Wie ons zijn klanten toevertrouwt, vertrouwt ons ook hun persoonsgegevens toe. Gegevensbescherming zit ingebakken in de manier waarop we elk programma opzetten, uitvoeren en afsluiten — in lijn met de Algemene verordening gegevensbescherming (AVG) van de EU.
Onder de AVG heeft elke partij in de keten haar eigen verantwoordelijkheden. Weten wie wat doet, is het startpunt van elk partnerschap.
ETB als verwerker
Wanneer wij de gegevens van uw klanten verwerken, blijft u de verwerkingsverantwoordelijke. Wij verwerken persoonsgegevens uitsluitend op basis van uw gedocumenteerde instructies, onder een verwerkersovereenkomst conform artikel 28 AVG.
ETB als verwerkingsverantwoordelijke
Voor onze eigen medewerkers, sollicitanten en zakelijke contacten zijn wij de verwerkingsverantwoordelijke — met onze eigen privacyverklaring, rechtsgronden en bewaartermijnen.
Agents zien alleen wat ze nodig hebben, systemen bewaren alleen wat moet, en elk programma begint met privacy — in plaats van ermee te eindigen.
De verplichtingen van een AVG-conforme outsourcingpartner — en hoe wij die nakomen, van het contract tot de werkvloer.
Verwerkersovereenkomst
Elk programma begint met een verwerkersovereenkomst: onderwerp, duur, categorieën gegevens en betrokkenen, geheimhouding, bijstandsverplichtingen, auditrechten en teruggave of verwijdering aan het einde van het contract.
Rechtmatige internationale doorgiften
Waar teams buiten de EER werken, zijn doorgiften gedekt door de modelcontractbepalingen (SCC's) van de Europese Commissie, onderbouwd met een transfer impact assessment en aanvullende technische maatregelen.
Beveiliging van de verwerking
Een managementsysteem voor informatiebeveiliging volgens ISO/IEC 27001: rolgebaseerde toegang, meerfactorauthenticatie, versleuteling tijdens transport en opslag, logging, kwetsbaarhedenbeheer en regelmatige tests.
Privacymanagementsysteem
Privacymaatregelen die zijn gekoppeld aan de AVG en extern worden geaudit, met een verwerkingsregister voor elk klantprogramma.
Beveiligde werkvloer
Toegang met badge, een clean-deskbeleid en beperkingen op persoonlijke apparaten en papier waar agents met klantgegevens werken.
Dataminimalisatie & bewaartermijnen
Agents zien alleen de gegevens die ze voor hun taak nodig hebben. Bewaartermijnen worden per klant afgesproken, en na afloop worden gegevens veilig verwijderd of geretourneerd.
Rechten van betrokkenen
Verzoeken om inzage, rectificatie, wissing, beperking of bezwaar die bij onze teams binnenkomen, worden herkend, geregistreerd en direct aan u doorgegeven — en we helpen u ze binnen de wettelijke termijn te beantwoorden.
Beheer van datalekken
Een gedocumenteerd proces voor incidentrespons: we informeren u zonder onredelijke vertraging en leveren de feiten die u nodig hebt om binnen 72 uur te voldoen aan de meldplicht bij de toezichthouder.
Subverwerkers
Geen subverwerker zonder uw voorafgaande toestemming. Dezelfde verplichtingen voor gegevensbescherming gelden voor elke partij in de keten.
Getrainde mensen, gebonden aan geheimhouding
Elke medewerker tekent een geheimhoudingsverklaring en volgt bij indiensttreding een privacy- en beveiligingstraining, die periodiek wordt herhaald.
Gespreksopname & betaalgegevens
Gesprekken worden alleen op uw instructie opgenomen en met correcte melding aan de beller. Kaartgegevens blijven buiten opnames en notities.
Privacy by design & DPIA
Privacy is standaard ingebouwd in elk nieuw programma, en we ondersteunen u met de informatie die nodig is voor een gegevensbeschermingseffectbeoordeling (DPIA).
Due diligence
Beveiligings- en privacyvragenlijst en certificaten afgerond, en de verwerkersovereenkomst overeengekomen voordat er gegevens worden gedeeld.
Doorgiftebeoordeling
Gegevensstromen in kaart gebracht, SCC's ondertekend en waar nodig een transfer impact assessment uitgevoerd.
Veilige inrichting
Toegangsrechten, systemen en training per programma ingericht op need-to-knowbasis.
Monitoring & audit
Toegangsbeoordelingen, logging, interne audits en externe ISO-audits — waarbij uw auditrechten worden gerespecteerd.
Teruggave & verwijdering
Aan het einde van het contract worden gegevens geretourneerd of veilig verwijderd, en de verwijdering wordt schriftelijk bevestigd.
Onze managementsystemen voor informatiebeveiliging en privacy-informatiebeheer zijn gecertificeerd volgens ISO/IEC 27001 en ISO/IEC 27701.
27001
Informatiebeveiliging
27701
Privacy-informatiemanagement
Compliancepakket
Op aanvraag beschikbaar
- Verwerkersovereenkomst
- Overzicht van technische en organisatorische maatregelen
- Lijst van subverwerkers
- ISO/IEC 27001- en 27701-certificaten
- Ondersteuning bij uw DPIA en transfer impact assessment
- Invullen van uw beveiligings- en privacyvragenlijst
Beleid
Deze pagina beschrijft onze algemene aanpak. De bindende afspraken per klant zijn vastgelegd in de verwerkersovereenkomst. Voor persoonsgegevens die ETB als verwerkingsverantwoordelijke verwerkt, verwijzen we naar onze privacyverklaring.
Bespreek met ons verwerkersovereenkomsten, internationale doorgiften, beveiligingsvragenlijsten of een gegevensbeschermingseffectbeoordeling (DPIA).