Privacyverklaring

1. Inleiding

Simple Planning is een online personeelsplanningsoftware voor horeca en retail. Werkgevers gebruiken Simple Planning om roosters te maken, beschikbaarheid te beheren, gewerkte uren te registreren en die uren door te zetten naar hun salarisadministratie.

Bij het leveren van deze dienst verwerken wij persoonsgegevens. Wij vinden een zorgvuldige omgang met die gegevens vanzelfsprekend. In deze privacyverklaring leggen wij uit welke gegevens wij verwerken, waarom wij dat doen, hoe lang wij ze bewaren en welke rechten je hebt.

Deze verklaring is opgesteld in overeenstemming met de Algemene verordening gegevensbescherming (AVG).

2. Wie zijn wij?

Wij hebben geen Functionaris Gegevensbescherming aangesteld; dit is voor een organisatie van onze omvang en verwerkingsaard niet verplicht. Vragen over privacy kun je stellen via maurits@wonderstudio.dev

3. Onze twee rollen: verwerkingsverantwoordelijke en verwerker

Dit onderscheid is belangrijk, omdat het bepaalt bij wie je terechtkunt met je vragen.

3.1 Wij zijn verwerkingsverantwoordelijke

Voor de gegevens die wij voor onszelf verzamelen en bepalen. Dit betreft:

• bezoekers van onze website;
• prospects en contactpersonen die informatie aanvragen, een demo boeken of een proefaccount aanmaken;
• de administratieve contactpersonen bij onze klanten (facturatie, contractbeheer, support);
• sollicitanten.

3.2 Wij zijn verwerker

Voor alle persoonsgegevens die een werkgever in zijn Simple Planning-omgeving invoert of laat invoeren — met name gegevens van medewerkers. De werkgever is in dat geval de verwerkingsverantwoordelijke: hij bepaalt welke gegevens worden ingevoerd, met welk doel en hoe lang. Wij verwerken die gegevens uitsluitend in opdracht van en volgens instructie van die werkgever.

Met iedere klant sluiten wij daarom een verwerkersovereenkomst, waarin afspraken staan over beveiliging, sub-verwerkers, datalekken, bewaartermijnen en teruggave of vernietiging van gegevens.

Ben je medewerker en gebruik je Simple Planning via je werkgever? Richt je verzoek om inzage, correctie of verwijdering dan in eerste instantie tot je werkgever. Wij mogen jouw gegevens niet zelfstandig wijzigen of verwijderen zonder opdracht van je werkgever. Wij helpen je werkgever uiteraard om zo'n verzoek snel af te handelen.

4. Welke persoonsgegevens verwerken wij?

4.1 Als verwerkingsverantwoordelijke

4.2 Als verwerker (gegevens van medewerkers van onze klanten)

Welke gegevens exact worden verwerkt, bepaalt de werkgever. In de praktijk gaat het om:

Identificatie- en contactgegevens Voor- en achternaam, e-mailadres, telefoonnummer, personeelsnummer, geboortedatum, profielfoto (optioneel).

Arbeids- en roostergegevens Functie, afdeling of locatie, contractsoort, contracturen, in- en uitdiensttredingsdatum, vaardigheden of certificeringen, beschikbaarheid en voorkeuren, geplande diensten, ruil- en verlofverzoeken.

Urenregistratie Klok-in- en klok-uit-tijden, gewerkte uren, pauzes, toeslaguren, overuren, verlof- en verzuimuren (aanwezigheid, niet de reden of medische gegevens).

Loongerelateerde gegevens ten behoeve van de koppeling met de salarisadministratie Uurloon of loonschaal, looncomponenten en toeslagen, en het identificerende nummer dat het salarispakket gebruikt om de medewerker te herkennen.

Gebruiksgegevens Inloggegevens (het wachtwoord wordt versleuteld opgeslagen en is voor ons niet leesbaar), inlogmomenten, apparaat- en app-versie, en logbestanden die nodig zijn voor beveiliging en foutopsporing.

4.3 Bijzondere persoonsgegevens en BSN

Simple Planning is niet bedoeld voor het verwerken van bijzondere categorieën persoonsgegevens (zoals gezondheidsgegevens) of het burgerservicenummer (BSN).

• Bij verzuim registreren wij uitsluitend de afwezigheid — niet de aard of oorzaak ervan.
• Wij vragen niet om het BSN en tonen het niet in de applicatie. [OPTIONEEL — ALLEEN OPNEMEN INDIEN VAN TOEPASSING: Voor de koppeling met de salarisadministratie kan het BSN als technisch koppelveld worden meegestuurd; het wordt in dat geval versleuteld doorgegeven en niet in onze applicatie getoond.]
• Wij verzoeken werkgevers uitdrukkelijk om geen medische of andere bijzondere gegevens in vrije tekstvelden, notities of chatberichten in te vullen.

5. De koppeling met salarissoftware (Nmbrs en andere pakketten)

Simple Planning kan gekoppeld worden aan salarissoftware, waaronder Nmbrs. Deze koppeling bestaat om dubbele invoer te voorkomen: gewerkte uren die in Simple Planning zijn geregistreerd en door de werkgever zijn goedgekeurd, worden doorgezet naar het salarispakket voor de loonverwerking.

Zo werkt het:

1. De werkgever activeert de koppeling zelf en autoriseert deze binnen zijn eigen salarisomgeving. Zonder die uitdrukkelijke autorisatie wordt er niets uitgewisseld.
2. Er worden alleen gegevens uitgewisseld die nodig zijn voor de loonverwerking: de identificatie van de medewerker, de periode, en de goedgekeurde uren en looncomponenten.
3. De uitwisseling verloopt via een beveiligde API-verbinding over versleutelde verbindingen.
4. De werkgever bepaalt of gegevens één kant op (van Simple Planning naar het salarispakket) of beide kanten op worden gesynchroniseerd.
5. Zodra gegevens in het salarispakket staan, gelden daarop de voorwaarden en de privacyverklaring van die aanbieder. De werkgever blijft in beide systemen de verwerkingsverantwoordelijke.

De werkgever kan de koppeling op elk moment zelf deactiveren.

6. Delen met derden en sub-verwerkers

Wij verkopen persoonsgegevens nooit. Wij delen ze uitsluitend met partijen die nodig zijn om onze dienst te leveren, en nooit voor marketingdoeleinden van die partijen.

Met iedere sub-verwerker hebben wij een verwerkersovereenkomst gesloten met minimaal hetzelfde beschermingsniveau als in onze eigen verwerkersovereenkomst.

Daarnaast kunnen wij gegevens verstrekken als wij daartoe wettelijk verplicht zijn, bijvoorbeeld op vordering van een bevoegde autoriteit. Wij toetsen zo'n verzoek altijd op rechtmatigheid en informeren de betrokken werkgever, tenzij dat wettelijk niet is toegestaan.

7. Doorgifte buiten de EER

Wij streven ernaar alle persoonsgegevens binnen de Europese Economische Ruimte (EER) op te slaan en te verwerken.

Onze database, authenticatie en bestandsopslag draaien bij Supabase Inc. in de regio us-east-2 (Ohio, Verenigde Staten). Daarmee worden persoonsgegevens buiten de EER verwerkt. Voor deze doorgifte hanteren wij de standaardcontractbepalingen van de Europese Commissie (Standard Contractual Clauses) zoals opgenomen in de verwerkersovereenkomst van Supabase, aangevuld met passende technische maatregelen waaronder versleuteling tijdens transport en in rust. Op verzoek verstrekken wij de werkgever een kopie van de betreffende afspraken en de bijbehorende Transfer Impact Assessment.

8. Bewaartermijnen

Wanneer de werkgever als verwerkingsverantwoordelijke een kortere of langere termijn instrueert, volgen wij die instructie, voor zover die niet in strijd is met de wet. Let op bij verwijdering van de omgeving. Verwijdert Simple Planning het Supabase-project zelf, dan worden volgens de voorwaarden van Supabase alle bijbehorende gegevens én back-ups onherstelbaar verwijderd. Zorg dat een export aan de werkgever is geleverd vóórdat die stap wordt gezet.

9. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies en onrechtmatige verwerking. Onder meer:

• versleuteling van al het dataverkeer via TLS (HTTPS);
• versleutelde opslag van de database en van back-ups;
• wachtwoorden worden uitsluitend gehasht opgeslagen en zijn voor ons niet leesbaar;
• toegangsbeheer op basis van rollen en het principe van minimale rechten; medewerkers van Simple Planning hebben alleen toegang tot klantgegevens voor zover dat voor support of onderhoud noodzakelijk is;
• geheimhoudingsplicht voor al onze medewerkers en ingeschakelde derden;
• logging en monitoring van toegang en van afwijkend gedrag;
• periodieke back-ups met geteste herstelprocedures;
• een vastgelegde procedure voor het herkennen, beoordelen en melden van datalekken.

Datalekken. Constateren wij een inbreuk op de beveiliging waarbij persoonsgegevens van een klant betrokken zijn, dan melden wij dat zonder onredelijke vertraging — en uiterlijk binnen 48 uur na ontdekking — aan de betrokken werkgever, met alle informatie die hij nodig heeft om zijn eigen meldplicht bij de Autoriteit Persoonsgegevens na te komen.

10. Cookies

Op onze website plaatsen wij:

• Functionele en noodzakelijke cookies — nodig om de website en de applicatie te laten werken, bijvoorbeeld om je ingelogd te houden. Hiervoor is geen toestemming vereist.
• Analytische cookies — om te begrijpen hoe onze website gebruikt wordt. Wij hebben deze zo ingericht dat de privacy-impact minimaal is (onder andere door IP-adressen te verkorten en geen gegevens te delen voor advertentiedoeleinden).
• Marketing- en trackingcookies — uitsluitend na jouw toestemming via de cookiebanner. Je kunt je keuze op elk moment aanpassen via de cookie-instellingen.

In de applicatie zelf gebruiken wij alleen functionele cookies en vergelijkbare technieken die nodig zijn voor het inloggen en het correct functioneren van de software.

11. Jouw rechten

Je hebt op grond van de AVG de volgende rechten:

• Inzage — opvragen welke persoonsgegevens wij van je verwerken;
• Rectificatie — onjuiste gegevens laten corrigeren of aanvullen;
• Verwijdering — je gegevens laten wissen ("recht op vergetelheid");
• Beperking — de verwerking tijdelijk laten stopzetten;
• Bezwaar — bezwaar maken tegen verwerking op basis van gerechtvaardigd belang, en altijd tegen direct marketing;
• Dataportabiliteit — je gegevens in een gangbaar digitaal formaat ontvangen;
• Intrekken van toestemming — als de verwerking op toestemming berust, kun je die op elk moment intrekken, zonder gevolgen voor de rechtmatigheid van de verwerking daarvóór.

Hoe uitoefenen? Stuur je verzoek naar maurits@wonderstudio.dev. Wij reageren binnen één maand. Bij een complex verzoek kunnen wij die termijn met twee maanden verlengen; wij laten dat dan tijdig weten. Om misbruik te voorkomen kunnen wij je vragen je te identificeren op een manier die zelf niet onnodig privacygevoelig is.

Ben je medewerker van een klant? Zoals uitgelegd in hoofdstuk 3 zijn wij dan verwerker. Wij sturen je verzoek door naar je werkgever en ondersteunen hem bij de afhandeling.

Klacht. Ben je niet tevreden over hoe wij met je gegevens omgaan, laat het ons dan weten — wij lossen het graag samen op. Je hebt daarnaast altijd het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens, Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl.

12. Geautomatiseerde besluitvorming

Wij nemen geen besluiten met rechtsgevolgen of vergelijkbaar aanzienlijke gevolgen op basis van uitsluitend geautomatiseerde verwerking.

Simple Planning kan roostersuggesties genereren op basis van beschikbaarheid, contracturen, vaardigheden en verwachte drukte. Deze suggesties zijn adviserend; een planner of leidinggevende beoordeelt en bevestigt het rooster altijd zelf.

13. Wijzigingen in deze privacyverklaring

Wij kunnen deze privacyverklaring aanpassen, bijvoorbeeld als onze dienstverlening of de wetgeving verandert. De actuele versie staat altijd op simpleplanning.works/privacy-verklaring. Bij ingrijpende wijzigingen informeren wij onze klanten actief per e-mail of via een melding in de applicatie.

14. Contact

Vragen over deze privacyverklaring of over de manier waarop wij met persoonsgegevens omgaan?

Wonderstudio.dev B.V. (I.O) (Simple Planning) maurits@wonderstudio.dev