GDPR & het platform
Laatst bijgewerkt:
Deze pagina beschrijft hoe het PrediqtSafe-platform voldoet aan de Algemene Verordening Gegevensbescherming (AVG / GDPR). Hij richt zich op klanten van het platform — niet op website-bezoekers (zie daarvoor de privacyverklaring). De rolverdeling klant ↔ PrediqtSafe wordt expliciet gemaakt: u bent verwerkingsverantwoordelijke voor uw werknemers- en projectdata; wij zijn verwerker.
- U bent verwerkingsverantwoordelijke (art. 4 lid 7 AVG); PrediqtSafe is verwerker (art. 4 lid 8).
- Alle platform-data wordt opgeslagen op EU-infrastructuur. Geen transfer naar de VS.
- Per klant wordt een Data Processing Agreement (DPA) opgesteld voordat productiedata wordt geladen.
- Verzoeken van uw werknemers (inzage, correctie, verwijdering) worden via uw admin-account afgehandeld; wij ondersteunen technisch.
- Audit logs worden 7 jaar bewaard, in lijn met Arbowet- en fiscale bewaartermijnen.
1. Rolverdeling: u bent verwerkingsverantwoordelijke
Onder de AVG is degene die het doel en de middelen van de verwerking bepaalt de verwerkingsverantwoordelijke (controller). Voor de gegevens die u in PrediqtSafe invoert — werknemer-profielen, project-data, incident-meldingen, observaties — bepaalt u dat doel: het bewaken van veiligheid op uw bouwprojecten.
PrediqtSafe verwerkt deze data uitsluitend in opdracht van u. We zijn verwerker en handelen op basis van de afgesloten DPA. We gebruiken uw data niet voor eigen doeleinden, niet voor productontwikkeling buiten uw uitdrukkelijke instructie, en niet voor analyses ten gunste van andere klanten zonder anonimisering.
2. Grondslag van verwerking
Voor het overgrote deel van de gegevens binnen het platform geldt artikel 6 lid 1 onder b (uitvoering van een overeenkomst — uw arbeidscontract met de werknemer) of onder f (gerechtvaardigd belang — het bewaken van veilige werkomstandigheden conform Arbowet).
Voor bijzondere persoonsgegevens (bijvoorbeeld gezondheidsdata bij medische incidenten, art. 9 AVG) geldt een strenger regime — wij verwerken die niet zonder expliciete wettelijke uitzondering of gegeven werknemers-toestemming. Standaard worden in PrediqtSafe geen medische dossiers geladen.
3. Sub-processors
PrediqtSafe maakt gebruik van een beperkte set sub-processors die nodig zijn om het platform technisch te draaien. De volledige actuele lijst staat in uw DPA en wordt minimaal 30 dagen vooraf bijgewerkt bij wijziging — zodat u de tijd heeft om bezwaar aan te tekenen.
Categorieën sub-processors: cloud-hosting (EU-regio's), e-mailverzending (EU-gehost), foto-opslag (EU-bucket), AI-inference (EU-regio of zelf-gehost). Geen sub-processor staat data buiten de EU op.
4. Rechten van betrokkenen
Uw werknemers hebben onder de AVG dezelfde rechten als andere betrokkenen: inzage, correctie, verwijdering, beperking, dataportabiliteit, bezwaar en intrekking van toestemming. Verzoeken loopt u zelf af — via de admin-tools van het platform — omdat ú de verwerkingsverantwoordelijke bent.
- Inzage (art. 15): export per gebruiker via admin-export, machine-leesbaar.
- Correctie (art. 16): direct bewerkbaar in het admin-paneel; correcties komen in de audit trail.
- Verwijdering (art. 17): soft-delete met 30-dagen-grace, daarna hard-delete; audit-shadow blijft hash-only.
- Dataportabiliteit (art. 20): export in JSON of CSV, inclusief metadata.
- Bezwaar (art. 21): per gebruiker uit te schakelen voor analyses; melding-data blijft i.v.m. Arbowet-bewaarplicht.
5. Geen transfers buiten de EU
Alle persoonsgegevens binnen het PrediqtSafe-platform blijven binnen de EU. We steunen niet op de Standard Contractual Clauses (SCC) of het EU-US Data Privacy Framework, omdat we geen data over de Atlantische oceaan sturen.
Concreet betekent dit: cloud-hosting in EU-regio's, mail-verzending via EU-gehoste providers (bijv. Mailjet Parijs), foto's en bijlagen op EU-buckets, en AI-inference op EU-regio's of zelf-gehost.
6. Beveiligingsmaatregelen
Beveiliging zit ingebakken in het ontwerp (privacy by design, art. 25 AVG). Versleuteling tijdens transport (TLS 1.3) én opslag (AES-256 at rest), strikte rolgebaseerde toegangscontrole, verplichte 2FA voor admins, audit-logging op elke privileged actie.
Onze beveiligings-aanpak en datalek-procedure zijn vastgelegd in de DPA en in een interne SECURITY.md die wij op aanvraag delen onder NDA.
7. Datalek-procedure
Bij een (vermoed) datalek dat uw data raakt informeren wij u zonder onnodige vertraging — uiterlijk binnen 24 uur na detectie — zodat ú kunt voldoen aan de meldplicht aan de Autoriteit Persoonsgegevens (binnen 72 uur, art. 33 AVG) en eventueel aan getroffen werknemers (art. 34 AVG).
We leveren bij die melding direct alle relevante feiten: aard van het lek, getroffen categorieën gegevens, vermoedelijk aantal betrokkenen, getroffen technische en organisatorische maatregelen.
Voor een conceptversie van onze DPA, of voor specifieke vragen over verwerking binnen uw organisatie: [email protected].
8. Geen juridisch advies
De informatie op deze pagina is een overzicht van het ontwerp van het platform en van standaard-DPA-voorwaarden, geen juridisch advies. Voor advies op uw eigen situatie raadpleegt u een privacy-jurist of uw functionaris voor gegevensbescherming.