Privacyverklaring toegangssysteem

1. Verwerkingsverantwoordelijke en contact

Verwerkingsverantwoordelijke in de zin van artikel 4 lid 7 AVG is WWDS B.V., gevestigd te Brailleweg 4, 8912 BL Leeuwarden, ingeschreven bij de Kamer van Koophandel. WWDS is als inlener verwerkingsverantwoordelijke voor de gegevens in dit systeem.

De formele werkgever van de werknemer — de leverancier die bij de aanmelding als werkgever is opgegeven (A&H Transport en Logistiek BV, Sortigo Logistics BV, Overig of Stagelopers) — is zelfstandig verwerkingsverantwoordelijke voor het eigen personeels- en loonadministratiedossier. Waar WWDS en een formele werkgever afspraken over gegevensuitwisseling schriftelijk hebben vastgelegd, gelden die afspraken naast deze verklaring.

Voor werknemers die bij WWDS zelf op de loonlijst staan is WWDS tevens verwerkingsverantwoordelijke voor de personeels- en loonadministratie.

Contactpersoon voor privacy-vragen: HR WWDS, bereikbaar via hr@wwds.nl.

2. Welke gegevens verwerken wij

Het systeem bevat per werknemer in elk geval — voor zover van toepassing — de volgende categorieën persoonsgegevens:

• Identificatiegegevens: voornaam, tussenvoegsel, achternaam, initialen, geboortedatum, nationaliteit / land van herkomst.
• Contactgegevens: e-mailadres, telefoonnummer.
• Adresgegevens: straat, huisnummer, postcode en woonplaats — uitsluitend voor werknemers voor wie WWDS een arbeidsovereenkomst opstelt.
• Arbeidsrelatie: werkgever, werkgever-groep, functie, datum in dienst, status (actief, geblokkeerd, in behandeling).
• ID-document en arbeidsrechtelijk: type identiteitsdocument, documentnummer, vervaldatum identiteitsbewijs, vervaldatum werk-/verblijfsvergunning, foto van de voorkant van het ID, foto van de achterkant van het ID en een selfie ter verificatie, en — waar van toepassing — een foto of scan van het werk-/verblijfsvergunningsdocument.
• Toegangs- en activiteitsgegevens: de toegekende barcode, tijdstempels van check-in en check-out op de werkplek, eventuele handmatige check-ins door HR, geweigerde scanpogingen, en het IP-adres waarvandaan een check-in plaatsvond.
• Kloktijden en uren: in- en uitkloktijden per dienst, gewerkte uren en de goedkeuring daarvan.
• Planning: roosters en diensten per dag en afdeling waarop de werknemer is ingepland.
• HR-dossier: arbeidscontract-documenten, loonstrookdocumenten, cao- en verlofgegevens, verlof- en verzuimperioden en interne HR-aantekeningen.
• Loon- en betaalgegevens: voor werknemers die bij WWDS zelf op de loonlijst staan het bruto uurloon en het bankrekeningnummer (IBAN), noodzakelijk voor de salarisbetaling en de loonadministratie.
• Arbeidsovereenkomsten: de door het systeem opgestelde en ondertekende overeenkomst als PDF-document, met een controlegetal waarmee achteraf vaststaat dat het document niet is gewijzigd, de handtekeningen van beide partijen als afbeelding, en per handtekening het tijdstip, het IP-adres, de browserkenmerken en het ingelogde account — noodzakelijk om de rechtsgeldigheid van de elektronische handtekening te kunnen onderbouwen.
• Prestatiegegevens pakketbezorging (alleen bij actieve DHL-koppeling): bezorger-KPI's, klachten en inscantijden, ontvangen van DHL Parcel via het MyCityHub-portaal, plus de status van de Right-to-Work-verificatie (Datachecker).
• Interne notities: teamnotities, taken en agenda-items in de notitie-/agendamodule kunnen namen van werknemers en @-vermeldingen van collega's bevatten.
• Account- en sessiegegevens: wachtwoord-hash (PBKDF2), sessie-cookie, en het IP-adres en de browserkenmerken bij inlogpogingen, wachtwoord-vergeten-aanvragen en bij bepaalde logregistraties (zoals check-ins).
• Bewijs van akkoord: bij het indienen van het aanmeldformulier leggen wij het tijdstip, het IP-adres, de browserkenmerken en het versienummer van de op dat moment geldende voorwaarden en privacyverklaring vast, zodat achteraf vaststaat waarmee u akkoord bent gegaan.
• Wijzigingshistorie: vóór elke wijziging aan uw gegevens bewaart het systeem een kopie van uw gegevens zoals die op dat moment luidden, met de reden van de wijziging en wie de wijziging doorvoerde — noodzakelijk om onjuiste wijzigingen te kunnen herstellen en verantwoorden.
• Audit-trail: logregels van handelingen door HR-medewerkers en door uzelf binnen het systeem (bijvoorbeeld: profiel aangemaakt, foto vervangen, status gewijzigd, link naar heraanmelding gegenereerd).
• Reservekopieën: van de opgeslagen identiteitsfoto's wordt een beveiligde reservekopie bewaard als vangnet tegen dataverlies.

Het Burgerservicenummer (BSN) wordt uitsluitend verwerkt voor werknemers die bij WWDS zelf op de loonlijst staan, omdat WWDS voor hen de loonaangifte doet. Voor werknemers die via een andere werkgever worden ingeleend legt WWDS geen BSN vast; dat gebeurt bij die werkgever en valt onder diens verantwoordelijkheid.

3. Doelen en wettelijke grondslagen

Wij verwerken bovenstaande gegevens voor de volgende doelen, met de daarbij genoemde grondslag in artikel 6 AVG:

1. Verificatie van identiteit en arbeidsrechtelijke status vóór aanvang en gedurende de werkzaamheden — wettelijke verplichting (artikel 6 lid 1 sub c AVG), op grond van artikel 15 Wet arbeid vreemdelingen (Wav) en artikel 28 Wet op de loonbelasting 1964.
2. Toegangsregistratie op de werkplek (barcode-check-in/check-out, weigeringsrecht) — gerechtvaardigd belang (artikel 6 lid 1 sub f AVG): bewaking van een veilige en legale werkomgeving, fraudepreventie, voldoen aan de eisen van opdrachtgevers en de locatiehouder.
3. Tijdige verlenging van ID en werkvergunning via automatische herinneringen (60, 30 en 7 dagen voor vervaldatum) — wettelijke verplichting en gerechtvaardigd belang; voorkomt onbedoelde overtreding van de Wav.
4. Uren- en aanwezigheidsregistratie (kloksysteem en rooster) ten behoeve van planning, urenverantwoording richting de formele werkgever en de fiscale administratie — gerechtvaardigd belang en wettelijke verplichting (artikel 52 Algemene wet inzake rijksbelastingen).
5. Personeelsadministratie (HR-module): het bijhouden van contract-, verlof- en verzuimgegevens voor zover nodig voor de inlening en de planning — gerechtvaardigd belang; verlof- en verzuimperioden worden daartoe overgenomen uit de loonadministratie (Employes) van de formele werkgever.
6. Opstellen en ondertekenen van arbeidsovereenkomsten voor werknemers die bij WWDS zelf in dienst treden — noodzakelijk voor de uitvoering van de overeenkomst (artikel 6 lid 1 sub b AVG); de vastlegging van tijdstip, IP-adres en browserkenmerken bij ondertekening dient het gerechtvaardigd belang om de rechtsgeldigheid van de elektronische handtekening te kunnen aantonen.
7. Loonadministratie en loonaangifte voor werknemers die bij WWDS zelf op de loonlijst staan — wettelijke verplichting (Wet op de loonbelasting 1964, Wet financiering sociale verzekeringen).
8. Kwaliteits- en prestatiebewaking van pakketbezorging (alleen bij actieve DHL-koppeling): het volgen en bespreken van bezorg-KPI's en klachten per bezorger — gerechtvaardigd belang in de kwaliteit van de dienstverlening aan de opdrachtgever.
9. Authenticatie van werknemers en HR-medewerkers in het systeem (login, sessiecookie, wachtwoord-reset) — gerechtvaardigd belang in beveiliging.
10. Audit en verantwoording ten aanzien van wie wat heeft gewijzigd — gerechtvaardigd belang en wettelijke verplichting (verantwoordingsplicht onder artikel 5 lid 2 AVG en artikel 24 AVG).

Voor de in artikel 5 hieronder beschreven gegevensverstrekkingen aan toezichthouders bestaat — voor zover daartoe wettelijk verplicht — een eigen grondslag in artikel 6 lid 1 sub c AVG.

4. Bewaartermijnen

Wij hanteren de volgende bewaartermijnen, met als achterliggend beginsel: niet langer dan strikt noodzakelijk, voor zover wettelijke bewaartermijnen niet langer eisen.

• ID-foto's, ID-nummer, vervaldatums: 5 jaar na einde werkzaamheden (artikel 15 lid 2 Wav, artikel 28 Wet LB 1964).
• NAW-gegevens en arbeidsrelatie: 7 jaar na einde werkzaamheden (artikel 52 Algemene wet inzake rijksbelastingen), voor zover fiscaal relevant.
• Loon- en betaalgegevens en het BSN: 7 jaar na einde van het dienstverband, conform de fiscale bewaarplicht.
• Arbeidsovereenkomsten en de daarbij vastgelegde ondertekengegevens: zolang de overeenkomst zelf wordt bewaard, te weten 7 jaar na einde van het dienstverband; het bewijs van ondertekening heeft geen waarde los van het document waarop het betrekking heeft.
• Kloktijden en check-in/check-out-tijdstempels: bewaard zolang noodzakelijk voor de uren- en loonverantwoording, maximaal 7 jaar (artikel 52 AWR).
• Toegangslogregels van uitgegeven barcodes: 90 dagen, daarna automatisch verwijderd.
• Wijzigingshistorie (de kopieën van uw gegevens zoals die vóór een wijziging luidden): 5 jaar, daarna automatisch verwijderd.
• Aanmeldingen die niet zijn goedgekeurd (in behandeling of afgewezen): uiterlijk 28 dagen na afwijzing of stilstand worden de bijbehorende foto's en gegevens automatisch verwijderd.
• Door HR verwijderde werknemersdossiers (prullenbak): na 30 dagen definitief gewist.
• Sessie-cookies en sessie-records: maximaal 4 uur (werknemers en HR-beheer) respectievelijk maximaal 8 uur (overige omgevingen), daarna automatisch vervallen.
• Audit-log: 36 maanden; daarna worden de logregels automatisch verwijderd.
• Wachtwoord-reset-tokens en heraanmeldings-tokens: maximaal 7 dagen, eenmalig bruikbaar; de hash wordt na gebruik bewaard ter audit en na 90 dagen definitief gewist; het token zelf wordt nergens opgeslagen.
• Reservekopieën: van elke foto wordt een beveiligde reservekopie bewaard en van de database wordt dagelijks een beveiligde back-up gemaakt; reservekopieën volgen dezelfde bewaartermijnen als de brongegevens en worden automatisch opgeruimd uiterlijk 31 dagen nadat de laatste verwijzing naar het origineel is verdwenen. Die marge is gelijk aan de hersteltermijn van de prullenbak hierboven: wordt een dossier per ongeluk verwijderd, dan is de reservekopie in die periode nog terug te halen.

Een dagelijkse achtergrondtaak verwijdert verlopen tokens, oude aanmeldingen, toegangslogregels ouder dan 90 dagen, wijzigingshistorie ouder dan 5 jaar, audit-regels ouder dan 36 maanden en reservekopieën waarvan het origineel niet meer bestaat.

5. Ontvangers en derden

Uw gegevens kunnen, voor zover noodzakelijk en alleen op basis van een geldige grondslag, worden verstrekt aan:

• Uw formele werkgever (de leverancier die bij de aanmelding als werkgever is opgegeven (A&H Transport en Logistiek BV, Sortigo Logistics BV, Overig of Stagelopers)) — voor identificatie, Wav-verificatie en arbeidsrechtelijke opvolging. Uw werkgever ziet uitsluitend de gegevens van het eigen personeel, nooit die van personeel van andere leveranciers.
• Intern HR van WWDS — op need-to-know-basis.
• Opdrachtgevers en de locatiehouder van de werkplek — uitsluitend voor zover noodzakelijk voor toegangsregistratie en veiligheid op de werkplek.
• DHL Parcel Nederland (MyCityHub-portaal) — alleen indien de DHL-koppeling actief is: voor de wettelijk vereiste Right-to-Work-verificatie worden naam, e-mailadres, werkgever en afdeling van de werknemer aan het MyCityHub-portaal doorgegeven; omgekeerd ontvangt WWDS via dit portaal de verificatie-status en bezorger-prestatiegegevens (KPI's, klachten, inscantijden).
• Employes (Nederlandse loonadministratie-software) — WWDS ontvangt hieruit verlof- en verzuimperioden ten behoeve van planning en HR.
• Toezichthouders en overheidsdiensten indien daartoe wettelijk verplicht: Belastingdienst, UWV, Immigratie- en Naturalisatiedienst (IND), Nederlandse Arbeidsinspectie, politie/justitie.
• Accountant en juridische adviseurs van WWDS, onder geheimhoudingsplicht.
• Cloudflare, Inc. als technische sub-verwerker en hosting-partij; uw gegevens worden opgeslagen in Cloudflare D1 (SQLite), R2 (objectopslag) en KV-namespace. Gegevens kunnen daarbij mede buiten de Europese Economische Ruimte worden verwerkt; transatlantisch verkeer is afgedekt door het EU-VS Data Privacy Framework en/of de standaard-contractbepalingen onder hoofdstuk V AVG.
• Resend, Inc. (VS) — technische sub-verwerker voor het verzenden van e-mails uit het systeem (uitnodigingen, herinneringen aan verlopende documenten, systeemmeldingen); Resend verwerkt daarbij naam en e-mailadres van de ontvanger.
• Twilio, Inc. (VS) — technische sub-verwerker voor sms-meldingen aan beheerders; een sms bevat uitsluitend een naam, het type melding en een link, geen documenten of foto's.
• OpenAI (VS) — uitsluitend voor het genereren van concept-berichtteksten in de bezorgersmodule; daarbij worden alleen de voornaam van de bezorger en het gespreksonderwerp gedeeld, geen documenten, foto's of identificatiegegevens.

Wij geven uw gegevens niet door aan derden buiten de hierboven genoemde ontvangers, en niet aan landen buiten de Europese Economische Ruimte zonder passende waarborgen onder hoofdstuk V AVG.

6. Beveiliging

Wij treffen passende technische en organisatorische maatregelen (artikel 32 AVG), waaronder:

• verbindingen versleuteld met TLS (HTTPS);
• wachtwoorden uitsluitend opgeslagen als PBKDF2-hash met willekeurige salt, nooit als platte tekst;
• sessie- en token-ID's cryptografisch willekeurig, tokens met hash-in-database-patroon zodat het token zelf nergens op schijf staat;
• HR-toegang via een gescheiden authenticatie met eigen sessieduur en eigen audit;
• foto's en documenten in objectopslag met afgeschermd toegangsbeleid; toegang uitsluitend via geauthenticeerde routes;
• begrenzing van het aantal pogingen op de inlogpagina's, het aanmeldformulier en wachtwoord-vergeten-aanvragen, ter beperking van misbruik;
• een cookieloze geautomatiseerde botcontrole (Cloudflare Turnstile) op het publieke aanmeldformulier, indien ingeschakeld;
• strikte rolscheiding tussen werknemer- en HR-rollen in de applicatie-code;
• strikte scheiding tussen werkgevers: een werkgever-account kan uitsluitend gegevens van het eigen personeel benaderen;
• gevoelige velden (BSN, bankrekeningnummer) uitsluitend zichtbaar voor medewerkers met het recht op de loonadministratie;
• inloggegevens voor gekoppelde externe systemen versleuteld opgeslagen;
• dagelijkse beveiligde back-ups van de database en van foto's;
• een automatische dagelijkse taak die verlopen tokens en niet langer noodzakelijke gegevens verwijdert.

7. Cookies en sessies

Dit systeem gebruikt uitsluitend functionele cookies, noodzakelijk voor het werkend houden van uw login:

• sessie-cookie (httpOnly, SameSite=Lax, in productie tevens Secure): koppelt uw browser aan uw sessie;
• taalkeuze-cookie: onthoudt uitsluitend uw gekozen taal (Nederlands, Engels of Arabisch) en bevat geen persoonsgegevens.

Geen tracking-cookies, geen advertentiecookies, geen cookies van derden, geen analytics-cookies die u individueel volgen. Omdat het uitsluitend functionele cookies betreft die strikt noodzakelijk zijn voor de door u gevraagde dienst (inloggen), is hiervoor onder artikel 11.7a Telecommunicatiewet geen toestemming vereist.

8. Uw rechten

U heeft, binnen de grenzen van de AVG en de wettelijke bewaarplichten, recht op:

• Inzage (artikel 15 AVG) — weten welke gegevens wij van u verwerken.
• Rectificatie (artikel 16 AVG) — onjuiste of onvolledige gegevens laten corrigeren. Voor reguliere updates van uw eigen profiel kunt u in het systeem het heraanmelding-formulier gebruiken; voor inzage of correctie van overige gegevens stuurt u een verzoek aan hr@wwds.nl.
• Verwijdering (artikel 17 AVG) — voor zover wettelijke bewaarplichten dit toelaten.
• Beperking (artikel 18 AVG) van de verwerking.
• Dataportabiliteit (artikel 20 AVG) voor de gegevens die u zelf heeft aangeleverd.
• Bezwaar (artikel 21 AVG) tegen verwerking op grond van gerechtvaardigd belang.
• Intrekking van toestemming — voor zover wij voor een specifieke verwerking toestemming als grondslag hanteren, zonder dat dit afbreuk doet aan de rechtmatigheid van de verwerking vóór de intrekking.

Wij reageren in beginsel binnen één maand op uw verzoek (artikel 12 lid 3 AVG).

9. Klacht-recht en contact

Voor vragen, verzoeken of klachten over privacy kunt u contact opnemen via hr@wwds.nl.

Indien u meent dat wij uw gegevens onrechtmatig verwerken, heeft u het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens: Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl.