Gegevensbeschermingsbeleid van Grassroots Economics Foundation

Werkvertaling — nog niet van kracht. Deze Nederlandse vertaling is beschikbaar voor beoordeling vóór de juridische goedkeuring. De Engelse tekst is de brontekst en heeft voorrang, tenzij het toepasselijke recht anders vereist. Lees de Engelse brontekst.

1. Doel

Grassroots Economics Foundation (GEF) respecteert de privacy en beschouwt een zorgvuldige omgang met persoonsgegevens als een verantwoordelijkheid tegenover de mensen en gemeenschappen die bij zijn werk betrokken zijn. Dit Beleid stelt minimumnormen vast voor persoonsgegevens die worden verwerkt via systemen, programma's, onderzoek, onderwijs, evenementen, partnerschappen en activiteiten van GEF, waaronder de Cosmo-Local Credit App (CLC App).

Dit Beleid is gebaseerd op de Keniaanse Data Protection Act, 2019, toepasselijke regelgeving en de actuele richtlijnen van de Office of the Data Protection Commissioner. Waar GEF werkt of waar betrokken personen zich bevinden, kunnen ook andere wetten gelden.

De Privacyverklaring van de CLC App geeft specifiekere informatie over App-velden, openbare resources, het zoeken naar ontvangers en openbare blockchaingegevens. De Gebruiksvoorwaarden regelen het gebruik van de App.

2. Toepassingsgebied

Dit Beleid geldt voor bestuurders, directieleden, medewerkers, vrijwilligers, stagiairs, opdrachtnemers, consultants, onderzoekers en andere personen die voor of namens GEF persoonsgegevens verwerken. Contracten en partnerschapsovereenkomsten moeten passende verplichtingen inzake gegevensbescherming opleggen aan dienstverleners en partners.

Het Beleid omvat persoonsgegevens in digitale, papieren, audio-, visuele, onderzoeks-, communicatie- en andere gegevens. Het geldt wanneer GEF optreedt als verwerkingsverantwoordelijke, gezamenlijke verwerkingsverantwoordelijke of verwerker. Een project moet de rol van GEF en die van andere partijen vaststellen, in plaats van aan te nemen dat één beleid iedere deelnemer beheerst.

3. Leidende beginselen

GEF verwerkt persoonsgegevens volgens de volgende beginselen:

1. Rechtmatigheid, behoorlijkheid en transparantie. Mensen ontvangen begrijpelijke informatie over wezenlijke verwerking vóór of op het moment dat hun gegevens worden verzameld, waar dit praktisch mogelijk en vereist is.
2. Doelbinding. Gegevens worden verzameld voor specifieke, uitdrukkelijk omschreven en gerechtvaardigde doeleinden en worden niet zonder rechtsgrond en passende kennisgeving op onverenigbare wijze hergebruikt.
3. Gegevensminimalisatie. GEF verzamelt en deelt alleen wat redelijkerwijs nodig is voor het vermelde doel.
4. Juistheid. Er worden redelijke maatregelen genomen om wezenlijke persoonsgegevens juist te houden en misleidende gegevens te corrigeren.
5. Opslagbeperking. Identificeerbare gegevens worden niet langer bewaard dan redelijkerwijs nodig is voor hun doel en de toepasselijke verplichtingen.
6. Integriteit en vertrouwelijkheid. Waarborgen zijn evenredig aan de gegevens, personen, context en risico's.
7. Verantwoordingsplicht. GEF documenteert belangrijke besluiten en kan aantonen hoe deze beginselen worden toegepast.
8. Participatie en waardigheid. Gegevenspraktijken moeten de zeggenschap, veiligheid, cultuur en redelijke verwachtingen van betrokken mensen en gemeenschappen respecteren.

4. Verantwoordingsplicht en verantwoordelijkheden

De bestuurs- en leidinggevende organen van GEF zijn ervoor verantwoordelijk dat privacyrisico's voldoende middelen en toezicht krijgen. Zij wijzen verantwoordelijke functies aan voor privacycoördinatie, informatiebeveiliging, archiefbeheer, onderzoeksethiek, kinderbescherming, incidentrespons en verzoeken van betrokkenen.

De verantwoordelijkheid volgt uit het betreffende werk en de bevoegdheid; zij wordt niet automatisch aan een bepaalde afdeling toegewezen. Iedereen die voor of namens GEF werkt, moet:

• dit Beleid en de procedures die voor zijn of haar rol gelden naleven;
• persoonsgegevens alleen raadplegen wanneer dit bevoegd en noodzakelijk is;
• vermoedelijk verlies, misbruik, openbaarmaking of een zwakke plek in de beveiliging onmiddellijk melden;
• verplichte training voltooien; en
• de verantwoordelijke project- of privacyleider raadplegen voordat onzekere of risicovolle verwerking begint.

GEF houdt passende registers bij van verwerkingssystemen, doeleinden, gegevenscategorieën, betrokken personen, rechtsgronden, ontvangers, overdrachten, bewaartermijnen, waarborgen en verantwoordelijke eigenaren.

5. Rechtsgronden en toestemming

Iedere verwerking moet een toepasselijke rechtsgrond hebben, zoals toestemming, uitvoering van een overeenkomst, nakoming van een wettelijke verplichting, bescherming van vitale belangen, een taak van algemeen belang wanneer die wettelijk beschikbaar is, of een gerechtvaardigd belang dat niet zwaarder wordt gewogen dan de rechten van mensen.

Het verantwoordelijke team legt de grond vóór de verzameling vast. Wanneer toestemming wordt gebruikt, moet deze geïnformeerd, specifiek en — waar vereist — vrij gegeven zijn, aantoonbaar zijn en even gemakkelijk kunnen worden ingetrokken als gegeven. Het weigeren of intrekken van toestemming mag niet leiden tot een niet bekendgemaakte benadeling.

Toestemming is niet automatisch het juiste antwoord voor iedere activiteit. GEF moet de grond gebruiken die de verwerking nauwkeurig beschrijft en aanvullende waarborgen bieden die vereist zijn voor gevoelige gegevens, kinderen, kwetsbare personen, rechtstreekse communicatie, onderzoek of internationale overdrachten.

6. Transparantie en gegevensverzameling

Voordat persoonsgegevens worden verzameld, geeft GEF informatie die past bij de doelgroep en context. Deze moet, voor zover van toepassing, uitleggen:

• wie de gegevens verzamelt en hoe contact kan worden opgenomen;
• welke gegevens worden verzameld en of deze verplicht of optioneel zijn;
• waarom ze worden gebruikt en wat de rechtsgrond is;
• wat de gevolgen zijn van het niet verstrekken van verplichte gegevens;
• wie de gegevens ontvangt en of ze internationaal kunnen worden verwerkt;
• hoe lang ze worden bewaard of hoe de bewaartermijn wordt bepaald;
• welke wezenlijke beveiligings- en vertrouwelijkheidsmaatregelen gelden;
• of informatie wordt gepubliceerd of op een openbare blockchain wordt geplaatst; en
• welke rechten en klachtmogelijkheden de persoon heeft.

GEF verzamelt gegevens gewoonlijk rechtstreeks bij de persoon. Indirecte verzameling moet een rechtsgrond, een gedocumenteerde bron en passende kennisgeving hebben, tenzij een wettelijke uitzondering geldt.

7. Gevoelige gegevens en personen met een verhoogd risico

Gegevens kunnen door hun inhoud, context, combinatie of de betrokken personen ernstige risico's opleveren. Dit omvat informatie over gezondheid, biometrie, genetica, etniciteit, religie, politiek, seksualiteit, financiën, exacte locatie, identiteit en kinderbescherming, evenals gegevens die iemand kunnen blootstellen aan discriminatie, geweld, uitsluiting, toezicht, uitbuiting of verlies.

GEF past zwaardere waarborgen toe wanneer het risico groter is. Maatregelen kunnen bestaan uit minder gegevens verzamelen, identificatoren scheiden, strengere toegangsbeperkingen, versleuteling, kortere bewaartermijnen, veiligere contactmethoden, beveiligde overdracht, beoordeling vóór openbaarmaking, specialistisch advies en een gedocumenteerde effectbeoordeling.

Teams moeten rekening houden met plaatselijke omstandigheden. Een naam, band met een gemeenschap, kaartpunt, Walletadres, foto of transactiegeschiedenis kan gevoelig zijn, ook wanneer die informatie niet in iedere wet als gevoelige persoonsgegevens wordt aangemerkt.

8. Kinderen en kinderbescherming

Voor de verwerking van gegevens van een kind zijn bijzondere zorg, een toepasselijke rechtsgrond, informatie die past bij de leeftijd en iedere vereiste toestemming van een ouder of voogd nodig. Het belang van het kind is een primaire overweging.

GEF beperkt gegevens van kinderen tot wat nodig is, beperkt de toegang, vermijdt onnodige exacte locaties of identificerende media en beoordeelt of publicatie of digitale communicatie voorzienbare schade kan veroorzaken. De omgang met gegevens moet voldoen aan het Kinderbeschermingsbeleid.

De CLC App is beperkt tot volwassenen. Dit Beleid creëert geen mogelijkheid voor een kind om zich voor de App te registreren.

9. Privacy by design en effectbeoordeling

Er moet bij het ontwerp van een project of systeem rekening worden gehouden met privacyvereisten, niet pas nadat gegevens zijn verzameld. Teams moeten vóór de start het doel, de gegevensstroom, zichtbaarheid, toegang, bewaring, verwijdering, providers, overdrachten en incidentregelingen vaststellen.

GEF voert een gegevensbeschermingseffectbeoordeling uit en legt deze vast wanneer verwerking waarschijnlijk een hoog risico oplevert. Aanleidingen zijn onder meer grootschalige of systematische monitoring, gevoelige gegevens of gegevens van kinderen, exacte locaties, nieuwe technologie, openbare koppeling, geautomatiseerde beoordeling, het combineren van datasets of onomkeerbare publicatie.

Een onopgelost hoog risico moet vóór het begin van de verwerking worden voorgelegd aan het verantwoordelijke leidinggevende of bestuursorgaan en, waar vereist, aan de bevoegde autoriteit.

10. Toegang en beveiliging

De toegang tot persoonsgegevens is beperkt op basis van functie en noodzaak. GEF kiest waarborgen die passen bij het systeem en het risico. Deze kunnen bestaan uit:

• sterke authenticatie en gecontroleerde beheerderstoegang;
• minimale toegangsrechten en scheiding van taken;
• beveiligde overdracht en passende bescherming van opgeslagen gegevens;
• ondersteunde software, updates, configuratiecontroles en beheer van kwetsbaarheden;
• logregistratie, monitoring, snelheidslimieten en detectie van misbruik;
• beveiligde back-ups, getest herstel en maatregelen voor continuïteit van de dienst;
• veilige verwijdering of vernietiging wanneer de bewaartermijn eindigt; en
• contractuele vertrouwelijkheids- en beveiligingsverplichtingen voor personeel en providers.

Beveiligingsmaatregelen worden herzien wanneer systemen, bedreigingen of risico's veranderen. Voor openbare blockchaingegevens zijn andere waarborgen nodig, omdat bevestigde gegevens gewoonlijk niet kunnen worden gewijzigd of verwijderd.

11. Dienstverleners, partners en overdrachten

Voordat een dienstverlener toegang krijgt tot persoonsgegevens, beoordeelt GEF het doel, de noodzaak, beveiliging, locatie, verdere verstrekking, verwijdering en het vermogen om wettelijke verplichtingen te ondersteunen. Schriftelijke voorwaarden moeten, waar vereist, de toegestane verwerking, vertrouwelijkheid, beveiliging, incidentmelding, subverwerking, ondersteuning, teruggave of verwijdering en toezicht vastleggen.

Een partnerschap maakt niet automatisch iedere organisatie tot verwerker. Iedere regeling moet bepalen of partijen optreden als onafhankelijke verwerkingsverantwoordelijken, gezamenlijke verwerkingsverantwoordelijken of als verwerkingsverantwoordelijke en verwerker, en mensen juist informeren over die rollen.

Internationale toegang of overdracht moet een toepasselijke rechtsgrond en passende waarborgen hebben. De betrokken teams documenteren ontvanger, bestemming, doel, gegevens, risico's en waarborgen. Openbaar gepubliceerde informatie en openbare blockchaingegevens kunnen wereldwijd worden geraadpleegd en vereisen vóór publicatie een duidelijke kennisgeving.

12. Onderzoek, statistieken en open data

GEF ondersteunt verantwoord onderzoek en open kennisdeling. Openheid betekent niet dat persoonsgegevens standaard worden gepubliceerd.

Onderzoek en werk met openbare gegevens moeten:

• de vraag, publieke waarde, rechtsgrond en minimaal benodigde gegevens vaststellen;
• waar passend aggregatie, de-identificatie, pseudonimisering, steekproeven of gecontroleerde toegang gebruiken;
• risico's van heridentificatie en schade aan groepen beoordelen, ook in combinatie met openbare gegevens;
• gedeïdentificeerde gegevens niet als anoniem voorstellen wanneer heridentificatie redelijkerwijs mogelijk blijft;
• waar vereist toestemming, ethische beoordeling, instemming van de gemeenschap of een andere rechtmatige bevoegdheid documenteren;
• regels vaststellen voor toegang, hergebruik, bronvermelding, bewaring, correctie en intrekking die bij het project passen; en
• tabellen, kaarten, verhalen, afbeeldingen en kleine groepen vóór publicatie controleren op onbedoelde openbaarmaking.

Onderzoekers en ontvangers mogen niet proberen personen opnieuw te identificeren of gegevens gebruiken om een persoon of gemeenschap schade toe te brengen, te discrimineren, uit te buiten of als doelwit te kiezen. GEF kan een publicatie beperken, corrigeren, intrekken of weigeren wanneer het risico onvoldoende wordt beheerst.

13. Juistheid, correctie en herkomst

Teams nemen redelijke maatregelen om persoonsgegevens juist te houden voor het doel waarvoor zij worden gebruikt. Mensen moeten een praktische manier hebben om wezenlijke fouten te melden.

Correcties moeten noodzakelijke herkomst-, audit- of geschilgegevens behouden zonder onjuiste informatie als actueel te blijven presenteren. Wanneer een openbare blockchain of onafhankelijk beheerde kopie niet kan worden gewijzigd, corrigeert GEF de off-chain gegevens die het beheert en legt het waar passend de technische beperking uit.

14. Bewaring en verwijdering

Ieder systeem of iedere activiteit moet een bewaarregel hebben die is gebaseerd op doel, wettelijke verplichtingen, contracten, risico, verjaringstermijnen, audit, onderzoeksintegriteit en de rechten van betrokken personen. Er wordt niet voor iedere categorie één vaste termijn gebruikt alleen omdat een partner of ander project die gebruikt.

Aan het einde van de bewaartermijn verwijdert, vernietigt, aggregeert, de-identificeert of beperkt GEF de gegevens op een veilige manier. Back-ups kunnen volgens een gedocumenteerde vervangingscyclus worden verwijderd. Een juridische bewaarplicht, kinderbeschermingskwestie, klacht, onderzoek of archief van algemeen belang kan beperkte bewaring met beperkte toegang vereisen.

GEF kan openbare blockchaingegevens of kopieën die door onafhankelijke derden worden beheerd niet verwijderen.

15. Individuele rechten en klachten

GEF biedt een praktische procedure waarmee mensen hun rechten volgens het toepasselijke recht kunnen uitoefenen, waaronder informatie, inzage, correctie, bezwaar, beperking, intrekking van toestemming, verwijdering en overdraagbaarheid waar van toepassing.

Verzoeken kunnen worden gestuurd naar [email protected]. GEF kan de identiteit en bevoegdheid van de verzoeker verifiëren en antwoordt binnen de termijn die het toepasselijke recht voorschrijft. Als een verzoek niet volledig kan worden uitgevoerd, legt GEF waar toegestaan de reden uit en wijst het op een beschikbare klachtmogelijkheid.

Mensen kunnen een klacht indienen bij de Office of the Data Protection Commissioner of een andere bevoegde autoriteit.

16. Gegevensincidenten

Iedereen die voor of namens GEF werkt, moet vermoedelijk verlies, onbevoegde toegang, openbaarmaking, wijziging, vernietiging of misbruik van persoonsgegevens onmiddellijk melden via het aangewezen incidentkanaal of aan het verantwoordelijke management.

GEF zal het incident indammen en onderzoeken, betrokken personen beschermen, passend bewijsmateriaal bewaren, het risico beoordelen, besluiten documenteren en betrokken personen, partners, verzekeraars of autoriteiten informeren wanneer dat vereist is. Informatie over een incident mag alleen worden gedeeld met mensen die deze nodig hebben voor respons, verantwoording of naleving van de wet.

17. Training, controle en handhaving

Medewerkers ontvangen privacy- en beveiligingsinformatie die bij hun rol past. Voor functies met een hoger risico is aanvullende training beschikbaar. GEF controleert periodiek systemen, toegang, kennisgevingen, providers, bewaartermijnen, incidenten en naleving van dit Beleid.

Niet-naleving van dit Beleid kan leiden tot beperkte toegang, corrigerende maatregelen, contractuele rechtsmiddelen, disciplinaire maatregelen, beëindiging van een regeling, melding aan een autoriteit of andere evenredige maatregelen.

Niemand mag represailles ondervinden omdat hij of zij te goeder trouw een privacy- of beveiligingskwestie meldt.

18. Beoordeling en contact

GEF beoordeelt dit Beleid ten minste jaarlijks en wanneer wezenlijke juridische, operationele of technische veranderingen plaatsvinden. In bijgewerkte versies worden de publicatie- en ingangsdatum vermeld.

Privacyvragen, verzoeken over rechten of zorgen kunnen worden gestuurd naar:

Grassroots Economics Foundation
P.O. Box 1659-80108
Kilifi, Kenia
[email protected]