Privacy en uw gegevens

Verantwoordelijkheid

§1Wie verantwoordelijk is voor uw gegevens#

Uw werkgever. U hebt een Beloplan-account omdat het bedrijf waarvoor u werkt Beloplan gebruikt, en de werkgegevens erin — uw uren, uw taken, uw foto’s — zijn de bedrijfsadministratie van dat bedrijf. Zij beslissen wat verzameld wordt, wie het mag zien en hoe lang het bewaard blijft.

In de taal van de AVG is uw werkgever de verwerkingsverantwoordelijke en zijn wij een verwerker: wij laten de software draaien en beheren de servers volgens hun schriftelijke instructies, en wij gebruiken wat in hun account staat niet voor eigen doeleinden.

Gegevens

§2Wat Beloplan bewaart#

Alles hieronder wordt bewaard omdat het product het nodig heeft om te werken. Niets ervan wordt verzameld voor reclame, niets wordt verkocht, en niets wordt gecombineerd met wat u in andere apps of op andere websites doet.

Over u

• Uw naam, uw werkmailadres en, als uw bedrijf dat vastlegt, uw telefoonnummer.
• De taal die u koos en de instellingen die u voor uzelf zette.
• Uw wachtwoord — nooit zoals u het typte. Wat bewaard wordt is een Argon2-hash: een eenrichtingsberekening die een opnieuw getypt wachtwoord kan controleren en die niet terug te rekenen is naar uw wachtwoord.
• De toestellen waarop u aangemeld bent. Elk daarvan is een rij met het tijdstip van aanmelden, de browser of app die zich bekendmaakte, en het netwerkadres waarvan de aanmelding kwam. U ziet die lijst zelf bij Instellingen en kunt elke sessie erin beëindigen.

Het werk dat u doet

• Geklokte uren, verplaatste taken, gebruikte materialen, voorraadbewegingen, notities en redenen die u typt, werfdagboekposten, problemen die u meldt.
• Foto’s die u voor het werk maakt — taakfoto’s, bonnetjes, leveringsbons, werfbeelden — en de documenten die u opent, toevoegt of ondertekent.
• Onkostennota’s, die uw eigen geld zijn tot u terugbetaald wordt. Er wordt nooit een kaartnummer, een rekeningnummer of een betaling verzameld, niet op het web en niet op de telefoon.
• Berichten en opmerkingen die u via het product aan collega’s of aan een klant schrijft.
• De commerciële administratie van uw bedrijf: klanten, leveranciers, offertes, facturen, prijzen. Die is van het bedrijf, niet van u, en uw account raakt alleen aan het deel dat uw werkgever u toekende.

Wat het systeem vastlegt over wat er gebeurd is

Beloplan houdt een auditspoor bij: welk account welke gegevens wijzigde, wanneer, wat er veranderde van en naar, vanaf welk netwerkadres en met welke browser of app. Het bestaat opdat "wie heeft dit uur goedgekeurd, en wanneer" een antwoord heeft dat niemand stilletjes kan aanpassen.

Foto’s

§3Foto’s, en de locatie die erin verstopt zit#

Camera’s schrijven dingen in een foto die u niet ziet, en op de meeste telefoons horen daar de exacte coördinaten bij van waar ze genomen is. Beloplan gaat daar bewust mee om, en de twee helften van het product doen dat verschillend — dus staan ze hier allebei, niet alleen de vleiende.

In de telefoon-app

Voor een foto de app verlaat, wordt ze opnieuw opgebouwd met alleen de oriëntatie en het tijdstip van de opname. Al de rest verdwijnt — de locatie op de eerste plaats, ook de kopieën die sommige camerafabrikanten en bewerkingsapps elders in het bestand verstoppen. De server ontvangt van de telefoon-app nooit een coördinaat, met welke camera de foto ook genomen is.

In de webtoepassing

Een foto die via een browser geüpload wordt, leest de server eerst uit: draagt het bestand een opnametijdstip of een positie, dan worden die twee waarden als gegeven bij het record bewaard, met de vermelding waar ze vandaan komen — de camera, of ingetypt door wie uploadt. Dat is precies waarvoor ze dienen. Een werffoto waarvan tijd en plaats gekend zijn, is bewijs in een discussie over verborgen werk; een foto zonder die twee is een plaatje.

Het bestand dat daarna bewaard wordt, draagt er niets van. Elke metadatacontainer wordt verwijderd — EXIF, XMP en IPTC — zonder één pixel opnieuw te coderen, zodat de afbeelding die u later downloadt de afbeelding is die toekwam, en niet langer vertelt waar ze genomen is. Waar een positie bewaard werd, is die zichtbaar in de galerij voor de collega’s die het record toch al mogen openen, en ze verdwijnt samen met het record.

Locatie

§4Waar u bent#

De telefoon-app weet niet waar u bent. Ze heeft op Android noch op iPhone een locatiemachtiging, en geen enkel scherm leest een positie uit. Tikt u op "breng me daarheen", dan geeft ze uw kaartenapp een adres dat de server aanleverde — nooit een coördinaat die de app zelf mat.

Beloplan kan vastleggen waar iemand stond bij het inklokken, en dat staat voor elk bedrijf uit tot twee afzonderlijke dingen waar zijn: het bedrijf heeft het in zijn eigen instellingen aangezet, en u hebt uw toestemming gegeven. Ontbreekt er één, dan wordt er geen positie geschreven — niet bewaard-maar-verborgen, gewoon niet geschreven.

Toestemming is hier een echte toestemming, en dat betekent dat weigeren niets kost: weigeren registreert uw uren precies zoals toestemmen dat doet. Intrekken is één handeling, en die wist de posities die eronder vielen in plaats van alleen de volgende tegen te houden. Een positie op een goedgekeurde prestatie wordt op dat moment ook gewist.

Opslag & beveiliging

§5Waar het bewaard wordt, en hoe het beschermd is#

De gegevens staan in een PostgreSQL-databank. Bestanden en foto’s staan in objectopslag, apart van de databank, die enkel de sleutel bewaart die ernaar wijst. Wij draaien geen eigen hardware: beide worden onder contract voor ons beheerd door gespecialiseerde providers.

Het ene bedrijf kan het andere niet zien

Elke rij in de databank draagt het bedrijf waartoe ze behoort, en de databank zelf handhaaft die grens met row-level security — het account waarmee de toepassing verbindt, mag die niet omzeilen. Dat is meer waard dan een belofte: het betekent dat een fout in de toepassingscode zich toont als geen rijen, en niet als de rijen van iemand anders.

Onderweg

• Alles wat de app en de browser versturen, gaat over een versleutelde verbinding.
• De telefoon-app controleert bovendien of de server wel de verwachte is, zodat een verbinding die op een openbaar netwerk onderschept wordt mislukt in plaats van stilletjes te lukken.
• De webtoepassing wordt vanaf één oorsprong bediend, met een beleid dat verbiedt haar in een andere site in te bedden en dat nergens een verwijzende URL meestuurt.
• Wachtwoorden worden gehasht met Argon2. Aanmeldtokens worden enkel als hash bewaard, nooit in een vorm die hergebruikt kan worden.
• Op de telefoon blokkeren de financiële schermen schermafbeeldingen en schermopname, en uw aanmelding staat in de beveiligde opslag van de telefoon zelf.

De servers, de databank en de bestandsopslag bevinden zich in de Europese Unie — Amsterdam, Nederland.

Toegang

§6Wie bij Beloplan de gegevens van uw bedrijf kan zien#

Dit is de vraag die elke eerlijke privacypagina onomwonden hoort te beantwoorden, dus: een klein aantal met naam gekende mensen, één bedrijf tegelijk, en elke blik wordt opgeschreven.

• Er bestaat bij Beloplan geen account dat over alle klanten tegelijk kan lezen. Ondersteuning gebeurt door bewust aan één bedrijf te koppelen, en alles wat daarbinnen gelezen wordt, wordt gecontroleerd volgens dezelfde regels die voor het eigen personeel van dat bedrijf gelden.
• Een Beloplan-operator meldt zich aan met een wachtwoord én een passkey op een fysiek toestel. Een gestolen wachtwoord alleen levert een sessie op die tot niets bevoegd is.
• Elke handeling van een operator — en elke aanmelding, geslaagd of niet — wordt weggeschreven naar een apart auditlogboek dat de operator niet kan aanpassen.
• Wij hebben bewust niet gebouwd wat een operator zou toelaten zich als een van uw werknemers aan te melden en het product als hen te gebruiken. Het is de functie waar ondersteuningsteams het eerst naar grijpen, en de functie zonder eerlijk auditspoor aan de kant van de klant. Ze blijft ongebouwd tot ze in een ondertekende verwerkersovereenkomst kan staan en getoond kan worden aan de klant om wiens account het gaat.

Derden

§7Wie er nog bij betrokken is#

Niets over u wordt verkocht, en niets wordt met iemand gedeeld voor diens eigen doeleinden. Een korte lijst gespecialiseerde bedrijven verwerkt gegevens volgens onze instructies, want anders werkt het product niet:

• Hosting en databank — de servers en de databank worden voor ons beheerd door onze hostingprovider.
• Bestandsopslag — foto’s en documenten staan bij een provider van objectopslag.
• E-mail — uitnodigingen, wachtwoordherstel en meldingen gaan via een provider voor transactionele e-mail. Er wordt u niets voor marketing gestuurd.
• E-facturatie — verstuurt uw bedrijf een factuur over het Peppol-netwerk, dan passeert die factuur het toegangspunt van dat netwerk, zoals e-facturatie nu eenmaal vereist.
• Crashrapporten (enkel de telefoon-app) — zie hieronder.

Crashrapporten

Loopt de telefoon-app vast, dan stuurt ze een technisch rapport zodat de fout hersteld kan worden. Die rapporten worden opgeschoond voor ze de telefoon verlaten: geen namen, geen mailadressen, geen bedragen, geen coördinaten, en geen kenmerk dat zegt van welke telefoon of van welke persoon het komt. Het is diagnostiek, geen dossier over u, en het is niet naar u te herleiden.

De webtoepassing stuurt aan niemand foutrapporten. Er zit geen analysetool, geen advertentie-identificatie, geen trackingpixel en geen script van derden in eender welk scherm ervan.

Cookies

§8Cookies, en wat er op uw toestel blijft staan#

Beloplan gebruikt uitsluitend strikt noodzakelijke cookies. Geen analysecookie, geen advertentiecookie en geen cookie van derden — daarom hebt u hier nooit een toestemmingsbanner gezien. Er valt niets toe te stemmen.

Daarnaast bewaart de browser uw taalkeuze en enkele interface-voorkeuren op het toestel zelf. De telefoon-app bewaart uw aanmelding in beveiligde opslag en een kopie van een deel van wat ze gelezen heeft, zodat een scherm ook bij een slechte verbinding verschijnt. Afmelden wist dat allemaal, en raakt niets aan in het account van uw bedrijf.

Bewaartermijn

§9Hoe lang het bewaard blijft#

Bedrijfsgegevens — uren, facturen, projecten, foto’s — blijven zolang uw werkgever ze bewaart. Het zijn hun gegevens, en de Belgische boekhoudwetgeving heeft meer te zeggen over hoe lang een factuur bewaard moet worden dan wij.

Wat wij wel bepalen, is hoe lang de machinerie rond die gegevens haar eigen sporen bewaart. Deze opruimingen lopen elke nacht en zijn niet optioneel:

Verwijdert uw werkgever uw account, dan wordt uw naam gewist en worden uw mailadres, telefoonnummer en aanmeldgegevens verwijderd. De interne verwijzing blijft, zodat de uren die u klokte en de leveringen die u tekende nog altijd naar een persoon leiden op de documenten die er wettelijk een moeten noemen — maar die verwijzing leidt niet langer naar u.

Machtigingen

§10Wat de telefoon-app aan uw telefoon vraagt#

• Camera — voor de barcodescanner en voor werffoto’s. Wordt gevraagd de eerste keer dat u er een gebruikt.
• Meldingen — voor de melding van de lopende timer. Wordt één keer gevraagd; de app werkt ook zonder.
• Face ID / vingerafdruk — om de app opnieuw te ontgrendelen zonder uw wachtwoord te typen.

Meer vraagt ze een mens niet. Ze leest uw contacten niet, uw agenda niet, uw berichten niet, uw oproepgeschiedenis niet, uw surfgedrag niet, uw gezondheidsgegevens niet en de andere apps op uw telefoon niet. Ze kan één agenda-item toevoegen, als u het vraagt, voor goedgekeurd verlof — en ze leest er niets van terug.

Uw rechten

§11Uw gegevens inzien, corrigeren en laten wissen#

Onder de AVG kunt u vragen om te zien wat over u bewaard wordt, om het te laten corrigeren, om het te laten wissen waar de wet dat toelaat, om het gebruik ervan te beperken of ertegen bezwaar te maken, en om het in een overdraagbare vorm te ontvangen.

Vraag het aan uw werkgever. Het account is van hen, de gegevens erin zijn van hen, en zij zijn degenen die op uw vraag kunnen handelen. Hebben zij ons technisch nodig om eraan te voldoen, dan vragen zij het ons en doen wij het.

Twee dingen kunt u vandaag zelf doen, zonder het aan iemand te vragen: bij Instellingen elk toestel zien waarop uw account aangemeld is en elk van die sessies beëindigen; en uw eigen wachtwoord wijzigen.

Meent u dat uw gegevens verkeerd behandeld zijn en heeft uw werkgever dat niet opgelost, dan kunt u klacht indienen bij de Gegevensbeschermingsautoriteit, Drukpersstraat 35, 1000 Brussel.

Wijzigingen & contact

§12Wijzigingen aan deze pagina, en hoe u ons bereikt#

Wijzigt deze pagina wezenlijk, dan wijzigen de versie en de datum bovenaan mee en wordt uw werkgever verwittigd. De geldende versie is altijd die welke hier gepubliceerd staat.

Voor alles wat uw eigen gegevens, uw uren of uw account betreft: vraag het eerst aan uw werkgever — zij hebben het account en zij kunnen erin handelen. Voor een vraag over de software zelf, of een privacyvraag die uw werkgever niet kan beantwoorden, schrijft u ons.