Privacyverklaring

1. Wie is verantwoordelijk?

Verantwoordelijke voor de verwerkingen die wij zelf bepalen is Mertens Nicolas, handelend onder de naam NCLS digital, Kiezelweg 78-101, 2400 Mol, België, ondernemingsnummer 1013.145.402.

Voor alle vragen over privacy kan je ons bereiken op nclsdigital@gmail.com. Wij hebben (nog) geen functionaris voor gegevensbescherming aangesteld; je kan rechtstreeks bij ons terecht.

2. Onze rol: verantwoordelijke of verwerker

Wij zijn zelf verantwoordelijke voor de gegevens van wie een account aanmaakt (de werkgever en zijn beheerders en managers), voor deze website, voor de facturatie en voor de beveiliging en de werking van de dienst.

Voor de gegevens van werknemers en hun uren die een werkgever in Clockfair invoert, bepaalt de werkgever waarom en hoe die gegevens verwerkt worden. De werkgever is dan de verantwoordelijke en wij zijn de verwerker, op basis van onze verwerkersovereenkomst. We verwerken die gegevens enkel op instructie van de werkgever.

Ben je werknemer en heb je een vraag over je uren of je gegevens, of wil je je rechten uitoefenen? Richt je dan eerst tot je werkgever. Wij helpen je werkgever om je verzoek uit te voeren. Wend je je rechtstreeks tot ons, dan verwijzen we je door of geven we je verzoek aan je werkgever door.

3. Welke gegevens verwerken we?

Afhankelijk van hoe je Clockfair gebruikt, verwerken we de volgende categorieën van gegevens:

• Accountgegevens: je naam, e-mailadres, taalvoorkeur, rol in de organisatie en je wachtwoord. Het wachtwoord is nooit leesbaar; we bewaren enkel een versleutelde hash.
• Beveiligingsgegevens: de instellingen voor tweestapsverificatie (geheime sleutel en back-upcodes), aanmeldsessies met IP-adres en toesteltype, en tellers die te veel aanmeldpogingen tegenhouden.
• Gegevens van de organisatie: bedrijfsnaam, ondernemingsnummer, btw-nummer, adres, sector, de gekozen soorten werknemers en de instellingen van de organisatie.
• Werknemersgegevens die de werkgever invoert: voor- en achternaam, e-mailadres, telefoonnummer, type werknemer, begin- en einddatum, contracturen per week, personeelsnummer, kleur in de planning, vast weekrooster en afwijkingen, en een pincode voor de gedeelde tablet (enkel als hash).
• Tijdsregistratie: het tijdstip van in- en uitklokken en van pauzes (vastgelegd door de server), het door het toestel gemelde tijdstip, de bron (gsm, tablet of computer), het gebruikte toestel en een afgeleide van het IP-adres die niet terug te rekenen is. Daarbij horen correctieverzoeken met reden en beslissing, afwezigheden met type en eventuele notitie, en een audit trail die bijhoudt wie wat wanneer deed.
• Meldingen: herinneringen en, als je pushmeldingen activeert, het adres en de sleutels van je browser of toestel voor de pushdienst.
• Facturatiegegevens (zodra betalen is ingeschakeld): factuurgegevens, factuuradres en referenties van de betalingsdienst. Kaart- of bankgegevens komen nooit bij ons terecht.
• Communicatie: berichten die je ons stuurt en de transactionele e-mails die wij je sturen (bevestiging van je e-mailadres, uitnodiging, inloglink, wachtwoordherstel en herinneringen).
• Technische gegevens: IP-adres en toestelgegevens in de beveiligings- en foutlogs van de server, zolang dat nodig is voor de beveiliging en de werking van de dienst.

We verzamelen geen biometrische gegevens en vragen nooit naar de medische reden van een afwezigheid. Het type afwezigheid “ziek” kan wel een gezondheidsgegeven zijn. Werkgevers mogen dat enkel registreren voor hun arbeidsrechtelijke verplichtingen en moeten er zorgvuldig mee omgaan.

4. Waarom verwerken we deze gegevens en op welke rechtsgrond?

• Je account aanmaken en de dienst leveren: uitvoering van de overeenkomst (art. 6.1.b AVG).
• Uren registreren, rapporteren en herinneringen sturen in opdracht van de werkgever: voor werknemersgegevens bepaalt de werkgever de rechtsgrond, doorgaans zijn wettelijke verplichtingen of zijn gerechtvaardigd belang. Wij handelen op zijn instructies.
• Facturatie en boekhouding: wettelijke verplichting (art. 6.1.c AVG).
• Beveiliging, voorkomen van fraude en misbruik, foutopsporing en het verbeteren van de dienst: ons gerechtvaardigd belang (art. 6.1.f AVG).
• Pushmeldingen op je toestel: je toestemming (art. 6.1.a AVG). Je kan die op elk moment intrekken door meldingen uit te schakelen.
• Vragen en klachten beantwoorden: uitvoering van de overeenkomst of ons gerechtvaardigd belang.

Wij gebruiken je gegevens niet voor reclame, verkopen ze niet en bouwen er geen profielen mee op. Er is geen geautomatiseerde besluitvorming met rechtsgevolgen: herinneringen volgen enkel uit het rooster en de registraties, en elke correctie wordt beslist door een mens of volgens een regel die de werkgever zelf instelde.

5. Cookies en lokale opslag

We gebruiken enkel wat strikt nodig is om de dienst te laten werken. Daarom is er geen cookiebanner nodig.

• Een sessiecookie houdt je aangemeld. Hij is beveiligd (enkel via https en niet leesbaar voor scripts) en verloopt na 30 dagen of wanneer je uitlogt.
• Op een gedeelde tablet onthoudt een cookie dat het toestel aan de organisatie gekoppeld is.
• Je browser bewaart een kleine aanduiding of je de installatiehint al gezien hebt (lokale opslag) en een offlinepagina voor de app (service worker).

We gebruiken geen advertentiecookies, geen koppelingen met sociale media en geen externe statistiekdiensten die je volgen. De lettertypes worden vanaf onze eigen server geladen.

6. Met wie delen we gegevens?

We delen gegevens enkel met dienstverleners die we nodig hebben om de dienst te leveren, en enkel wat zij daarvoor nodig hebben:

• Hetzner Online GmbH (Duitsland): hosting van de servers, de database en de back-ups. De gegevens staan in een datacenter in Neurenberg (Duitsland).
• Google Ireland Limited (Gmail): verzending van transactionele e-mails. Daarvoor gaan het e-mailadres van de ontvanger en de inhoud van het bericht, zoals een link, via hun servers.
• Mollie B.V. (Nederland): verwerking van betalingen, enkel wanneer betalen is ingeschakeld. Mollie verwerkt de betaalgegevens; wij ontvangen enkel de status van de betaling.
• De pushdienst van je browser of toestel (bijvoorbeeld van Google, Apple, Mozilla of Microsoft), enkel als je pushmeldingen activeert.

Daarnaast geven we gegevens enkel door als de wet dat verplicht, bijvoorbeeld op bevel van een bevoegde overheid, of om onze rechten te verdedigen. Wij verkopen geen persoonsgegevens. De actuele lijst van subverwerkers staat in onze verwerkersovereenkomst.

7. Doorgifte buiten de Europese Economische Ruimte

De gegevens van de dienst blijven in de Europese Unie (Duitsland). Een doorgifte buiten de Europese Economische Ruimte kan voorkomen bij het verzenden van e-mail via Google en bij de pushdiensten van browserleveranciers. Die partijen steunen daarvoor op het EU-VS-gegevensprivacykader (Data Privacy Framework) of op de standaardcontractbepalingen van de Europese Commissie. We beperken de inhoud van die berichten tot wat nodig is.

8. Hoe lang bewaren we gegevens?

• Account en organisatie: zolang het account bestaat. Vraag je de verwijdering van de organisatie aan, dan wachten we 30 dagen, zodat je een vergissing kan herstellen en je gegevens kan exporteren. Daarna wissen we de gegevens definitief.
• Werknemersgegevens en registraties: zolang de werkgever ze bewaart. De werkgever beslist over de bewaartermijn en kan gegevens exporteren of laten wissen. Wij wissen niets automatisch zolang de werkgever geen bewaartermijn heeft ingesteld.
• Facturen: 7 jaar, zoals de boekhoudwetgeving vereist, ook na verwijdering van de organisatie.
• Aanmeldsessies: maximaal 30 dagen na je laatste activiteit. Inlog- en bevestigingslinks zijn slechts kort geldig, van enkele minuten tot een uur.
• Back-ups: 14 dagen, daarna worden ze overschreven.
• Berichten aan ons: zolang nodig voor de behandeling van je vraag en niet langer dan 2 jaar.
• Technische logs: kort, zolang nodig voor de beveiliging en de foutopsporing.

9. Hoe beveiligen we gegevens?

We nemen passende technische en organisatorische maatregelen, onder meer:

• Alle verkeer verloopt via een versleutelde verbinding (https).
• Wachtwoorden worden met argon2id gehasht; pincodes worden eveneens enkel als hash bewaard.
• De gegevens van organisaties zijn op databaseniveau strikt van elkaar gescheiden (row-level security).
• Registraties zijn onveranderlijk: een correctie wordt naast het origineel bewaard. De audit trail is aan elkaar geschakeld met een hash, zodat wijzigingen opvallen.
• Rollen en rechten bepalen wie wat mag zien en doen. Tweestapsverificatie is beschikbaar en wordt aanbevolen voor eigenaars en beheerders.
• Beperkingen op aanmeldpogingen en beveiligingshoofdingen beschermen tegen misbruik.
• De server heeft een firewall, laat enkel aanmelden met een sleutel toe, installeert beveiligingsupdates automatisch en maakt dagelijks een back-up.

Geen enkel systeem is helemaal veilig. Gebeurt er toch een datalek dat een risico inhoudt voor je rechten en vrijheden, dan melden we dat aan de Gegevensbeschermingsautoriteit en, waar nodig, aan jou of aan je werkgever.

10. Welke rechten heb je?

Je hebt, onder de voorwaarden van de AVG, de volgende rechten:

• Inzage: je kan opvragen welke gegevens we over je bewaren.
• Verbetering: je kan onjuiste gegevens laten corrigeren.
• Wissing: je kan vragen om je gegevens te wissen, behalve wanneer we ze nog moeten bewaren, bijvoorbeeld voor de boekhouding.
• Beperking en bezwaar: je kan vragen de verwerking te beperken of je ertegen verzetten, bijvoorbeeld wanneer ze op ons gerechtvaardigd belang steunt.
• Overdraagbaarheid: je kan je gegevens in een gangbaar formaat ontvangen. In de app doe je dat zelf: eigenaars via Instellingen, Privacy; werknemers via Mijn uren, Mijn gegevens.
• Intrekking van toestemming: je kan een toestemming, zoals voor pushmeldingen, op elk moment intrekken.

Je kan je rechten uitoefenen via nclsdigital@gmail.com. Wij antwoorden binnen één maand. Soms vragen we je identiteit te bevestigen voor we gegevens vrijgeven. Ben je werknemer, richt je dan in de eerste plaats tot je werkgever (zie sectie 2).

11. Een klacht indienen

Ben je niet tevreden over hoe we met je gegevens omgaan, laat het ons dan weten. Je hebt ook het recht om een klacht in te dienen bij de Gegevensbeschermingsautoriteit: Drukpersstraat 35, 1000 Brussel, tel. +32 (0)2 274 48 00, contact@apd-gba.be, www.gegevensbeschermingsautoriteit.be.

12. Kinderen en jongeren

Clockfair richt zich op werkgevers en hun personeel. Werkgevers zijn zelf verantwoordelijk voor de gegevens van hun werknemers, ook van jongere werknemers en studenten, en voor de manier waarop ze die werknemers informeren.

13. Wijzigingen

We kunnen deze verklaring aanpassen, bijvoorbeeld wanneer de dienst of de wet verandert. De versie en de datum bovenaan tonen wanneer ze voor het laatst gewijzigd werd. Bij belangrijke wijzigingen verwittigen we accounthouders per e-mail of in de app.

14. Contact

Vragen over deze verklaring of over je gegevens? Mail naar nclsdigital@gmail.com of schrijf naar Mertens Nicolas, handelend onder de naam NCLS digital, Kiezelweg 78-101, 2400 Mol, België.