Verwerkersovereenkomst (DPA)
Gebruik je Meldwijs in je organisatie, dan verwerken wij persoonsgegevens in jouw opdracht. Wat we daarbij wel en niet mogen, staat in een verwerkersovereenkomst, ook wel DPA. Op deze pagina staat wat daarin geregeld is: wie welke rol heeft, welke gegevens het betreft, hoe we ze beveiligen en wat er gebeurt als de samenwerking stopt.
Partijen en rollen
Ga je een pilot of een abonnement aan, dan sluit je de verwerkersovereenkomst met Meldwijs B.V. i.o.
- Verwerker: Meldwijs B.V. i.o., leverancier van de dienst Meldwijs
- Land: Nederland
- E-mail: info@meldwijs.nl
Jouw organisatie is verwerkingsverantwoordelijke voor alles wat in het platform terechtkomt. Dat zijn de meldingen, de foto's, de gesproken toelichting, de namen van melders en behandelaars en de rapportages die daaruit volgen. Jij bepaalt waarvoor die gegevens worden gebruikt, wie erbij mag en hoe lang ze blijven staan.
Wij zijn verwerker. We verwerken de gegevens alleen om de dienst te leveren en alleen op jouw gedocumenteerde instructie. We gebruiken ze niet voor eigen doelen, we geven ze niet aan derden buiten de sub-verwerkers hieronder en we trainen er geen eigen AI-modellen mee. Vinden we dat een instructie van jou in strijd is met de privacywetgeving, dan zeggen we dat en voeren we hem niet blind uit.
Wanneer de verwerkersovereenkomst geldt
De verwerkersovereenkomst hoort bij het gebruik van het platform, zowel in een pilot als in een lopend abonnement. Ze is onderdeel van de overeenkomst die we met je sluiten en loopt zolang wij gegevens voor je verwerken. Voor het bezoeken van meldwijs.nl is geen verwerkersovereenkomst nodig. Wat we via de website zelf verwerken, staat in onze privacyverklaring en cookieverklaring.
Welke gegevens we verwerken
In het platform komen de volgende soorten persoonsgegevens voor.
| Soort gegevens | Van wie | Waarvoor |
|---|---|---|
| Foto van de situatie | Melders en mensen die op de foto staan | Vastleggen en beoordelen van de onveilige situatie |
| Gesproken toelichting en de tekst die daaruit volgt | Melders | Invullen en classificeren van de melding |
| Naam van de melder, als je het meldproces op naam inricht | Melders | Terugkoppelen en navragen bij de melding |
| Naam, e-mailadres en rol in het account | Behandelaars, veiligheidskundigen en beheerders | Toegang geven en meldingen toewijzen |
| Vestiging of locatie en het tijdstip van de melding | Melders | De melding op de juiste plek in de organisatie zetten |
| Loggegevens over het gebruik van het platform | Gebruikers | Beveiliging, ondersteuning en foutopsporing |
Wat er precies in het platform komt te staan, bepaal je zelf met de manier waarop je het meldproces inricht en met de instructie die je je mensen geeft. Vraag melders niet om gegevens die niet nodig zijn voor de melding, en houd bijzondere persoonsgegevens zoals medische informatie uit het meldveld.
Waarvoor we de gegevens gebruiken
We verwerken de gegevens om het platform te leveren en te onderhouden, om meldingen te verwerken en te classificeren, om veiligheidsrapporten en de RI&E samen te stellen, en om je te helpen als je ondersteuning vraagt. Voor iets anders gebruiken we ze niet. Iedereen bij ons die bij de gegevens kan, is tot geheimhouding verplicht.
Beveiliging
We nemen passende technische en organisatorische maatregelen om de gegevens te beschermen. De belangrijkste:
- Verkeer tussen de telefoon of browser en het platform loopt over versleutelde verbindingen.
- Toegang is gebonden aan een rol. Een gebruiker ziet alleen de meldingen en functies die bij zijn rol horen.
- Elke organisatie heeft een eigen afgeschermde omgeving. De gegevens van verschillende klanten staan in dezelfde database en worden gescheiden door de toegangscontrole van de applicatie: elke opvraging is gebonden aan de organisatie van de ingelogde gebruiker, en voor een voorman daarbovenop aan zijn eigen locaties. Die scheiding is met geautomatiseerde tests afgedekt en wordt bij elke wijziging opnieuw gecontroleerd.
- Toegang van onze kant blijft beperkt tot de mensen die het voor beheer, ondersteuning en storingen nodig hebben.
- Gebeurtenissen in het platform worden gelogd, zodat we kunnen nagaan wat er is gebeurd.
De volledige lijst met maatregelen staat als bijlage bij de verwerkersovereenkomst. Wil jouw IT-afdeling die doornemen voordat je tekent, vraag de bijlage dan op.
Sub-verwerkers
We schakelen andere partijen in om de dienst te kunnen leveren. Aan hen leggen we dezelfde verplichtingen op als wij richting jou hebben.
- Hosting: de gegevens staan bij Hetzner, in datacenters binnen de Europese Unie.
- AI-koppelingen: voor het beschrijven en classificeren van een melding en voor het onherkenbaar maken van personen op foto's gebruiken we AI-diensten van derden. Die partijen zijn gevestigd buiten de EU; zie de volgende paragraaf.
- Uitgaande e-mail: berichten over een toewijzing, een wachtwoordherstel of het wekelijkse overzicht gaan via een e-maildienst. Daarbij worden de naam en het e-mailadres van de ontvanger verwerkt.
De actuele lijst met sub-verwerkers, met naam, taak en land van verwerking, staat als bijlage bij de verwerkersovereenkomst. Willen we er een toevoegen of vervangen, dan laten we dat vooraf weten, zodat je bezwaar kunt maken.
Doorgifte buiten de EU
Meldingen, foto's en accountgegevens worden opgeslagen binnen de EU. Bij de AI-koppelingen en bij het versturen van e-mail vindt verwerking plaats buiten de Europese Economische Ruimte, omdat die partijen daar gevestigd zijn. Dat gebeurt op basis van een adequaatheidsbesluit of de modelcontractbepalingen van de Europese Commissie. Per sub-verwerker staat in de bijlage waar de verwerking plaatsvindt.
Foto's en anonimisering
Een foto van een onveilige situatie heeft vaak mensen in beeld. Het platform maakt personen op foto's onherkenbaar via een AI-koppeling. Is die koppeling niet bereikbaar, dan gaat de melding wel door maar wordt de foto bewaard zoals hij binnenkwam, dus nog niet onherkenbaar gemaakt. Het platform probeert dat daarna automatisch opnieuw en laat in het dashboard zien welke foto's nog openstaan, zodat de veiligheidskundige het ziet en kan ingrijpen.
Dat is techniek, geen garantie. We beloven niet dat iedereen op elke foto onherkenbaar wordt. Weeg dus zelf af of een foto nodig is en vraag melders om de situatie in beeld te brengen, niet de collega. Kom je een foto tegen die toch herleidbaar is, meld het via info@meldwijs.nl, dan pakken we het op.
Bewaren, teruggeven en verwijderen
Jij bepaalt hoe lang de gegevens in het platform blijven staan. De termijn die we voor jouw omgeving aanhouden, leggen we in de overeenkomst vast. Langer dan dat bewaren we ze niet, tenzij de wet ons daartoe verplicht.
Stopt de samenwerking, dan verwijderen we de gegevens of leveren we ze aan je terug. Jij kiest wat er gebeurt. De manier waarop en de termijn spreken we vooraf af. Laat je niets weten, dan verwijderen we de gegevens na die termijn.
Datalekken
Ontdekken we een datalek dat jouw gegevens raakt, dan melden we dat zonder onredelijke vertraging bij de contactpersoon die je bij ons hebt opgegeven. We vertellen wat er is gebeurd, om welke gegevens het gaat, wat we eraan doen en wat we je adviseren.
De melding aan de Autoriteit Persoonsgegevens en aan betrokkenen is jouw beslissing en jouw verantwoordelijkheid als verwerkingsverantwoordelijke. Wij melden niet uit eigen beweging bij de toezichthouder, maar leveren wel de informatie die je nodig hebt om dat te doen.
Rechten van betrokkenen
Krijg je een verzoek om inzage, correctie of verwijdering, dan handel je dat af voor zover je het zelf in het platform kunt regelen. Lukt dat niet, dan helpen wij je. Komt zo'n verzoek bij ons binnen in plaats van bij jou, dan behandelen we het niet zelf maar sturen we het door.
Controle en audit
Je mag nagaan of we ons aan de afspraken houden. In de praktijk begint dat met de informatie die we op verzoek geven: de lijst met sub-verwerkers, de beveiligingsmaatregelen en de inrichting van jouw omgeving. Is dat niet genoeg, dan werken we mee aan een audit door jou of door een onafhankelijke deskundige die je inschakelt. We spreken vooraf af wanneer die plaatsvindt en hoe we voorkomen dat gegevens van andere klanten in beeld komen. De voorwaarden en de kosten staan in de overeenkomst.
De verwerkersovereenkomst opvragen
Wil je de volledige tekst voor een pilot of samenwerking, vraag hem dan op via info@meldwijs.nl. Je krijgt het document met de bijlagen: de gegevenscategorieën, de sub-verwerkers en de beveiligingsmaatregelen. We lopen het graag met je en met je IT-afdeling door. Wat we samen ondertekenen is leidend; deze pagina legt het uit.
Meer lezen
Bekijk ook onze privacyverklaring voor hoe we met persoonsgegevens omgaan, of lees meer over ons. Heb je een andere vraag, neem dan contact op via de pagina Contact.