Dit is de Privacy Policy van Shiftforge App (hierna: "wij", "ons" of "Shiftforge"). Shiftforge is een online platform voor rooster- en personeelsplanning. De applicatie is te gebruiken via de webbrowser en via een mobiele iOS-applicatie.
In deze privacyverklaring leggen wij uit hoe wij persoonsgegevens verzamelen, gebruiken, delen, bewaren en beveiligen volgens de Algemene verordening gegevensbescherming (AVG). Deze verklaring is bedoeld voor organisaties die Shiftforge gebruiken, hun beheerders, medewerkers en bezoekers van onze website.
1. Wie is waarvoor verantwoordelijk?
De AVG maakt een belangrijk onderscheid tussen de partij die bepaalt waarom en hoe persoonsgegevens worden verwerkt (de verwerkingsverantwoordelijke) en de partij die persoonsgegevens alleen namens een ander verwerkt (de verwerker).
- Voor gegevens van onze directe klanten, contactpersonen, beheerders, websitebezoekers en supportcontacten: Shiftforge bepaalt zelf welke gegevens nodig zijn om accounts aan te maken, de dienst te leveren, te factureren, contact te onderhouden, de website te beheren en het platform te beveiligen. Voor deze gegevens is Shiftforge de verwerkingsverantwoordelijke.
- Voor gegevens van medewerkers binnen aangesloten organisaties: De aangesloten organisatie (meestal de werkgever) bepaalt wie in het systeem staat, welke roosters worden gemaakt, welke rollen iemand heeft en hoe verlof, beschikbaarheid en ruilverzoeken worden beoordeeld. Shiftforge verwerkt deze gegevens in opdracht van die organisatie. Voor deze gegevens is de werkgever de verwerkingsverantwoordelijke en is Shiftforge de verwerker. De afspraken hierover staan in een verwerkersovereenkomst als bedoeld in artikel 28 AVG.
- Contact over privacy: Vragen over deze privacyverklaring of over verwerkingen waarvoor Shiftforge verantwoordelijk is, kunt u sturen naar info@shiftforge.nl. Medewerkers die vragen hebben over rooster-, contract- of personeelsgegevens dienen hun verzoek in eerste instantie bij hun werkgever of beheerder in te dienen.
2. Welke persoonsgegevens verwerken wij?
Welke gegevens wij verwerken hangt af van uw rol en van de functies die uw organisatie gebruikt. Wij verwerken niet meer gegevens dan nodig is voor de beschreven doelen.
A. Voor beheerders, eigenaren en contactpersonen van organisaties
- Contactgegevens, zoals naam, zakelijk e-mailadres, telefoonnummer als dat wordt verstrekt en de organisatie waarvoor u werkt.
- Account- en inloggegevens, zoals gebruikers-ID, rol, rechten, authenticatiestatus en versleutelde inloggegevens via de externe inlogdienst Supabase.
- Organisatie- en vestigingsgegevens, zoals bedrijfsnaam, adres, vestigingsstructuur, instellingen, rollen en gekoppelde gebruikers.
- Facturatie- en betalingsgegevens, zoals factuuradres, factuurhistorie, betaalstatus, rekeningnummer of andere betaalreferenties wanneer die nodig zijn voor administratie.
- Communicatiegegevens, zoals berichten aan support, contactformuliergegevens en e-mailcorrespondentie over de dienst.
B. Voor medewerkers van aangesloten organisaties
- Basisgegevens, zoals naam, e-mailadres, rol binnen de organisatie, gekoppelde vestigingen en accountstatus.
- Planning- en beschikbaarheidsgegevens, zoals werkroosters, beschikbaarheidsopgaven, afwezigheid, verlofaanvragen, ruilverzoeken en roosterhistorie.
- Arbeids- en loongegevens voor planning, zoals functie, contracturen, uurlonen of kostenindicaties wanneer de werkgever deze invoert om loonkosten te berekenen.
- Notificatiegegevens, zoals voorkeuren voor berichten en unieke push-tokens voor het ontvangen van notificaties op uw iOS-toestel.
- Gebruiksgegevens binnen de applicatie, zoals acties die relevant zijn voor planning, rechtenbeheer, audits en ondersteuning.
C. Technische gegevens voor gebruikers en websitebezoekers
- Inlog- en sessiegegevens, zoals IP-adres, browser- en apparaatinformatie, sessie-ID's, unieke inlogcodes en tijdelijke cookies of lokale opslag om u ingelogd te houden.
- Logbestanden, zoals serverlogs, foutmeldingen, beveiligingsmeldingen en gegevens over belangrijke acties binnen accounts.
- Websitegegevens, zoals technische informatie over het gebruik van onze website en cookies zoals beschreven in ons cookiebeleid.
3. Waarom gebruiken we uw gegevens? (Doeleinden)
We gebruiken persoonsgegevens alleen voor duidelijke en vooraf bepaalde doelen. De belangrijkste doelen zijn:
- A. Roosterplanning en dagelijks beheer: We registreren de ingediende beschikbaarheid van medewerkers en verwerken ruilverzoeken en verlofaanvragen. Dit zorgt ervoor dat roosters kloppen en de bezetting op de werkvloer op orde is.
- C. Loonkostenanalyse en contracturen controleren: Om managers te helpen binnen hun budget te plannen, berekent de applicatie de verwachte loonkosten op basis van de ingevoerde uurlonen en contractvormen. Dit is alleen zichtbaar voor geautoriseerde beheerders van uw organisatie.
- C. AI-planningsassistent ("Planmaatje"): Als de werkgever deze optionele functie inschakelt, analyseert de applicatie de planning en beschikbaarheid om een conceptrooster voor te stellen.
- Geen automatische besluiten: Deze functie is alleen bedoeld als hulpmiddel. Het systeem neemt nooit zelfstandig besluiten die gevolgen hebben voor medewerkers. Een manager moet het conceptrooster altijd zelf controleren, aanpassen en handmatig publiceren. Er kijkt dus altijd een mens naar.
- Beperkte gegevens: Bij het sturen van informatie naar de AI-modellen van onze partners (Google of Mistral) sturen we alleen de noodzakelijke gegevens mee, zoals beschikbaarheid en planningsregels. We vermijden hierbij direct identificeerbare persoonsgegevens waar dat kan.
- D. Notificaties en berichten: De applicatie verstuurt updates over de planning via e-mail of pushberichten op uw telefoon. Voor pushberichten op iOS registreren we een unieke apparaatcode (push-token) via Firebase Cloud Messaging om het bericht technisch op het juiste toestel af te leveren.
- E. Beveiliging en foutcontrole: Om het platform veilig te houden, houden we logbestanden bij. Hierin registreren we belangrijke acties (zoals inloggen, wijzigingen in rechten en exports) om misbruik of datalekken te ontdekken. Ook loggen we technische fouten om de applicatie stabiel te houden.
- F. Technische ondersteuning: Als een beheerder hulp vraagt, kan onze supportmedewerker technische controles uitvoeren. Soms is het nodig om de weergave van een beheerder na te bootsen om een probleem op te lossen. Dit gebeurt alleen op uw uitdrukkelijke verzoek, is streng beveiligd en wordt achteraf geregistreerd in een logbestand.
- G. Administratie en communicatie: We gebruiken account-, organisatie- en technische gegevens om de applicatie beschikbaar te maken, gebruikers toegang te geven, rechten in te stellen, vestigingen te beheren, facturatie te verzorgen, vragen te beantwoorden en te informeren over belangrijke wijzigingen in onze dienst of voorwaarden.
4. Op welke juridische basis verwerken we uw gegevens? (Grondslagen)
Volgens artikel 6 AVG mogen persoonsgegevens alleen worden verwerkt als daarvoor een geldige grondslag bestaat. Welke grondslag geldt, hangt af van de verwerking en van onze rol.
A. Wanneer Shiftforge verwerkingsverantwoordelijke is
- Uitvoering van de overeenkomst: We verwerken contact-, account-, organisatie- en gebruiksgegevens voor zover dit nodig is om de dienst te leveren, accounts te beheren en afspraken met de organisatie uit te voeren.
- Wettelijke verplichting: Factuurgegevens, betalingsgegevens en administratieve gegevens bewaren wij voor zover dit verplicht is op grond van fiscale en administratieve wetgeving. De gebruikelijke fiscale bewaartermijn is 7 jaar.
- Gerechtvaardigd belang: We verwerken technische logs, beveiligingsgegevens, supportgegevens en beperkte websitegegevens om het platform veilig te houden, misbruik te voorkomen, fouten op te lossen, onze rechten te beschermen en onze dienst te verbeteren. Daarbij wegen wij ons belang af tegen de privacybelangen van betrokkenen.
- Toestemming: Waar toestemming wettelijk vereist of passend is, bijvoorbeeld voor bepaalde niet-noodzakelijke cookies of optionele communicatie, vragen wij die vooraf. U kunt toestemming altijd weer intrekken, zonder dat dit invloed heeft op de rechtmatigheid van eerdere verwerking.
B. Wanneer Shiftforge verwerker is voor werkgevers
Voor medewerker-, rooster-, beschikbaarheids-, verlof- en loongegevens bepaalt de werkgever de grondslag. In de praktijk kan dit onder meer gaan om:
- Uitvoering van de arbeidsovereenkomst: De werkgever moet roosters maken, gewerkte uren bijhouden en verlof registreren om afspraken uit de arbeidsovereenkomst na te komen en salaris of personeelsplanning goed te organiseren.
- Wettelijke verplichting: De werkgever kan bepaalde gegevens moeten verwerken op grond van arbeidsrechtelijke, fiscale of administratieve verplichtingen.
- Gerechtvaardigd belang van de werkgever: De werkgever kan belang hebben bij efficiënte personeelsplanning, bezettingsbeheer, kostenbeheersing, beveiliging en controle van toegangsrechten.
- Toestemming - alleen voor extra functies: Omdat er op de werkvloer sprake is van een gezagsverhouding, is toestemming meestal geen geschikte grondslag voor standaardplanning. Toestemming wordt alleen gebruikt voor extra, optionele functies waar dat passend is. Denk hierbij aan het ontvangen van pushberichten op uw privételefoon. U geeft hier zelf toestemming voor bij de installatie of instellingen van de app, en u kunt deze toestemming op elk moment weer intrekken via de instellingen van uw telefoon.
6. Doorgifte buiten de EER
Wij streven ernaar persoonsgegevens zoveel mogelijk binnen de Europese Economische Ruimte (EER) te verwerken. Sommige leveranciers of ondersteunende diensten kunnen echter buiten de EER gevestigd zijn of daar technisch toegang tot gegevens hebben.
Als persoonsgegevens buiten de EER worden doorgegeven, doen wij dat alleen wanneer daarvoor een geldige doorgiftegrondslag bestaat op grond van de AVG, zoals een adequaatheidsbesluit van de Europese Commissie, standaardcontractbepalingen of andere passende waarborgen. Waar nodig beoordelen wij aanvullende maatregelen om te zorgen dat persoonsgegevens passend beschermd blijven.
7. Beveiliging en hoelang we gegevens bewaren
Beveiliging: Wij nemen passende technische en organisatorische maatregelen zoals bedoeld in artikel 32 AVG om persoonsgegevens te beschermen tegen verlies, misbruik, onbevoegde toegang en ongeoorloofde wijziging. Dit omvat onder andere beveiliging van verbindingen via HTTPS-encryptie, toegangscontrole op basis van rollen, scheiding van gegevens tussen organisaties, logging van belangrijke acties, beperking van toegang tot bevoegde personen en beveiligingsmaatregelen bij leveranciers. Ook gebruiken we een alleen-lezen modus voor demo-accounts (zoals voor de keuring van de mobiele app door Apple) om te voorkomen dat echte gegevens worden aangepast of blootgesteld.
Bewaartermijnen: Wij bewaren persoonsgegevens niet langer dan nodig is voor de doelen waarvoor ze zijn verzameld, tenzij een wettelijke bewaarplicht geldt of langere bewaring noodzakelijk is voor de afhandeling van een geschil.
- Account- en organisatiegegevens bewaren wij zolang de organisatie klant is en daarna zolang dit nodig is voor administratie, support of juridische verplichtingen.
- Factuur- en administratieve gegevens bewaren wij meestal 7 jaar vanwege fiscale bewaarplichten.
- Medewerker- en roostergegevens bewaren wij in beginsel zolang de organisatie gebruikmaakt van Shiftforge en de gegevens nodig zijn voor planning of administratie, tenzij de werkgever verwijdering vraagt of een langere wettelijke termijn geldt.
- Supportcorrespondentie bewaren wij zolang nodig is om de vraag af te handelen en onze dienstverlening te verbeteren.
- Technische logs bewaren wij zo kort mogelijk, maar lang genoeg om beveiliging, foutopsporing en misbruikonderzoek mogelijk te maken.
8. Datalekken
Als er sprake is van een beveiligingsincident waarbij persoonsgegevens betrokken zijn, onderzoeken wij wat er is gebeurd, welke gegevens het betreft en welke maatregelen nodig zijn. Wanneer Shiftforge verwerker is, informeren wij de betrokken werkgever zonder onredelijke vertraging zodat deze kan beoordelen of melding aan de Autoriteit Persoonsgegevens of aan betrokkenen nodig is.
Wanneer Shiftforge zelf verwerkingsverantwoordelijke is en een datalek meldplichtig is, melden wij dit volgens de AVG aan de Autoriteit Persoonsgegevens en, wanneer vereist, aan de betrokken personen.
9. Geautomatiseerde besluitvorming
Onder de AVG hebben betrokkenen recht op bescherming tegen besluiten die uitsluitend op basis van geautomatiseerde gegevensverwerking, waaronder profilering, worden genomen, indien deze besluiten rechtsgevolgen hebben of de betrokkene op vergelijkbare wijze aanzienlijk treffen. Dit volgt uit artikel 22 AVG.
Shiftforge maakt binnen haar dienstverlening geen gebruik van dergelijke uitsluitend geautomatiseerde besluitvorming.
De rol van Planmaatje
Planmaatje functioneert uitsluitend als een ondersteunende, optionele planningsassistent. Indien de werkgever, als verwerkingsverantwoordelijke, deze functionaliteit activeert, analyseert Planmaatje historische planningen, beschikbaarheid en vooraf ingestelde planningsregels om louter een conceptrooster of planningssuggestie te genereren.
Betekenisvolle menselijke tussenkomst: Elke suggestie of elk concept dat door Planmaatje wordt gegenereerd, is volledig vrijblijvend en heeft geen automatische of bindende rechtsgevolgen. Een bevoegde manager of beheerder van de werkgever dient het voorstel altijd inhoudelijk te beoordelen, handmatig te verifiëren, eventueel aan te passen en expliciet goed te keuren voordat het wordt gepubliceerd. Er is dus te allen tijde sprake van betekenisvolle menselijke tussenkomst.
Geen zelfstandige rechtsgevolgen: Planmaatje neemt geen zelfstandige besluiten over de inroostering, verlofaanvragen, urenwijzigingen, arbeidsvoorwaarden of andere arbeidsrechtelijke aspecten van werknemers.
Verantwoordelijkheid
Shiftforge treedt hierbij op als verwerker. De werkgever blijft als verwerkingsverantwoordelijke te allen tijde verantwoordelijk voor de definitieve vaststelling van de planning en dient zelf te beoordelen of de inzet van Planmaatje binnen de eigen organisatie in overeenstemming is met de geldende privacywetgeving en eventuele interne reglementen, zoals instemmingsrecht van de ondernemingsraad.
10. Uw rechten
Onder de AVG heeft u verschillende rechten met betrekking tot uw persoonsgegevens. Afhankelijk van de verwerking kunt u gebruikmaken van de volgende rechten:
- Inzage: U kunt vragen welke persoonsgegevens van u worden verwerkt.
- Correctie: U kunt onjuiste of onvolledige gegevens laten corrigeren.
- Verwijdering: U kunt verzoeken om persoonsgegevens te laten wissen wanneer daar volgens de AVG recht op bestaat.
- Beperking: U kunt verzoeken de verwerking tijdelijk te beperken, bijvoorbeeld als de juistheid van gegevens wordt betwist.
- Bezwaar: U kunt bezwaar maken tegen verwerkingen die plaatsvinden op basis van een gerechtvaardigd belang.
- Dataportabiliteit: U kunt in bepaalde gevallen vragen om gegevens die u zelf heeft verstrekt in een gestructureerde, gangbare en machineleesbare vorm te ontvangen.
- Intrekken van toestemming: Als een verwerking op toestemming is gebaseerd, kunt u die toestemming op elk moment intrekken.
- Geautomatiseerde besluitvorming: U heeft het recht om niet te worden onderworpen aan een besluit dat uitsluitend door een geautomatiseerd systeem wordt genomen, als dat besluit rechtsgevolgen voor u heeft of u op een vergelijkbare manier aanmerkelijk treft. Dit volgt uit artikel 22 AVG.
Let op voor medewerkers: Omdat uw werkgever bepaalt hoe uw rooster-, beschikbaarheids-, contract- en loongegevens worden gebruikt, dient u verzoeken over deze gegevens in eerste instantie bij de beheerder of manager van uw eigen organisatie in te dienen. Wij werken samen met uw werkgever om deze verzoeken af te handelen.
Voor verzoeken waarbij Shiftforge zelf verwerkingsverantwoordelijke is, kunt u contact opnemen via info@shiftforge.nl. Wij kunnen vragen om aanvullende informatie om uw identiteit te controleren. Wij reageren in beginsel binnen één maand, tenzij de AVG een langere termijn toestaat.
11. Klachten
Als u vindt dat wij niet zorgvuldig omgaan met uw persoonsgegevens, neem dan eerst contact met ons op zodat wij uw vraag of klacht kunnen onderzoeken. U heeft daarnaast het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens, de Nederlandse toezichthouder voor privacywetgeving.
12. Wijzigingen
Dit privacybeleid kan van tijd tot tijd worden aangepast naar aanleiding van nieuwe functies in de applicatie, wijzigingen in onze werkwijze of wijzigingen in wet- en regelgeving. Wij raden u aan deze pagina geregeld te raadplegen. Bij grote wijzigingen informeren we u via de applicatie of per e-mail.
13. Contact
Heeft u vragen over dit privacybeleid of over hoe er met uw gegevens wordt omgegaan? Neem dan contact met ons op via:
Shiftforge
info@shiftforge.nl