Beveiliging en privacy

De database en de authenticatie draaien bij Supabase in de regio eu-central-1 (Frankfurt), binnen de Europese Unie. Doorgifte buiten de EU is geen onderdeel van het ontwerp.

Eén kanttekening zetten we er zelf bij: de applicatie zelf, dus de opmaak, de afbeeldingen en het JavaScript, wordt geleverd via het wereldwijde netwerk van Vercel. De roostergegevens blijven in Frankfurt.

Rondus verwerkt roostergegevens van medewerkers: naam, e-mailadres, functiegroep, fte, rol in de applicatie, diensten, roosterwensen en vastgelegde afwijkingen.

Rondus verwerkt geen patiëntgegevens. De applicatie bevat het rooster van de roostergroep, niet het werk zelf. Ook ziekteredenen horen er niet in: beschikbaarheid is beschikbaar of niet beschikbaar.

De Rondus Gids beantwoordt vragen uit vooraf geschreven uitleg, in de browser van de gebruiker zelf. Er gaat geen roostergegeven, geen naam en geen vraag naar een taalmodel of een andere externe dienst. Dat is technisch afgedwongen, niet alleen afgesproken.

Van het gebruik houden we statistiek bij: de gestelde vraag (maximaal 200 tekens), welke uitleg is getoond, of er een antwoord kwam of een weigering, en een willekeurig sessienummer. Account, naam en organisatie zitten er niet in. De vraag is wel vrije tekst die de gebruiker zelf typt, dus wat daarin terechtkomt bepalen wij niet; die rijen zijn leesbaar voor de beheerders van Rondus. Wij ruimen ze periodiek op na twaalf maanden. De Gids voegt geen subverwerker toe.

Toegangsscheiding per organisatie op databaseniveau (row level security): een organisatie ziet uitsluitend haar eigen gegevens.

Daarbinnen bepaalt de rol wat iemand mag: beheerder, roosteraar, opleider, medewerker en een kijkersrol voor bijvoorbeeld het secretariaat. Accounts ontstaan alleen op uitnodiging van een beheerder van uw eigen organisatie; authenticatie loopt via Supabase Auth.

Bij uitdiensttreding zet de beheerder de medewerker inactief. Wie geen actieve medewerkerrij meer heeft, komt bij het eerstvolgende verzoek op een scherm dat zegt dat de toegang is ingetrokken. Een toegangstoken dat al is uitgegeven blijft een uur geldig en een lopende sessie is niet met terugwerkende kracht in te trekken, dus het venster is maximaal één uur.

Accountgegevens blijven zolang de klantrelatie duurt. Verwijdering gebeurt op verzoek van de verwerkingsverantwoordelijke, dus van uw instelling of roostergroep. Back-ups volgen de retentietermijnen van Supabase.

Twee categorieën hebben geen automatische bewaartermijn: de gebruiksgegevens waarmee wij zien welke schermen worden gebruikt, en de auditlog die per roostermutatie de oude en de nieuwe waarde vasthoudt. Die groeien mee met het gebruik en wij ruimen ze op verzoek of periodiek op. Wij zeggen dat liever dan dat wij een termijn noemen die nergens wordt uitgevoerd.

Bij het einde van de overeenkomst geven we de gegevens terug in een gangbaar formaat of verwijderen we ze, naar uw keuze.

Bij een inbreuk in verband met persoonsgegevens informeren we de verwerkingsverantwoordelijke zonder onredelijke vertraging, met de informatie die u nodig heeft voor uw eigen meldplicht richting de Autoriteit Persoonsgegevens en de betrokkenen.

Rondus heeft geen ISO 27001- en geen NEN 7510-certificering. Dat leest u liever hier dan dat u het in het gesprek erna moet vragen. Wat we wel kunnen: de maatregelen hierboven op papier toelichten, en meewerken aan uw eigen toetsing.