AVG-nalevingsverklaring

RIADVICE SUARL (“RIADVICE”, “wij”, “ons” of “onze”) beschermt persoonsgegevens overeenkomstig de Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679, “AVG”) en de Tunesische Organieke Wet nr. 2004-63 van 27 juli 2004 betreffende de bescherming van persoonsgegevens. Deze verklaring legt uit hoe wij aan de AVG voldoen wanneer wij persoonsgegevens namens onze Klanten verwerken, waartoe wij ons als verwerker verbinden en hoe betrokkenen hun rechten kunnen uitoefenen. Zij hanteert de definities van onze Gebruiksvoorwaarden en vult ons Privacybeleid aan, dat betrekking heeft op de verwerking waarvoor RIADVICE verwerkingsverantwoordelijke is.

1. Toepassingsgebied

Deze verklaring is van toepassing op de Gehoste Diensten en op Professionele Diensten waarbij RIADVICE persoonsgegevens namens een Klant verwerkt. Wanneer een Klant met RIADVICE een verwerkersovereenkomst heeft ondertekend, heeft die overeenkomst voorrang op deze verklaring. Is dat niet het geval, dan gelden de verplichtingen in paragraaf 4 als de verwerkingsvoorwaarden die artikel 28 AVG vereist, zoals bepaald in artikel 5 van onze Gebruiksvoorwaarden.

2. Onze diensten en de betrokken gegevens

RIADVICE levert hosting en beheerde diensten voor BigBlueButton en voor andere applicaties die worden gebruikt door onderwijs-, overheids- en commerciële organisaties. BigBlueButton maakt realtime samenwerking mogelijk via audio, video, chat, peilingen, gedeelde notities, whiteboards en schermdeling. Sessies kunnen worden opgenomen, afhankelijk van het beleid en de instellingen van de Klant. Onze add-ons zetten opnamen om naar video, maken op basis van sessiegegevens dashboards en rapporten over aanwezigheid en betrokkenheid, en verdelen vergaderingen over meerdere servers. Daarnaast beheren wij applicaties voor Klanten, zoals bestandssynchronisatie en -deling, webwinkels en mailingmiddleware. De bescherming van de privacy en de beveiliging van deze gegevens staan centraal in ons werk, en wij passen de AVG-beginselen toe van rechtmatigheid, behoorlijkheid, transparantie, doelbinding, minimale gegevensverwerking, juistheid, opslagbeperking, integriteit, vertrouwelijkheid en verantwoordingsplicht.

3. Rollen

• In de meeste gevallen is de Klant, bijvoorbeeld een onderwijsinstelling, een opleidingsaanbieder of een bedrijf, de verwerkingsverantwoordelijke. RIADVICE is zijn verwerker.
• Wanneer de Klant zelf als verwerker optreedt voor een andere organisatie, bijvoorbeeld een opleidingsaanbieder die een opdrachtgever bedient, treedt RIADVICE op als zijn subverwerker.
• RIADVICE is uitsluitend verwerkingsverantwoordelijke voor de gegevens die zij voor haar eigen doeleinden verwerkt, zoals het beheer van Klantaccounts, facturering en support, zoals beschreven in het Privacybeleid.

4. Onze verplichtingen als verwerker

Wanneer RIADVICE persoonsgegevens namens een Klant verwerkt:

• verwerkt zij de gegevens uitsluitend op basis van de gedocumenteerde instructies van de Klant, ook wat betreft internationale doorgiften, tenzij het recht waaraan RIADVICE is onderworpen anders vereist; in dat geval stelt zij de Klant vóór de verwerking daarvan in kennis, tenzij dat recht dit verbiedt. De Gebruiksvoorwaarden, het Bestelformulier en de configuratie die de Klant in de dienst kiest, vormen zijn instructies;
• stelt zij de Klant in kennis als een instructie naar haar mening inbreuk maakt op de AVG of op andere wetgeving inzake gegevensbescherming;
• zorgt zij ervoor dat de tot verwerking van de gegevens gemachtigde personen tot geheimhouding zijn verplicht;
• treft zij de in paragraaf 8 beschreven beveiligingsmaatregelen, overeenkomstig artikel 32 AVG;
• schakelt zij subverwerkers uitsluitend in onder de voorwaarden van paragraaf 10;
• verleent zij de Klant, rekening houdend met de aard van de verwerking, bijstand bij het beantwoorden van verzoeken van betrokkenen;
• verleent zij de Klant bijstand bij het nakomen van zijn verplichtingen inzake beveiliging, melding van inbreuken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging, rekening houdend met de informatie waarover RIADVICE beschikt;
• wist zij aan het einde van de dienstverlening de persoonsgegevens of geeft zij deze terug, naar keuze van de Klant, zoals beschreven in paragraaf 13, tenzij de wet bewaring ervan vereist;
• stelt zij alle informatie ter beschikking van de Klant die nodig is om de naleving van artikel 28 AVG aan te tonen, en maakt zij audits mogelijk en draagt zij daaraan bij zoals beschreven in paragraaf 14.

Bijstand die verder gaat dan wat RIADVICE als onderdeel van de standaarddienst verleent, kan tegen haar dan geldende tarieven in rekening worden gebracht, tenzij de noodzaak daarvan het gevolg is van een tekortkoming van RIADVICE.

5. Rechtsgrond en toestemming

Als verwerkingsverantwoordelijke bepaalt de Klant de rechtsgrond voor de verwerking op grond van artikel 6 AVG, bijvoorbeeld de uitvoering van een overeenkomst, een wettelijke verplichting, een taak van algemeen belang, gerechtvaardigde belangen of toestemming, en, waar nodig, een voorwaarde op grond van artikel 9 AVG. Wanneer toestemming vereist is, bijvoorbeeld voor bepaalde opnamen, verkrijgt de Klant deze, doorgaans via zijn leermanagementsysteem of een ander front-endplatform. De Klant informeert de deelnemers ook voordat een sessie wordt opgenomen. BigBlueButton laat deelnemers zien wanneer een sessie wordt opgenomen.

6. Categorieën van gegevens en betrokkenen

Afhankelijk van de dienst en van de wijze waarop de Klant deze gebruikt, behoren tot de betrokkenen het personeel, de docenten, studenten, cursisten, deelnemers, gasten en contactpersonen van de Klant. De gegevens kunnen omvatten:

• identificatiegegevens, zoals namen, gebruikersnamen, e-mailadressen en gebruikersidentificatoren die door het platform van de Klant worden doorgegeven;
• deelnamegegevens, zoals tijdstippen van binnenkomst en vertrek, spreektijd, webcam- en schermdelingstijd, chatactiviteit, antwoorden op peilingen en reacties;
• inhoud die tijdens sessies wordt gedeeld, zoals audio, video, chatberichten, presentaties, notities, aantekeningen op het whiteboard en opnamen;
• bestanden, documenten en berichten die zijn opgeslagen in applicaties die voor de Klant worden beheerd;
• technische gegevens, zoals IP-adressen, typen browsers en besturingssystemen, en verbindingslogbestanden.

De Klant mag de diensten niet gebruiken om bijzondere categorieën van persoonsgegevens of persoonsgegevens betreffende strafrechtelijke veroordelingen te verwerken, tenzij hij daarvoor een rechtsgrond heeft en, wanneer specifieke maatregelen nodig zijn, RIADVICE vooraf heeft geïnformeerd.

7. Bewaring

De bewaartermijnen worden door de Klant als verwerkingsverantwoordelijke bepaald. Opnamen en vergadergegevens worden automatisch verwijderd na afloop van de bewaartermijnen die voor het platform van de Klant zijn ingesteld of in het Bestelformulier zijn vermeld, tenzij de Klant anders verzoekt of de wet bewaring ervan vereist. Technische logbestanden worden slechts bewaard zolang dat nodig is om de dienst te exploiteren en te beveiligen.

8. Beveiligingsmaatregelen

RIADVICE treft technische en organisatorische maatregelen die passend zijn voor het risico, waaronder:

• versleuteling van gegevens tijdens de overdracht en versleuteling van vertrouwelijke gegevens;
• toegangscontroles, authenticatiemechanismen en toegang die op need-to-knowbasis is beperkt tot bevoegde medewerkers;
• scheiding van omgevingen en gegevens van Klanten, wanneer het ontwerp van de dienst daarin voorziet;
• regelmatige updates en beveiligingspatches;
• monitoring van systemen en diensten;
• back-ups en herstelprocedures;
• geheimhoudingsverplichtingen en training van medewerkers op het gebied van gegevensbescherming en de AVG.

9. Inbreuken in verband met persoonsgegevens

RIADVICE stelt de Klant zonder onredelijke vertraging in kennis nadat zij kennis heeft gekregen van een inbreuk in verband met persoonsgegevens die de gegevens van de Klant betreft. De melding beschrijft, voor zover de informatie beschikbaar is, de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en persoonsgegevensregisters in kwestie, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. RIADVICE verstrekt vervolgens nadere informatie zodra die beschikbaar komt en helpt de Klant om te voldoen aan zijn eigen verplichting om de toezichthoudende autoriteit en, waar vereist, de betrokkenen in kennis te stellen.

10. Subverwerkers

De Klant verleent RIADVICE een algemene toestemming om subverwerkers in te schakelen. RIADVICE legt elke subverwerker bij schriftelijke overeenkomst gegevensbeschermingsverplichtingen op die gelijkwaardig zijn aan die in deze verklaring, en blijft jegens de Klant verantwoordelijk voor haar subverwerkers. RIADVICE kondigt elke voorgenomen toevoeging of vervanging van een subverwerker aan, per e-mail of door deze lijst bij te werken, voor zover redelijkerwijs mogelijk voordat de wijziging ingaat. Een Klant kan op redelijke gronden met betrekking tot gegevensbescherming bezwaar maken. Als de partijen het bezwaar niet kunnen oplossen, kan de Klant de betreffende dienst beëindigen.

De subverwerkers die voor de gehoste en beheerde diensten worden ingezet, zijn:

Niet elke subverwerker wordt voor elke dienst ingezet. Het Bestelformulier of de platformconfiguratie van de Klant vermeldt waar de dienst van de Klant wordt gehost. Welke subverwerkers bij een specifieke dienst betrokken zijn, wordt op verzoek meegedeeld.

11. Internationale doorgiften

RIADVICE is gevestigd in Tunesië, waarvoor geen adequaatheidsbesluit van de Europese Commissie geldt. Persoonsgegevens die door een Klant in de Europese Unie of de Europese Economische Ruimte aan RIADVICE worden doorgegeven, worden beschermd door de modelcontractbepalingen die de Europese Commissie heeft vastgesteld bij Uitvoeringsbesluit (EU) 2021/914 (module twee, doorgifte van verwerkingsverantwoordelijke aan verwerker, of module drie, doorgifte van verwerker aan verwerker), aangevuld met de maatregelen in paragraaf 8. Wanneer een subverwerker persoonsgegevens buiten de Europese Unie of de Europese Economische Ruimte verwerkt, baseert RIADVICE zich op een adequaatheidsbesluit of op de modelcontractbepalingen. Doorgiften vanuit Tunesië vinden plaats onder de voorwaarden van Organieke Wet nr. 2004-63, met inbegrip van de machtiging van de INPDP wanneer die vereist is.

12. Verzoeken van betrokkenen

Op grond van de AVG hebben betrokkenen het recht op inzage, rectificatie en wissing van hun gegevens, op beperking van en bezwaar tegen de verwerking ervan, en op overdraagbaarheid van gegevens. Gebruikers van een gehoste dienst moeten eerst contact opnemen met hun organisatie, die de verwerkingsverantwoordelijke is. Als RIADVICE rechtstreeks een verzoek ontvangt, stuurt zij dit zonder onredelijke vertraging door naar de Klant en beantwoordt zij het niet zelf, tenzij de Klant haar daartoe machtigt. RIADVICE helpt de Klant bij de beantwoording, bijvoorbeeld door gegevens op te sporen, te exporteren of te wissen.

13. Teruggave en wissing

Aan het einde van de dienstverlening kan de Klant zijn gegevens exporteren zoals bepaald in artikel 25 van de Gebruiksvoorwaarden. RIADVICE wist de persoonsgegevens vervolgens uit haar actieve systemen, en uit back-ups naarmate deze in hun normale rotatie worden overschreven, tenzij de wet bewaring ervan vereist. Gegevens die in afwachting zijn van wissing uit back-ups, worden niet verder verwerkt, behalve om een systeem te herstellen. Op verzoek bevestigt RIADVICE de wissing schriftelijk.

14. Audits en informatie

RIADVICE beantwoordt redelijke schriftelijke vragen en beveiligingsvragenlijsten van Klanten over haar verwerking. Wanneer deze informatie niet volstaat om de naleving aan te tonen, kan een Klant een audit uitvoeren, zelf of via een onafhankelijke auditor die tot geheimhouding is verplicht, niet vaker dan eenmaal per jaar tenzij een inbreuk in verband met persoonsgegevens of een verzoek van een toezichthoudende autoriteit dat rechtvaardigt, met een aankondigingstermijn van ten minste dertig (30) dagen, tijdens kantooruren en zonder de diensten te verstoren of de beveiliging of vertrouwelijkheid van de gegevens van andere klanten in gevaar te brengen. Elke partij draagt haar eigen kosten, tenzij de audit een wezenlijke tekortkoming van RIADVICE aan het licht brengt.

15. Contactpunt voor gegevensbescherming

Het contactpunt voor gegevensbescherming van RIADVICE ziet toe op de naleving en beantwoordt vragen en verzoeken over persoonsgegevens via privacy@riadvice.tn.

16. Contact

Voor meer informatie over onze naleving van de AVG of over onze privacypraktijken kunt u contact opnemen via privacy@riadvice.tn of contact@riadvice.com, of schrijven naar RIADVICE SUARL, Appartement B1, Résidence Ramzi, 2074 Mourouj 5, Ben Arous, Tunisia.

Laatst bijgewerkt: 9 oktober 2026