Verwerkersovereenkomst

Tijdexperts verwerkt persoonsgegevens van medewerkers om de training, de coach en (als de organisatie daarvoor kiest) de Tijdlijn te leveren. De overeenkomst geldt zolang de organisatielicentie loopt, en daarna tot alle gegevens zijn verwijderd of teruggegeven.

Een deel van wat medewerkers invullen is persoonlijk: de Tijdcapsule, reflecties, de persoonlijke missie, de tijdsbesteding uit de training en de wekelijkse check op druk of stress. Tijdexperts verwerkt deze gegevens alleen om ze de medewerker zelf te tonen. De organisatie krijgt er geen inzage in, ook niet via de beheerder of een leidinggevende, en vraagt daar ook niet om.

De organisatie ziet per persoon of iemand meedoet, wanneer hij voor het laatst inlogde, hoe ver hij in de training is en op hoeveel dagen hij actief was. Daarnaast ziet de leidinggevende (in een klein team zonder leidinggevenden: de beheerder) de werkdoelen die een medewerker deelt (standaard aan, per doel uit te zetten). De uitkomsten van zijn Tijdscan (zijn score op overzicht, en de uren die hij naar eigen inschatting kwijt is aan overleg, mail en onderbrekingen) ziet de organisatie alleen als de medewerker daar zelf voor kiest. De score op rust, die over welzijn kan gaan, ziet de organisatie nooit per persoon, alleen als groepscijfer. Al het andere wat iemand invult, ziet zij nooit. Groepscijfers ziet zij alleen anoniem en pas vanaf vijf personen; in een klein team kan zo'n cijfer toch naar één persoon wijzen. Dit is technisch afgedwongen in de database. Dat maakt Tijdexperts ook geschikt om voor te leggen aan een ondernemingsraad.

Tijdexperts ziet per deelnemer hoe ver hij in de training is en op welke dagen hij actief was, om de dienst te leveren en te helpen als iemand vastloopt. Nooit de inhoud van wat iemand invult.

• Tijdexperts verwerkt de gegevens alleen voor het leveren van de dienst en volgens de schriftelijke instructies van de organisatie, ook als het gaat om doorgifte buiten de EER.
• Vindt Tijdexperts dat een instructie in strijd is met de AVG, dan meldt zij dat direct aan de organisatie.
• Tijdexperts gebruikt de gegevens nooit voor eigen doelen, verkoopt ze niet en gebruikt ze niet om AI te trainen.
• Voor het verbeteren van de dienst gebruikt Tijdexperts alleen geanonimiseerde, opgetelde cijfers, waaruit niemand te herleiden is.

Iedereen die namens Tijdexperts toegang heeft tot de gegevens, heeft een geheimhoudingsplicht. Toegang is beperkt tot wat nodig is voor de taak.

• Opslag en verwerking binnen de Europese Unie (Frankfurt), versleutelde verbindingen.
• Rechten afgedwongen in de database zelf; privégegevens zijn alleen voor de medewerker zelf leesbaar.
• Tweestapsverificatie verplicht voor beheerders, management en Tijdexperts-beheer.
• Bescherming tegen misbruik: beperking van inlogpogingen en van het aantal apparaten per account.
• Een logboek van gevoelige handelingen, zonder inhoud.
• Geautomatiseerde tests op de toegangsregels: dat niemand gegevens van een ander kan inzien.
• Bewaartermijnen die elke nacht automatisch worden uitgevoerd.
• De leveranciers voor hosting en database (Vercel en Supabase) hebben een ISO 27001-certificaat en een SOC 2 Type II-rapport; de maildienst (Resend) heeft een SOC 2 Type II-rapport. Tijdexperts zelf heeft geen ISO-certificaat.

De organisatie geeft toestemming voor de subverwerkers die in de privacyverklaring staan. Tijdexperts legt hun dezelfde verplichtingen op als in deze overeenkomst. Komt er een nieuwe subverwerker bij, dan meldt Tijdexperts dat minstens 30 dagen vooraf. De organisatie kan daar met redenen bezwaar tegen maken; leidt dat niet tot een oplossing, dan mag zij de overeenkomst kosteloos beëindigen.

Waar gegevens buiten de Europese Economische Ruimte kunnen komen, gebeurt dat alleen met de waarborgen van de AVG: het EU-VS Data Privacy Framework of de standaardcontractbepalingen.

Medewerkers kunnen zelf hun gegevens downloaden en hun account laten verwijderen. Gaat iemand uit dienst, dan haalt de organisatie hem weg bij Deelnemers; vanaf dan ziet zij niets meer van hem, en zijn account blijft van hemzelf. Krijgt de organisatie een ander verzoek van een medewerker (bijvoorbeeld inzage of correctie), dan helpt Tijdexperts binnen tien werkdagen. Tijdexperts helpt de organisatie ook met haar andere plichten: beveiliging, het melden van datalekken, en een gegevensbeschermingseffectbeoordeling (DPIA) of een voorafgaande raadpleging van de Autoriteit Persoonsgegevens als die nodig is, met de informatie die Tijdexperts daarvoor heeft.

Ontdekt Tijdexperts een inbreuk op de beveiliging die persoonsgegevens van de organisatie raakt, dan meldt Tijdexperts dat zonder onnodige vertraging en uiterlijk binnen 24 uur na ontdekking, met alle informatie die de organisatie nodig heeft om te bepalen of zij het moet melden bij de Autoriteit Persoonsgegevens. Tijdexperts neemt direct maatregelen om de gevolgen te beperken.

Eindigt de licentie, dan kan de organisatie binnen 30 dagen een export krijgen van de gegevens waarvoor zij verantwoordelijk is. Daarna verwijdert Tijdexperts de gegevens van de organisatie binnen 60 dagen, ook uit back-ups, tenzij de wet langer bewaren eist.

Medewerkers kunnen vóór het einde hun eigen privégegevens downloaden. Hun account gaat niet over naar een persoonlijke licentie, omdat de organisatie ervoor betaalde.

Tijdexperts geeft de organisatie op verzoek de informatie die nodig is om aan te tonen dat deze overeenkomst wordt nagekomen. Een audit door een onafhankelijke deskundige kan eenmaal per jaar, na overleg en op kosten van de organisatie, tenzij de audit een tekortkoming aantoont.

Op deze overeenkomst is Nederlands recht van toepassing. Bij tegenstrijdigheid gaat deze overeenkomst voor op andere afspraken, voor zover het gaat om de verwerking van persoonsgegevens. Vragen? Mail naar info@tijdexperts.nl.