Privacybeleid

1. Inleiding

HCPC Brands Europe B.V. ("HCPC Brands", "wij", "ons", "onze"), geregistreerd in Nederland op Papaverweg 34, 1032 KJ Amsterdam, respecteert uw privacy en zet zich in voor de bescherming van de persoonsgegevens die u met ons deelt. Dit beleid legt uit welke persoonsgegevens wij verzamelen, waarom, hoe wij ze gebruiken en welke rechten u heeft op grond van de Algemene verordening gegevensbescherming (EU) 2016/679 ("AVG") en de Nederlandse Uitvoeringswet AVG (UAVG).

2. Verwerkingsverantwoordelijke

Bedrijf	HCPC Brands Europe B.V.
Adres	Papaverweg 34, 1032 KJ Amsterdam, Netherlands
E-mail	privacy@hcpcbrands.com

3. Welke persoonsgegevens wij verzamelen

• Naam, functie, werkgever, e-mail, telefoon en postadres die u aan ons verstrekt
• Informatie die u via ons contactformulier verstuurt, inclusief productportfolio en regelgevingsvereisten
• Gegevens in het kader van een Responsible Person-mandaat, waaronder formuleringsgegevens en PIF's
• Gegevens uit een cosmetovigilantiemelding of consumentenklacht, die gegevens over gezondheid kunnen bevatten en, als de melder die verstrekt, diens contactgegevens
• Automatisch verzamelde websitegegevens: IP-adres, browsertype, bezochte pagina's, de taalvoorkeurcookie, en het IP-adres en de browsergegevens die bij het laden van webfonts of van de optionele kaart naar Google worden verzonden

4. Doeleinden en grondslag

• Uitvoering van een overeenkomst - voor het leveren van RP-, PIF-, CPSR-, cosmetovigilantie-, VIB-, UFI/PCN-, EU-vertegenwoordigings- en GPSR-diensten
• Gerechtvaardigd belang - om te reageren op aanvragen, zakelijke relaties te onderhouden en informatie over onze diensten aan zakelijke contacten te sturen; tegen die marketing kunt u te allen tijde bezwaar maken, waarna wij stoppen. Elektronische reclame versturen wij alleen waar de toepasselijke communicatieregels dat toelaten, met toestemming waar die vereist is of op grond van een geldende wettelijke uitzondering
• Wettelijke verplichting - om te voldoen aan de meldplichten uit Verordening (EG) 1223/2009
• Toestemming - voor niet-essentiële cookies en het optioneel laden van de kaart; altijd intrekbaar
• Gezondheidsgegevens (artikel 9 AVG) - een cosmetovigilantiemelding kan gegevens over gezondheid bevatten; daarvoor zijn een grondslag uit artikel 6 en een voorwaarde uit artikel 9, lid 2 nodig. Die twee zijn niet uitwisselbaar. Voor de wettelijke plicht om ernstige ongewenste effecten te beoordelen en te melden baseren wij ons op artikel 6(1)(c) samen met artikel 9(2)(i): verwerking noodzakelijk om redenen van algemeen belang op het gebied van de volksgezondheid, op grond van Unierecht - artikel 23 van Verordening (EG) nr. 1223/2009 - met de waarborgen die artikel 9(2)(i) verlangt: beperkte toegang, beroepsgeheim, pseudonimisering zodra identificatie niet langer nodig is, en bewaring die tot het vigilantiedoel is begrensd. Voor optionele verwerkingen buiten onze wettelijke vigilantieplichten vragen wij vóór de verwerking van herleidbare gezondheidsgegevens uitdrukkelijke, geïnformeerde toestemming, voor zover toestemming onder de artikelen 6 en 9 een passende grondslag is. Het ongevraagd ontvangen van gezondheidsinformatie is op zichzelf geen toestemming: wij vragen die afzonderlijk en voor een omschreven doel, en leggen vast wanneer zij is gegeven en hoe zij kan worden ingetrokken. Gepseudonimiseerde gezondheidsgegevens blijven onder de AVG vallen, inclusief de artikelen 6 en 9. Alleen werkelijk geanonimiseerde gegevens vallen daarbuiten. Wij wissen of anonimiseren gegevens zodra bewaring niet langer noodzakelijk is; voortgezette gepseudonimiseerde bewaring vergt een gedocumenteerd doel, een grondslag en een bewaartermijn.

Overzicht per verwerking

De tabel hieronder vermeldt per categorie persoonsgegevens waarom wij die verwerken, op welke grondslag, wie ze ontvangt, hoe lang wij ze bewaren en of ze de Europese Economische Ruimte verlaten. Wordt een categorie voor meer dan één doel verwerkt, dan geldt per doel een eigen grondslag en een eigen bewaartermijn.

Gegevenscategorie	Doel	Grondslag	Ontvangers	Bewaartermijn	Buiten de EER
Contactgegevens van medewerkers van de klant (naam, functie, werkgever, e-mail, telefoon)	Het leveren van de afgesproken diensten en de communicatie daarover	Uitvoering van een overeenkomst (art. 6(1)(b)) waar de betrokkene zelf partij is bij die overeenkomst; anders gerechtvaardigd belang (art. 6(1)(f)) bij de uitvoering van de opdracht met de klantorganisatie	Onze eigen medewerkers; onze IT- en hostingpartners als verwerker	Gedurende de opdracht en daarna uitsluitend zolang het betreffende gegeven nog nodig is; maakt een gegeven deel uit van onze financiële administratie, dan geldt daarvoor de termijn uit de rij over die administratie	Doorgifte buiten de EER vereist een toepasselijk mechanisme uit hoofdstuk V AVG, zoals een adequaatheidsbesluit dat de ontvanger dekt of passende waarborgen uit artikel 46. Het toepasselijke mechanisme hangt af van de ontvanger, het land en de dienst.
Aanvraaggegevens uit het contactformulier	Het beantwoorden van de aanvraag en, als die daartoe leidt, het voorbereiden van een opdracht	Gerechtvaardigd belang (art. 6(1)(f)); stappen vóór het sluiten van een overeenkomst (art. 6(1)(b)) uitsluitend jegens degene die zelf partij bij die overeenkomst zou worden	Onze eigen medewerkers; onze IT- en hostingpartners als verwerker	Twee jaar na het laatste contact, tenzij een contractuele relatie volgt	Nee
Cosmetische dossiergegevens (formuleringen, PIF, veiligheidsrapport, CPNP-melding)	Het samenstellen en onderhouden van het dossier en het melden van het product	Artikel 6(1)(c) AVG voor zover een wettelijke verplichting op HCPC in de betreffende rol rust; artikel 6(1)(b) uitsluitend waar noodzakelijk voor een overeenkomst met de betrokkene zelf; anders artikel 6(1)(f) voor zover gerechtvaardigd door het belang bij uitvoering van de klantopdracht.	Bevoegde autoriteiten; de voor de CPSR ingeschakelde veiligheidsbeoordelaar; het CPNP-portaal	Tien jaar na de datum waarop de laatste partij in de handel is gebracht (art. 11 van Verordening (EG) nr. 1223/2009)	Nee
Chemische dossiergegevens (veiligheidsinformatiebladen, C&L- en PCN-meldingen)	Het opstellen van de documentatie en het doen van de vereiste meldingen	Artikel 6(1)(c) AVG voor zover een wettelijke verplichting op HCPC in de betreffende rol rust; artikel 6(1)(b) uitsluitend waar noodzakelijk voor een overeenkomst met de betrokkene zelf; anders artikel 6(1)(f) voor zover gerechtvaardigd door het belang bij uitvoering van de klantopdracht.	Bevoegde autoriteiten en gifcentra; ECHA-portalen waar vereist	Op grond van artikel 36 REACH moet de partij op wie de betreffende verplichting rust de informatie die nodig is om aan haar REACH-verplichtingen te voldoen ten minste tien jaar bewaren nadat zij de stof of het mengsel voor het laatst heeft vervaardigd, ingevoerd, geleverd of gebruikt, naargelang de toepasselijke handeling. Dit bepaalt niet automatisch de bewaartermijn van ieder persoonsgegeven of PCN-document.	Nee
Cosmetovigilantiemeldingen, inclusief gegevens over gezondheid	Het beoordelen, melden en opvolgen van ongewenste effecten	Wettelijke verplichting (art. 6(1)(c)) met art. 9(2)(i); uitdrukkelijke toestemming (art. 6(1)(a) met art. 9(2)(a)) voor optionele verwerking buiten die plicht	Bevoegde autoriteiten; de veiligheidsbeoordelaar waar de beoordeling dat vergt; de klant wiens product de casus betreft	Uitsluitend zolang de casus dat vergt; de wettelijk vereiste vastlegging blijft in het dossier gedurende de termijn uit de rij over cosmetische dossiergegevens	Doorgifte buiten de EER vereist een toepasselijk mechanisme uit hoofdstuk V AVG, zoals een adequaatheidsbesluit dat de ontvanger dekt of passende waarborgen uit artikel 46. Het toepasselijke mechanisme hangt af van de ontvanger, het land en de dienst.
Facturatie- en contractgegevens	Het administreren van de opdracht en het voldoen aan onze boekhoudplichten	Artikel 6(1)(c) AVG voor zover een wettelijke verplichting op HCPC in de betreffende rol rust; artikel 6(1)(b) uitsluitend waar noodzakelijk voor een overeenkomst met de betrokkene zelf; anders artikel 6(1)(f) voor zover gerechtvaardigd door het belang bij uitvoering van de klantopdracht.	Onze accountant en de Belastingdienst waar vereist	Zeven jaar, de Nederlandse wettelijke bewaartermijn voor de administratie	Nee
Serverlogs, inclusief IP-adres	Het beschikbaar en veilig houden van de website	Gerechtvaardigd belang (art. 6(1)(f)) bij beveiliging en beschikbaarheid	Onze hostingpartner als verwerker	Niet langer dan nodig om incidenten te signaleren en te onderzoeken, en in elk geval niet langer dan twaalf maanden; de exacte termijn volgt de instelling op het hostingplatform en bevestigen wij op verzoek	Nee
Taalvoorkeurcookie	De site tonen in de taal die u hebt gekozen	Strikt noodzakelijk voor een door u gevraagde dienst; geen toestemming vereist	Onze eigen website; de waarde van de cookie wordt bij elk verzoek naar onze server meegestuurd zodat de juiste taalversie wordt getoond	Eén jaar vanaf het moment van plaatsen, tenzij u de cookie eerder wist; de exacte vervaldatum ziet u in uw browser	Nee
IP-adres en browsergegevens die worden verzonden bij het laden van webfonts	Het weergeven van de typografie van de site	Gerechtvaardigd belang (art. 6(1)(f)) bij een consistente weergave. De typografie wordt geladen via Google Fonts, waardoor uw IP-adres bij Google terechtkomt; dezelfde lettertypen vanaf onze eigen servers leveren is het minder ingrijpende alternatief en wordt bekeken. De uitkomst van die beoordeling stellen wij op verzoek beschikbaar	Google Ireland Limited, als aanbieder van Google Fonts	Niet door ons bewaard; wat Google zelf bewaart volgt uit het beleid van Google	Doorgifte buiten de EER vereist een toepasselijk mechanisme uit hoofdstuk V AVG, zoals een adequaatheidsbesluit dat de ontvanger dekt of passende waarborgen uit artikel 46. Het toepasselijke mechanisme hangt af van de ontvanger, het land en de dienst.
IP-adres en browsergegevens die worden verzonden wanneer u de optionele kaart laadt	Het tonen van onze locatie nadat u ervoor kiest de kaart te laden	Toestemming (art. 6(1)(a)); vóór uw keuze wordt niets verzonden	Google Ireland Limited, als aanbieder van Google Maps	Niet door ons bewaard; wat Google zelf bewaart volgt uit het beleid van Google	Doorgifte buiten de EER vereist een toepasselijk mechanisme uit hoofdstuk V AVG, zoals een adequaatheidsbesluit dat de ontvanger dekt of passende waarborgen uit artikel 46. Het toepasselijke mechanisme hangt af van de ontvanger, het land en de dienst.
Zakelijke contactgegevens voor marketing	Het sturen van informatie over onze diensten aan zakelijke contacten	Gerechtvaardigd belang (art. 6(1)(f)) bij directe marketing aan zakelijke contacten; u kunt te allen tijde bezwaar maken en dan stoppen wij. Elektronische reclame versturen wij alleen waar de toepasselijke communicatieregels dat toelaten	Onze eigen medewerkers; onze IT- en hostingpartners als verwerker	Tot uw bezwaar, en in elk geval niet langer dan twee jaar na het laatste contact	Nee

Ontvangen wij persoonsgegevens indirect - bijvoorbeeld gegevens van medewerkers van een klant, of contactgegevens van een consument die een ongewenst effect meldde - dan verstrekken wij de informatie van artikel 14 AVG binnen de daarvoor geldende termijnen, tenzij een gedocumenteerde uitzondering geldt. Wij noemen daarbij de bron van de gegevens en de betrokken categorieën. Een klant mag onze mededeling namens ons uitreiken, maar dat neemt onze eigen verantwoordelijkheid niet weg. Beroepen wij ons op de uitzondering van artikel 14, lid 5, onder a), dan gaan wij na of de betrokkene de vereiste informatie al heeft. Het intrekken van toestemming laat de rechtmatigheid van de verwerking vóór de intrekking onverlet.

5. Bewaartermijn

Het regelgevingsdossier (PIF, inclusief het veiligheidsrapport en het overzicht van ongewenste effecten) wordt tien jaar toegankelijk gehouden, gerekend vanaf de datum waarop de laatste partij van het cosmetische product in de handel is gebracht op de EU-markt, conform artikel 11 van Verordening (EG) 1223/2009. Die verplichting betreft het regelgevingsdossier zelf; zij is geen automatische grondslag om elk herleidbaar klacht- of gezondheidsgegeven even lang te bewaren. Herleidbare klacht- en gezondheidsgegevens worden daarom afzonderlijk bewaard, uitsluitend zolang dat nodig is voor beoordeling, melding en opvolging van de casus, en daarna gewist of geanonimiseerd, terwijl het regelgevingsdossier de informatie behoudt in de vorm die de verordening vereist. Gepseudonimiseerde gegevens blijven persoonsgegevens, dus voor bewaring daarna geldt een eigen gedocumenteerd doel, grondslag en termijn. Algemene aanvraaggegevens worden maximaal 2 jaar bewaard, tenzij een contractuele relatie tot stand komt.

6. Delen van gegevens

Wij verkopen geen persoonsgegevens. Wij kunnen gegevens delen met bevoegde autoriteiten (voor cosmetovigilantie en regelgevende meldingen), de gekwalificeerde veiligheidsbeoordelaar die voor een CPSR is ingeschakeld, IT- en hostingpartners onder een verwerkersovereenkomst, en professionele adviseurs waar nodig. Bij het laden van onze webfonts, en van de kaart als u die laadt, worden uw IP-adres en browsergegevens verzonden naar Google Ireland Limited. Die verbinding alleen plaatst geen cookie; de kaart kan na laden wel eigen cookies en andere opslag plaatsen. Draagt Google Ireland Limited gegevens door aan Google LLC in de Verenigde Staten, dan is dat de door Google opgegeven route; voor onze eigen verwerking stellen wij vast welke route van hoofdstuk V geldt voordat wij daarop steunen. Afgezien van een klant buiten de EER, aan wie wij casusinformatie kunnen sturen onder modelcontractbepalingen, vinden er geen doorgiften buiten de EER plaats.

7. Uw rechten onder de AVG

• Recht op inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar
• Recht om toestemming te allen tijde in te trekken
• Recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens

Om een van deze rechten uit te oefenen, neemt u contact met ons op via privacy@hcpcbrands.com. Wij reageren binnen één maand, zoals vereist onder de AVG.

8. Beveiliging & cookies

Wij beschermen uw gegevens met passende technische en organisatorische maatregelen. Op een standaardpagina plaatsen wij één strikt functionele cookie om uw gekozen taal te onthouden en laden wij webfonts van Google Fonts; zelf plaatsen wij geen tracking-, advertentie- of analysecookies. De optionele kaart wordt alleen geladen als u daarvoor kiest, waarna Google eigen cookies kan plaatsen. Zie ons Cookiebeleid voor het volledige overzicht en voor het ongedaan maken van die keuze.

9. Contact

Contactpersoon gegevensbescherming	privacy@hcpcbrands.com
Postadres	HCPC Brands Europe B.V., Papaverweg 34, 1032 KJ Amsterdam, Netherlands

Dit privacybeleid kan van tijd tot tijd worden bijgewerkt. De datum hierboven geeft de laatste herziening aan.