Intern privacy beleid

A.    Basisprincipes GDPR

A.1    Verwerken van persoonsgegevens
Er is sprake van persoonsgegevens zodra een natuurlijke persoon aan de hand van gegevens kan geïdentificeerd worden of identificeerbaar is. Dit dient erg ruim geïnterpreteerd te worden. Zo zijn contactgegevens en facturatiegegevens persoonsgegevens maar ook een foto, locatiegegevens, een sociale media-account, een IP-adres, een online profiel of gebruiksgegevens van een softwarepakket.

Er is sprake van verwerken van persoonsgegevens zodra persoonsgegevens worden verzameld, geordend, geraadpleegd, opgeslagen, gewijzigd, doorgezonden, verspreid, of verwijderd. Met andere woorden telkens wanneer persoonsgegevens voor om het even welke actie worden gebruikt.

Telkens persoonsgegevens verwerkt worden dient de verwerkingsverantwoordelijke aan bepaalde wettelijke verplichtingen te voldoen.

A.2    Actoren van de verwerking

De verwerkingsverantwoordelijke is de persoon die het doel en de middelen bepaalt voor de verwerking. Hij is met name de persoon die meestal de persoonsgegevens verkrijgt van de betrokkene en beslist wat er mee gebeurt. Zoals zijn naam laat vermoeden is hij er voor verantwoordelijk dat de verwerking van persoonsgegevens op een correcte manier gebeurt. Dit geldt zowel voor zijn eigen verwerking (en deze van zijn personeelsleden) als voor de verwerkingen die gebeuren door derde partijen in opdracht van de verwerkingsverantwoordelijke (verwerkers).

De betrokkene is de persoon van wie de persoonsgegevens worden verwerkt. In een onderneming zullen de betrokkenen voornamelijk de cliënten en het personeel uitmaken. De betrokkene is altijd een natuurlijk persoon. Een vennootschap kan geen betrokkene zijn. De contactpersoon of de vennoten van een onderneming uiteraard wel.

De verwerker is een externe persoon die persoonsgegevens verwerkt voor/in opdracht van de verwerkingsverantwoordelijke. Hij kan geen personeelslid zijn van de verwerkingsverantwoordelijke. Personeelsleden vallen onder de verantwoordelijkheid van de verwerkingsverantwoordelijke zelf. Bijvoorbeeld het sociaal secretariaat een verwerker van de personeelsgegevens, een extern IT bedrijf dat de server onderhoudt, een externe websitebeheerder, extern marketingbedrijf en de accountant zijn allemaal voorbeelden van verwerkers die in de meeste ondernemingen voorkomen.

A.3    Wanneer mogen persoonsgegevens verwerkt worden?

Het is slechts toegestaan om persoonsgegevens te verwerken indien één van volgende verwerkingsgronden van toepassing zijn:

- Een ondubbelzinnige en vrije toestemming van de betrokkene
- noodzakelijk voor de uitvoering van een overeenkomst
- wettelijke verplichting
- vitaal belang van de betrokkene of het vervulling van het openbaar belang
- gerechtvaardigd belang

Gevoelige en bijzondere persoonsgegevens, zoals financiële gegevens, gegevens die betrekking hebben op ras en etnische afkomst, geloofsovertuiging, geaardheid, gezondheidsgegevens en strafrechtelijke gegevens dienen met bijzondere aandacht te worden bewaard. Voor de verwerking van dergelijke gegevens gelden bovendien enkele specifieke verplichtingen.

B.    Informatieverplichting aan de medewerker

Onder “medewerkers” wordt in dit privacybeleid verstaan: personen die bij de organisatie in dienst zijn, evenals freelancers, andere opdrachtnemers en sollicitanten, voor zover de betreffende bepalingen op hen van toepassing zijn.

B.1    Welke persoonsgegevens worden verwerkt van medewerkers?

Wij verzamelen en verwerken verschillende persoonsgegevens van onze medewerkers. Het gaat over volgende persoonsgegevens:

- Identiteits en contactgegevens zoals naam, voornaam, geboortedatum, rijksregisternummer en contactgegevens;
- Gegevens met betrekking tot uw aanwerving en kwalificaties: CV, motivatiebrief, notities gemaakt tijdens het job-interview, diploma’s, opleidingen, evaluaties, vorige werknemers, certificaten,…
- Administratieve en financiële informatie tot uitvoering van de medewerkersovereenkomst: rijksregisternummer, adres, anciënniteit, burgerlijke staat, bankrekeningnummer,  gezinssamenstelling, loonsgegevens, arbeidsovereenkomst…
- Uw loon en loonfiches;
- Gegevens die betrekking hebben op verzekeringen;
- De naam van een contactpersoon in geval van nood;
- Gezondheidsgegevens: Ziektebriefjes, attest naar aanleiding van arbeidsongevallen, desgevallend resultaten medische onderzoeken,… 
- Gegevens die betrekking hebben op de uitvoering van de professionele activiteiten: Log-in gegevens van werk-accounts en andere applicaties waar de medewerker toegang toe heeft, logging, opgemaakte documenten in het kader van de professionele activiteit, communicatie (intern als extern),…;
- Indien van toepassing: Gegevens met betrekking tot bedrijfswagen, de bijhorend leasingovereenkomst en tankkaart; 
- Indien van toepassing: smartphone en laptop;

B.2    Professioneel vs toegestaan privégebruik

Bij het gebruik van door XPO Group ter beschikking gestelde arbeidsmiddelen en IT-systemen is professioneel gebruik de norm.

B.3    Waarom worden deze persoonsgegevens verwerkt?

De persoonsgegevens die betrekking hebben het CV, de motivatiebrief, en de notities van het job-interview worden verwerkt om enerzijds het sollicitatietraject te doorlopen en anderzijds om een overzicht hebben van wie komt solliciteren. De rechtsgrond hiervoor is de toestemming en het gerechtvaardigd belang. De sollicitant stuurt zelf deze gegevens door naar de onderneming en kan ook verwachten dat de onderneming deze tot op zekere hoogte zal bijhouden. Tevens is het voor de onderneming belangrijk om bij te houden wie komt solliciteren en om welke reden hij werd afgewezen of aangenomen.

De contactgegevens van de medewerkers, administratieve en financiële informatie zoals loonfiches en facturen wordt zowel bijgehouden met als rechtsgrond noodzakelijk voor het uitvoeren van een overeenkomst als om reden van een wettelijke verplichting.

De gegevens met betrekking tot de verzekeringen, log-in gegevens, gegevens met betrekking tot elektronische communicatie, werkdocumenten en correspondentie voor de onderneming worden bijgehouden met als rechtsgrond noodzakelijk voor het uitvoeren van een overeenkomst of overeenkomstig het gerechtvaardigd belang. Deze gegevens zullen niet systematisch geanalyseerd of gecontroleerd worden maar kunnen bij vermoeden van misbruik of bij afwezigheid geconsulteerd worden onder het gerechtvaardigd belang, om de continuïteit en veiligheid van de onderneming te waarborgen.

De naam van een contactpersoon in geval van nood kan worden verwerkt op basis van een vitaal belang van de medewerker.
 
B.4    Hoe lang worden deze gegevens bijgehouden?

De gegevens worden bijgehouden voor een periode die noodzakelijk is in functie van de doeleinden van de verwerking en in functie van de contractuele relatie tussen de medewerkers en de onderneming. Zo worden personeels- en loonadministratieve gegevens bewaard overeenkomstig wettelijke verplichtingen, IT- en beveiligingslogs zolang dit noodzakelijk is voor beveiligings- en compliance-doeleinden, en gegevens in het kader van incidenten zolang dit vereist is voor opvolging en eventuele juridische afhandeling.

B.5    Wat zijn uw rechten als medewerker?

a)    Recht op toegang, inzage en kopie
De medewerker heeft het recht om op elk moment gratis kennis te nemen van de persoonsgegevens die van hem/haar bewaard worden, alsook van het gebruik dat de onderneming van die persoonsgegevens maakt. U kan ook verzoeken om een kopie van uw persoonsgegevens.

b)    Recht op verbetering, verwijdering en beperking
De medewerker heeft steeds het recht om de onderneming te verzoeken de persoonsgegevens te verbeteren, aan te vullen of te verwijderen.

De medewerker kan zich niet verzetten tegen het verwerken van persoonsgegevens die noodzakelijk zijn tot het voldoen van wettelijke verplichtingen zoals administratieve taken. De medewerker mag eveneens vragen om de verwerking van zijn/haar persoonsgegevens te beperken.

c)    Recht van bezwaar
De medewerker beschikt over het recht om bezwaar te maken tegen de verwerking van zijn/haar persoonsgegevens die is gebaseerd op de rechtsgrond van het gerechtvaardigd belang, om ernstige en legitieme redenen. Tegen de verwerking voor doeleinden van direct marketing kan de medewerker zich beroepen op een absoluut recht van bezwaar, ongeacht de aangewende rechtsgrond.

d)    Recht van vrije gegevensoverdracht
De medewerker beschikt over het recht om de persoonsgegevens die werden verstrekt aan de onderneming in gestructureerde, gangbare en machineleesbare vorm te verkrijgen en/of aan andere verantwoordelijken over te (laten) dragen.

e)    Recht van intrekking van de toestemming
Voor zover de verwerking gebaseerd is op voorafgaande toestemming van de medewerker, beschikt deze ten allen tijde over het recht om die toestemming in te trekken.

f)    Automatische beslissingen en profiling
De verwerking van de persoonsgegevens van medewerkers omvat geen profiling en zal evenmin aan geautomatiseerde beslissingen worden onderworpen.

g)    Uitoefening van rechten
De medewerker kan zijn/haar rechten uitoefenen door schriftelijk contact op te nemen met de HR-afdeling via het postadres van de onderneming, per e-mail via HRUnit@kortrijkxpo.com of per telefoon op het nummer +32 56 24 11 11.

h)    Klachten
De medewerker beschikt over het recht om een klacht in te dienen bij de Belgische Gegevensbeschermingsautoriteit (GBA), Drukpersstraat 35, 1000 Brussel, e-mail:  contact@apd-gba.be.

Dit laat een voorziening voor een burgerlijke rechtbank onverlet.

B.6    Doorgifte van persoonsgegevens aan derden

Bij de verwerkings van bepaalde persoonsgegevens kan de onderneming bijgestaan worden door een selectief aantal verwerkers. Het betreft onder meer volgende gegevens:

Administratieve gegevens, betaal- en loonsgegevens worden indien u werknemer bent verwerkt door het sociaal secretariaat, met als doel het uitvoeren van de loonadministratie. Tevens worden deze gegevens gedeeld met de bevoegde overheidsinstanties in het kader van onze wettelijke verplichtingen en kunnen deze verstrekt worden in het kader van een verzekeringscontract.

Uw naam, voornaam en contactgegevens kunnen doorgegeven worden aan onze IT-providers met als doel het beheren van uw account. Tevens kunnen deze gegevens online geplaatst worden op de website of aan klanten van de onderneming meegedeeld worden om een vlotte werking van de onderneming te kunnen garanderen. De IT- en cloudprovider kunnen toegang hebben tot werkgegevens. Het boekhoudkantoor kan toegang hebben tot financiële gegevens zoals loonsfiches, facturen en een bankrekeningnummer.

Deze opsomming is niet-limitatief.

De onderneming zal in redelijkheid pogen u van tevoren op de hoogte te stellen van het feit dat wij uw gegevens aan genoemde derden bekendmaken, maar u erkent tevens dat dit niet onder alle omstandigheden technisch of commercieel haalbaar is.

De onderneming zal de persoonsgegevens van medewerkers niet verkopen, noch verhuren, verdelen of anderszins commercieel ter beschikking stellen aan derden, behalve zoals hierboven beschreven of tenzij met uw voorafgaande toestemming.

In uitzonderlijke gevallen is het mogelijk dat de onderneming de persoonsgegevens van één of meerdere personeelsleden ingevolge een gerechtelijk bevel of om te voldoen aan andere dwingende wet- of regelgeving moet meedelen. De onderneming zal in alle redelijkheid het mogelijke doen de betrokken medewerkers hiervan te informeren, binnen het kader van de wettelijke verplichtingen waar de onderneming aan gebonden is.

B.7    Veiligheid en vertrouwelijkheid van de persoonsgegevens

De onderneming neemt alle veiligheidsmaatregelen die passend zijn voor de onderneming zodoende vernietiging, verlies, vervalsing, misbruik, wijziging, gebrek aan toegang, toegang door onbevoegden en datalekken te voorkomen. Tevens doet de onderneming het mogelijke om elke andere niet toegestane verwerking van deze persoonsgegevens te voorkomen.
Wanneer persoonsgegevens worden verwerkt buiten de bedrijfslocaties, zoals bij telewerk, neemt XPO Group passende maatregelen om de vertrouwelijkheid en beveiliging van deze gegevens te waarborgen. Medewerkers dragen hierbij een bijzondere verantwoordelijkheid om ongeoorloofde toegang door derden te vermijden.
Bij het gebruik van nieuwe technologieën, waaronder AI-toepassingen, ziet XPO Group erop toe dat persoonsgegevens worden verwerkt in overeenstemming met dit Intern Privacybeleid en de geldende regelgeving. Persoonsgegevens worden niet ingevoerd in niet-goedgekeurde systemen.

B.8    Inzage Controle en monitoring
In het kader van de beveiliging van persoonsgegevens kan XPO Group inzage nemen in gegevens, logbestanden of communicatie, voor zover dit noodzakelijk is om beveiligingsincidenten te voorkomen of te onderzoeken, te voldoen aan wettelijke verplichtingen of andere gerechtvaardigde belangen van XPO Group te beschermen.
Dergelijke inzage is beperkt tot bevoegde personen en gebeurt steeds op proportionele wijze en met respect voor de rechten van de betrokkenen.

B.9    Wijzigingen aan het intern privacybeleid
Dit Intern Privacybeleid kan door XPO Group worden gewijzigd indien wettelijke, organisatorische of technische ontwikkelingen dit vereisen. Wijzigingen worden tijdig gecommuniceerd aan de betrokkenen en treden in werking vanaf de bekendgemaakte datum.

 
C.    Verplichtingen van de medewerker

C.1    Datalekken

Artikel 4, 12 GDPR definieert een datalek als een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of verwerkte gegevens. Concreet betekent dit dat zodra een persoon die toegang krijgt tot persoonsgegevens waarvan hij niet het recht had of dit niet de bedoeling is, er sprake is van een datalek.

Ieder veiligheidsincident dat mogelijks aanleiding geeft tot een gegevenslek moet onmiddellijk gemeld worden! Er doet zich een veiligheidsincident voor zodra persoonsgegevens dreigen ongeoorloofd openbaar te worden gemaakt, verloren te gaan, vernietigd of gewijzigd te worden. Hierbij is het niet nodig dat er effectief persoonsgegevens gebruikt worden door een derde. Het feit dat een onbevoegde toegang heeft tot de gegevens of de gegevens bij een verkeerde persoon terechtkomen is voldoende.

Er is dus eveneens sprake van een veiligheidsincident dat moet gemeld worden zodra persoonsgegevens bij een verkeerde persoon terechtkomen. Deze persoon kan een externe persoon zijn van buiten de onderneming maar ook een persoon binnen de onderneming die normaal gezien de bevoegdheid niet heeft om bepaalde gegevens te zien, maar er toch toegang toe heeft gekregen.

Andere voorbeelden van datalekken die gemeld moeten worden: wanneer een computer gehackt wordt die persoonsgegevens bevat, los van het feit of deze gegevens gekopieerd of beschadigd worden. Ook kwaad opzet is geen voorwaarde om van een gegevenslek te kunnen spreken. Wanneer een usb-stick, smartphone of laptop verloren gaat of een e-mail per ongeluk naar het verkeerde adres wordt gestuurd, vindt er een veiligheidsincident plaats dat moet gemeld worden. Wanneer de virusscanner een infectie opmerkt, vindt een veiligheidsincident plaats dat onmiddellijk moet gemeld worden.

Zodra een veiligheidsincident ontdekt wordt, moet dit onmiddellijk gemeld worden aan de DPO via dpo@xpogroup.com.

C.2     Rechten van de betrokkenen

Iedere betrokkene kan de rechten uitoefenen waarover hij/zij beschikt op grond van de GDPR. Hierbij kan die persoon informatie opvragen, vragen om gegevens te wijzigen of wissen en vragen om zijn gegevens over te dragen aan een derde partij in een gangbaar machineleesbaar formaat.

Op een dergelijk verzoek dient binnen de maand gereageerd te worden. Er kan op gemotiveerde wijze en met kennisgeving binnen de maand een uitstel verkregen worden van twee bijkomende maanden om een antwoord te bezorgen aan de betrokkene.

Een antwoord op een verzoek tot informatie dient kosteloos te gebeuren. Enkel bij misbruik of herhaaldelijke vraag kan een administratieve kost aangerekend worden door de onderneming. Indien het verzoek digitaal gevraagd wordt, dient het ook digitaal bezorgd te (kunnen) worden. Een verzoek tot informatie is niet absoluut en bij het antwoorden op een verzoek zal in het bijzonder rekening moeten worden gehouden met de privacyrechten van de medewerkers van de organisatie en derden. Indien relevant, zal de vaste contactpersoon hiertoe de nodige afweging maken.

Bij een verzoek tot wissen van persoonsgegevens dienen alle persoonsgegevens die betrekking hebben op die persoon gewist te worden. Dit verzoek is echter niet absoluut.

Zo mogen persoonsgegevens bijgehouden worden indien deze dienen bewaard te worden om te voldoen aan een wettelijke verplichting. Ook mogen persoonsgegevens bewaard blijven na een verzoek tot wissen indien zij in het kader van een gerechtelijke procedure nuttig kunnen zijn, tot het verstrijken van de verjaringstermijn. Belangrijk hierbij is dat steeds binnen de termijn van 3 maanden open gecommuniceerd wordt naar de betrokkene welke gegevens gewist zijn en welke niet en om welke reden.

Zodra een verzoek binnenkomt van een betrokkene, moet dit onmiddellijk gemeld worden aan de DPO via dpo@xpogroup.com.

C.3    Vertrouwelijkheid van gegevens

Met de ICT-middelen die gebruikt worden tijdens het werk gaat u om als een goede huisvader. Dat principe houdt in dat u zich gedraagt als een vooruitziend en zorgvuldig persoon.

‘Vooruitziend’ betekent dat u de nadelige gevolgen van uw handelen redelijk probeert in te schatten, dat u er met andere woorden op probeert te anticiperen. ‘Zorgvuldig’ houdt in dat u die nadelige gevolgen probeert te voorkomen door gepaste voorzorgsmaatregelen te nemen.

Daarnaast bent u bereid verantwoording af te leggen over het gebruik van middelen. De middelen dienen om het algemeen belang na te streven, dus u gebruikt de middelen met het oog op zuinigheid, efficiëntie en effectiviteit.

Tijdens de uitoefening van zijn/haar job krijgt de medewerker toegang tot Vertrouwelijke Informatie. De medewerker is gehouden om deze vertrouwelijke informatie te allen tijde geheim te houden en enkel te delen met collega’s waarvan werd geverifieerd of zij werden geautoriseerd om kennis te nemen van de vertrouwelijke informatie waarvan sprake.

De medewerker verbindt zich ertoe om geenszins vertrouwelijke Informatie bewust of onbewust te delen met onbevoegde personen, inclusief derden.

De medewerker verbindt zich er bovendien toe om deze vertrouwelijke informatie nooit te gebruiken in het nadeel van de onderneming of voor een ander doel dan dat waartoe de opdracht zich uitstrekt.

Beheer van vertrouwelijke informatie

a.    De medewerker is zelf verantwoordelijk voor de juiste opslag van zijn bestanden en van zijn eigen wachtwoord.

Dit impliceert dat de medewerker:

- Alle werkgerelateerde bestanden uitsluitend opslaat op zijn/haar werkcomputer (Cloud-mappen), en binnen de afgescheiden IT-omgeving en hiertoe aangewezen software. Deze IT-omgeving wordt immers regelmatig geüpdatet teneinde beveiligingsrisico’s te ondervangen. Bovendien is er op deze manier ook geen verlies van data mogelijk aangezien er regelmatig een back-up wordt gemaakt van deze documenten.

- Ieder beveiligingsprobleem waarvan hij/zij zich bewust wordt dient onmiddellijk gemeld te worden aan de werkgever.

b.    De medewerker is ervoor verantwoordelijk om geen vertrouwelijke informatie te delen met onbevoegde personen, binnen of buiten de onderneming.

Vooraleer de medewerker vertrouwelijke informatie zou delen met andere medewerkers of personen die anderszins tewerkgesteld zijn of een functie uitoefenen voor de werkgever dient de medewerker er zich steeds van te vergewissen dat de persoon met wie hij deze vertrouwelijke informatie deelt, ook geautoriseerd is tot toegang tot deze informatie.

c.    De medewerker verbindt zich ertoe geen toegang te zullen verschaffen tot informatie waarvan hij redelijkerwijze behoort te weten dat hij geen recht heeft op toegang tot deze informatie.

d.    De medewerker dient printopdrachten die vertrouwelijke informatie bevatten, na het printen onmiddellijk van de printer te halen.

C.4    Malware en internetcriminaliteit

Malware is de verzamelnaam voor alle ‘kwaadaardige software’ (‘Malicious Software) zoals virussen, Trojaanse paarden, spyware, enzovoort.

De verspreiding van malware gebeurt nog vaak via e-mail, ofwel als bijlage ofwel als link naar iets wat u kunt downloaden met de browser, zoals een ‘gratis’ programma. De bedreiging van internetcriminaliteit bestaat in vele vormen en neemt steeds toe. Het is belangrijk waakzaam te zijn tegen gerichte aanvallen zoals internetfraude of phishing, een vorm van oplichting waarbij men hengelt naar persoonlijke informatie zoals uw kredietkaartnummer, wachtwoord en accountgegevens. Soms nemen criminelen ook persoonlijk contact op met de gebruiker, per e-mail of per telefoon, en proberen ze de gebruiker te overhalen om bepaalde handelingen uit te voeren (‘social engineering’).

Hieronder vindt u tips om te voorkomen dat u het slachtoffer wordt van internetcriminaliteit:

-    Laat de veiligheidsmaatregelen op uw computer intact (firewall, antivirus software enzovoort).

-    Vertrouw nooit blindelings afzendergegevens in e-mailberichten.

-    Denk na over de context van het bericht: ‘Klopt het dat ik dit bericht ontvang van deze organisatie?’.

-    Open geen verdachte e-mails en beantwoord ze vooral niet. Open zeker niet de bijlage en bezoek ook niet de links die erin staan. Bij twijfel, kunt u het best (telefonisch) contact opnemen met de afzender van het bericht. Wees alert als iemand die u niet kent, contact met u opneemt (per e-mail of per telefoon). Geloof niet zomaar alles wat men u vertelt en wees op uw hoede als men u probeert te overhalen om een handeling uit te voeren.

Vermoedt u dat uw computer door malware is getroffen of dat men u heeft proberen te benaderen als onderdeel van een aanval, neem dan onmiddellijk contact op met de verwerkingsverantwoordelijke of it-service van de onderneming.

C.5    Opslag van informatie

Over de opslag van informatie gelden de volgende afspraken:

Sla geen bestanden op op de systemen van de onderneming met een niet-commercieel karakter of voor privé aangelegenheden. Bewaar geen bestanden die:

-    obsceen of beledigend zijn; 
-    in strijd zijn met de openbare orde; 
-    in strijd zijn met de goede zeden; 
-    het privéleven van iemand aantasten; 
-    discriminerend, racistisch of xenofobisch zijn of die tot een dergelijk gedrag aanzetten; 
-    bestemd zijn voor illegale doeleinden, zoals hacking software; of een inbreuk zijn op de auteurswet zoals muziekbestanden, films, software die u op een illegale manier verkregen heeft.

Het illegaal downloaden van bestanden is niet toegestaan. U mag dergelijke bestanden ook niet opslaan of verder verspreiden.

Dataminimalisatie

Het is niet toegestaan lokaal op de harde schijf of op draagbare media zoals een USB-stick of externe harde schijf dossiergegevens op te slaan buiten hetgeen strikt noodzakelijk is voor de uitvoering van de opdrachten van de medewerker. Alle documenten die afhangen van een dossier moeten in principe geïmporteerd worden in de kantoorsoftware (Cloud). Indien er in het kader van de rechtmatige uitoefening van de opdrachten van de medewerker een export gebeurt van dossiergegevens, moet dit bestand na gebruik onmiddellijk gewist worden.

C.6    Kantoorbeheer

Van zodra een bureau of werkplek onbemand is voor een langere periode (meer dan een uur), dient de medewerker rekening te houden met volgende richtlijnen:

a.    Alle vertrouwelijke informatie dient verwijderd te worden van de bureau of werkplek en dient gestockeerd of gearchiveerd te worden in een kast of locker. Dit geldt eveneens voor vertrouwelijke informatie die op een USB-stick, CD, DVD of enige andere gegevensdrager wordt bewaard.

b.    Alle documenten die vertrouwelijke informatie bevatten en die voor de vuilnisbak bestemd zijn, dienen in de speciaal voorziene vuilnisbakken te worden gegooid of dienen, wanneer beschikbaar, door de papierversnipperaar te worden gehaald.

c.    laptops, tablets en andere mobiele toestellen van de onderneming moeten aan het eind van de werkdag meegenomen worden of in een afgesloten kast worden opgeborgen. Mobiele toestellen mogen nooit onbeheerd gelaten worden buiten de kantoren.

C.7    Gebruik apparatuur onderneming

1.    Privacy
De onderneming respecteert de privacy van de medewerkers en hun apparaten en zal alle redelijke inspanningen leveren om de apparaten en het gebruik ervan besloten en beveiligd te houden. Nochtans behoudt de onderneming zich het recht voor om het apparaat in welbepaalde gevallen op te volgen of zich er toegang toe te verschaffen, om de technische functies ervan te testen, er beveiligingstools op te installeren of het anderszins te controleren.

Medewerkers verklaren uitdrukkelijk geen specifieke verwachtingen te koesteren met betrekking tot hun privacy of de bescherming van hun privéleven tijdens het gebruik van hun apparaten binnen de onderneming of op het moment dat zij ingelogd zijn op de systemen van de onderneming, voor zover de gerechtvaardigde belangen van de onderneming toelaten om hier een proportionele controle op uit te oefenen, in het bijzonder wanneer specifieke omstandigheden of vermoedens dit noodzaken.

Het is verboden voor medewerkers om de apparaten die door de onderneming ter beschikking worden gesteld te gebruiken voor persoonlijke doeleinden. Meer bepaald wordt de medewerker gevraagd om geen privé documenten of gegevens te bewaren op de door de onderneming ter beschikking gestelde computer/laptop en om geen privé-e-mails te verzenden met het door de onderneming ter beschikking gestelde e-mailadres.

In geval de medewerker gedurende een periode van meer dan 1 week afwezig is en/of in geval van hoogdringendheid, behoudt de onderneming zich het recht voor om zichzelf toegang te verschaffen tot deze computer/laptop indien dit noodzakelijk is voor de verderzetting van de dienst. De onderneming zal op dat ogenblik zichzelf enkel toegang verschaffen tot deze documenten en/of mailboxen die noodzakelijk zijn voor de verderzetting van de dienst op basis van zijn gerechtvaardigd belang. De medewerker zal geïnformeerd worden wanneer dit gebeurt.

Bij het einde van de arbeidsovereenkomst zal het ter beschikking gestelde e-mailadres afgesloten worden, zal een afzender naar dit adres hiervan een melding krijgen en zal de mailbox met de verzonden en ontvangen e-mails gedurende maximaal 3 maand bewaard en consulteerbaar blijven zodoende de professionele emails in het belang van de onderneming niet verloren te laten gaan.

2.    Verplichtingen van de medewerker

Alle medewerkers nemen de nodige voorzorgen zodat hun apparaten veilig en beveiligd zijn, en voldoen aan de in dit veiligheidsbeleid gestelde voorwaarden, onder meer door:

-    Er voor zowel de toegang tot een toestel als tot software, er steeds een sterk wachtwoord wordt aangemaakt. Een sterk wachtwoord is een wachtwoord bestaande uit minimaal 10 karakters met minimum 1 hoofdletter, 2 cijfers en 1 speciaal teken. Ieder wachtwoord moet uniek zijn. Indien geen gebruik gemaakt wordt van een wachtwoordmanager kan  gebruik gemaakt worden van een wachtwoordzin zoals ‘Als ik 1 IT vraag heb, bel ik IT!’. Door telkens de eerste letter van het woord te nemen, samen met de eerste twee letters van de software die gebruikt wordt. Bij een Dropbox-login zou dit ‘Ai1Ivh,biI!Dr’ zijn. Op die manier wordt een sterk wachtwoord gemaakt voor ieder verschillend account dat toch te onthouden is.

-    Indien meerstapsverificatie mogelijk is op toestellen of software, moet deze ingeschakeld zijn;

-    Het apparaat te vergrendelen zodra de werkplaats waar het apparaat zich bevindt verlaten wordt.

-    Het apparaat niet te (laten) kraken of open te breken, zoals door “rooting” of “jailbreaking”;

-    Het apparaat niet te delen met derden die daar niet uitdrukkelijk toe gerechtigd zijn;

-    Het apparaat uitsluitend te gebruiken voor de doelstellingen eigen aan de uitvoering van de contractuele taken van de medewerker ten opzichte van de onderneming.

3.    Wissen van het apparaat

De onderneming kan het apparaat van de medewerker zoals ter beschikking gesteld door de onderneming wissen, desgevallend vanop afstand, indien:

-    het apparaat verloren of gestolen is;

-    de IT-dienst een datalek, een overtreding op het beleid, een virus of een andere bedreiging voor de beveiliging van de gegevens en infrastructuur van de onderneming detecteert; en/of

-    de onderliggende, contractuele verhouding tussen partijen beëindigd wordt.
 

A.    GDPR basic principles

A.1    Processing of Personal Data

Personal data exists when a natural person can be identified or is identifiable on the basis of data. This concept must be interpreted very broadly. Contact details and billing information are considered personal data, as well as photographs, location data, social media accounts, IP addresses, online profiles, or usage data of a software application.

The processing of personal data occurs as soon as personal data is collected, organized, consulted, stored, altered, transmitted, disclosed, or deleted. In other words, whenever personal data is used for any type of action.

Whenever personal data is processed, the data controller must comply with certain legal obligations.

A.2    Parties Involved in the Processing

The data controller is the person who determines the purposes and means of the processing. In particular, this is the person who usually obtains personal data from the data subject and decides what is done with it. As the name implies, the data controller is responsible for ensuring that personal data is processed in a lawful, fair and appropriate manner. This responsibility applies both to the controller’s own processing activities (and those of their employees) and to the processing activities carried out by third parties on behalf of the data controller (processors).

The data subject is the person whose personal data is being processed. Within an organization, the data subjects will mainly be clients and staff members. The data subject is always a natural person. A company or legal entity cannot be a data subject; however, the contact person or partners of a company can be.

The data processor is an external party that processes personal data for or on behalf of the data controller. A processor cannot be an employee of the data controller, as employees fall under the responsibility of the data controller itself. Examples of processors commonly found in most organizations include a social secretariat, an external IT company, an external website administrator, an external marketing agency, and an accountant.

A.3    When may personal data be processed?

Personal data may only be processed if one of the following legal bases for processing applies:
•    the free and unambiguous consent of the data subject
•    necessary for the performance of a contract
•    compliance with a legal obligation
•    vital interests of the data subject or the performance of a task carried out in the public interest
•    legitimate interest

Sensitive and special categories of personal data, such as financial data, data relating to racial or ethnic origin, religious beliefs, sexual orientation, health data, and criminal records, must be processed with particular care. The processing of such data is subject to additional specific obligations.

B.    Obligation to inform the employee

For the purposes of this Privacy Policy, “employees” shall mean individuals employed by the organisation, as well as freelancers, other contractors, and job applicants, to the extent that the relevant provisions apply to them.

B.1    Which personal data of employees are processed?

We collect and process various personal data of our employees. These include the following personal data:

-    Identification and contact details such as first name, last name, date of birth, national register number, and contact information;
-    Data relating to recruitment and qualifications, including CVs, motivation letters, notes taken during job interviews, diplomas, training courses, evaluations, previous employers, certificates, etc.;
-    Administrative and financial information necessary for the performance of the employment agreement, such as the national register number, address, seniority, marital status, bank account number, family composition, salary data, and the employment contract;
-    Salary and payslips;
-    Data relating to insurance policies;
-    The name of an emergency contact person;
-    Health data, such as medical certificates, documents relating to occupational accidents, and, where applicable, results of medical examinations;
 
-    Data relating to the performance of professional activities, including login credentials for work-related accounts and other applications to which the employee has access, logging data, documents created in the context of professional activities, and communications (both internal and external);
-    Where applicable, data relating to a company car, the associated leasing agreement, and fuel card;
-    Where applicable, data relating to the use of a smartphone and laptop.

B.2    Professional vs. permitted private use  

When using work equipment and IT systems provided by XPO Group, professional use is the standard.

B.3    Why are these personal data processed?

Personal data relating to the CV, motivation letter and notes from the job interview are processed, on the one hand, in order to carry out the recruitment process and, on the other hand, to maintain an overview of who applies for a position. The legal basis for this processing is consent and legitimate interest. The applicant voluntarily provides these data to the company and may reasonably expect that the company will retain them to a certain extent. In addition, it is important for the company to keep records of who applies and for what reason a candidate has been accepted or rejected.
Employees’ contact details, as well as administrative and financial information such as payslips and invoices, are processed on the legal basis of necessity for the performance of an agreement and compliance with a legal obligation.
Data relating to insurance policies, login credentials, electronic communications, work documents and correspondence of the company are processed on the legal basis of necessity for the performance of an agreement or legitimate interest. These data are not systematically analysed or monitored but may be consulted, in the event of suspected misuse or during an employee’s absence, on the basis of legitimate interest, in order to safeguard the continuity and security of the company.
The name of an emergency contact person may be processed on the basis of the vital interests of the employee.

B.4    How long are the data retained?

The data are retained for a period that is necessary in view of the purposes of the processing and the contractual relationship between the employees and the company. Employee and payroll administration data are retained in accordance with applicable legal obligations, IT and security logs are retained for as long as necessary for security and compliance purposes, and data relating to incidents are retained for as long as required for follow-up and, where applicable, legal handling.

 
B.5    What are your rights as an employee?

a)    Right of access, inspection and copy 
The employee has the right, at any time and free of charge, to access the personal data relating to him/her that are retained by the company, as well as to obtain information about how these personal data are used. The employee may also request a copy of his/her personal data.
b)    Right to rectification, erasure and restriction
At any time, the employee has the right to request that the company rectify, complete or delete his/her personal data.
The employee cannot object to the processing of personal data that is necessary to comply with legal obligations, such as administrative requirements. The employee may also request that the processing of his/her personal data be restricted.
c)    Right to object 
The employee has the right to object, on serious and legitimate grounds, to the processing of his/her personal data where such processing is based on the legal basis of legitimate interest. With regard to processing for direct marketing purposes, the employee has an absolute right to object, regardless of the legal basis relied upon.
d)    Right to data portability 
The employee has the right to receive the personal data provided to the company in a structured, commonly used and machine-readable format and/or to have these data transferred to another data controller.
e)    Right to withdraw consent 
Where the processing is based on the prior consent of the employee, the employee has the right to withdraw that consent at any time.
f)    Automated decision-making and profiling
The processing of employees’ personal data does not include profiling and is not subject to automated decision-making.
g)    Exercise of rights
The employee may exercise his/her rights by contacting the HR department in writing via the company’s postal address, by e-mail at HRUnit@kortrijkxpo.com, or by telephone at +32 56 24 11 11.
h)    Complaints
The employee has the right to lodge a complaint with the Belgian Data Protection Authority (GBA), Drukpersstraat 35, 1000 Brussels, e-mail: contact@apd-gba.be.

This is without prejudice to the right to bring proceedings before a civil court.

B.6    Transfer of personal data to third parties

Administrative data, payment data and payroll data are, where you are an employee, processed by the social secretariat for the purpose of payroll administration. These data are also shared with the competent public authorities in the context of our legal obligations and may be disclosed in the context of an insurance contract.

Your first name, last name and contact details may be shared with our IT providers for the purpose of managing your account. These data may also be published on the company website or communicated to the company’s clients in order to ensure the smooth operation of the company. IT and cloud service providers may have access to work-related data. The accounting firm may have access to financial data such as payslips, invoices and bank account numbers.

This list is not exhaustive.

The company will make reasonable efforts to inform you in advance of the disclosure of your personal data to the aforementioned third parties, but you also acknowledge that this may not be technically or commercially feasible in all circumstances.

The company will not sell, rent, distribute or otherwise commercially make available employees’ personal data to third parties, except as described above or unless with your prior consent.

In exceptional cases, the company may be required to disclose the personal data of one or more employees pursuant to a court order or in order to comply with other mandatory legal or regulatory requirements. In such cases, the company will make reasonable efforts to inform the employees concerned, within the limits of the legal obligations binding on the company.
 
B.7    Security and confidentiality of personal data

The company takes all appropriate security measures in line with its activities in order to prevent the destruction, loss, falsification, misuse or unauthorised alteration of personal data, as well as unauthorised access, lack of availability, access by unauthorised persons and data breaches. The company also makes every reasonable effort to prevent any other unauthorised processing of these personal data.
When personal data are processed outside the company premises, such as in the context of remote working, XPO Group takes appropriate measures to ensure the confidentiality and security of these data. Employees bear a particular responsibility in this respect to prevent unauthorised access by third parties.
When using new technologies, including AI applications, XPO Group ensures that personal data are processed in accordance with this Internal Privacy Policy and applicable legislation. Personal data shall not be entered into systems that have not been approved by the company.
B.8    Inspection, control and monitoring
In the context of ensuring the security of personal data, XPO Group may access data, log files or communications insofar as this is necessary to prevent or investigate security incidents, to comply with legal obligations, or to protect other legitimate interests of XPO Group.
Such access is limited to authorised persons and is always carried out in a proportionate manner and with respect for the rights of the data subjects.

B.9    Changes to the internal privacy policy

This internal privacy policy may be amended by XPO Group if required by legal, organisational or technical developments. Any changes will be communicated to the data subjects in a timely manner and will enter into force as of the communicated effective date.

 
C.    Obligations of the employee

C.1    Data breaches

Article 4(12) of the GDPR defines a personal data breach as a breach of security leading to the accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or unauthorised access to, personal data transmitted, stored or otherwise processed. In concrete terms, this means that a personal data breach occurs as soon as a person gains access to personal data to which he or she is not entitled or where such access is not intended.
Any security incident that may give rise to a personal data breach must be reported immediately. A security incident occurs as soon as personal data are at risk of being unlawfully disclosed, lost, destroyed or altered. It is not necessary that the personal data are actually used by a third party. The mere fact that an unauthorised person has accessed the data, or that the data have ended up with the wrong person, is sufficient.
A security incident that must be reported therefore also occurs when personal data are disclosed to the wrong person. This person may be an external party outside the company, but may also be a person within the company who normally does not have the authority to access certain data but has nevertheless gained access to them.
Other examples of personal data breaches that must be reported include situations where a computer containing personal data is hacked, regardless of whether those data are copied or damaged. Malicious intent is not required for an incident to qualify as a personal data breach. The loss of a usb stick, smartphone or laptop, or the accidental sending of an e-mail to an incorrect recipient, also constitutes a security incident that must be reported. Where a virus scanner detects an infection, a security incident has occurred and must be reported immediately.
As soon as a security incident is detected, it must be reported immediately to the DPO via dpo@xpogroup.com

C.2     Rights of the data subjects

Any data subject may exercise the rights to which he or she is entitled under the GDPR. This includes the right to request information, to request the rectification or erasure of personal data, and to request the transfer of his or her personal data to a third party in a commonly used and machine-readable format.
Such requests must be responded to within one month. Where justified and upon notification within that one-month period, this deadline may be extended by a further two months in order to provide a response to the data subject.
A response to a request for information must be provided free of charge. Only in cases of manifestly unfounded, excessive or repetitive requests may the company charge a reasonable administrative fee. Where a request is submitted by electronic means, the response must also, where possible, be provided by electronic means. The right of access is not absolute and, when responding to a request, particular consideration must be given to the privacy rights of the company’s employees and third parties. Where relevant, the designated contact person will carry out the necessary balancing assessment.
In the event of a request for the erasure of personal data, all personal data relating to the data subject must in principle be erased. However, this right is not absolute.
Personal data may be retained where such retention is necessary to comply with a legal obligation. Personal data may also be retained following a request for erasure where they may be relevant in the context of legal proceedings, until the expiry of the applicable limitation period. It is essential that, within the applicable response period of three months, clear and transparent communication is provided to the data subject regarding which data have been erased, which data have been retained, and the reasons for such retention.

As soon as a request is received from a data subject, it must be reported immediately to the DPO via dpo@xpogroup.com.

C.3    Confidentiality of data

When using ICT resources in the course of your work, you must act as a prudent and diligent person. This principle means that you behave in a careful, forward‑looking and responsible manner.
“Forward‑looking” means that you reasonably assess the potential adverse consequences of your actions and seek to anticipate them. “Careful” means that you take appropriate precautionary measures in order to prevent such adverse consequences.
In addition, you are accountable for your use of resources. These resources are intended to serve the general interest and must therefore be used with due regard for economy, efficiency and effectiveness.
In the course of performing his/her duties, the employee may gain access to confidential information. The employee is obliged to keep such confidential information strictly confidential at all times and to share it only with colleagues whose authorisation to access the relevant confidential information has been verified.
The employee undertakes not to disclose confidential information, whether intentionally or unintentionally, to unauthorised persons, including third parties.
Furthermore, the employee undertakes never to use such confidential information to the detriment of the company or for any purpose other than that covered by his/her duties or assignment.
 
Management of confidential information

a.    The employee is personally responsible for the proper storage of his/her files and for the secure management of his/her own password.
This implies that the employee shall:

- store all work-related files exclusively on his/her work computer (cloud folders) and within the segregated IT environment and designated software. This IT environment is regularly updated in order to mitigate security risks. Moreover, this approach prevents data loss, as regular back-ups of these documents are performed;

-  immediately report any security issue of which he/she becomes aware to the employer.

b.    The employee is responsible for ensuring that no confidential information is shared with unauthorised persons, whether within or outside the company.

Before sharing confidential information with other employees or with persons otherwise engaged or performing a function for the employer, the employee must always verify that the person with whom the confidential information is shared is authorised to access such information.

c.    The employee undertakes not to access information to which the employee knows or reasonably should know that access is not authorised.

d.    The employee must collect printouts containing confidential information immediately after printing.

C.4    Malware and internet crime

Malware is a collective term for all forms of malicious software, such as viruses, trojans, spyware and similar threats.

Malware is still frequently distributed via e-mail, either as an attachment or as a link to content that can be downloaded through a browser, such as a “free” program. Internet crime exists in many forms and continues to increase. It is important to remain vigilant against targeted attacks such as online fraud or phishing, a form of deception aimed at obtaining personal information such as credit card details, passwords and account credentials. In some cases, criminals also contact users directly, by e-mail or by telephone, and attempt to persuade them to perform certain actions (“social engineering”).

 
Below are some tips to help prevent becoming a victim of internet crime:
-    keep the security measures on your computer intact, such as the firewall, antivirus software and similar protections;

-    never blindly trust sender information in e-mail messages;

-    consider the context of the message, for example: “Does it make sense that I am receiving this message from this organisation?”;

-    do not open suspicious e-mails and, in particular, do not respond to them. Do not open attachments and do not click on any included links. In case of doubt, it is best to contact the sender of the message directly, preferably by telephone. Remain alert if someone you do not know contacts you by e-mail or telephone. Do not automatically believe everything you are told and remain cautious if someone attempts to persuade you to take action.

If there is any suspicion that a computer has been affected by malware, or that an attempt has been made to contact you as part of an attack, the data controller or the company’s IT service must be contacted immediately.

C.5    Storage of information

The following rules apply to the storage of information:

Sla geen bestanden op op de systemen van de onderneming met een niet-commercieel karakter of voor privé aangelegenheden. Bewaar geen bestanden die:

-    obscene or offensive;
-    contrary to public order;
-    contrary to accepted standards of decency;
-    infringing the private life of any person;
-    discriminatory, racist or xenophobic, or inciting such behaviour;
-    intended for illegal purposes, such as hacking software; or
-    infringing copyright legislation, such as music files, films or software obtained unlawfully.

The illegal downloading of files is not permitted. Such files may neither be stored nor further distributed.

 
Data minimisation

It is not permitted to store case-related data locally on a hard drive or on portable media such as a usb stick or external hard drive, other than what is strictly necessary for the performance of the employee’s duties. All documents relating to a case must, in principle, be stored within the office software environment (cloud). Where, in the context of the lawful performance of the employee’s duties, case-related data are exported, such files must be deleted immediately after use.

C.6    Office management

As soon as a desk or workstation is left unattended for an extended period of time (more than one hour), the employee must comply with the following guidelines:
a.    All confidential information must be removed from the desk or workstation and must be stored or archived in a cabinet or locker. This also applies to confidential information stored on a usb stick, cd, dvd or any other data carrier.
b.    All documents containing confidential information that are intended for disposal must be deposited in the designated disposal bins or, where available, must be destroyed using a paper shredder.
c.    Laptops, tablets and other mobile devices of the company must be taken home at the end of the working day or stored in a locked cabinet. Mobile devices must never be left unattended outside the company premises.

C.7    Use of company equipment

1.    Privacy
The company respects the privacy of employees and their devices and will make all reasonable efforts to keep the devices and their use private and secure. Nevertheless, the company reserves the right, in specific cases, to monitor or access a device in order to test its technical functions, install security tools or otherwise exercise control over it.

Employees expressly declare that they do not have any specific expectations with regard to their privacy or the protection of their private life when using their devices within the company or when logged into the company’s systems, insofar as the legitimate interests of the company allow for proportionate monitoring, in particular where specific circumstances or suspicions so require.

Employees are prohibited from using devices made available by the company for personal purposes. In particular, employees are requested not to store private documents or data on the computer or laptop provided by the company and not to send private e-mails using the e-mail address provided by the company.

Where an employee is absent for a period exceeding one week and/or in cases of urgency, the company reserves the right to access the computer or laptop if this is necessary to ensure the continuity of the service. In such cases, the company will only access those documents and/or mailboxes that are necessary for the continuation of the service, on the basis of its legitimate interest. The employee will be informed when this occurs.

Upon termination of the employment agreement, the e-mail address made available to the employee will be deactivated, senders to that address will receive a notification, and the mailbox containing sent and received e-mails will be retained and accessible for a maximum period of three months, in order to prevent the loss of professional e-mails in the interest of the company.
2.    Obligations of the employee

All employees take the necessary precautions to ensure that their devices are safe and secure and comply with the conditions set out in this security policy, including by:
-    ensuring that a strong password is always created for both access to a device and access to software. A strong password consists of at least 10 characters and includes at least one uppercase letter, two digits and one special character. Each password must be unique. Where no password manager is used, a passphrase may be used, such as “If I have 1 IT question, I call IT!”. By taking the first letter of each word, combined with the first two letters of the software being used, a strong password can be created. For a Dropbox login, this would result in “Ii1ITq,iIT!Dr”. This method allows for the creation of a strong yet memorable password for each separate account;

-    enabling multi-factor authentication on devices or software where this option is available;

-    locking the device as soon as leaving the workstation where the device is located;

-    not cracking or tampering with the device, such as by means of “rooting” or “jailbreaking”;

-    not sharing the device with third parties who are not expressly authorised to use it;

-    using the device exclusively for purposes related to the performance of the employee’s contractual duties towards the company.

3.    Erasure of the device

The company may erase the employee’s device as made available by the company, where applicable remotely, if:
-    the device is lost or stolen;

-    the IT department detects a personal data breach, a violation of the policy, a virus or any other threat to the security of the company’s data and infrastructure; and/or

-    the underlying contractual relationship between the parties is terminated.

 
C.8    Compliance with the policy
Non-compliance with this internal privacy policy may result in appropriate measures being taken.
Where applicable, disciplinary measures may be imposed in accordance with the work regulations, taking into account the nature and seriousness of the infringement and the principle of proportionality.