VCDO Deelnamevoorwaarden en gegevensbescherming

Deze deelnamevoorwaarden en bepalingen over gegevensbescherming zijn van toepassing op het Voka Charter Duurzaam Ondernemen (VCDO) en de bijbehorende webapplicatie.

Opgesteld door: Voka Shared Services cvba, Koningstraat 154-158, 1000 Brussel, ondernemingsnummer 0502.479.695.
Webapplicatie: vcdo.voka.be
Datum:13/10/2006
Versie: V1.0

1. Toepassingsgebied

Deze nota (hierna “Nota") beschrijft de voorwaarden voor deelname aan het Voka Charter Duurzaam Ondernemen ("VCDO") en de wijze waarop persoonsgegevens worden verwerkt in het kader van de webapplicatie VCDO en het VCDO-traject.

Deze Nota vult de algemene privacyverklaring van Voka Shared Services aan en vervangt deze niet. Voor alle aspecten die hier niet specifiek worden behandeld, met inbegrip van de volledige uitoefening van rechten van betrokkenen, geldt de algemene privacyverklaring van Voka.

2. Verwerkingsverantwoordelijkheid en rolverdeling

Voka Shared Services treedt op als verwerkingsverantwoordelijke voor de persoonsgegevens die worden verwerkt in het kader van het VCDO-platform en het VCDO-traject, met inbegrip van de registratie, opvolging, evaluatie en communicatie in verband met het traject.

Voka Shared Services cvba ondersteunt het Vlaams Netwerk van Ondernemingen (Voka), de verschillende Voka-Kamers van Koophandel en Voka Metropolitan.

Voor de facturatie van de deelname aan het VCDO-traject en de opvolging daarvan treedt de betrokken Voka-Kamer van Koophandel op als verwerkingsverantwoordelijke, elk binnen de eigen ledenrelatie. Voor deze verwerking bepalen Voka Shared Services en de betrokken Voka-Kamer, in de mate dat zij hierbij samenwerken, gezamenlijk de doeleinden en de middelen, en maken zij hierover de nodige onderlinge afspraken overeenkomstig artikel 26 GDPR.

Voor alle overige verwerkingen in het kader van het VCDO-platform en -traject blijft Voka Shared Services de verwerkingsverantwoordelijke zoals hierboven omschreven.

De deelnemende onderneming blijft verantwoordelijk voor de persoonsgegevens die zij zelf in het platform invoert, uploadt of op andere wijze aan Voka Shared Services bezorgt in het kader van haar deelname. De deelnemende onderneming bevestigt dat deze gegevens correct zijn, relevant zijn voor het traject en rechtmatig mogen worden gedeeld.

De deelnemende onderneming staat zelf in voor het zorgvuldig beheer van haar toegangsgegevens (logins) en voor het voorkomen van ongeoorloofde toegang tot het platform via haar accounts.

De VCDO-tool is een eigen webapplicatie, volledig intern ontwikkeld en beheerd door Voka. Er is geen externe softwareleverancier die eigenaar is van de applicatie; de gegevens in het platform worden verwerkt binnen de infrastructuur beschreven in artikel 6.

3. Welke persoonsgegevens verwerken wij?

In het kader van het VCDO-platform en het VCDO-traject verwerken wij onder meer:

• Bedrijfsgegevens: naam, adres, sector, rechtsvorm, aantal medewerkers, website en Voka-regio van de deelnemende onderneming.
• Contact- en gebruikersgegevens: naam en zakelijk e-mailadres van de contactpersonen die door de deelnemende onderneming zelf worden opgegeven, alsook logingegevens (laatste login, aantal logins) voor gebruiksrapportage.
• Trajectinhoud: het duurzaamheidsactieplan (acties, SDG-koppeling, status), evaluaties, feedback van de evaluatiecommissie en documenten die de deelnemende onderneming zelf oplaadt.

Voka vraagt in het kader van het VCDO-traject geen bijzondere categorieën van persoonsgegevens in de zin van artikel 9 GDPR, en verwerkt deze ook niet doelbewust. De gevraagde contactgegevens beperken zich tot zakelijke gegevens. Indien dergelijke gegevens toch worden aangeleverd, gebeurt dit op eigen initiatief van de deelnemende onderneming en buiten de doeleinden van deze Nota.

4. Doeleinden van de verwerking

4.1 Begeleiding van het VCDO-traject

De persoonsgegevens worden hoofdzakelijk verwerkt voor de administratieve en inhoudelijke begeleiding van het VCDO-traject: de opmaak en opvolging van het actieplan, de tussentijdse en eindevaluatie, en de toekenning van het certificaat.

4.2 Ondersteunende verwerkingen

• Transactionele e-mails (bevestigingen, herinneringen) vanuit vcdo@voka.be.
• Bepaalde bedrijfsgegevens, zoals Voka-lidnummer, contactpersoon, … worden gesynchroniseerd met het CRM van Voka. De webapplicatie zelf heeft geen toegang tot het CRM.

4.3 CRM en direct marketing

Gegevens van contactpersonen die in het CRM van Voka worden opgenomen, worden ook gebruikt voor relatiebeheer en voor communicatie over eigen gelijkaardige activiteiten, diensten en initiatieven van Voka (direct marketing), overeenkomstig de algemene privacyverklaring van Voka.

Betrokkenen kunnen zich hiertegen te allen tijde kosteloos verzetten via de afmeldlink in de communicatie of via het contactpunt in artikel 10, en conform de algemene privacyverklaring van Voka.

4.4 AI-ondersteuning

Het platform biedt optionele AI-suggesties (bijvoorbeeld automatische SDG-classificatie van een actiepunt). Hiervoor wordt uitsluitend de tekst van het betrokken veld verwerkt via de Anthropic Claude API; er worden geen contactgegevens, dossiers of documenten meegestuurd.

Anthropic verwerkt deze gegevens als verwerker onder een Data Processing Addendum, met de EU Standaardcontractuele Clausules (Module 2 en 3) als doorgiftemechanisme naar de Verenigde Staten.

Anthropic gebruikt deze gegevens contractueel niet voor modeltraining en verwijdert de gegevens binnen 30 dagen na beëindiging.

4.5 Geen verdere verwerking

Er gebeurt geen profilering, geen geautomatiseerde besluitvorming met rechtsgevolgen voor de betrokkene, en geen gebruik van deze gegevens voor doeleinden buiten deze opsomming.

5. Rechtsgrond

• Uitvoering van de overeenkomst: voor de organisatie en uitvoering van het VCDO-traject (betalende deelname).
• Gerechtvaardigd belang: voor relatiebeheer, opname in het CRM, geaggregeerde rapportering en direct marketing over eigen gelijkaardige activiteiten en diensten van Voka.
• Toestemming: waar wettelijk vereist, bijvoorbeeld voor niet-essentiële cookies of specifieke vormen van marketingcommunicatie.

6. Locatie van de gegevensverwerking en -opslag

Alle applicatiedata wordt opgeslagen en verwerkt binnen de Europese Unie, op het Azure-platform van Voka:

Uitzondering: bij gebruik van de optionele AI-functie (zie 4.4) wordt de ingevoerde tekst verwerkt via de Anthropic API in de Verenigde Staten, onder de hierboven vermelde contractuele waarborgen.

7. Beveiliging van de gegevens

Voka Shared Services neemt passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen onrechtmatige toegang, gebruik, verlies, wijziging of openbaarmaking, overeenkomstig artikel 32 AVG.

Deze maatregelen omvatten onder meer toegangsbeheer op basis van rollen, versleuteling van gegevens in rust en tijdens verzending, beveiligde ontwikkel- en testprocedures, en periodieke controle op kwetsbaarheden.

Een gedetailleerd overzicht van deze maatregelen is opgenomen in Bijlage 1 – Technische en organisatorische maatregelen (TOM) VCDO.

8. Delen van gegevens en subverwerkers

De persoonsgegevens worden niet verkocht en niet gedeeld met derden voor commerciële doeleinden, en niet gebruikt voor andere doeleinden dan beschreven in artikel 4. Voor de werking van het platform doet Voka een beroep op de volgende verwerkers/subverwerkers:

Microsoft

Rol: levering en hosting van de Azure-infrastructuur en Microsoft 365 (subverwerker in de keten).
Locatie: West-Europa (EER).
Basis: Microsoft Product Terms en Data Protection Addendum.

Savaco

Rol: partner voor licentiebeheer, beheer en ondersteuning van de Azure-omgeving.
Locatie: België (EER).
Basis: verwerkersafspraken integraal opgenomen in de Algemene Samenwerkingsvoorwaarden.

Anthropic

Rol: optionele AI-hulpfuncties (zie artikel 4.4).
Locatie: Verenigde Staten.
Basis: Commercial Terms of Service met integraal opgenomen Data Processing Addendum, inclusief EU-standaardcontractuele clausules (SCC's).

Geen modeltraining op klantgegevens; er worden geen persoonsgegevens doorgegeven.

PostHog

Rol: productanalytics (gebruiksstatistieken).
Locatie: Europese Unie.
Basis: cookieloos en gepseudonimiseerd; verwerkersovereenkomst.

Deze verwerkers verwerken persoonsgegevens uitsluitend in opdracht van Voka en binnen de grenzen van de toepasselijke verwerkersovereenkomsten.

Voor meer detail over de contractuele en technische waarborgen per verwerker wordt verwezen naar Bijlage 1 – Technische en organisatorische maatregelen (TOM) VCDO.

9. Bewaartermijn

Gegevens worden bewaard zolang de deelnemende onderneming actief deelneemt aan het VCDO-traject. Na afloop van de deelname kan de onderneming op inactief worden gezet of kunnen de gegevens worden verwijderd.

De persoonsgegevens worden niet langer dan noodzakelijk bijgehouden voor de doelstellingen zoals beschreven in deze Nota.

10. Rechten van betrokkenen

Betrokkenen kunnen, binnen de voorwaarden van de toepasselijke regelgeving, verzoeken om inzage, verbetering, verwijdering of beperking van hun persoonsgegevens, en bezwaar maken tegen bepaalde verwerkingen, met inbegrip van direct marketing.

Verzoeken kunnen worden gericht aan privacy@voka.be. Voor meer informatie over deze rechten wordt verwezen naar de algemene privacyverklaring van Voka.

11. Beknopte deelnamevoorwaarden

De deelnemende onderneming verbindt zich ertoe het VCDO-platform en het traject op zorgvuldige en rechtmatige wijze te gebruiken.

Zij is verantwoordelijk voor:

• de juistheid van de gegevens en documenten die zij aanlevert;
• het rechtmatig delen van persoonsgegevens via het platform;
• het vertrouwelijk houden van haar logingegevens;
• het gebruik van het platform in overeenstemming met het doel van het traject.

Voka Shared Services kan het gebruik van het platform beperken of schorsen in geval van misbruik, onrechtmatig gebruik, veiligheidsincidenten of ernstige schending van deze voorwaarden.

12. Datalekken

Datalekken worden behandeld volgens de interne incident-response-procedure van Voka, met melding aan de Gegevensbeschermingsautoriteit binnen 72 uur waar vereist.

13. Wijzigingen

Deze Nota kan door Voka Shared Services worden aangepast of aangevuld. Van deze wijziging zullen we een aankondiging doen via het VCDO-platform.

De eerste versie verscheen op 13/10/2006 bij lancering van het platform. Oudere versies worden opgeslagen in ons archief. Stuur ons gerust een e-mail als je die wil raadplegen.