Privacyverklaring

Deze privacyverklaring is van toepassing op de verwerking van persoonsgegevens door Expedit, gevestigd te Groningen. Voor privacyvragen kunt u rechtstreeks contact opnemen via info@expedit.nl. Expedit heeft geen functionaris voor gegevensbescherming (FG/DPO) aangesteld, omdat dit op grond van artikel 37 AVG voor een organisatie van deze omvang en aard niet verplicht is.

Expedit heeft in de praktijk twee verschillende rollen onder de AVG: Als verwerker (bij gebruik van de SaaS-dienst) Wanneer onze klanten (werkgevers) de Dienst gebruiken om hun personeelsplanning te beheren, is de klant de verwerkingsverantwoordelijke voor de persoonsgegevens van zijn medewerkers. Expedit verwerkt die gegevens uitsluitend in opdracht van de klant. Voor deze verwerking sluiten klanten een verwerkersovereenkomst met Expedit. Medewerkers die vragen hebben over hun persoonsgegevens in de Dienst dienen zich te richten tot hun werkgever. Als verwerkingsverantwoordelijke Expedit treedt op als verwerkingsverantwoordelijke voor persoonsgegevens die wij zelf verzamelen voor: het beheren van onze klantrelatie, het verwerken van leads en prospecten, onze eigen financiële administratie, en de werking en beveiliging van onze website en de Dienst.

In de Dienst (Expedit als verwerker, namens de werkgever): — Voor- en achternaam van medewerkers — E-mailadres en (optioneel) telefoonnummer — Geboortedatum (optioneel) — Profielfoto (optioneel) — Gebruikersnaam en versleuteld wachtwoord (bcrypt-hashing) — Dienstroosters, gewerkte uren, beschikbaarheden en verlof — Werklocatie en functie/rol binnen de onderneming van de klant — IP-adres, sessiegegevens en apparaatinformatie (voor beveiliging) Expedit verwerkt geen bijzondere categorieën persoonsgegevens zoals gezondheidsgegevens of biometrische gegevens. Klanten is het contractueel niet toegestaan dergelijke gegevens via de Dienst te verwerken. Van klantcontactpersonen en prospecten: — Naam, functie, zakelijk e-mailadres en telefoonnummer — Bedrijfsnaam en factuuradres — Communicatiehistorie (e-mails, supportberichten) — Betaalgegevens (voor facturatie) Van websitebezoekers: — IP-adres (geanonimiseerd opgeslagen na 30 dagen) — Browsertype en bekeken pagina's — Uitsluitend functionele en strikt noodzakelijke cookies

Wij verwerken persoonsgegevens uitsluitend voor duidelijk omschreven doelen en op basis van één van de grondslagen uit artikel 6 AVG: Levering van de SaaS-dienst → Uitvoering overeenkomst (art. 6 lid 1 sub b) Verwerking medewerkersdata → In opdracht van werkgever (verwerkersrol) Facturatie en financiële administratie → Wettelijke verplichting (art. 6 lid 1 sub c) Beveiliging en fraudedetectie → Gerechtvaardigd belang (art. 6 lid 1 sub f) Productverbetering (uitsluitend geanonimiseerde data) → Gerechtvaardigd belang Klantcommunicatie en support → Uitvoering overeenkomst (art. 6 lid 1 sub b) Marketing naar prospecten → Toestemming (art. 6 lid 1 sub a), intrekbaar

Wij bewaren persoonsgegevens niet langer dan noodzakelijk: Actieve account- en roosterdata → Tot einde abonnement + 30 dagen exportperiode Definitieve verwijdering na beëindiging → Binnen 60 dagen na einde abonnement Server logs (IP-adressen) → Maximaal 30 dagen, daarna geanonimiseerd Supportberichten en klantcommunicatie → Maximaal 24 maanden na afsluiting Financiële administratie (facturen) → 7 jaar (fiscale bewaarplicht, art. 52 AWR) Prospectgegevens na toestemmingsintrekking → Onverwijld verwijderd (uiterlijk 14 dagen) Back-ups → Roterend schema, maximaal 90 dagen Anonieme analysegegevens → Onbeperkt (geen persoonsgegevens meer) Na afloop van de bewaartermijn worden gegevens geautomatiseerd en onherroepelijk verwijderd of onomkeerbaar geanonimiseerd.

Wij verkopen persoonsgegevens nooit aan derden. Wij delen persoonsgegevens uitsluitend met: — Onze hostingprovider (servers binnen de EU/EER) — Onze e-mail- en notificatiedienst — Onze databaseprovider en back-upleverancier (binnen de EU/EER) — Onze betaaldienstverlener — Onze accountant/boekhouder en juridisch adviseurs (indien noodzakelijk) — Bevoegde autoriteiten, wanneer wij daartoe wettelijk verplicht zijn Met alle sub-verwerkers hebben wij een verwerkersovereenkomst gesloten. Doorgifte buiten de EU/EER Wij streven ernaar persoonsgegevens uitsluitend binnen de EU/EER te verwerken. Indien doorgifte naar een derde land onvermijdelijk is, doen wij dit uitsluitend op basis van een adequaatheidsbesluit of de standaardcontractbepalingen (SCC's) van de Europese Commissie.

Wij nemen passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG. Onze maatregelen omvatten: — Versleuteling van gegevens in rust (AES-256) en in transport (TLS) — Hashing van wachtwoorden met bcrypt — wij kennen uw wachtwoord nooit — Rolgebaseerde toegangscontrole (principle of least privilege) — Strikte scheiding tussen klantomgevingen (multi-tenant isolatie) — Dagelijkse versleutelde back-ups — Een incident-response-procedure met een interne meldplicht binnen 24 uur

Op grond van de artikelen 15 tot en met 22 AVG heeft u de volgende rechten: — Recht op inzage in de door ons verwerkte gegevens — Recht op rectificatie van onjuiste gegevens — Recht op gegevenswissing ("recht om vergeten te worden") — Recht op beperking van de verwerking — Recht op dataportabiliteit (ontvangst in gestructureerd, gangbaar formaat) — Recht van bezwaar tegen verwerking op basis van gerechtvaardigd belang — Recht om een gegeven toestemming op elk moment in te trekken — Recht om niet te worden onderworpen aan uitsluitend geautomatiseerde besluitvorming — Expedit maakt hier geen gebruik van U kunt uw rechten uitoefenen door een verzoek te sturen naar info@expedit.nl. Wij reageren binnen één (1) maand. Bent u medewerker van een klant van Expedit? Dan dient u zich in eerste instantie tot uw werkgever te richten. Klachtrecht: u heeft het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens (www.autoriteitpersoonsgegevens.nl).

Expedit plaatst uitsluitend functionele en strikt noodzakelijke cookies waarvoor geen toestemming vereist is: session_id — Ingelogd houden gedurende sessie (sessie, uiterlijk 24 uur) csrf_token — Bescherming tegen cross-site request forgery (sessie) cookie_pref — Onthouden van cookie-voorkeur (12 maanden) Expedit plaatst geen tracking-, marketing- of analytische cookies van derden.

Expedit beschikt over een procedure voor het detecteren, registreren en afhandelen van datalekken. Een datalek wordt binnen 72 uur na ontdekking gemeld bij de Autoriteit Persoonsgegevens, indien dit een risico inhoudt voor de rechten en vrijheden van betrokkenen (artikel 33 AVG). In onze rol als verwerker informeren wij de verwerkingsverantwoordelijke zonder onredelijke vertraging en in ieder geval binnen 24 uur na ontdekking.

Wij kunnen deze privacyverklaring van tijd tot tijd aanpassen, bijvoorbeeld bij wijzigingen in onze dienstverlening of in de wet- en regelgeving. De meest actuele versie vindt u altijd op expedit.nl/privacy. Bij ingrijpende wijzigingen stellen wij u hiervan op de hoogte via e-mail of een melding binnen de Dienst.

Voor vragen, verzoeken of klachten over deze privacyverklaring kunt u contact opnemen via: Expedit, Groningen E-mail: info@expedit.nl