Privacyverklaring van Rondus

Wie we zijn

Rondus is een roosterapplicatie voor medische vakgroepen. Rondus wordt geleverd door Rondus B.V. in oprichting, gevestigd in Nederland. Tot de oprichting handelen Robert-Jan de Laat en Sander Fidder namens Rondus B.V. in oprichting; zij zijn tot dan het aanspreekpunt en verantwoordelijk voor de verwerkingen in deze verklaring. Rondus wordt uitsluitend geleverd aan instellingen en vakgroepen (zakelijke klanten), niet aan consumenten. Contact: hallo@rondus.app.

Welke gegevens

In de applicatie verwerken we van medewerkers van de vakgroep:

naam en e-mailadres;
functiegroep, fte en rol in de applicatie;
roostergegevens: diensten, roosterwensen en vastgelegde afwijkingen;
inloggegevens, via Supabase Auth;
vakantie- en verlofperiodes, voor zover die in het rooster staan;
gebruiksgegevens: welke handelingen in de applicatie worden gedaan (inloggen, publiceren, exporteren) met een verwijzing naar het account dat ze deed. Er staat geen roosterinhoud in;
een auditlog: per wijziging in het rooster de oude en de nieuwe waarde, met wie hem deed en wanneer. Dat is het spoor waarmee een vakgroep achteraf kan nagaan wat er is veranderd.

Rondus verwerkt geen patiëntgegevens. De applicatie bevat het rooster van de vakgroep, niet het werk zelf. Ook ziekteredenen horen er niet in thuis: beschikbaarheid is beschikbaar of niet beschikbaar.

Op deze website verwerkt de hosting, Vercel, technische gegevens om de pagina's te leveren en te beveiligen (zie "Hosting van de website" hieronder). Daarnaast tellen we bezoeken en het bekijken van de film met Vercel Web Analytics, zonder cookie en zonder iets op uw apparaat op te slaan (zie "Bezoeken tellen zonder cookie"). Uitgebreidere statistiek met Google Analytics gebeurt alleen met uw toestemming (zie "Websitestatistiek met Google Analytics"). Zonder toestemming laadt er niets van Google en plaatsen we geen cookies, ook niet voor de taal (zie de cookieverklaring). Vraagt u een demo aan, dan ontvangen we wat u in het formulier invult: uw naam, uw roostergroep en uw e-mailadres, en als u die invult ook uw organisatie, het aantal medewerkers in de roostergroep en het roostersysteem dat u nu gebruikt. Daarnaast ontvangen we of u over de Capaciteitsmodule (in ontwikkeling) wilt horen, of u de demo online of op locatie wilt, en in welke taal u de website las. Die gegevens komen als e-mail binnen in onze mailbox bij Hostinger. U ontvangt zelf een bevestiging met een kopie van wat u invulde. Beide e-mails worden verstuurd via Resend; deze website slaat er zelf niets van op.

Bezoeken tellen zonder cookie

Deze website telt met Vercel Web Analytics hoeveel bezoekers welke pagina's zien en hoe vaak de film wordt bekeken. Dat gebeurt zonder cookie en zonder toestemming: er wordt niets op uw apparaat opgeslagen en er wordt geen profiel van u gemaakt.

Welke gegevens: de pagina, de verwijzende pagina, het land of de regio, het type apparaat, het besturingssysteem en de browser. Bij de film daarnaast of hij is gestart vanuit de knop bovenaan of vanuit het blok eronder, in welke taal de pagina stond, en of u 25, 50, 75 of 100 procent hebt bekeken. Niets uit een formulier en geen naam of e-mailadres.
Hoe u wordt geteld: om dezelfde bezoeker binnen een dag niet twee keer te tellen, maakt Vercel een versleutelde waarde (een hash) van het verzoek, waarin onder meer uw IP-adres meetelt. Die waarde vervalt na 24 uur. Het IP-adres zelf wordt niet bij de telling bewaard.
Waarvoor: alleen om te zien welke pagina's en hoeveel van de film worden bekeken, zodat we de site kunnen verbeteren. We zien alleen totalen, geen afzonderlijke bezoekers.
Hoe lang: de tellingen zijn twaalf maanden in te zien.
Grondslag: gerechtvaardigd belang. Het tellen heeft weinig of geen gevolgen voor uw privacy, en daarom vragen we er geen toestemming voor; de keuze in de banner gaat alleen over Google Analytics.
Wie: Vercel Inc. is de verwerker, dezelfde partij die de website host. Vercel is gevestigd in de Verenigde Staten en is gecertificeerd onder het EU-VS-privacykader (EU-U.S. Data Privacy Framework); de tellingen kunnen daar worden verwerkt.

Websitestatistiek met Google Analytics

Deze website gebruikt Google Analytics 4 om te zien welke pagina's gelezen worden, zodat we de site kunnen verbeteren. Alleen als u toestemt. Bij uw eerste bezoek vraagt een banner onderaan de pagina om een keuze. Kiest u "Weigeren" of nog niets, dan wordt er geen script van Google geladen, gaat er geen verzoek naar Google en wordt er geen cookie geplaatst. Kiest u "Accepteren", dan laadt het script en gebeurt het volgende.

Welke gegevens: de pagina's die u opent en hoe lang, hoe u op de site kwam (de verwijzende pagina), uw browsertaal, apparaat-, browser- en schermgegevens, een bij benadering bepaalde plaats (geen adres) en een willekeurig nummer in een cookie, waaraan uw bezoeken zijn te herkennen. Google gebruikt uw IP-adres alleen om een globale plaats te bepalen en slaat het daarna niet op in Google Analytics. Als u een demo aanvraagt, telt de gebeurtenis generate_lead mee; die bevat alleen dat het formulier is verstuurd en de taal van de pagina, niets uit het formulier zelf (geen naam, e-mailadres of organisatie).
Waarvoor: uitsluitend statistiek over het gebruik van deze website. Geen advertenties, geen koppeling met andere Google-diensten, en de functies voor advertentiepersonalisatie en Google-signalen staan uit.
Hoe lang: de cookies (_ga en _ga_12VN64V46S) blijven maximaal twaalf maanden op uw apparaat; de gemeten gegevens bewaart Google Analytics twee maanden en verwijdert ze daarna.
Grondslag: uw toestemming. U kunt die altijd intrekken of alsnog geven via "Cookie-instellingen" onderaan elke pagina. Intrekken ruimt de Google-cookies op en stopt het meten; wat al gemeten is, blijft maximaal twee maanden in de statistiek bewaard. Na twaalf maanden vragen we opnieuw om uw keuze.
Wie: Google Ireland Limited is de verwerker. Voor deze website is Rondus zelf verantwoordelijke.

Doorgifte naar de Verenigde Staten. Google Analytics kan de gemeten gegevens doorgeven aan Google LLC in de Verenigde Staten. Dat gebeurt op grond van het EU-VS-privacykader (EU-U.S. Data Privacy Framework), waarvoor Google LLC is gecertificeerd. Dit geldt alleen als u toestemming geeft voor de statistiek; de roostergegevens in de applicatie staan er los van.

Hosting van de website

Deze website draait bij Vercel. Bij elk bezoek verwerkt Vercel technische gegevens: uw IP-adres, welke pagina of welk bestand u opvraagt en het tijdstip. Dat is nodig om de pagina's te leveren en de site te beveiligen. De grondslag is gerechtvaardigd belang: zonder deze gegevens kan de website niet werken en niet worden beschermd tegen misbruik. Dit gebeurt ook als u geen toestemming geeft voor de statistiek.

Contactpersonen bij ziekenhuizen en vakgroepen

Los van de applicatie houden we bij met welke ziekenhuizen en vakgroepen we in gesprek zijn. Daar staan echte namen in: de contactpersoon, zijn functie en zijn zakelijke e-mailadres. Dat zijn zakelijke contactgegevens en geen roostergegevens, en hiervoor is Rondus zelf verwerkingsverantwoordelijke en geen verwerker. Het verschil telt: bij roostergegevens werken we in opdracht van uw instelling, hier beslissen wij zelf en kunt u ons er rechtstreeks op aanspreken.

De grondslag is gerechtvaardigd belang: wij verkopen aan instellingen en moeten weten met wie we spreken. Het gaat om zakelijke gegevens van mensen in hun beroepsrol, nooit om bijzondere of privégegevens. Wilt u dat wij uw gegevens verwijderen, dan doen we dat op verzoek via hallo@rondus.app; daar hoeft u geen reden bij te geven.

Doeleinden en grondslag

De roostergegevens in de applicatie zijn nodig om het rooster te maken, te verdelen en uit te leggen: dat is de dienst die de instelling of vakgroep met ons afneemt (uitvoering van de overeenkomst). Datzelfde geldt voor de auditlog, want die hoort bij het kunnen verantwoorden van dat rooster.

Voor de gebruiksgegevens, de statistiek van de Gids en de contactpersonen hierboven is de grondslag gerechtvaardigd belang: wij moeten kunnen zien of de applicatie werkt zoals bedoeld en met wie we in gesprek zijn. Gegevens uit een demo-aanvraag gebruiken we alleen om op dat verzoek te reageren.

Rollen: wie is waarvoor verantwoordelijk

In gewone taal:

Voor de roostergegevens in de applicatie bepaalt de vakgroep of instelling het doel; zij is verwerkingsverantwoordelijke. Rondus werkt in opdracht en is verwerker. De afspraken daarover staan in de verwerkersovereenkomst.
Voor deze website en demo-aanvragen is Rondus zelf verantwoordelijke.

Subverwerkers

Partij	Rol	Regio
Supabase	Database, authenticatie en bestandsopslag van de applicatie. Bewaart alles wat Rondus opslaat: medewerkers, roosters, wensen en beschikbaarheid (zonder reden). In de bestandsopslag alleen een schermafbeelding bij een melding (hoogstens 2 MB) en bijlagen bij interne inbreng van het Rondus-team. Zo'n bijlage toont vaak een rooster met initialen; alleen het Rondus-team kan hem lezen, en na 90 dagen wordt hij verwijderd	Frankfurt (EU)
Resend, maildienst (SMTP) van Supabase Auth	Verzending van uitnodigingen, wachtwoordherstel en het wijzigen van een e-mailadres. Alleen e-mailadres, naam, organisatienaam en een eenmalige link. Geen roostergegevens. Verzonden vanaf noreply@rondus.app met verplichte TLS; openen en klikken wordt niet gemeten	Verzending vanuit Ierland (eu-west-1); logboeken en gegevens van verzonden mails in de Verenigde Staten (EU-VS-privacykader)
Vercel	Hosting en levering van de applicatie en van deze website (voor de website: IP-adres, verzoek en tijdstip, zie "Hosting van de website"), en het tellen van bezoeken zonder cookie (zie "Bezoeken tellen zonder cookie"). Voor de applicatie leest de sessiecontrole (de proxy) bij elk verzoek de sessie en het profiel van de ingelogde gebruiker, in de regio die het dichtst bij die gebruiker ligt	Serverfuncties in Frankfurt (EU); de sessiecontrole in 19 regio's wereldwijd, ook buiten de EU; zie hieronder
GitHub	Een melding uit "Vraag of meld" wordt een kaart op ons bord, en een goedgekeurde inbreng van het team ook. Alleen als "Vraag of meld" aanstaat, en dan alleen vanuit demo-organisaties, door het Rondus-team of een tester. Mee gaan de meldtekst, de soort melding, organisatienaam, rol, pagina, roostergroep-id, periode, weergave, versie, schermformaat en de aangewezen roostercel (de tekst en een medewerker-id); de schermafbeelding niet. Van een goedgekeurde inbreng gaat de kaart in het Engels mee, met labels, mijlpaal en een link terug naar Rondus; niet de oorspronkelijke tekst, niet de bijlagen en niet hun namen. Wijzigt het team de ernst of trekt het een inbreng in, dan past Rondus de kaart aan: een ander label, of de reden zonder naam als opmerking, waarna de kaart dichtgaat. Rondus leest het bord ook, de stand van de eigen kaarten en elke dag wat er is afgerond; daarbij gaat niets van ons mee. Gegevens van een klantorganisatie gaan er niet heen	Verenigde Staten
Anthropic	Claude zet interne inbreng van het Rondus-team om in een conceptkaart en vertaalt die naar het Engels. Alleen interne inbreng van het team zelf, nooit patiënt- of ziektegegevens. Klanten en medewerkers gebruiken deze functie niet, en er gaat niets uit het rooster van een klantorganisatie mee. Bijlagen gaan nooit mee, ook hun namen niet, alleen hoeveel het er zijn. Wel mee gaan een beschrijving van Rondus uit de eigen code en de nummers en titels van open kaarten op ons bord, om dubbele kaarten te vinden	Verenigde Staten
Pushdiensten van Apple, Google en Mozilla	Bezorgen een pushmelding op de telefoon of laptop van iemand van het Rondus-team die het zelf aanzet: nieuwe inbreng, een goedkeuring of een melding van een klant. De dienst ziet alleen het apparaatadres dat hij zelf uitgaf en het tijdstip. De inhoud is end-to-end versleuteld met de sleutels van het apparaat en voor de dienst onleesbaar. Rondus heeft met deze diensten geen eigen overeenkomst: ze werken voor de maker van de browser	Niet gemeten; de browser kiest de dienst
Resend	Verzending van de demo-aanvraag naar Rondus en van de bevestiging aan de aanvrager: de gegevens uit het demoformulier (zie "Welke gegevens"). Geen roostergegevens. Dezelfde dienst verstuurt de mails van de applicatie (zie de maildienst hierboven)	Verzending vanuit Ierland (eu-west-1); logboeken en gegevens van verzonden mails in de Verenigde Staten (EU-VS-privacykader)
Hostinger	E-mailbox hallo@rondus.app; ontvangt demo-aanvragen en e-mail aan Rondus. Geen roostergegevens	EU (Frankfurt)
Google (Analytics 4)	Websitestatistiek, alleen na toestemming (zie "Websitestatistiek met Google Analytics"). Geen roostergegevens	Alleen deze website; EU en VS (Data Privacy Framework)

De roostergegevens staan in de Europese Unie (Frankfurt). Voor de roostergegevens van uw organisatie is doorgifte buiten de EU geen onderdeel van het ontwerp. GitHub en Anthropic staan in de Verenigde Staten en krijgen geen gegevens van een klantorganisatie (zie de tabel). Resend, de maildienst, verstuurt vanuit Ierland maar bewaart de logboeken en de gegevens van verzonden mails in de Verenigde Staten, onder het EU-VS-privacykader. Van de pushdiensten is de regio niet gemeten; de inhoud van een pushmelding is voor hen onleesbaar. Ook de websitestatistiek kan buiten de EU gaan: de tellingen van Vercel (zie "Bezoeken tellen zonder cookie") en, met uw toestemming, Google Analytics (zie "Doorgifte naar de Verenigde Staten" onder "Websitestatistiek met Google Analytics"). Twee eerlijke kanttekeningen. Vercel levert statische bestanden (zoals opmaak en afbeeldingen) via een wereldwijd netwerk, zodat pagina's overal snel laden. En de sessiecontrole van Vercel leest bij elk verzoek de sessie en het profiel van de ingelogde gebruiker in de regio die het dichtst bij die gebruiker ligt; dat kan buiten de EU zijn, en Vercel biedt geen instelling om dat te beperken. De roostergegevens zelf staan in Frankfurt.

De Rondus Gids en telemetrie

Rondus heeft een ingebouwde hulpfunctie, de Gids. De Gids beantwoordt vragen uitsluitend uit de eigen, vooraf geschreven uitleg van Rondus. Er is geen taalmodel of andere externe dienst bij betrokken: de vraag wordt in de browser zelf beantwoord en verlaat die niet voor het antwoord. Roostergegevens, namen of andere persoonsgegevens bereiken de Gids niet; dat is technisch zo afgedwongen, niet alleen afgesproken.

Om de uitleg te verbeteren legt Rondus het gebruik van de Gids vast: de gestelde vraag (maximaal 200 tekens), welke uitleg is getoond, of er een antwoord was of een weigering, welke knoppen zijn gebruikt, bij welke stap een rondleiding stopte en een optioneel oordeel over het antwoord. Daarbij horen rol, taal en schermnaam en een willekeurig sessienummer dat nergens aan gekoppeld is. Er wordt géén account, naam of organisatie vastgelegd.

Eén ding zeggen we er eerlijk bij: de gestelde vraag is vrije tekst die de gebruiker zelf typt. Wat daarin terechtkomt bepalen wij niet, en die regels zijn leesbaar voor de beheerders van Rondus. Wie de Gids liever niet gebruikt, zet hem in het profielmenu volledig uit.

Wij ruimen deze gegevens periodiek op na twaalf maanden. Dat is een handeling van ons en geen taak die in de database staat ingepland. Datzelfde geldt voor de gebruiksgegevens en de auditlog: die hebben geen automatische bewaartermijn en groeien mee met het gebruik. We noemen dat liever dan dat we een termijn opschrijven die nergens wordt uitgevoerd.

Bewaartermijnen

Accountgegevens: zolang de klantrelatie met de vakgroep of instelling duurt.
De roosterhistorie blijft beschikbaar voor de vakgroep.
Verwijdering gebeurt op verzoek van de verwerkingsverantwoordelijke (de instelling of vakgroep).
Back-ups volgen de retentietermijnen van Supabase.
Statistiek van de Gids: periodiek opgeruimd na twaalf maanden, met de hand.
Gebruiksgegevens en auditlog: geen automatische termijn; opgeruimd op verzoek of periodiek met de hand.
Contactpersonen van ziekenhuizen en vakgroepen: opgeruimd op verzoek.
Websitestatistiek (Google Analytics): twee maanden; de cookies maximaal twaalf maanden. Uw cookiekeuze vragen we na twaalf maanden opnieuw.
Demo-aanvragen: we bewaren een demo-aanvraag zolang we met u in gesprek zijn, en uiterlijk twee jaar na het laatste contact.

Beveiliging

Toegangsscheiding per organisatie op databaseniveau (row level security): een organisatie kan alleen haar eigen gegevens zien.
Database en serverfuncties binnen de EU (Frankfurt).
Toegang per rol: wie wat kan zien en wijzigen hangt af van de rol in de applicatie.

Uw rechten

U hebt recht op inzage, rectificatie, verwijdering, beperking van de verwerking, overdraagbaarheid en bezwaar. Neem contact op via hallo@rondus.app. Gaat het om roostergegevens in de applicatie, dan leggen we het verzoek voor aan de vakgroep of instelling, want die is daarvoor verantwoordelijk. Gaat het om de gebruiksgegevens, de statistiek van de Gids of de contactpersonen, dan handelen wij het zelf af. Voor die drie is er nog geen knop in de applicatie: wij voeren zo'n verzoek met de hand uit en bevestigen wanneer het gedaan is. U kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens.

Wijzigingen

Wijzigt deze verklaring, dan passen we de datum bovenaan aan. Bij wezenlijke wijzigingen informeren we onze klanten.