Dit aanvullende privacy statement vormt een geheel met het Privacystatement DNZ Algemeen en beschrijft hoe DNZ omgaat met persoonsgegevens die worden verwerkt in het kader van HR en relatiemanagement. Wij hechten veel waarde aan privacy en bescherming van persoonlijke informatie, en handelen conform de AVG en relevante Nederlandse wetgeving.

Toepassing

Dit aanvullende privacy statement is van toepassing op de verwerking van persoonsgegevens van:

• Sollicitanten en kandidaten;
• Medewerkers en voormalig medewerkers;
• Zelfstandige zorgprofessionals en opdrachtnemers;
• Contactpersonen bij zakelijke relaties, leveranciers en opdrachtgevers.

Medewerkers, zorgprofessionals en sollicitanten

DNZ verwerkt persoonsgegevens van sollicitanten, medewerkers en zorgprofessionals voor zover noodzakelijk:

• Voor werving, selectie en beoordeling van geschiktheid voor een functie of opdracht;
• Voor het aangaan, uitvoeren en beëindigen van een arbeidsovereenkomst, overeenkomst van opdracht of andere arbeids- of samenwerkingsrelatie;
• Voor de personeels-, salaris- en financiële administratie;
• Voor planning, inzetbaarheid, scholing en professionele ontwikkeling;
• Om te voldoen aan verplichtingen op het gebied van arbeidsomstandigheden, verzuim en re-integratie;
• Voor het beoordelen van de toepasselijkheid van subsidie-, premie- of andere wettelijke regelingen;
• Voor het verlenen en beheren van toegang tot systemen en digitale omgevingen;
• Voor kwaliteits-, integriteits- en veiligheidsdoeleinden;
• Om te voldoen aan wettelijke en contractuele verplichtingen.

Welke persoonsgegevens

Afhankelijk van de arbeids-, sollicitatie- of samenwerkingsrelatie kan DNZ onder meer de volgende persoonsgegevens verwerken:

• Identificatie- en contactgegevens: naam, adres, woonplaats, e-mailadres, telefoonnummer, geboortedatum en -plaats, nationaliteit;
• Sollicitatie- en professionele gegevens: CV, werkervaring, opleidingen, diploma’s, scholing, getuigschriften, referenties en beschikbaarheid;
• Arbeids- en administratieve gegevens: functie, contractgegevens, verlof, planning en inzetbaarheid;
• Financiële en fiscale gegevens: bankrekeningnummer, BSN en gegevens die noodzakelijk zijn voor salaris- en belastingadministratie;
• Wettelijk vereiste documenten: identiteitsbewijs, werk- en verblijfsvergunning;
• VOG en integriteitsgegevens: gegevens die noodzakelijk zijn om vast te stellen dat aan voor de functie of opdracht geldende integriteits- of wettelijke eisen wordt voldaan.
• Beroeps- en registratiegegevens: relevante beroepsregistraties, verzekeringsgegevens, KvK-gegevens en andere voor de functie of opdracht vereiste registraties;
• Systeem- en toegangsgegevens: gebruikersnaam, autorisatie- en loggegevens.

Voor toegang tot besloten digitale omgevingen verwerkt DNZ tevens gebruikers-, authenticatie-, autorisatie- en loggegevens.

Andere persoonsgegevens dan hierboven vermeld hebben wij niet nodig om onze HR-werkzaamheden te verrichten. DNZ verzoekt sollicitanten en kandidaten om uitsluitend persoonsgegevens te verstrekken die relevant en noodzakelijk zijn voor de betreffende functie of opdracht. Wij verzoeken je in het bijzonder om geen bijzondere persoonsgegevens in je CV of andere sollicitatiedocumenten op te nemen, tenzij DNZ daar uitdrukkelijk en op geldige juridische grond om heeft gevraagd. Wanneer ongevraagd niet-noodzakelijke persoonsgegevens worden ontvangen, worden deze voor zover mogelijk niet verder verwerkt en verwijderd.

Bijzondere persoonsgegevens

DNZ verwerkt bijzondere persoonsgegevens, waaronder gezondheidsgegevens, uitsluitend wanneer dit noodzakelijk en wettelijk toegestaan is. Naast een grondslag uit artikel 6 AVG moet daarvoor een toepasselijke uitzondering uit artikel 9 AVG bestaan.

In het kader van arbeidsrechtelijke verplichtingen, arbeidsomstandigheden, verzuim en re-integratie verwerkt DNZ uitsluitend die gezondheidsgegevens die zij als werkgever volgens de toepasselijke wet- en regelgeving mag of moet verwerken. Medische informatie die uitsluitend door een bedrijfsarts of arbodienst mag worden verwerkt, wordt niet door DNZ zelf verwerkt.

Strafrechtelijke persoonsgegevens

Voor functies of opdrachten waarvoor dit noodzakelijk of wettelijk vereist is, kan DNZ verlangen dat een Verklaring Omtrent het Gedrag (VOG) wordt overgelegd. Strafrechtelijke persoonsgegevens worden uitsluitend verwerkt wanneer dit wettelijk is toegestaan en onder de daarvoor geldende voorwaarden uit de AVG en UAVG.

Grondslagen voor verwerking

DNZ verwerkt persoonsgegevens uitsluitend wanneer daarvoor een geldige grondslag bestaat. Afhankelijk van het doel kan de verwerking zijn gebaseerd op:

• Het nemen van maatregelen op verzoek van de betrokkene voorafgaand aan het sluiten van een overeenkomst, bijvoorbeeld tijdens een sollicitatie- of selectieprocedure;
• De uitvoering van een arbeidsovereenkomst, overeenkomst van opdracht of andere overeenkomst;
• Het voldoen aan een wettelijke verplichting, bijvoorbeeld op het gebied van belastingen, sociale zekerheid, arbeidsomstandigheden of re-integratie;
• Een gerechtvaardigd belang van DNZ of een derde, bijvoorbeeld voor informatiebeveiliging, bedrijfsvoering, kwaliteitsbewaking of relatiebeheer, waarbij de belangen en privacyrechten van de betrokkene worden afgewogen;
• Toestemming, uitsluitend wanneer toestemming voor de betreffende verwerking een geldige en passende grondslag is.

Zakelijke relaties en opdrachtgevers

DNZ verzamelt persoonsgegevens over zakelijke relaties en opdrachtgevers voor de volgende doeleinden:

• Om hen gebruik te kunnen laten maken van onze dienstverlening of gebruik te kunnen maken van hun dienstverlening;
• Om een zakelijke relatie aan te gaan en te onderhouden;
• Om zorgopdrachten overeen te komen en/of uit te kunnen (laten) voeren;
• Om te informeren over onze dienstverlening en overige activiteiten (bijvoorbeeld via e-mail, nieuwsbrieven);
• Om aan geldende wet- en regelgeving te kunnen voldoen.

Welke (persoons)gegevens

DNZ kan de volgende gegevens verwerken van zakelijke relaties en opdrachtgevers:

• Naam en zakelijke contactgegevens;
• Functie en organisatie;
• Zakelijke adresgegevens;
• E-mailadres en telefoonnummer;
• Gegevens die noodzakelijk zijn voor het onderhouden en uitvoeren van de zakelijke relatie.

Grondslagen voor verwerking

Persoonsgegevens van zakelijke relaties worden, afhankelijk van het doel, verwerkt voor de uitvoering van een overeenkomst of het nemen van maatregelen voorafgaand aan het sluiten daarvan, om te voldoen aan wettelijke verplichtingen of op basis van het gerechtvaardigd belang van DNZ of een derde bij het aangaan en onderhouden van zakelijke relaties en het uitvoeren van de bedrijfsvoering. Wanneer voor een specifieke verwerking toestemming vereist is, wordt de verwerking op die toestemming gebaseerd.

Bewaartermijnen

Bij het bewaren van persoonsgegevens is het uitgangspunt dat wij gegevens niet langer bewaren dan noodzakelijk is voor het doel waarvoor wij ze verwerken en uiteraard worden daarbij de wettelijke bewaartermijnen in acht genomen. Na de (wettelijke) bewaarperiode worden jouw persoonsgegevens vernietigd.

De persoonsgegevens van contactpersonen bij zakelijke relaties worden uiterlijk twee jaar nadat de desbetreffende transactie is afgehandeld verwijderd, tenzij wij de gegevens langer moeten bewaren ter voldoening aan een wettelijke bewaarplicht (zoals fiscale bewaarplichten) of de contractrelatie langer voortduurt.

Persoonsgegevens van sollicitanten die niet in dienst treden of geen opdracht voor DNZ uitvoeren, worden in beginsel uiterlijk vier weken na beëindiging van de sollicitatie- of selectieprocedure verwijderd. Wanneer DNZ de gegevens langer wil bewaren met het oog op toekomstige vacatures of opdrachten, worden hierover vooraf passende afspraken gemaakt en worden de gegevens niet langer bewaard dan voor dat doel noodzakelijk.

Gegevens van zorgprofessionals die zich bij DNZ hebben ingeschreven en beschikbaar willen blijven voor toekomstige opdrachten, worden bewaard zolang deze inschrijving actief is en periodiek wordt beoordeeld of de gegevens nog actueel en noodzakelijk zijn. Wanneer de professional aangeeft niet langer beschikbaar te willen zijn, worden de gegevens verwijderd, behoudens gegevens die DNZ op grond van een wettelijke verplichting of voor de afwikkeling van een eerdere overeenkomst moet bewaren.

Na beëindiging van een arbeids- of opdrachtovereenkomst bewaart DNZ persoonsgegevens niet langer dan noodzakelijk. Voor verschillende onderdelen van het persoonsdossier gelden verschillende wettelijke of door DNZ vastgestelde bewaartermijnen.

Gegevens waarvoor geen specifieke wettelijke bewaartermijn geldt, worden in beginsel uiterlijk twee jaar na beëindiging van de arbeids- of opdrachtrelatie verwijderd, tenzij DNZ een aantoonbare noodzaak en geldige grondslag heeft om deze langer te bewaren.

Specifieke bewaartermijnen

• Gegevens in verband met ziekteverzuim en re-integratie worden niet langer bewaard dan noodzakelijk en worden verwijderd overeenkomstig de daarvoor geldende wettelijke bewaartermijnen en het bewaartermijnenbeleid van DNZ. Indien gegevens noodzakelijk zijn voor de vaststelling, uitoefening of onderbouwing van een rechtsvordering, kunnen relevante gegevens langer worden bewaard voor zover de AVG dit toestaat.
• Voor gegevens die onderdeel uitmaken van de administratie waarvoor een fiscale bewaarplicht geldt, geldt in beginsel de daarvoor geldende wettelijke bewaartermijn.
• Voor gegevens die DNZ op grond van fiscale, arbeidsrechtelijke of andere wettelijke verplichtingen moet bewaren, hanteert DNZ de daarvoor geldende wettelijke bewaartermijn. Deze termijnen zijn nader vastgelegd in het interne bewaartermijnenregister.

Indien een bepaald persoonsgegeven voor wat betreft de verplichte bewaartermijn onder meerdere wettelijke regelingen valt, dan wordt de bewaartermijn aangehouden die als laatste afloopt.

Beveiliging en toegang

DNZ neemt passende technische en organisatorische maatregelen om gegevens te beschermen tegen verlies, misbruik of onbevoegde toegang, die worden omschreven in het Privacystatement DNZ Algemeen. Bovendien zijn medewerkers en tijdelijke krachten gebonden aan geheimhoudingsplicht, met uitzondering van die situaties waarin er een wettelijke verplichting bestaat om specifieke gegevens te delen met anderen.

Verstrekking aan derden

Wij kunnen jouw persoonsgegevens delen met derde partijen. Zo kunnen wij jouw persoonsgegevens verstrekken aan derden wanneer dit nodig is in het kader van onze rol als werkgever en ter uitvoering van de dagelijkse werkzaamheden. Denk hierbij aan ICT-leveranciers van de systemen waarmee we werken, salaris- en HR-dienstverleners, pensioenfondsen, verzekeraars, de arbodienst, opleidings- en screeningsorganisaties, voor zover noodzakelijk, accountants, opdrachtgevers, voor zover noodzakelijk voor de inzet van een medewerker of zorgprofessional en het UWV.

Wanneer dit noodzakelijk is voor het beoordelen, aangaan of uitvoeren van een opdracht, kan DNZ relevante persoonsgegevens en professionele gegevens van een zorgprofessional verstrekken aan een (potentiële) opdrachtgever. DNZ beperkt deze verstrekking tot de gegevens die voor dat doel noodzakelijk zijn.
Daarnaast kunnen wij jouw persoonsgegevens verstrekken aan derden wanneer dit nodig is om aan een wettelijke verplichting te voldoen (zoals aan de Belastingdienst in het kader van onze fiscale administratie of aan de Inspectie Gezondheidszorg en Jeugd (IGJ) in het kader van een onderzoeksrapportage geweld in de zorgrelatie door een zorgverlener richting een cliënt).

Indien relevant, hebben wij met al deze derden afspraken gemaakt om te zorgen dat zij op een zorgvuldige manier met uw persoonsgegevens omgaan. De rol van een derde verschilt per situatie. Partijen die uitsluitend namens DNZ persoonsgegevens verwerken, zijn verwerker. Met deze partijen sluit DNZ waar vereist een verwerkersovereenkomst conform artikel 28 AVG. Andere partijen, zoals UWV, Belastingdienst, pensioenuitvoerders, arbodiensten, toezichthouders en in bepaalde gevallen opdrachtgevers, kunnen zelfstandig verwerkingsverantwoordelijke zijn. Zij zijn dan zelf verantwoordelijk voor de verwerking die zij uitvoeren.

Internationale doorgifte

DNZ verwerkt persoonsgegevens in beginsel binnen de Europese Unie. Indien gebruik wordt gemaakt van leveranciers die gegevens (mogelijk) buiten de EU verwerken, bijvoorbeeld internationale cloudproviders, gebeurt dit uitsluitend wanneer sprake is van passende waarborgen conform artikel 46 van de AVG. Dit kan via het Data Privacy Framework of via door de Europese Commissie goedgekeurde standaardcontractbepalingen (SCC’s). In de verwerkersovereenkomst wordt vastgelegd welke waarborgen getroffen zijn en betrokkenen kunnen desgewenst nadere informatie ontvangen hierover.

Vragen en klachten

Natuurlijk helpen wij graag als je vragen of klachten hebt over de wijze waarop wij omgaan met je persoonsgegevens. Je kunt dit doen door contact met ons op te nemen via de mail (privacy@dnzorg.nl) of per post:

De Nieuwe Zorgorganisatie
t.a.v. de Privacy Officer
Hanzelaan 230A
8017 JJ Zwolle

Voor de procedures, reactietermijnen en de mogelijkheid om een klacht in te dienen bij de Autoriteit Persoonsgegevens verwijzen wij naar het Privacystatement DNZ Algemeen.

Overig

Voor informatie over de wijze waarop DNZ omgaat met beveiligingsincidenten en datalekken, waaronder registratie in het datalekregister en eventuele melding aan de Autoriteit Persoonsgegevens en betrokkenen, verwijzen wij eveneens naar het Privacystatement DNZ Algemeen.

Wijzigingen

Het kan zijn dat wij de wijze waarop wij omgaan met persoonsgegevens aanpassen. In dat geval veranderen wij de relevante privacy statements. Daarom adviseren wij om regelmatig te kijken of er een nieuwe versie is gepubliceerd.

Dit privacystatement is vastgesteld door het bestuur van DNZ en treedt in werking op 16 september 2026.