Privacybeleid

1. Inleiding

Dit privacybeleid is van toepassing op de Bemmel & Kroon Werkplanning applicatie, een intern personeelsplanningssysteem dat uitsluitend toegankelijk is voor medewerkers van Bemmel & Kroon. De applicatie wordt ingezet voor het plannen van werktijden, het registreren van verzuim en verlof, en het beheren van werkroosters en medewerkersaccounts.

Bemmel & Kroon (hierna: “wij”, “ons”) treedt op als verwerkingsverantwoordelijke in de zin van de Algemene Verordening Gegevensbescherming (AVG / GDPR). Wij verwerken uitsluitend persoonsgegevens van eigen medewerkers, in het kader van de uitvoering van de arbeidsovereenkomst. Er worden geen gegevens van klanten of derden verwerkt via deze applicatie.

2. Verwerkingsverantwoordelijke

3. Welke gegevens verwerken wij?

Wij verwerken uitsluitend gegevens die strikt noodzakelijk zijn voor de werking van de planningsapplicatie (dataminimalisatiebeginsel, art. 5 lid 1 sub c AVG):

Wij verzamelen geen bijzondere categorieën persoonsgegevens (art. 9 AVG) zoals medische diagnoses. Het type verzuim (ziek / verlof / overig) wordt geregistreerd als minimale administratieve aanduiding, uitsluitend ingevoerd door een leidinggevende.

4. Doel en rechtsgrond van verwerking

5. Bewaartermijnen

6. Beveiligingsmaatregelen

Wij nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen ongeoorloofde toegang, verlies of misbruik (art. 32 AVG):

• Versleutelde HTTPS-verbinding (TLS 1.2+) voor alle communicatie
• Wachtwoorden worden nooit leesbaar opgeslagen — uitsluitend als bcrypt-hash (kostfactor 12)
• Sessies beveiligd met versleutelde HttpOnly, Secure, SameSite=Lax cookies (8 uur geldig)
• Automatische uitlogfunctie na 45 minuten inactiviteit
• Toegangscontrole op basis van rollen (RBAC) — server-side gehandhaafd per endpoint
• Automatische accountvergrendeling na herhaalde mislukte inlogpogingen
• Wachtwoordresettokens zijn single-use, 24 uur geldig en worden gehashed opgeslagen
• Beveiligingsheaders: CSP, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy
• Auditlogboek van alle systeemacties door leidinggevenden en beheerders
• Rate limiting op authenticatie-eindpunten
• Dataminimalisatie: uitsluitend strikt noodzakelijke gegevens worden verwerkt

7. Derde partijen (verwerkers)

Wij maken gebruik van de volgende externe dienstverleners. Met alle verwerkers is een verwerkersovereenkomst gesloten conform art. 28 AVG:

8. Jouw rechten als medewerker

Als betrokkene heb je op grond van de AVG de volgende rechten. Je kunt deze uitoefenen door contact op te nemen met je leidinggevende of via onderstaand contactadres:

Verzoeken kun je indienen via service@bemmelenkroon.nl. Wij reageren binnen 30 dagen. Je hebt ook het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens.

9. Cookies

Deze applicatie maakt uitsluitend gebruik van één functionele sessiecookie (bk_session). Dit cookie is technisch noodzakelijk voor de authenticatie en werking van de applicatie. Er worden geen tracking-, analytics- of marketingcookies geplaatst. De sessiecookie is ingesteld als HttpOnly, Secure en SameSite=Lax, is 8 uur geldig, en bevat geen persoonsgegevens in leesbare vorm — de inhoud is end-to-end versleuteld.

10. Praktische AVG-verzoeken (inzage, export en verwijdering)

Voor informatieverzoeken en wettelijke controles beschikt de applicatie over een beheerde data-subject workflow. Geautoriseerde beheerders kunnen per medewerker een gestructureerd gegevensbestand exporteren en dat wordt volledig gelogd in de audittrail.

Wanneer verwijdering wettelijk is toegestaan, worden persoonsgegevens onomkeerbaar geanonimiseerd en ondersteunende datasets (zoals notificaties, beschikbaarheidsregistraties en resettokens) permanent verwijderd. Ook deze acties zijn traceerbaar in de auditlog.

11. Wijzigingen in dit beleid

Wij behouden het recht dit privacybeleid te wijzigen wanneer dit noodzakelijk is. Bij significante wijzigingen worden betrokkenen hiervan op de hoogte gesteld via een melding in de applicatie. De meest actuele versie is altijd beschikbaar via /privacy.