Beveiliging en privacy

De database en de authenticatie draaien bij Supabase in de regio eu-central-1 (Frankfurt), binnen de Europese Unie. Voor de roostergegevens van uw organisatie is doorgifte buiten de EU geen onderdeel van het ontwerp.

Drie subverwerkers van de applicatie staan in de Verenigde Staten: GitHub, Anthropic en Resend. GitHub en Anthropic krijgen geen gegevens van een klantorganisatie. GitHub ontvangt alleen meldingen uit demo-organisaties en kaarten van het Rondus-team, Anthropic alleen interne inbreng van het team zelf. Resend verstuurt de uitnodigingen en wachtwoordmails vanuit Ierland, maar bewaart de logboeken en de gegevens van verzonden mails in de Verenigde Staten, onder het EU-VS-privacykader. Van de pushdiensten van Apple, Google en Mozilla is de regio niet gemeten; zij bezorgen alleen meldingen aan het Rondus-team, en de inhoud is voor hen onleesbaar. De beperking per partij staat bij de subverwerkers.

Twee kanttekeningen zetten we er zelf bij. De applicatie zelf, dus de opmaak, de afbeeldingen en het JavaScript, wordt geleverd via het wereldwijde netwerk van Vercel. En bij elk verzoek leest de sessiecontrole van Vercel (de proxy) de sessie en het profiel van de ingelogde gebruiker, in de regio die het dichtst bij die gebruiker ligt; dat kan buiten de EU zijn, en Vercel biedt geen instelling om dat te beperken. De roostergegevens zelf staan in Frankfurt.

Rondus verwerkt roostergegevens van medewerkers: naam, e-mailadres, functiegroep, fte, rol in de applicatie, diensten, roosterwensen en vastgelegde afwijkingen.

Rondus verwerkt geen patiëntgegevens. De applicatie bevat het rooster van de roostergroep, niet het werk zelf. Ook ziekteredenen horen er niet in: beschikbaarheid is beschikbaar of niet beschikbaar.

De Rondus Gids beantwoordt vragen uit vooraf geschreven uitleg, in de browser van de gebruiker zelf. Er gaat geen roostergegeven, geen naam en geen vraag naar een taalmodel of een andere externe dienst. Dat is technisch afgedwongen, niet alleen afgesproken.

Van het gebruik houden we statistiek bij: de gestelde vraag (maximaal 200 tekens), welke uitleg is getoond, of er een antwoord kwam of een weigering, en een willekeurig sessienummer. Account, naam en organisatie zitten er niet in. De vraag is wel vrije tekst die de gebruiker zelf typt, dus wat daarin terechtkomt bepalen wij niet; die rijen zijn leesbaar voor de beheerders van Rondus. Wij ruimen ze periodiek op na twaalf maanden. De Gids voegt geen subverwerker toe.

Toegangsscheiding per organisatie op databaseniveau (row level security): een organisatie ziet uitsluitend haar eigen gegevens.

Daarbinnen bepaalt de rol wat iemand mag: beheerder, roosteraar, opleider, medewerker en een kijkersrol voor bijvoorbeeld het secretariaat. Accounts ontstaan alleen op uitnodiging, want zelf registreren kan niet. De eerste beheerder van een nieuwe organisatie wordt door Rondus uitgenodigd; daarna nodigen de beheerders en de roosteraars van uw eigen organisatie uit, en een roosteraar kan geen beheerder of roosteraar aanmaken. Authenticatie loopt via Supabase Auth.

Bij uitdiensttreding zet de beheerder de medewerker inactief. Wie geen actieve medewerkerrij meer heeft, komt bij het eerstvolgende verzoek op een scherm dat zegt dat de toegang is ingetrokken. Een toegangstoken dat al is uitgegeven blijft een uur geldig en een lopende sessie is niet met terugwerkende kracht in te trekken, dus het venster is maximaal één uur.

Accountgegevens blijven zolang de klantrelatie duurt. Verwijdering gebeurt op verzoek van de verwerkingsverantwoordelijke, dus van uw instelling of roostergroep. Back-ups volgen de retentietermijnen van Supabase.

Twee categorieën hebben geen automatische bewaartermijn: de gebruiksgegevens waarmee wij zien welke schermen worden gebruikt, en de auditlog die per roostermutatie de oude en de nieuwe waarde vasthoudt. Die groeien mee met het gebruik en wij ruimen ze op verzoek of periodiek op. Wij zeggen dat liever dan dat wij een termijn noemen die nergens wordt uitgevoerd.

Bij het einde van de overeenkomst geven we de gegevens terug in een gangbaar formaat of verwijderen we ze, naar uw keuze.

Bij een inbreuk in verband met persoonsgegevens informeren we de verwerkingsverantwoordelijke zonder onredelijke vertraging, met de informatie die u nodig heeft voor uw eigen meldplicht richting de Autoriteit Persoonsgegevens en de betrokkenen.

Rondus heeft geen ISO 27001- en geen NEN 7510-certificering. Dat leest u liever hier dan dat u het in het gesprek erna moet vragen. Wat we wel kunnen: de maatregelen hierboven op papier toelichten, en meewerken aan uw eigen toetsing.