Beleid rondom Privacywetgeving per 25 mei 2018

Overal waar hij/zijn staat, kan ook zij/haar gelezen worden.

Overal waar wij/ons staat, wordt het zittende bestuur van Débaldérin (dat is, het bestuur dat op dat moment in functie is) bedoeld.

Waar over het inschrijfformulier wordt gesproken, wordt het eerste deel van het formulier bedoeld, waar de persoonsgegevens op staan. Het machtigingsformulier wordt als losstaand onderdeel beschouwd.

Doel	Welke persoonsgegevens	Grondslag	Bewaartermijn	Ontvangers
Uitvoeren van lidmaatschapsovereenkomst	Naam, geboortedatum, emailadres.	Uitvoering van overeenkomst.	Tot einde lidmaatschap.	Bestuur.
Deelname aan externe toernooien/activiteiten	Naam, geboortedatum, emailadres.	Uitvoering van samenwerking met derden.	Tot einde lidmaatschap.	Bestuur.
Lidmaatschapskaart KNKV	Naam, geboortedatum, emailadres, adres.	Het kunnen inschrijven van leden bij KNKV voor deelname aan competitie.	Tot het lid geen competitie zal spelen.	Bestuur, KNKV.
Geld Thymos	Naam, sportkaartnummer.	Het kunnen bijhouden van de administratie gevraagd door Thymos zodat wij subsidie en kantinegelden ontvangen.	Tot einde lidmaatschap.	Bestuur, Thymos.
Administratie t.b.v. inning contributie	Naam, rekeningnummer.	Het kunnen betalen van financiële verplichtingen.	Zeven jaar na uitschrijving door het lid.	Bestuur, in het bijzonder penningmeester.
In geval van nood	Gegevens ouders, medische gegevens.	Goede zorg voor een lid kunnen dragen in geval van nood.	Gegevens ouders tot einde lidmaatschap, medische gegevens tot toestemming van het lid niet verlengd wordt of tot einde lidmaatschap.	Bestuur.
Promotie vereniging	Promotiemateriaal.	Kunnen publiceren van beeltenissen van activiteiten waar Débaldérin bij betrokken is.	Tien jaar in gesloten omgeving, twee jaar in het openbare deel van de website.	Bestuur.
Reunisten/donateurschap	Naam en e-mailadres.	Het kunnen onderhouden van contact met reünisten en donateurs.	Tot de reünist of donateur aangeeft niet meer benaderd te willen worden.	Bestuur.

1. Samenvatting

De belangrijkste punten op een rijtje rondom de privacywetgeving waar ook Débaldérin aan moet voldoen.

Het zittende bestuur van Débaldérin als geheel is altijd verantwoordelijk voor het beheren van gegevens. De bestuursleden zijn niet hoofdelijk aansprakelijk.
Alle gegevens worden verzameld met een reden en een bepaalde tijd die expliciet benoemd wordt in dit stuk.
Op het lidmaatschapsformulier wordt een tekst ter kennisgeving van het privacybeleid van Débaldérin toegevoegd.
Leden kunnen hun gegevens altijd inzien, wijzigen, of laten verwijderen.
De gegevens worden in een beveiligde omgeving opgeslagen.

2. Inleiding

Per 25 mei 2018 is de Algemene Verordening Gegevensbescherming (voortaan: AVG) van kracht, welke ook van invloed is op de gegevens die Débaldérin verzamelt en bewaart. Dit beleid werd pas goedgekeurd door de leden na de ingang van de Wet. Met instemming van het beleid zullen de aanpassingen echter met terugwerkende kracht worden ingevoerd.

Het bestuur van Débaldérin is ten allen tijden verantwoordelijk voor de verzameling, opslag en vernietiging van de gegevens van leden.

Onder de nieuwe wetgeving wordt van enkele thema’s gevraagd deze expliciet te noemen in het beleid van de organisatie, welke hieronder besproken zullen worden.

3. Doel van verzameling van gegevens

Hieronder volgt een verantwoording van de gegevens die wij verzamelen op het inschrijvingsformulier.

De persoonlijke gegevens die van een lid worden verzameld, zijn: naam, adres, (mobiel) telefoonnummer, geboortedatum, e-mailadres en datum van inschrijven. Deze gegevens verzamelen wij ten behoeve van het correct kunnen registreren van onze leden en om goede communicatie met onze leden te kunnen garanderen. Ook kunnen deze gegevens worden doorgegeven aan Sportstichting Wageningen Universiteit Thymos (vanaf hier SWU Thymos) voor de subsidie die Débaldérin ontvangt aan de hand van de sportrechten, zie ook verdere uitleg onder sportkaartnummer verderop. Daarnaast zal, met toestemming van de leden, deze informatie gebruikt worden voor opgave van spelerskaarten bij het Koninklijk Nederlands Korfbalverbond (vanaf hier KNKV). Met instemming van de privacyregeling mogen deze gegevens ook verstrekt worden aan andere studenten korfbalverenigingen (vanaf hier SKV’s) bij opgave voor toernooien.
De geboortedatum wordt doorgegeven aan voorzitters van alle commissies zodat het alcoholbeleid correct uitgevoerd kan worden.
Verstrekking van gegevens aan het KNKV gebeurt op basis van deze privacyverklaring. Aangezien het lid dan technisch gezien een apart lidmaatschap aangaat met het KNKV, valt de verwerking en opslag van deze gegevens onder het KNKV, en logischerwijs onder hun privacyverklaring. Débaldérin heeft dan ook geen verwerkerscontract met het KNKV (bron: brief van KNKV van 25-05-2018). Logischerwijs geldt dit niet voor leden die niet bij het KNKV ingeschreven staan.
De gegevens van de ouders van een lid worden verzameld om in geval van nood de ouders van een lid te kunnen bereiken. Zoals vermeld op het formulier wordt het e-mailadres van de ouders ook verzameld ten behoeve van het donateurschap. Het lid is niet verplicht dit in te vullen.
Medische gegevens en/of bijzonderheden worden op een formulier apart van het lidmaatschapsformulier aan een lid gevraagd om in geval van nood goede zorg aan een lid te kunnen verstrekken. Het losse formulier dient om de jaarlijks te controleren gegevens makkelijk te kunnen vernietigen. Een lid dat dit formulier invult, wordt elk jaar gevraagd of wij deze mogen blijven opslaan. Dit kan via schriftelijke toestemming via mail of Whatsapp.
Het sportkaartnummer van een lid wordt verzameld om goede communicatie met Thymos te kunnen garanderen over het aantal leden met sportrechten. Voor de opslag van deze gegevens door Thymos geldt eenzelfde constructie als met het KNKV: de gegevens worden met toestemming door het bestuur van Débaldérin aan Thymos doorgegeven, welke zij onder werking van haar eigen privacyverklaring opslaat.
Het registratienummer van de universiteit en de studie van een lid zullen wij niet langer verzamelen, aangezien de toegevoegde waarde hiervan onduidelijk lijkt. Deze gegevens zullen daarom ook uit oude ledenlijsten verwijderd worden.
De overige gegevens (korfbal ervaring, scheidsrechters ervaring, de manier waarop het nieuwe lid met Débaldérin in aanraking is gekomen) zijn optioneel om in te vullen door het lid. Wij verzamelen deze gegevens, indien ingevuld, om een beeld te schetsen van een lid. Op deze manier kunnen wij iemand bijvoorbeeld vragen om bepaalde functies (bijv. speler van Débaldérin 1, scheidsrechter) te gaan vervullen en weten wij waar onze sterke punten liggen qua promotie evenals mogelijke verbeterpunten hierin.
Onderaan het reguliere inschrijfformulier zal gevraagd worden of een nieuw lid zijn handtekening wil zetten, zodat hij/zij aangeeft dat hij/zij begrijpt waar bovenstaand besproken persoonsgegevens voor gebruikt zullen worden binnen de vereniging. De begeleidende tekst hierbij zal zijn:

Gegevens worden nooit aan derden verstrekt zonder de expliciete toestemming van ondergetekende. Persoonsgegevens worden uitsluitend gebruikt voor de doeleinden die expliciet gedefinieerd zijn door W.S.K.V. Débaldérin in haar privacybeleid, welke te vinden zijn op de website van W.S.K.V. Débaldérin of op te vragen bij het bestuur. Ondergetekende gaat akkoord met de opslag en distributie van persoonsgegevens en beeldmateriaal als beschreven in het privacybeleid van W.S.K.V. Débaldérin en met daaraan gelinkte voorwaarden, en is op de hoogte van zijn/haar rechten onder de Algemene Verordening Gegevensbescherming van 2016.

Het machtigingsformulier staat in zijn geheel in beheer van de penningmeester. Alle gegevens hierop worden verzameld ten bate van de incasso van verenigingsgelden, of het zo soepel mogelijk laten verlopen hiervan. Ook op dit formulier zal een voorstel gelijk aan die van het reguliere inschrijfformulier toegevoegd worden en bekrachtigd worden met handtekening. Het is geen verplichting voor leden om het incassoformulier in te vullen, maar het wordt wel ten strengste aangeraden.

4. Opslag van gegevens

In dit stuk zal gedefinieerd worden hoe de persoonsgegevens van leden opgeslagen zullen worden, zowel digitaal als op papier. Alle gegevens worden opgeslagen voor de tijd dat een persoon lid is. Uitzondering is het oud-ledenarchief en de financiële gegevens, zoals hieronder uitgelegd.

Aangezien het niet langer toegestaan is om persoonsgegevens via commerciële cloud opslag (Google Drive, Dropbox) op te slaan, zal het bestuur er op toe zien dat:

Oud-besturen alle persoonsgegevens, zoals ledenlijsten, van hun cloud zullen verwijderen.
Alle digitale gegevens naar een veilige digitale omgeving verplaatst worden. Bestanden met privacygevoelige informatie worden door voorzitter en secretaris offline op hun laptop of harde schijf van computer bewaard.
Het papieren archief bewaard zal worden door de secretaris. Indien een lid zich uitschrijft, wordt het fysieke inschrijfformulier vernietigd op een manier die de gegevens onbruikbaar maakt, denk aan versnipperen of vergelijkbare methodes.
Het machtigingsformulier bewaard zal worden door de penningmeester. Indien een lid zich uitschrijft én indien het lid aan alle financiële verplichtingen voldaan heeft die mogelijk nog open staan, wordt het machtigingsformulier vanaf dan nog zeven jaar bewaard zoals voorgeschreven. Dit financiële oud-leden archief wordt door de penningmeester bewaard.
Het archief met oud-leden én ereleden slechts zal bestaan uit naam, e-mailadres en datum van uitschrijven, met als enige doel het onderhouden van contact met oud-leden en, indien van toepassing, uitnodiging voor evenementen zoals reünies. Deze gegevens worden alleen bewaard na toestemming van het oud-lid, en zullen worden bewaard in de hierboven benoemde beveiligde digitale omgeving. Deze gegevens worden bewaard tot een oud-lid of erelid zijn toestemming intrekt. Indien het adres van deze mensen nodig is, wordt dit opgevraagd door de commissie die dit nodig heeft.
Indien een lid van de KasControleCommissie (voortaan: KCC) of Commissie van Advies (voortaan: CvA) zich besluit uit te schrijven, worden haar gegevens bewaard tot zij uit de KCC of CvA treedt. Dit om een goede continuïteit van de KCC en CvA te kunnen waarborgen.

5. Rechten van betrokkenen

Een (oud-)lid kan zijn of haar persoonsgegevens op verzoek inzien, wijzigen, of laten vernietigen bij de secretaris. Bij vernietiging van alle gegevens beëindigt een huidig lid automatisch zijn lidmaatschap bij Débaldérin, na aan alle eventueel openstaande financiële verplichtingen voldaan te hebben, aangezien wij dan geen juiste manier van lidmaatschap kunnen voeren. Gegevens van andere leden kunnen bij het bestuur alleen verkregen of verspreid worden met expliciete toestemming van het betreffende lid. Specificatie van de rechten van betrokkenen zijn te vinden in de Algemene Verordening Gegevensbescherming van 2016.

6. Beleid rondom beeltenissen van mensen

Leden van Débaldérin zijn zich bewust van de mogelijkheid dat zij tijdens activiteiten van Débaldérin op de foto kunnen worden gezet en/of gefilmd kunnen worden. Deze kunnen gepubliceerd worden op één van de media van Débaldérin (bijv. website, Facebook, almanak, e-mail). Hetzelfde geldt voor het noemen van namen of handelingen in verslagen gepubliceerd via dezelfde media. Door het lidmaatschapsformulier te ondertekenen en/of door acceptatie van het beleid na de ALV van 28 mei 2018, gaan de leden hiermee akkoord.

Leden die een beeltenis of benoeming van zichzelf op één of meerdere media behorende tot Débaldérin willen laten verwijderen, kunnen dit verzoek bij het bestuur indienen. Het bestuur dient hier ten allen tijden gehoor aan te geven.
Beeltenissen die worden gepubliceerd in de afgesloten omgeving op de website kunnen maximaal tien jaar bewaard worden. Beeltenissen op het openbare gedeelte van de website worden na twee jaar verwijderd.
Beeltenissen op verdere social media kan voor ongedefinieerde tijd op deze media blijven staan.

Externe bezoekers van activiteiten van Débaldérin hebben dezelfde rechten rondom hun beeltenissen als leden. Zij worden hier voor aanvang of bij de introductie van de activiteit (welkomstpraatje o.i.d.) over hun rechten geïnformeerd; dit kan mondeling, schriftelijk of digitaal.

7. Laatste opmerkingen

Leden, oud-leden en ereleden van wie er al data bekend waren vóór de invoering van het privacybeleid van Débaldérin op 28 mei worden geïnformeerd over de invoering van dit beleid. Ook moeten zij actief toestemming geven voor de verwerking van hun gegevens zoals hierboven beschreven.

Het bestuur van Débaldérin behoudt zich het recht om wijzigingen in het privacybeleid aan te brengen indien zij dit nodig acht. Dit dient op de eerstvolgende ALV besproken te worden.