Privacyverklaring

CertiPoint B.V., handelend onder de naam CertiPoint, gevestigd en kantoorhoudend aan [Straat en huisnummer], [Postcode] [Vestigingsplaats], ingeschreven in het Handelsregister van de Kamer van Koophandel onder nummer 00000000 (hierna: CertiPoint), is verwerkingsverantwoordelijke in de zin van de Algemene verordening gegevensbescherming (AVG) voor de verwerkingen die in deze privacyverklaring zijn beschreven.

Voor vragen over privacy en voor het uitoefenen van je rechten kun je contact opnemen met de privacycontactpersoon van CertiPoint via info@certipoint.nl, per post via CertiPoint B.V., t.a.v. de privacycontactpersoon, [Straat en huisnummer], [Postcode] [Vestigingsplaats], of telefonisch via +31 6 21 63 59 27.

Ook wanneer een werkgever of andere opdrachtgever je voor een examen aanmeldt, is CertiPoint voor de examenafname, de certificering, de registratie en de verificatie van certificaten zelfstandig verwerkingsverantwoordelijke.

Deze privacyverklaring is van toepassing op de verwerking van persoonsgegevens van:

• kandidaten die zich aanmelden of worden aangemeld voor een examen, en certificaathouders;
• contactpersonen van zakelijke opdrachtgevers en gebruikers van het bedrijfsportaal;
• personen die een certificaat verifiëren via onze website;
• personen die contact met ons opnemen, een offerte aanvragen of een klacht, bezwaar of beroep indienen;
• bezoekers van onze website.

Wij verwerken niet meer gegevens dan nodig is voor de doeleinden in artikel 5. Afhankelijk van je relatie met CertiPoint gaat het om:

Wij verwerken geen burgerservicenummer (BSN) en maken geen kopie of scan van je identiteitsbewijs. De examinator controleert je identiteitsbewijs alleen visueel voorafgaand aan het examen.

Je geboortedatum en geboorteplaats zijn nodig om je eenduidig te identificeren op het certificaat, om persoonsverwisseling te voorkomen en voor registratie in het CDR, conform de eisen van de schemabeheerder.

Wij verwerken in beginsel geen bijzondere persoonsgegevens, zoals gegevens over gezondheid.

Een uitzondering geldt wanneer je een bijzondere voorziening aanvraagt, bijvoorbeeld extra examentijd bij dyslexie. Wij verwerken de verklaring die je daarvoor aanlevert uitsluitend op basis van je uitdrukkelijke toestemming (artikel 9 lid 2 sub a AVG) en alleen om de voorziening te beoordelen en uit te voeren. Alleen de medewerkers die de aanvraag beoordelen en de examinator hebben er toegang toe. De examinator ontvangt alleen de toegekende voorziening, niet de onderliggende verklaring.

Je kunt deze toestemming altijd intrekken. Wij kunnen de voorziening dan niet meer toekennen. Bij ziekmelding vragen wij geen medische gegevens.

Wij verwerken persoonsgegevens alleen voor de volgende doeleinden en op de volgende grondslagen uit artikel 6 lid 1 AVG:

Wanneer wij ons baseren op een gerechtvaardigd belang, hebben wij dat belang afgewogen tegen jouw privacybelang. Je kunt tegen deze verwerkingen bezwaar maken (zie artikel 12).

Wij gebruiken je gegevens niet voor andere doeleinden dan hierboven beschreven, verkopen je gegevens niet en gebruiken ze niet voor reclame van derden.

Om een examen te kunnen afleggen en een certificaat te kunnen ontvangen, zijn je naam, geboortedatum, geboorteplaats en e-mailadres noodzakelijk. Zonder deze gegevens kunnen wij je niet toelaten tot het examen en geen certificaat verstrekken. Bij het aanmeldformulier staat aangegeven welke gegevens verplicht zijn.

Bij digitale examens worden antwoorden op gesloten vragen automatisch gescoord aan de hand van een vaste antwoordsleutel. Het besluit over je uitslag en certificering wordt echter altijd genomen door een medewerker van CertiPoint, na controle van het examendossier. Er is dus geen sprake van uitsluitend geautomatiseerde besluitvorming in de zin van artikel 22 AVG.

Wij maken geen gebruik van profilering.

Wij bewaren persoonsgegevens niet langer dan nodig is voor de doeleinden waarvoor ze zijn verzameld, of zolang de wet of het certificatieschema dat voorschrijft. Wij hanteren de volgende bewaartermijnen:

Na afloop van de bewaartermijn worden de gegevens verwijderd of zodanig geanonimiseerd dat ze niet meer tot jou herleidbaar zijn. Geanonimiseerde gegevens kunnen wij gebruiken voor statistiek en kwaliteitsanalyses.

Wij delen persoonsgegevens alleen met derden als dat nodig is voor de doeleinden in artikel 5 of als wij daartoe wettelijk verplicht zijn:

Met alle verwerkers sluiten wij een verwerkersovereenkomst die voldoet aan artikel 28 AVG. Daarin is onder meer vastgelegd dat zij je gegevens alleen in onze opdracht verwerken, passende beveiligingsmaatregelen treffen en geheimhouding betrachten.

Wij streven ernaar persoonsgegevens binnen de Europese Economische Ruimte (EER) te verwerken. Sommige van onze ICT-dienstverleners zijn gevestigd in de Verenigde Staten of hebben daar een moederbedrijf, waardoor gegevens buiten de EER kunnen worden verwerkt.

Doorgifte buiten de EER vindt alleen plaats als er een passend beschermingsniveau is gewaarborgd, bijvoorbeeld omdat de ontvanger is gecertificeerd onder het EU-VS Data Privacy Framework (een adequaatheidsbesluit van de Europese Commissie), of op basis van de door de Europese Commissie vastgestelde modelcontractbepalingen, zo nodig met aanvullende maatregelen. Op verzoek informeren wij je over de waarborgen die in jouw geval van toepassing zijn.

Via de pagina certificaat verifiëren kan iedereen — bijvoorbeeld een werkgever of opdrachtgever op een bouwplaats — de geldigheid van een door CertiPoint verstrekt certificaat controleren. Dit draagt bij aan veilig werken en het tegengaan van vervalste certificaten.

Zoeken kan alleen met een verificatiecode, een certificaatnummer, of met de combinatie van achternaam en geboortedatum. Bij een treffer tonen wij uitsluitend: je voorletter en achternaam, het examen en het certificaattype, het certificaatnummer, de examendatum, de status van het certificaat (geldig, verlopen of ingetrokken), de geldigheidsdatum en — bij VCA — de registratiestatus in het CDR. Je geboortedatum, geboorteplaats en contactgegevens worden nooit getoond.

Om misbruik te kunnen signaleren, registreren wij bij iedere zoekopdracht het tijdstip, de zoekterm, het resultaat en een gepseudonimiseerde (gehashte) weergave van het IP-adres. Het volledige IP-adres wordt niet opgeslagen. Deze registratie bewaren wij één jaar.

Op grond van de AVG heb je de volgende rechten:

• Recht op inzage — je kunt opvragen welke persoonsgegevens wij van je verwerken en een kopie daarvan ontvangen;
• Recht op rectificatie — je kunt onjuiste of onvolledige gegevens laten corrigeren of aanvullen;
• Recht op verwijdering — je kunt vragen je gegevens te verwijderen, tenzij wij ze moeten bewaren, bijvoorbeeld voor de verificeerbaarheid van een geldig certificaat of vanwege de fiscale bewaarplicht;
• Recht op beperking — je kunt vragen de verwerking tijdelijk te beperken, bijvoorbeeld zolang de juistheid van gegevens wordt onderzocht;
• Recht op overdraagbaarheid — je kunt de gegevens die je zelf aan ons hebt verstrekt in een gestructureerde, gangbare en machineleesbare vorm ontvangen of laten doorsturen;
• Recht van bezwaar — je kunt bezwaar maken tegen verwerkingen die gebaseerd zijn op ons gerechtvaardigd belang, waaronder de verloopherinneringen;
• Recht om toestemming in te trekken — als een verwerking op toestemming is gebaseerd, kun je die op ieder moment intrekken. Dat doet niets af aan de rechtmatigheid van de verwerking vóór de intrekking.

Je kunt een verzoek indienen via info@certipoint.nl. Om te voorkomen dat wij gegevens aan de verkeerde persoon verstrekken, kunnen wij je vragen je identiteit aan te tonen, bijvoorbeeld door een verzoek te doen vanaf het e-mailadres dat bij ons bekend is of door aanvullende controlevragen te stellen. Wij vragen daarbij niet om een kopie van je identiteitsbewijs.

Wij reageren binnen één maand na ontvangst van je verzoek. Afhankelijk van de complexiteit en het aantal verzoeken kan deze termijn met maximaal twee maanden worden verlengd; je hoort dat dan binnen de eerste maand. Het uitoefenen van je rechten is kosteloos.

Correctie van gegevens op een reeds verstrekt certificaat leidt tot de verstrekking van een gecorrigeerd certificaat en, waar nodig, aanpassing van de registratie bij de schemabeheerder.

Ben je niet tevreden over hoe wij met je gegevens of je verzoek omgaan, laat het ons dan weten. Je hebt daarnaast altijd het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens.

Wij nemen passende technische en organisatorische maatregelen om je gegevens te beveiligen tegen verlies, ongeautoriseerde toegang en onrechtmatige verwerking. Deze maatregelen zijn afgestemd op de risico's en worden periodiek geëvalueerd. Wij nemen onder meer de volgende maatregelen:

• versleutelde verbindingen (TLS) voor de website, het portaal en de verificatiedienst;
• rolgebaseerde toegang: medewerkers, examinatoren en opdrachtgevers hebben alleen toegang tot de gegevens die zij voor hun taak nodig hebben;
• wachtwoorden worden uitsluitend versleuteld (gehasht) opgeslagen, en sessies verlopen automatisch;
• pseudonimisering van IP-adressen en het afschermen van persoonsgegevens in de publieke verificatiedienst;
• schriftelijke geheimhoudingsverplichtingen voor medewerkers, examinatoren en verwerkers;
• veilige opslag van papieren examenwerk en processen-verbaal, en vernietiging na de bewaartermijn;
• het niet kopiëren van identiteitsbewijzen en het niet verwerken van het BSN (dataminimalisatie);
• regelmatige back-ups en het bijhouden van een register van verwerkingsactiviteiten.

Ondanks alle zorg kan een beveiligingsincident optreden. CertiPoint beschikt over een procedure om incidenten te registreren, te beoordelen en af te handelen. Een datalek dat een risico vormt voor de rechten en vrijheden van betrokkenen, melden wij binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens. Als het datalek waarschijnlijk een hoog risico voor jou met zich meebrengt, informeren wij je daarover zonder onredelijke vertraging.

Vermoed je een beveiligingsprobleem of datalek bij CertiPoint? Meld het direct via info@certipoint.nl.

Onze website gebruikt uitsluitend een functionele cookie: wanneer je inlogt op het portaal, plaatsen wij de cookie „cp_session” om je ingelogd te houden. Deze cookie is strikt noodzakelijk voor het portaal, bevat geen gegevens voor tracking en verloopt na maximaal acht uur of wanneer je uitlogt.

Wij gebruiken geen analytische, tracking- of advertentiecookies en plaatsen geen cookies van derden. Daarom vragen wij geen toestemming voor cookies. Mochten wij in de toekomst andere cookies gaan gebruiken, dan passen wij deze verklaring aan en vragen wij — waar nodig — vooraf je toestemming.

Wij kunnen deze privacyverklaring wijzigen, bijvoorbeeld bij nieuwe verwerkingen of gewijzigde wetgeving. De actuele versie staat altijd op deze pagina, met de ingangsdatum bovenaan. Bij ingrijpende wijzigingen informeren wij kandidaten en opdrachtgevers met een actief account per e-mail.