Algemene bepalingen
Preambule
Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende gegevensbescherming (hierna RGPD) stelt het wettelijke kader vast dat van toepassing is op de verwerking van persoonsgegevens. Deze tekst versterkt de rechten en plichten van voor de verwerking verantwoordelijken, verwerkers, betrokkenen en ontvangers van gegevens.
Vervolgens, en om de wijzigingen van de RGPD door te voeren, is de Franse wet op de gegevensbescherming nr. 78-17 van 6 januari 1978 gewijzigd bij wet nr. 2018-493 van 20 juni 2018 en besluit nr. 2018-1125 van 12 december 2018.
Dit beleid wordt uitgevoerd door het Office du Tourisme de Lille (hierna “de organisatie” genoemd), waarvan de belangrijkste activiteiten bestaan uit de ontwikkeling van het toeristische aanbod, de promotie van toeristische bestemmingen en de marketing van het toeristische aanbod in de regio Lille.
In het kader van onze activiteiten verwerken wij persoonsgegevens van onze klanten, partners en potentiële klanten. Voor een goed begrip van dit beleid wordt gespecificeerd dat :
- klanten zijn alle natuurlijke of rechtspersonen die een contract van welke aard dan ook hebben afgesloten met onze organisatie, met dien verstande dat onze organisatie bedoeld is om te werken met professionals uit de toeristische sector of het grote publiek;
- partners zijn alle natuurlijke of rechtspersonen die actief zijn in de toeristische sector en in deze hoedanigheid betrekkingen onderhouden met onze organisatie, zoals met name lokale toeristische professionals, projectpromotors en interne en externe investeerders, vakantiedistributeurs, lokale overheden en hun groeperingen of institutionele partners;
- Prospects zijn potentiële klanten of contactontvangers van reclameboodschappen van onze organisatie van wie de gegevens direct via contactformulieren, evenementen of indirect via een van de partners van de organisatie zijn verzameld.
Doel en reikwijdte
Dit beleid voor de bescherming van persoonsgegevens is van toepassing op de verwerking van de persoonsgegevens van onze klanten, partners en potentiële klanten.
Het doel van dit beleid is om te voldoen aan de informatieplicht van onze organisatie en om de rechten en plichten van klanten, partners en potentiële klanten met betrekking tot de verwerking van hun gegevens te formaliseren.
Dit beleid heeft alleen betrekking op de verwerking waarvoor wij verantwoordelijk zijn en op gegevens die als “gestructureerd” worden omschreven.
De verwerking van persoonsgegevens kan rechtstreeks door onze organisatie worden beheerd of via een onderaannemer die specifiek door onze organisatie is aangesteld.
Dit beleid staat los van elk ander document dat van toepassing kan zijn binnen de contractuele relatie tussen ons en onze klanten, partners en potentiële klanten. We verwerken geen gegevens van onze klanten, partners en potentiële klanten als deze geen betrekking hebben op persoonsgegevens die door of voor onze diensten worden verzameld of in verband met onze diensten worden verwerkt en als deze niet voldoen aan de algemene beginselen van de GDPR.
Elke nieuwe verwerking, wijziging of verwijdering van bestaande verwerkingen zal onder de aandacht worden gebracht van klanten, partners en potentiële klanten door middel van een wijziging van dit beleid.
Gegevens van klanten
Soorten verzamelde gegevens
Niet-technische gegevens
- (identiteit en identificatie (naam, voornaam, geboortedatum, pseudoniem, klantnummer)
- contactgegevens (e-mail, postadres, telefoonnummer)
- professioneel/persoonlijk leven waar nodig
Technische gegevens
- (afhankelijk van het gebruik) – identificatiegegevens (IP-adres)
- verbindingsgegevens (logs, met name token)
- acceptatiegegevens (klikken)
- locatiegegevens
Herkomst van gegevens
Wij verzamelen de gegevens van onze klanten uit :
- door de klant verstrekte gegevens (papieren formulier, bestelformulier, contract, visitekaartje) ;
- elektronische formulieren ingevuld door de klant
- gegevens die online zijn ingevoerd (website, sociale netwerken, enz.);
- inschrijvingen voor evenementen die we organiseren;
- databases die door meerdere partners worden gedeeld, door al deze partners worden gevoed en gebruikt;
- uitzonderlijke huur of aankoop van databases;
- communicatie van contacten via gespecialiseerde bedrijven of partners van onze organisatie.
Doeleinden
Afhankelijk van het geval verwerken we de gegevens van onze klanten voor de volgende doeleinden:
- klantenrelatiebeheer ;
- verkoop van toeristische vakanties rechtstreeks of via distributiepartners;
- beheer van door ons georganiseerde evenementen
- versturen van nieuwsbrieven of informatie feeds;
- beheer van klantenrekeningen;
- het verbeteren van onze diensten;
- voldoen aan onze administratieve verplichtingen;
- gemeenschapsbeheer;
- statistieken opstellen.
Bewaartermijnen
Hoe lang we de gegevens van onze klanten bewaren, wordt bepaald in het licht van de wettelijke en contractuele verplichtingen die op ons rusten en, bij gebrek daaraan, volgens onze behoeften en in het bijzonder in overeenstemming met de volgende principes:
Verwerking van de bewaartermijn
- Klantgegevens: voor de duur van de contractuele relatie, plus 3 jaar voor promotie- en wervingsdoeleinden, onverminderd bewaarverplichtingen of verjaringstermijnen;
- Technische gegevens: 1 jaar vanaf de datum van verzameling;
- Cookies 13 maanden.
Na het verstrijken van deze termijnen worden de gegevens gewist of na anonimisering bewaard, met name voor statistische doeleinden. Ze kunnen worden bewaard voor precontentieuze en gerechtelijke doeleinden.
Klanten worden eraan herinnerd dat verwijdering of anonimisering onomkeerbare handelingen zijn en dat we ze later niet kunnen herstellen.
Wettelijke basis
Alle verwerkingen die we in het kader van dit beleid uitvoeren, zijn wettelijk gebaseerd op de uitvoering van contractuele of precontractuele maatregelen of, in bepaalde gevallen, de toestemming van de klant (bijv.: verzending van commerciële prospectieberichten).
Gegevens van partners
Soorten verzamelde gegevens
Niet-technische gegevens
- (afhankelijk van het gebruik) identiteit en identificatie (achternaam, voornaam, geboortedatum, pseudoniem)
- contactgegevens (e-mail, postadres, telefoonnummer)
- professionele gegevens (functie, functietitel, enz.)
Technische gegevens
- (afhankelijk van het gebruik) identificatiegegevens (IP-adres)
- verbindingsgegevens (logs, met name token)
- acceptatiegegevens (klikken)
- locatiegegevens
Herkomst van gegevens
We verzamelen gegevens van onze partners uit :
- informatie die rechtstreeks via de partners wordt verzameld;
- formulieren of elektronische formulieren ingevuld door partners
- registraties of inschrijvingen op onze online diensten (nieuwsbrief, sociale netwerken).
Doeleinden
Afhankelijk van het geval verwerken we de gegevens van onze klanten voor de volgende doeleinden:
- partnerrelatiebeheer ;
- certificering van locaties en faciliteiten voor de sectoren die ons door de organisatie zijn toevertrouwd
- toerisme engineering operaties (diagnostiek en haalbaarheidsstudies, ondersteuning bij het opzetten van projecten en subsidieaanvragen);
- netwerken en overleg tussen de verschillende partners
- marketingondersteuning voor de dienstverleners van de partners;
- beheer van de evenementen die we organiseren (beurzen, workshops, enz.);
- opleiding van partnerdienstverleners;
- zoeken naar distributiepartners;
- statistieken.
Bewaartermijnen
Hoe lang we de gegevens van onze partners bewaren, wordt bepaald in het licht van onze wettelijke en contractuele verplichtingen en, bij gebrek daaraan, volgens onze behoeften, in het bijzonder in overeenstemming met de volgende principes:
Verwerking van de bewaartermijn
- Klantgegevens: voor de duur van de contractuele relatie, plus 3 jaar ten behoeve van relatiebewaking, onverminderd bewaarverplichtingen of verjaringstermijnen;
- Technische gegevens: 1 jaar vanaf de datum van verzameling;
- Cookies: 13 maanden
Na het verstrijken van deze termijnen worden de gegevens gewist of na anonimisering bewaard, met name voor statistische doeleinden. Ze kunnen worden bewaard voor precontentieuze en gerechtelijke doeleinden.
Partners worden eraan herinnerd dat verwijdering of anonimisering onomkeerbare handelingen zijn en dat we ze daarna niet meer kunnen herstellen.
Wettelijke basis
Alle verwerkingen die we krachtens dit beleid uitvoeren, zijn wettelijk gebaseerd op de uitvoering van contractuele of precontractuele maatregelen.
Gegevens van potentiële klanten
Soorten verzamelde gegevens
Niet-technische gegevens
- (afhankelijk van het gebruik) identiteit en identificatie (achternaam, voornaam, geboortedatum, pseudoniem) ;
- contactgegevens (e-mail, postadres, telefoonnummer)
- beroepsgegevens (functie, functietitel, enz.)
Technische gegevens
- (afhankelijk van het gebruik) identificatiegegevens (IP-adres) ;
- verbindingsgegevens (logs, token, enz.)
- acceptatiegegevens (klik)
- locatiegegevens.
Herkomst van gegevens
We verzamelen de gegevens van onze prospects uit :
- door de prospect verstrekte gegevens (papieren formulier, visitekaartje, enz.) ;
- formulieren of elektronische formulieren ingevuld door de prospect
- gegevens die online zijn ingevoerd (website, sociale netwerken, enz.);
- registratie of inschrijving op onze online diensten (website, sociale netwerken);
- inschrijving voor evenementen die wij organiseren;
- databases die door meerdere partners worden gedeeld, door al deze partners worden gevoed en gebruikt;
- lijsten verstrekt door de organisatoren van evenementen of conferenties waaraan wij deelnemen;
- uitzonderlijke huur van databases;
- communicatie van contacten via gespecialiseerde bedrijven of partners.
Doeleinden
Afhankelijk van het geval verwerken we de gegevens van onze potentiële klanten voor de volgende doeleinden:
- beheer van prospectrelaties ;
- beheer van evenementen die we organiseren
- verzenden van onze nieuwsbrieven of nieuwsfeeds
- het beheren van websites in samenwerking met onze partners
- het promoten van onze organisatie en het toerisme in Lille op sociale netwerken (Facebook, YouTube, Instagram, enz.);
- gedragsanalyse van prospects
- beheer van gemeenschappen;
- statistieken.
Bewaartermijnen
De bewaartermijn van de gegevens van onze prospects wordt bepaald in het licht van de wettelijke en contractuele verplichtingen waaraan wij zijn onderworpen en, indien dit niet het geval is, op basis van onze behoeften en in het bijzonder in overeenstemming met de volgende principes:
Verwerking van de bewaartermijn
- Klantgegevens: 3 jaar vanaf de datum van verzameling of het laatste contact met de prospect;
- Technische gegevens: 1 jaar vanaf de datum van verzameling;
- Cookies: 13 maanden.
Na het verstrijken van deze termijnen worden de gegevens verwijderd of na anonimisering bewaard, met name voor statistische doeleinden. Ze kunnen worden bewaard voor precontentieuze en gerechtelijke doeleinden.
Prospects worden eraan herinnerd dat verwijdering of anonimisering onomkeerbare handelingen zijn en dat we ze later niet kunnen herstellen.
Wettelijke basis
De hierboven beschreven doeleinden van de verwerking van potentiële klanten zijn gebaseerd op de volgende voorwaarden van rechtmatigheid:
- uitvoering van precontractuele maatregelen
- legitieme belangen van onze organisatie
- toestemming van de prospect wanneer dit wettelijk vereist is (bijv. voor het verzenden van commerciële prospectieberichten).
Ontvangers van gegevens
We zorgen ervoor dat gegevens alleen toegankelijk zijn voor bevoegde interne of externe ontvangers die onderworpen zijn aan een passende geheimhoudingsplicht. Intern beslissen we welke ontvanger toegang heeft tot welke gegevens in overeenstemming met een autorisatiebeleid.
Alle toegang tot de verwerking van persoonsgegevens van klanten, partners en potentiële klanten is onderworpen aan traceerbaarheidsmaatregelen. Bovendien kunnen persoonlijke gegevens worden meegedeeld aan elke autoriteit die wettelijk gemachtigd is om er toegang toe te hebben. In dit geval zijn wij niet verantwoordelijk voor de voorwaarden waaronder het personeel van deze autoriteiten toegang heeft tot de gegevens en deze gebruikt.
Interne en externe ontvangers
- Bevoegde medewerkers binnen onze organisatie (medewerkers die verantwoordelijk zijn voor marketing, relatiebeheer, dienstverleners en prospects, administratief personeel, IT-personeel) en hun lijnmanagers;
- Toeristische partners die toegang hebben tot het gedeelde bestand waarin de gegevens kunnen voorkomen;
- Dienstverleners of ondersteunende diensten;
- Bevoegd personeel van de afdelingen die verantwoordelijk zijn voor de controle (auditors, afdelingen die verantwoordelijk zijn voor interne controleprocedures, etc.);
- De administratie, gerechtelijke hulp indien van toepassing.
Individuele rechten
Recht op toegang en kopiëren
Klanten, partners en prospects hebben van oudsher het recht om bevestiging te vragen over het al dan niet verwerken van gegevens die op hen betrekking hebben. Ze hebben ook recht op toegang tot hun gegevens, d.w.z. het recht om alle informatie met betrekking tot de verwerking van hun persoonsgegevens te ontvangen.
In een dergelijk geval moet de klant, partner of potentiële klant zijn verzoek zelf formuleren en mag er geen twijfel bestaan over zijn identiteit. Als dat niet het geval is, behouden we ons het recht voor om alle informatie op te vragen waarmee hij kan worden geïdentificeerd, zoals een kopie van een identiteitsbewijs.
Klanten, partners en potentiële klanten hebben het recht om een kopie te vragen van hun persoonlijke gegevens die worden verwerkt. In het geval van een verzoek om een extra kopie, kunnen we echter eisen dat klanten, partners en potentiële klanten de kosten hiervan dragen.
Als klanten, partners en potentiële klanten hun verzoek om een kopie van de gegevens elektronisch indienen, wordt de gevraagde informatie verstrekt in een algemeen gebruikte elektronische vorm, tenzij anders wordt gevraagd. Klanten, partners en potentiële klanten worden ervan op de hoogte gesteld dat dit recht op toegang geen betrekking mag hebben op vertrouwelijke informatie of gegevens of gegevens waarvoor communicatie wettelijk niet is toegestaan. Het recht op toegang mag niet op een onrechtmatige manier worden uitgeoefend, d.w.z. op regelmatige basis met als enig doel de betreffende dienst te destabiliseren.
Bijwerking en rectificatie
We voldoen aan verzoeken om updates:
- automatisch voor online wijzigingen in velden die technisch of wettelijk kunnen worden bijgewerkt;
- op schriftelijk verzoek van de betrokken persoon, die een identiteitsbewijs moet overleggen.
Recht op wissen
Het recht op wissen van klanten, partners en prospects is niet van toepassing in gevallen waarin de verwerking wordt uitgevoerd om te voldoen aan een wettelijke verplichting. Afgezien van deze situatie kunnen klanten, partners en prospects in de volgende beperkte gevallen verzoeken om verwijdering van hun gegevens:
- de persoonsgegevens zijn niet langer noodzakelijk voor de doeleinden waarvoor ze zijn verzameld of anderszins verwerkt;
- wanneer de betrokkene de toestemming waarop de verwerking is gebaseerd intrekt en er geen andere rechtsgrondslag is voor de verwerking;
- de betrokkene bezwaar maakt tegen verwerking die noodzakelijk is voor onze legitieme belangen en er geen dwingende legitieme reden is voor de verwerking;
- de betrokkene bezwaar maakt tegen de verwerking van zijn/haar persoonsgegevens voor wervingsdoeleinden, waaronder profilering;
- de persoonsgegevens onrechtmatig zijn verwerkt.
Recht op beperking
Klanten, partners en potentiële klanten worden geïnformeerd dat dit recht niet bedoeld is om van toepassing te zijn voor zover de verwerking die wij uitvoeren rechtmatig is en dat alle verzamelde persoonsgegevens noodzakelijk zijn voor de doeleinden waarvoor ze worden verwerkt.
Recht op overdraagbaarheid
We willigen verzoeken tot gegevensoverdraagbaarheid in het specifieke geval van gegevens die door klanten, partners en prospects zelf zijn verstrekt, op onze online diensten en voor doeleinden die uitsluitend zijn gebaseerd op de toestemming van de personen en de uitvoering van een contract. In dit geval worden de gegevens aan de aanvrager meegedeeld in een gestructureerd, algemeen gebruikt en machineleesbaar formaat.
Geautomatiseerde individuele beslissingen
We nemen geen geautomatiseerde individuele beslissingen. De tools die op onze website worden aangeboden, zijn alleen bedoeld om klanten en potentiële klanten te helpen en mogen niet anders worden beschouwd.
Rechten na de dood
Klanten, partners en potentiële klanten worden geïnformeerd dat ze het recht hebben om richtlijnen te formuleren met betrekking tot het bewaren, verwijderen en communiceren van hun postmortale gegevens.
Uitoefening van rechten
De bovengenoemde rechten kunnen naar keuze van de betrokkene worden uitgeoefend per e-mail of per post naar het volgende adres: dpo-otlille@racine.eu.
Aanvullende bepalingen
Facultatief of verplicht karakter van antwoorden
Klanten, partners en potentiële klanten worden geïnformeerd over de verplichte of optionele aard van hun antwoorden door de aanwezigheid van een sterretje op elk formulier voor het verzamelen van persoonlijke gegevens. Wanneer antwoorden verplicht is, leggen we uit wat de gevolgen zijn als u niet antwoordt.
Gebruiksrecht
Onze organisatie heeft van haar klanten, prospects en partners het recht gekregen om hun persoonsgegevens te gebruiken en te verwerken voor de hierboven beschreven doeleinden. Verrijkte gegevens die het resultaat zijn van verwerkings- en analysewerkzaamheden van onze kant, ook wel verrijkte gegevens genoemd, blijven echter ons exclusieve eigendom (gebruiksanalyse, statistieken, enz.).
Uitbesteding
Wij informeren u dat wij een onderaannemer van onze keuze kunnen betrekken bij de verwerking van uw persoonsgegevens. In dit geval zullen wij ervoor zorgen dat de onderaannemer zijn verplichtingen onder de AVG nakomt.
Wij verbinden ons ertoe om met al onze onderaannemers een schriftelijk contract te ondertekenen en hen dezelfde verplichtingen inzake gegevensbescherming op te leggen als wijzelf. Daarnaast behouden wij ons het recht voor om onze verwerkers te controleren op naleving van de bepalingen van de RGPD.
Grensoverschrijdende stromen
Onze organisatie behoudt zich het recht voor om te beslissen of persoonsgegevens al dan niet grensoverschrijdend worden verwerkt. Als persoonsgegevens worden doorgegeven aan een land buiten de Europese Unie of aan een internationale organisatie, zullen wij u informeren en ervoor zorgen dat uw rechten worden gerespecteerd. Indien nodig zullen we een of meer contracten ondertekenen om de grensoverschrijdende gegevensstromen te regelen.
De bepalingen met betrekking tot grensoverschrijdende gegevensstromen zijn tegen ons afdwingbaar, behalve in de uitzonderingsgevallen van artikel 49 van de GDPR.
Register van verwerkingen
Als verwerkingsverantwoordelijke verplichten wij ons tot het bijhouden van een actueel register van alle uitgevoerde verwerkingsactiviteiten. Dit register is een document of applicatie die het mogelijk maakt om alle verwerkingen op te sommen die wij als verantwoordelijke voor de verwerking uitvoeren.
Wij verbinden ons ertoe de toezichthoudende autoriteit op eerste verzoek informatie te verstrekken aan de hand waarvan de autoriteit kan nagaan of de verwerking in overeenstemming is met de geldende regelgeving inzake gegevensbescherming.
Beveiliging
Beveiligingsmaatregelen
Wij zijn verantwoordelijk voor het definiëren en implementeren van de fysieke of logische technische veiligheidsmaatregelen die wij geschikt achten om de toevallige of onwettige vernietiging, het verlies, de wijziging of de ongeoorloofde bekendmaking van gegevens te voorkomen. Hiertoe kunnen we de hulp inroepen van een derde partij van onze keuze om kwetsbaarheidsaudits of penetratietests uit te voeren met de intervallen die wij nodig achten.
In elk geval verbinden we ons ertoe om in geval van wijziging van de middelen die worden gebruikt om de veiligheid en vertrouwelijkheid van persoonsgegevens te garanderen, deze te vervangen door middelen met betere prestaties. Geen enkele wijziging mag leiden tot een verlaging van het beveiligingsniveau.
In geval van gehele of gedeeltelijke uitbesteding van de verwerking van persoonsgegevens verplichten wij ons om contractueel veiligheidsgaranties op te leggen aan onze onderaannemers door middel van technische maatregelen voor gegevensbescherming en de juiste personele middelen.
Inbreuk op gegevens
In het geval van een inbreuk op persoonsgegevens verplichten wij ons om de CNIL hiervan op de hoogte te stellen volgens de voorwaarden die zijn vastgelegd in de RGPD. Als de inbreuk een hoog risico inhoudt voor klanten, partners en potentiële klanten en de gegevens niet zijn beschermd, stellen we de betrokken personen op de hoogte en geven we hen de nodige informatie en aanbevelingen.
Contactpersonen
Functionaris voor gegevensbescherming / RGPD referentie
We hebben een functionaris voor gegevensbescherming / RGPD-vertegenwoordiger aangesteld wiens contactgegevens als volgt zijn: De heer Eric BARBRY, 40 rue de Courcelles 75008 PARIS, 0144824300.
In het geval van een nieuwe verwerking van persoonlijke gegevens, zullen we de zaak eerst doorverwijzen naar de functionaris voor gegevensbescherming / een RGPD referent.
Als u specifieke informatie wilt verkrijgen of een specifieke vraag wilt stellen, kunt u de zaak voorleggen aan de functionaris voor gegevensbescherming / een RGPD-vertegenwoordiger, die u binnen een redelijke termijn een antwoord zal geven op de gestelde vraag of de gevraagde informatie.
In geval van een probleem met de verwerking van uw persoonsgegevens, kunt u contact opnemen met de functionaris voor gegevensbescherming / een aangewezen vertegenwoordiger van de RGPD.
Recht om een klacht in te dienen bij de CNIL
Klanten, partners en prospects die betrokken zijn bij de verwerking van hun persoonsgegevens worden geïnformeerd over hun recht om een klacht in te dienen bij een toezichthoudende autoriteit, namelijk de Cnil, indien zij van mening zijn dat de verwerking van hun persoonsgegevens niet in overeenstemming is met de Europese regelgeving inzake gegevensbescherming, op het volgende adres:
Cnil – Afdeling Klachten
3 Place de Fontenoy- TSA 80715 – 75334 PARIJS CEDEX 07
Tel: 01 53 73 22 22
Wijzigingen
Dit beleid kan te allen tijde worden gewijzigd of aangepast in geval van veranderingen in wetgeving, jurisprudentie, CNIL-besluiten en -aanbevelingen of praktijken.
Elke nieuwe versie van dit beleid zal onder de aandacht worden gebracht van klanten, prospects en partners met alle middelen die wij bepalen, waaronder elektronische middelen (verspreiding per e-mail of online, bijvoorbeeld).
Voor meer informatie
Voor meer informatie kunt u contact opnemen met de DPO op het bovenstaande adres, in dit geval dpo-otlille@racine.eu.
Voor meer algemene informatie over de bescherming van persoonsgegevens kunt u de website van Cnil raadplegen.
