):

Wij voeren gegevensbeschermingseffectbeoordelingen uit voor nieuwe of ingrijpend gewijzigde verwerkingsactiviteiten die een hoog risico voor de privacy van personen kunnen inhouden. Via DPIA's signaleren wij mogelijke privacyproblemen in een vroeg stadium en pakken wij deze aan door ons ontwerp aan te passen of aanvullende waarborgen te implementeren. Dit proces zorgt voor naleving van artikel 35 AVG en toont aan dat wij privacyrisico's vooraf grondig afwegen.

Opleiding en bewustwording:

Onze engineering- en productteams krijgen training over de beginselen van gegevensbescherming door ontwerp. Wij bevorderen een interne cultuur waarin werknemers en opdrachtnemers zich bewust zijn van privacyverplichtingen en consequent privacygericht denken bij het verwerken van persoonsgegevens. Voordat wij nieuwe functies lanceren, voeren wij privacybeoordelingen of controlelijsten uit om te waarborgen dat de nalevingsmaatregelen aanwezig zijn.

Doorlopende evaluaties en verbeteringen:

Gegevensbescherming door ontwerp is geen eenmalige inspanning. Livappy monitort en evalueert haar systemen voortdurend om te waarborgen dat zij in de loop van de tijd aan de privacynormen blijven voldoen. Wij voeren periodieke audits en updates van de beveiligings- en privacymaatregelen uit, passen ons aan nieuwe regelgevende richtsnoeren aan en verwerken feedback van gebruikers om de gegevensbescherming te verbeteren. Als er veranderingen optreden in technologie of gegevensgebruik, herzien wij onze ontwerpen om standaard het hoogste niveau van gegevensbescherming te handhaven.

Door privacy te verankeren in de kern van onze bedrijfsvoering voldoet Livappy niet alleen aan de vereiste van de AVG inzake gegevensbescherming door ontwerp en door standaardinstellingen, maar bouwen wij ook vertrouwen op bij gebruikers. Ons doel is ervoor te zorgen dat privacy een integraal onderdeel is van de innovatie en de diensten van ons bedrijf – waarbij persoonsgegevens vanaf de basis en standaard in elk geval worden beschermd.

Technische en organisatorische maatregelen

Livappy heeft een uitgebreid pakket technische en organisatorische beveiligingsmaatregelen ingevoerd om persoonsgegevens te beschermen en een op het risico afgestemd beveiligingsniveau te waarborgen, zoals vereist door artikel 32 AVG¹¹. Wij erkennen dat de bescherming van persoonsgegevens van het grootste belang is en passen de beste praktijken uit de sector toe om ongeoorloofde toegang, openbaarmaking, wijziging of verlies van gegevens te voorkomen. Belangrijke maatregelen zijn onder meer:

Versleuteling:

Alle persoonsgegevens die door Livappy worden verwerkt, worden beschermd door sterke versleuteling, zowel tijdens de overdracht als in opgeslagen toestand. Wij gebruiken actuele versleutelingsprotocollen (zoals TLS) voor gegevens die over netwerken worden verzonden, en robuuste versleutelingsalgoritmen om gegevens in onze databases en back-ups te versleutelen. Dit zorgt ervoor dat gegevens, zelfs als ze zouden worden onderschept of zonder toestemming zouden worden ingezien, onleesbaar en veilig blijven¹². Waar mogelijk bieden wij mechanismen om versleutelingssleutels veilig te beheren, zodat er geen enkel punt van compromittering ontstaat.

Toegangscontroles:

Livappy hanteert strikte toegangscontrolemechanismen om te waarborgen dat persoonsgegevens uitsluitend toegankelijk zijn voor bevoegd personeel op basis van noodzakelijkheid. Wij hebben rolgebaseerde toegangscontroles en gebruikersauthenticatiesystemen ingevoerd (waaronder multifactorauthenticatie voor gevoelige systemen) om te beperken wie toegang heeft tot gegevens. Toegang van medewerkers tot persoonsgegevens wordt verleend op basis van functie en wordt onmiddellijk ingetrokken of aangepast wanneer functies wijzigen. Elke werknemer of opdrachtnemer met toegang tot persoonsgegevens is gebonden aan geheimhoudingsverplichtingen en ontvangt training over gegevensbeveiliging.

Logging en monitoring:

Wij houden gedetailleerde logbestanden bij van systeemtoegang en verwerkingsactiviteiten. Alle toegang tot opslagplaatsen met persoonsgegevens en alle belangrijke handelingen met persoonsgegevens worden vastgelegd in beveiligde audittrails. Livappy zet monitoringtools in om logbestanden te controleren en afwijkende of ongeoorloofde activiteiten te detecteren. Dit helpt ons niet alleen mogelijke beveiligingsincidenten te voorkomen en te identificeren, maar levert ook een auditspoor op waarmee wij verantwoording kunnen afleggen over toegang tot en wijzigingen van gegevens.

Veilige infrastructuur (AWS Cloud):

Onze diensten worden gehost bij Amazon Web Services (AWS), een gerenommeerde cloudaanbieder met hoge beveiligingsnormen en AVG-conforme praktijken. Wij maken gebruik van de beveiligingsfuncties en nalevingscertificeringen van AWS. Zo kiezen wij datacenterregio's in Europa voor de opslag van EU-persoonsgegevens, benutten wij de ingebouwde firewalls en netwerkbeveiliging van AWS en installeren wij regelmatig software-patches en -updates. AWS biedt sterke waarborgen en opties voor gegevensbescherming (waaronder klantcontrole over de locatie van gegevens, versleuteling en toegangsbeheer)¹², die wij benutten om onze algehele beveiliging te versterken.

Netwerk- en systeembeveiliging:

Livappy beschermt haar IT-systemen door middel van maatregelen zoals firewalls, systemen voor detectie en preventie van indringing (IDS/IPS), antimalwarebescherming en een veilige netwerkarchitectuur. Wij scheiden omgevingen (bijv. ontwikkeling, test, productie) om risico's te beperken en passen praktijken voor kwetsbaarheidsbeheer toe, waaronder regelmatige kwetsbaarheidsscans en penetratietests. Vastgestelde beveiligingsproblemen worden onverwijld aangepakt.

Organisatorisch beleid en opleiding:

Wij hebben intern beveiligings- en gegevensbeschermingsbeleid vastgesteld dat alle werknemers en opdrachtnemers moeten naleven. Dit beleid heeft betrekking op de correcte omgang met persoonsgegevens, het gebruik van apparaten, protocollen voor het melden van incidenten en meer. Wij organiseren regelmatig trainings- en bewustwordingsprogramma's zodat ons team alert en goed geïnformeerd blijft over de beste praktijken op het gebied van cyberbeveiliging en privacy. Toegang tot persoonsgegevens vereist naleving van dit beleid en overtredingen kunnen leiden tot disciplinaire maatregelen.

Regelmatige audits en beoordelingen:

Livappy controleert haar gegevensbeschermingsmaatregelen periodiek en voert risicobeoordelingen uit om de blijvende effectiviteit te waarborgen. Wij evalueren regelmatig de toegangsrechten van gebruikers, testen onze incidentresponsplannen en kunnen onafhankelijke auditors inschakelen om onze beveiligingsmaatregelen te beoordelen. Vastgestelde zwakke punten of verbeterpunten worden onverwijld verholpen. Deze audits helpen ons de naleving te handhaven en voortdurend aan te sluiten bij evoluerende beveiligingsnormen en regelgevende richtsnoeren.

Bedrijfscontinuïteit en back-ups:

Om gegevensverlies of -vernietiging te voorkomen, hanteren wij veilige back-uproutines en beschikken wij over noodherstelplannen. Back-ups van kritieke persoonsgegevens worden versleuteld en veilig opgeslagen (waaronder off-site- of cloudback-ups) en wij testen periodiek het herstel van gegevens. In geval van systeemstoringen of rampen kan Livappy persoonsgegevens herstellen om permanent verlies te voorkomen, in lijn met de vereisten inzake integriteit en beschikbaarheid.

Pseudonimisering en minimale gegevensverwerking:

Waar passend past Livappy pseudonimisering toe op persoonsgegevens – waarbij identificerende velden worden vervangen door kunstmatige identificatoren – om het risico bij ongeoorloofde toegang te beperken. Wij houden ons ook strikt aan het beginsel van minimale gegevensverwerking en verzamelen en bewaren uitsluitend de persoonsgegevens die noodzakelijk zijn voor onze gespecificeerde doeleinden¹⁰. Door de gegevens die wij bewaren te minimaliseren en gegevens waar mogelijk te scheiden of te anonimiseren, beperken wij de impact van eventuele beveiligingsproblemen.

Met deze en andere maatregelen zorgt Livappy ervoor dat persoonsgegevens te allen tijde door ontwerp en standaard worden beschermd¹³. Wij beoordelen voortdurend nieuwe beveiligingstechnologieën en -praktijken om onze bescherming te verbeteren. Wij zetten ons in om een geavanceerd beveiligingskader te onderhouden dat voldoet aan of verder gaat dan de eisen van de AVG inzake gegevensbeveiliging, en zo het vertrouwen te beschermen dat onze gebruikers en klanten in ons stellen.

Functionaris voor gegevensbescherming (DPO)

De AVG verplicht bepaalde organisaties een functionaris voor gegevensbescherming aan te wijzen wanneer aan specifieke criteria wordt voldaan, bijvoorbeeld wanneer de kernactiviteiten bestaan uit grootschalige verwerking van gevoelige gegevens of regelmatige en stelselmatige observatie van personen op grote schaal¹⁹. Livappy OÜ heeft nog geen functionaris voor gegevensbescherming aangesteld, aangezien onze huidige omvang en de aard van onze gegevensverwerking dit niet tot een verplichting maken op grond van artikel 37 AVG. Meer specifiek omvatten de kernactiviteiten van Livappy op dit moment geen grootschalige verwerking van bijzondere categorieën van gegevens of grootschalige regelmatige observatie van personen die wettelijk tot de aanstelling van een DPO zou verplichten¹⁹. Wij hebben onze verplichtingen beoordeeld en vastgesteld dat een formele DPO voorlopig niet vereist is.

Livappy blijft echter alert op deze verplichting. Wij verbinden ons ertoe in de toekomst een gekwalificeerde DPO aan te stellen indien onze activiteiten of wettelijke verplichtingen zodanig veranderen dat een DPO noodzakelijk wordt. Als de activiteiten van Livappy zich bijvoorbeeld uitbreiden tot grootschalige verwerking van zeer gevoelige persoonsgegevens, of als wij beginnen met uitgebreide profilerings- of observatieactiviteiten, zullen wij de noodzaak van een DPO opnieuw beoordelen en onverwijld een aanstelling doen overeenkomstig de bepalingen van de AVG.

Huidige gegevensbeschermingsmaatregelen

Ook zonder een formeel aangewezen DPO zorgt Livappy ervoor dat de verantwoordelijkheden op het gebied van gegevensbescherming duidelijk binnen de organisatie zijn belegd:

Wij beschikken over een specifiek privacy- en complianceteam (of -functionaris) dat toeziet op de naleving van de AVG en adviseert over gegevensbeschermingsvraagstukken. Dit team monitort onze prestaties op het gebied van gegevensbescherming, geeft richtsnoeren over AVG-verplichtingen en treedt intern op als pleitbezorger voor de privacy van gebruikers.
Wij stellen contactgegevens beschikbaar (info@livappy.com) voor alle vragen of verzoeken inzake gegevensbescherming en behandelen deze communicatie met dezelfde zorg en aandacht als wanneer er een DPO zou zijn. Ontvangen vragen of klachten worden zorgvuldig afgehandeld en indien nodig doorgeleid naar het management of naar juridisch adviseurs die gespecialiseerd zijn in privacy.
Wij onderhouden waar nodig open communicatielijnen met toezichthoudende autoriteiten en houden ons op de hoogte van regelgevende richtsnoeren om voortdurende naleving te waarborgen.

Livappy begrijpt de waarde die een DPO kan toevoegen, ook al is dit niet strikt verplicht – zoals onafhankelijk toezicht en deskundige kennis op het gebied van privacy. Wij blijven onze verplichtingen volgen en zullen niet aarzelen een DPO aan te wijzen wanneer de omstandigheden of onze groei dat passend maken. In de tussentijd verbinden wij ons ertoe dat alle essentiële functies van een DPO (toezicht op naleving, advies over DPIA's, opleiding van personeel enz.) worden vervuld via onze interne governancestructuren.

Melding van inbreuken in verband met persoonsgegevens

Ondanks sterke beschermingsmaatregelen erkent Livappy dat beveiligingsincidenten zich kunnen voordoen. In het geval van een inbreuk in verband met persoonsgegevens (een beveiligingsincident dat leidt tot de accidentele of onrechtmatige vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of toegang tot persoonsgegevens) hebben wij een duidelijke procedure om de inbreuk te beheersen en te voldoen aan de meldingsverplichtingen van de AVG. Ons responsplan voor inbreuken omvat de volgende stappen, in overeenstemming met de artikelen 33 en 34 AVG:

Onmiddellijke detectie en interne waarschuwing:

Wij beschikken over systemen en processen om mogelijke inbreuken te detecteren en ons daarvan op de hoogte te stellen. Onze medewerkers zijn opgeleid om beveiligingsincidenten te herkennen en te escaleren. Zodra een inbreuk wordt vermoed of vastgesteld, wordt ons interne responsteam (bestaande uit IT-, beveiligings- en managementmedewerkers) geïnformeerd. Wij wijzen een specifieke incidentmanager aan die het onderzoek leidt.

Beheersing en beoordeling:

Livappy zal de inbreuk snel indammen om verdere gegevenslekken te voorkomen (bijvoorbeeld door getroffen systemen te isoleren, gecompromitteerde inloggegevens in te trekken of specifieke functies uit te schakelen). Vervolgens onderzoeken wij het incident om de aard en omvang van de inbreuk vast te stellen, welke gegevens en personen zijn getroffen en wat de mogelijke risico's voor betrokkenen zijn. Als onderdeel van deze beoordeling evalueren wij de waarschijnlijkheid en de ernst van mogelijke schade.

Melding aan autoriteiten (72 uur):

Indien de inbreuk waarschijnlijk een risico inhoudt voor de rechten en vrijheden van personen, zal Livappy de bevoegde toezichthoudende autoriteit zonder onnodige vertraging en, indien mogelijk, binnen 72 uur na kennisname van de inbreuk informeren¹⁴. Aangezien Livappy in Estland is gevestigd, is onze leidende toezichthoudende autoriteit waarschijnlijk de Estse gegevensbeschermingsinspectie (Andmekaitse Inspektsioon), tenzij de inbreuk betrokkenen in meerdere EU-landen treft (in welk geval wij zullen samenwerken met de leidende autoriteit in het kader van het éénloketmechanisme).

Onze melding aan de autoriteiten bevat alle vereiste informatie (aard van de inbreuk, categorieën en bij benadering het aantal betrokkenen en betreffende registraties, waarschijnlijke gevolgen, genomen of voorgestelde maatregelen om de inbreuk aan te pakken enz.). Indien wij niet in staat zijn alle gegevens binnen 72 uur te verstrekken, zullen wij de informatie in fasen aanleveren voor zover toegestaan, met een toelichting op de vertraging^15,16.

Melding aan betrokken personen:

Indien de inbreuk waarschijnlijk een hoog risico inhoudt voor de persoonsgegevens of de privacy van personen, zullen wij de inbreuk ook zonder onnodige vertraging meedelen aan de getroffen betrokkenen¹⁷. Deze mededeling gebeurt in duidelijke en eenvoudige taal, waarbij de aard van de inbreuk wordt beschreven en aanbevelingen worden gedaan waarmee betrokkenen mogelijke nadelige gevolgen kunnen beperken (zo kunnen wij bijvoorbeeld adviseren wachtwoorden opnieuw in te stellen of alert te zijn op phishing indien inloggegevens zijn blootgesteld). Wij zullen personen niet informeren indien de betrokken gegevens door doeltreffende technische maatregelen (zoals versleutelde gegevens) of andere factoren onleesbaar zijn of het risico laag is, tenzij de autoriteiten ons opdragen dat wel te doen.

Herstel en toekomstige preventie:

Livappy zal onmiddellijk stappen ondernemen om de oorzaak van de inbreuk te verhelpen. Dit kan het oplossen van softwarekwetsbaarheden, het aanscherpen van toegangscontroles, het verbeteren van versleuteling of andere corrigerende maatregelen omvatten om te waarborgen dat een soortgelijk incident zich niet opnieuw voordoet. Wij documenteren ook de geleerde lessen en werken ons beveiligingsbeleid en onze trainingen dienovereenkomstig bij. Het hoger management wordt geïnformeerd over alle inbreuken en over de voortgang van het herstel, waarmee verantwoording en steun voor noodzakelijke verbeteringen worden gewaarborgd.

Documentatie:

In overeenstemming met artikel 33, lid 5, AVG documenteert Livappy alle inbreuken in verband met persoonsgegevens, ongeacht of deze meldingsplichtig zijn. In dit interne inbreukenregister worden de feiten omtrent de inbreuk, de gevolgen ervan en de genomen herstelmaatregelen vastgelegd. Deze documentatie stelt toezichthoudende autoriteiten in staat onze naleving te verifiëren en helpt ons onze respons op beveiligingsincidenten voortdurend te verfijnen. Ook van kleine incidenten houden wij een registratie bij als onderdeel van onze verantwoordingsplicht¹⁸.

Door deze gestructureerde aanpak te volgen, zorgt Livappy ervoor dat elke inbreuk in verband met persoonsgegevens snel en transparant wordt afgehandeld, met als uiteindelijk doel de gegevens en rechten van onze gebruikers te beschermen. Onze 24/7-paraatheid voor incidentrespons en onze inzet voor de meldtermijn van 72 uur weerspiegelen de ernst waarmee wij de beveiliging van persoonsgegevens en onze AVG-verplichtingen behandelen.

Verwerkersovereenkomsten

Livappy maakt gebruik van bepaalde vertrouwde externe dienstverleners (verwerkers) ter ondersteuning van onze diensten – bijvoorbeeld aanbieders van cloudinfrastructuur, identiteitsverificatiediensten en analyseplatforms. In overeenstemming met de vereisten van de AVG sluit Livappy verwerkersovereenkomsten (DPA's) met alle externe verwerkers die namens ons persoonsgegevens verwerken²⁰. Deze DPA's zijn formele contracten die waarborgen dat elke verwerker zich inzet voor naleving van de AVG en persoonsgegevens beschermt volgens dezelfde hoge normen als wij. Belangrijke aspecten van onze aanpak van DPA's zijn onder meer:

Verplichte DPA's met alle verwerkers:

Wij hanteren het beleid dat geen persoonsgegevens worden gedeeld met of toevertrouwd aan een externe verwerker tenzij er een AVG-conforme DPA van kracht is. Dit geldt voor belangrijke partners zoals Amazon Web Services (AWS) voor cloudhosting, Veriff voor identiteitsverificatiediensten, Google voor cloudgebaseerde tools of analyses, en elke andere leverancier of opdrachtnemer die gegevens verwerkt. Elk van deze verwerkers is contractueel overeengekomen zich aan de vereisten van de AVG te houden, gegevens uitsluitend te verwerken op basis van de gedocumenteerde instructies van Livappy en passende beveiligingsmaatregelen te treffen.

Waarborgen en afdoende garanties:

In lijn met artikel 28 en overweging 81 van de AVG werkt Livappy uitsluitend met verwerkers die afdoende garanties bieden dat zij persoonsgegevens kunnen beschermen²¹. Onze verwerkersovereenkomsten bepalen dat verwerkers alle passende technische en organisatorische maatregelen moeten treffen om gegevens te beschermen (bijv. versleuteling, toegangscontroles, geheimhoudingsverplichtingen) en Livappy waar nodig moeten bijstaan bij het afhandelen van verzoeken van betrokkenen en meldingen van inbreuken²². Wij toetsen nieuwe leveranciers zorgvuldig op hun gegevensbeschermingspraktijken en reputatie voordat wij hen als verwerker inschakelen.

Belangrijkste bepalingen van de DPA:

Elke DPA die Livappy ondertekent, bevat alle vereiste bepalingen op grond van artikel 28, lid 3, AVG. Daartoe behoren onder meer: de verwerker verwerkt persoonsgegevens uitsluitend op instructie van Livappy; het personeel dat de gegevens verwerkt is gebonden aan geheimhouding; de verwerker helpt de naleving van de beveiligingsvereisten te waarborgen en biedt ondersteuning bij rechten van betrokkenen en DPIA's; subverwerkers mogen niet worden ingeschakeld zonder onze toestemming en moeten aan dezelfde verplichtingen gebonden zijn; de verwerker geeft de persoonsgegevens aan het einde van de opdracht terug of verwijdert deze; en de verwerker moet audits toestaan en bewijs van naleving verstrekken²². Deze contractuele bepalingen geven Livappy en onze gebruikers de zekerheid dat persoonsgegevens beschermd blijven, ook wanneer zij door derden worden verwerkt.

Monitoring en handhaving:

Livappy houdt een overzicht bij van alle huidige verwerkers en van de status van onze overeenkomsten met hen. Wij monitoren de naleving door onze verwerkers – bijvoorbeeld door hun beveiligingscertificeringen, auditrapporten of naleving van gedragscodes te beoordelen. Indien een verwerker niet aan zijn verplichtingen inzake gegevensbescherming voldoet, ondernemen wij onverwijld actie, wat kan bestaan uit het eisen van herstel, het opschorten van de gegevensverwerking of zelfs het beëindigen van het contract. Daarnaast stellen onze DPA's verwerkers aansprakelijk voor de bescherming van de gegevens, wat betekent dat zij Livappy (en uiteindelijk onze gebruikers) moeten vrijwaren voor schade die is veroorzaakt door hun verwerking die niet aan de AVG-normen voldoet.

Subverwerkers:

Wanneer onze verwerkers een deel van de verwerking verder uitbesteden (bijvoorbeeld wanneer AWS onderaannemers inzet voor het onderhoud van datacenters), zijn die subverwerkers op grond van onze DPA's gehouden aan dezelfde normen. De contracten van Livappy waarborgen dat er een keten van AVG-conforme verplichtingen bestaat op alle niveaus van de gegevensverwerking.

Let op: Livappy heeft een verwerkersovereenkomst (DPA) gesloten met Google Ireland Limited voor de levering van Google Workspace-diensten (e-mail, agenda, cloud). Google treedt op als verwerker namens Livappy en alle verwerking voldoet aan de AVG, met inbegrip van modelcontractbepalingen (SCC's) wanneer gegevens buiten de EU kunnen worden doorgegeven.

Door strikte verwerkersovereenkomsten te hanteren, voldoet Livappy aan haar plicht als verwerkingsverantwoordelijke om uitsluitend samen te werken met verwerkers die de bescherming van persoonsgegevens kunnen garanderen²³. Deze contractuele zorgvuldigheid vormt een fundamenteel onderdeel van ons AVG-nalevingsprogramma en biedt onze klanten en gebruikers de zekerheid dat hun gegevens veilig worden behandeld, niet alleen door Livappy, maar ook door elke partner of leverancier die betrokken is bij de levering van onze diensten. Wij herzien en actualiseren onze DPA's regelmatig in lijn met juridische ontwikkelingen en zorgen ervoor dat elke nieuwe samenwerking begint met een degelijk gegevensbeschermingscontract.

Contactgegevens

Contact-e-mail: info@livappy.com

Ingangsdatum: 10 september 2025

Exploitant: Livappy OÜ (registrikood 17298558)
Harju maakond, Tallinn, Kesklinna linnaosa, Sakala tn 7-2, 10141, Estland
Ingeschreven bij de registerafdeling van de rechtbank van het district Tartu, handelsregisterkaart nr. 1

Ingangsdatum en evaluatie

Dit AVG-nalevingsbeleid is van kracht vanaf de datum van publicatie en is goedgekeurd door het management van Livappy. Wij evalueren het beleid ten minste jaarlijks en daarnaast wanneer dat nodig is om wijzigingen in onze praktijken of in de wetgeving weer te geven. Updates worden gepubliceerd zodat werknemers, klanten en partners op de hoogte blijven van de wijze waarop Livappy haar inzet voor AVG-naleving waarmaakt.

Referenties

^1,12 GDPR - Amazon Web Services (AWS) - https://aws.amazon.com/compliance/gdpr-center/

^2,3 EU General Data Protection Regulation Compliance Policy | Policy Library - https://www.policylibrary.gatech.edu/legal/eu-general-data-protection-regulation-compliance-policy

^4,5,6,7 Respect individuals' rights | European Data Protection Board - https://www.edpb.europa.eu/sme-data-protection-guide/respect-individuals-rights_en

^8,9,10 Privacy by Design & by Default: What You Need To Know - https://www.datagrail.io/blog/data-privacy/privacy-by-design-privacy-by-default/

^11,20,21,22 What is a GDPR data processing agreement? - GDPR.eu - https://gdpr.eu/what-is-data-processing-agreement/

¹³ Data protection by design and by default | ICO - https://ico.org.uk/for-organisations/law-enforcement/guide-to-le-processing/accountability-and-governance/data-protection-by-design-and-by-default/

^{14,15,16,17,18} Personal data breaches: a guide | ICO - https://ico.org.uk/for-organisations/report-a-breach/personal-data-breach/personal-data-breaches-a-guide/

¹⁹ Does my company/organisation need to have a Data Protection Officer (DPO)? - European Commission - https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/data-protection-officers/does-my-companyorganisation-need-have-data-protection-officer-dpo_en

²³ GDPR Compliance Statement - Free Privacy Policy - https://www.freeprivacypolicy.com/blog/gdpr-compliance-statement/