Privacy en persoonsgegevens

YipYip voldoet aan de AVG en past privacy by design toe in projecten.

Wat we doen

• Het verwerkingsregister (registers/verwerkingsactiviteiten.yaml) beschrijft welke persoonsgegevens worden verwerkt, voor welk doel, op welke grondslag en met welke bewaartermijn (termijnen: zie 5.33).
• YipYip is verwerker voor klantdata. Met klanten wordt een verwerkersovereenkomst afgesloten wanneer YipYip persoonsgegevens in opdracht verwerkt; het overzicht staat in de Sheet “OUD 02.03.c Overzicht van contractuele verplichtingen” (zie 5.31).
• Privacy by design is onderdeel van het ontwikkelproces: dataminimalisatie, pseudonimisering en doelbinding worden meegenomen in de IB-paragraaf van de PRD (zie 5.08).
• Bij nieuwe verwerkingen met hoog risico, zoals gezondheidsgegevens, wordt beoordeeld of een DPIA nodig is; de DPIA is de verantwoordelijkheid van de klant als verwerkingsverantwoordelijke, YipYip levert input.
• Hosting en opslag van persoonsgegevens bij voorkeur in EU-regio’s; afwijking wordt per project vastgelegd (zie 8.20).
• Datalekken worden gemeld volgens 5.24; privacy komt terug in de awareness-sessies (6.03).

NEN7510 zorgspecifiek

• Z7 — Inzagerecht patiënt: ondersteuning WGBO/AVG-inzagerecht via exportfunctionaliteit

Gaps

Geen bekende gaps. Het actualiseren van het overzicht verwerkersovereenkomsten staat bij 5.31 (ISMS-269).

Bewijs

• Verwerkingsregister: registers/verwerkingsactiviteiten.yaml
• Verwerkersovereenkomsten: Sheet OUD 02.03.c
• Controleprogramma: C.27 (Jira ISMS)