Privacyverklaring

Persoonsgegevens zijn alle gegevens over een geïdentificeerde of identificeerbare natuurlijke persoon. Voor iedere verwerking van uw persoonsgegevens hanteren wij een grondslag als bedoeld in artikel 6 AVG. Afhankelijk van de verwerking kan dit uw toestemming zijn, de uitvoering van een overeenkomst, het nakomen van een wettelijke verplichting of een gerechtvaardigd belang van ons. Heeft u toestemming gegeven, dan kunt u die op elk moment intrekken. De intrekking laat de rechtmatigheid van de verwerking vóór de intrekking onverlet.

Wij verwerken uw persoonsgegevens op grond van een of meer van de volgende grondslagen:

Contactformulier. Via het contactformulier op onze website kunt u contact met ons opnemen. Wij vragen uw voornaam, e-mailadres, telefoonnummer, bedrijfsnaam, het aantal werknemers, het aantal unieke functies en of er een CAO van toepassing is. Deze gegevens hebben wij nodig om contact met u op te nemen en uw vraag te behandelen. Wij gebruiken deze gegevens niet voor andere doeleinden. Wordt u geen klant, dan bewaren wij deze gegevens niet langer dan noodzakelijk en uiterlijk tot twee jaar na ons laatste contact.

Quick Scan en demo-aanvraag. Vraagt u na de Quick Scan het rapport of een demo-omgeving aan, dan vragen wij uw voornaam, e-mailadres, telefoonnummer, organisatienaam, het aantal werknemers, het aantal unieke functies en of er een CAO van toepassing is, samen met uw antwoorden op de scanvragen. Deze gegevens gebruiken wij om het rapport en de demo-omgeving te leveren en, alleen als u daarvoor toestemming geeft, om contact met u op te nemen. Wordt u geen klant, dan bewaren wij deze gegevens niet langer dan noodzakelijk en uiterlijk tot twee jaar na ons laatste contact.

Cookies. Op onze website plaatsen wij alleen functionele cookies die strikt noodzakelijk zijn om de website te laten werken. Voor websitestatistiek gebruiken wij Plausible Analytics, een privacyvriendelijke dienst die geen cookies plaatst. IP-adressen worden daarbij niet opgeslagen en niet gebruikt voor tracking. Hiervoor is geen toestemming nodig.

Wordt u klant van The HR Lab, dan hebben wij de volgende gegevens nodig om onze diensten te kunnen leveren en te factureren:

Deze gegevens bewaren wij zolang dat nodig is voor de uitvoering van de overeenkomst. Factuur- en administratiegegevens bewaren wij op grond van de wettelijke fiscale bewaarplicht zeven jaar. Overige contactgegevens van de contactpersoon, zoals naam en e-mailadres, bewaren wij tot uiterlijk twee jaar na afloop van de overeenkomst, tenzij u eerder verzoekt deze te verwijderen.

Onder partners verstaan wij de partijen waarmee The HR Lab zaken doet in het kader van onze dienstverlening, zoals leveranciers en zakenpartners. Ten behoeve van de uitvoering van overeenkomsten verwerken wij de gegevens zoals hiervoor onder 1.2 omschreven. Wij bewaren deze gegevens zolang dat nodig is voor het beoogde doel of om te voldoen aan een wettelijke bewaarplicht.

De kernapplicatie van het platform, de klantdatabase en de bestandsopslag zijn ingericht binnen de Europese Economische Ruimte, in de regio Frankfurt. Daarnaast gebruiken wij een aparte versleutelde back-upkopie die binnen de EER wordt opgeslagen. Beperkte aanvullende verwerking kan buiten de EER plaatsvinden, bijvoorbeeld transactionele e-mail en AI-verwerking, zoals beschreven in onze actuele subverwerkerslijst en in paragraaf 1.6.

Wij verkopen uw gegevens niet aan derden. Wel schakelen wij derden in die onder onze verantwoordelijkheid bepaalde persoonsgegevens verwerken, bijvoorbeeld voor hosting, authenticatie, transactionele e-mail, AI-functionaliteit en back-upopslag. Met deze verwerkers leggen wij de vereiste contractuele waarborgen vast. De actuele lijst van subverwerkers, met per partij de dienst, de relevante gegevenscategorieën en de verwerkingslocatie, staat op onze subverwerkerspagina.

Worden persoonsgegevens doorgegeven aan partijen buiten de Europese Economische Ruimte, dan zorgen wij ervoor dat er een adequaatheidsbesluit van de Europese Commissie van toepassing is of dat er andere passende waarborgen worden geboden, zoals de door de Europese Commissie goedgekeurde modelcontractbepalingen (Standard Contractual Clauses). Wilt u inzage in deze waarborgen, neem dan contact met ons op.

Het platform ondersteunt het opbouwen van functiehuizen en het wegen van functies. De uitkomsten daarvan zijn hulpmiddelen: een besluit dat een persoon rechtens of in aanmerkelijke mate treft, zoals de inschaling van een medewerker, wordt altijd genomen door een mens. Die afweging ligt bij de gebruiker van het platform zelf, doorgaans de werkgever. The HR Lab neemt geen geautomatiseerde besluiten in de zin van artikel 22 AVG waaraan voor u rechtsgevolgen zijn verbonden of die u anderszins aanmerkelijk treffen.

De website en het platform zijn niet bedoeld voor gebruik door kinderen onder de 16 jaar. Wij verzamelen niet bewust gegevens van personen in deze leeftijdscategorie. Ontdekken wij dat wij toch gegevens van een kind onder de 16 jaar hebben verwerkt, dan verwijderen wij deze zo snel mogelijk.

Wij hebben passende technische en organisatorische maatregelen genomen om een hoog niveau van veiligheid en integriteit van uw persoonsgegevens te waarborgen en deze te beschermen tegen onder meer verlies, diefstal, misbruik, ongeoorloofde toegang, openbaarmaking, wijziging of vernietiging. Deze maatregelen omvatten onder meer encryptie van persoonsgegevens en opslag op systemen met beperkte toegang. Vermoedt u een datalek of een beveiligingsincident met betrekking tot uw persoonsgegevens, meld dit dan zo spoedig mogelijk via privacy@hrbor.nl. Waar de AVG dit vereist, melden wij een datalek bij de Autoriteit Persoonsgegevens en informeren wij betrokkenen.

Wij bewaren uw persoonsgegevens niet langer dan noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt, tenzij wij op grond van een wettelijke verplichting gehouden zijn de gegevens langer te bewaren. De specifieke termijnen staan vermeld bij de betreffende verwerkingen hierboven.

Omdat wij uw persoonsgegevens verwerken, heeft u de volgende rechten:

Wilt u een van deze rechten uitoefenen, neem dan contact met ons op via de bovenstaande contactgegevens. Om uw identiteit vast te stellen, kunnen wij u vragen enkele aanvullende gegevens te bevestigen. Wij reageren binnen één maand op uw verzoek. Afhankelijk van de complexiteit en het aantal verzoeken kunnen wij deze termijn met twee maanden verlengen, waarover wij u tijdig informeren.

U heeft daarnaast altijd het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens. Wij stellen het op prijs als u een klacht eerst aan ons voorlegt, zodat wij samen tot een oplossing kunnen komen.

Wij hebben beoordeeld of wij op grond van artikel 37 AVG verplicht zijn een Functionaris Gegevensbescherming aan te wijzen. Gelet op de huidige aard, omvang en gevoeligheid van de gegevens die wij verwerken, is die verplichting er op dit moment niet. Wij leggen deze beoordeling intern vast en herzien die periodiek, onder meer wanneer het aantal klanten, het aantal werknemers dat via het platform wordt verwerkt of de aard van de verwerking groeit of verandert. Vragen over gegevensbescherming kunt u richten aan onze privacy-verantwoordelijke via privacy@hrbor.nl.

Voor de gegevens die klanten en hun medewerkers in het platform vastleggen, treedt The HR Lab op als verwerker. De klant is verwerkingsverantwoordelijke en bepaalt welke gegevens worden verwerkt en met welk doel. Voor deze verwerkingen sluiten wij met iedere klant een verwerkersovereenkomst in de zin van artikel 28 AVG.

Het platform ondersteunt de klant bij het naleven van wettelijke verplichtingen op het gebied van gelijke beloning en loontransparantie. De grondslag voor de verwerking van functie- en beloningsgegevens richting de eigen werknemers wordt door de klant als verwerkingsverantwoordelijke bepaald, bijvoorbeeld op grond van een wettelijke verplichting of een gerechtvaardigd belang.

Toegang tot het platform verloopt via sterke authenticatie. Het platform ondersteunt multifactorauthenticatie (MFA) voor alle gebruikersaccounts van de klant, inclusief werknemersaccounts; de werkgever bepaalt op organisatieniveau of MFA voor zijn gebruikers verplicht is. Afhankelijk van de gekozen inrichting van de authenticatie verwerken wij de accountgegevens die nodig zijn om de gebruiker te authenticeren, zoals een zakelijk e-mailadres. Accountgegevens houden wij logisch gescheiden van de gestructureerde functie- en beloningsgegevens. Het platform vraagt voor de authenticatie geen naam van de werknemer in de gestructureerde functie- en beloningsgegevens.

HR-gebruikers die het platform beheren, registreren zich eveneens met hun zakelijke e-mailadres. Wij verwerken hun account-e-mailadres en rol voor authenticatie en autorisatie. De klant kan daarnaast een consultant of adviseur machtigen om met een afgebakende reikwijdte in zijn omgeving te werken. Blijft die toegang daarna bestaan, dan houdt de klant daar de controle over en kan de klant de toegang intrekken.

Wij bieden klanten de mogelijkheid om gegevens in het platform vast te leggen, met dataminimalisatie als uitgangspunt. De import van de werknemerslijst omvat een door de werkgever gekozen identifier, geslacht, functie- en rolgegevens, organisatie-eenheid, rapportagelijn, contractgegevens en beloningsgegevens, inclusief variabele beloningscomponenten. Het platform verwerkt daarnaast functiebeschrijvingen, functiewaarderingen en de antwoorden waarmee functieprofielen worden vastgesteld. Het standaardmodel voor gestructureerde functie- en beloningsgegevens bevat geen naam, BSN, geboortedatum, adres of bankrekeningnummer van werknemers. Het zakelijke e-mailadres van een werknemer verwerken wij uitsluitend als accountgegeven voor authenticatie, accountverificatie en herstel, logisch gescheiden van de functie- en beloningsgegevens. Voor de controleerbaarheid van het functieprofielenproces leggen wij ook beperkte herkomstgegevens vast, zoals wie een relevant antwoord heeft bevestigd of gewijzigd, de bron van het antwoord en het moment van de handeling. Gebruikers krijgen de instructie om in vrijetekstvelden geen namen of andere directe identificatoren van werknemers in te voeren; omdat vrije tekst door de gebruiker wordt ingevuld, kunnen wij niet garanderen dat een gebruiker zulke informatie nooit invoert.

Voor het leveren, onderhouden en beveiligen van het platform en voor het bieden van ondersteuning hebben wij toegang tot deze gegevens. Wij verwerken ze uitsluitend volgens de instructies van de klant en voor geen ander doel. Heeft u als medewerker vragen over de verwerking van uw gegevens in het platform, of wilt u gegevens inzien, corrigeren of laten verwijderen, dan kunt u daarvoor terecht bij uw werkgever als verwerkingsverantwoordelijke. Wij ondersteunen uw werkgever bij de afhandeling van zo'n verzoek.

Wij behouden ons het recht voor deze privacyverklaring van tijd tot tijd te wijzigen. De meest recente versie staat op onze website. Wij raden u aan deze verklaring regelmatig te raadplegen. Bij ingrijpende wijzigingen informeren wij u via onze website.