Privacybeleid

NL — Dit is een vertaling die ter informatie wordt verstrekt. De Franse versie van dit document is de bindende versie: bij elk verschil in interpretatie heeft de Franse tekst voorrang, behoudens wanneer dwingend recht in het land van vestiging van de Klant anders bepaalt. De Franse versie is beschikbaar op https://odres.io/politique-de-confidentialite.

Preambule

Dit privacybeleid (het « Beleid ») beschrijft de wijze waarop ODRES GROUP SRL (« Odres ») persoonsgegevens verzamelt, gebruikt, bewaart, meedeelt en beschermt in het kader van haar website, van haar commerciële activiteiten, van haar contractuele relatie met haar professionele klanten en van de exploitatie van de softwareoplossing Odres.io (de « Oplossing »).

De Oplossing omvat zes toepassingen: ODRES ERP (back-office voor eigenaars, zaakvoerders en boekhouders), OdStaff (toepassing voor werknemers: uurroosters, tijdsregistraties, vakantie, HR-documenten, verwittigingen, evaluaties, opleidingen, aankondigingen), OdKiosk (keuken- en hygiënetablet: HACCP, checklists, schoonmaak, UCD-etiketten), OdStock (voorraadtablet: ontvangsten, inventarissen), OdClock (prikklok) en OdLabels (iOS-toepassing voor het afdrukken van UCD-etiketten). Zij is toegankelijk op het adres https://app.odres.io. De vitrinesite https://odres.io is een afzonderlijke toepassing, die afzonderlijk wordt uitgerold.

Het is opgesteld overeenkomstig Verordening (EU) 2016/679 van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (de « AVG ») en de Belgische wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens.

Overeenkomstig artikel 12 van de AVG is het Beleid in een duidelijke en eenvoudige taal opgesteld. Het heeft echter tot doel juridisch volledig te zijn: de noodzakelijke technische uiteenzettingen staan in de gedetailleerde afdelingen, voorafgegaan door een toegankelijke samenvatting.

Twee onderscheiden stelsels bestaan naast elkaar en mogen niet worden verward:

Dit Beleid regelt niet de verwerkingen van de tweede categorie. Een persoon wiens gegevens door een Klant in de Oplossing zijn ingevoerd — bijvoorbeeld een werknemer van een restaurant wiens uurrooster wordt ingegeven, of een eindklant die is ingeschreven voor een getrouwheidsprogramma — moet zijn verzoek richten aan de betrokken Klant, die de verwerkingsverantwoordelijke is. Afdeling 4 preciseert dit samenspel en de wijze waarop Odres dergelijke verzoeken doorstuurt.

Voor het overige hebben de termen « Forfait », « Trap », « Trapcriteria », « Actieve Gebruiker », « Tariefschema », « Gemeten Diensten », « Verwerkt Boekhoudkundig Document », « Gekoppelde Kassa », « Opslag », « AI-krediet », « Inbegrepen Quotum », « Eenheidstarief » en « Overschrijding » in dit Beleid de betekenis die artikel 1.2 bis van de Algemene Abonnementsvoorwaarden (document nr. 06) eraan geeft.

Herinnering betreffende het tariefmodel. Het Abonnement wordt gefactureerd tegen Forfait, bepaald door slechts twee Trapcriteria — het onderschreven Pack en de à-la-carte geactiveerde modules enerzijds, het aantal gedekte Vestigingen anderzijds —, verhoogd met een variabel deel dat op gebruik wordt gefactureerd uit hoofde van vijf Gemeten Diensten: de Actieve Gebruikers, de AI-kredieten, de Verwerkte Boekhoudkundige Documenten, de Gekoppelde Kassa's en de Opslag. Het aantal Actieve Gebruikers vormt geen Trapcriterium: het wordt gemeten en per eenheid gefactureerd boven het Inbegrepen Quotum. De koppeling van bankrekeningen vormt geen Gemeten Dienst: zij is aan geen enkele teller onderworpen, aangezien de kostprijs van de dienstverlener aan kostprijs wordt doorgerekend, op voorlegging van een bewijsstuk en zonder opslag.

1. Identiteit en contactgegevens van de verwerkingsverantwoordelijke

Voor elke vraag over dit Beleid of over de uitoefening van de rechten beschreven in afdeling 11 is het contactpunt contact@odres.io.

Postadres voor schriftelijke verzoeken: ODRES GROUP SRL, ter attentie van het privacycontactpunt, 20 Place Verte, 6000 Charleroi (België).

2. Functionaris voor gegevensbescherming of privacycontactpunt

2.1 Huidige situatie

De aanstelling van een functionaris voor gegevensbescherming (« DPO ») is verplicht in de drie gevallen van artikel 37.1 van de AVG: overheidsinstantie of overheidsorgaan; hoofdactiviteiten die bestaan in grootschalige regelmatige en stelselmatige observatie van betrokkenen; hoofdactiviteiten die bestaan in grootschalige verwerking van bijzondere categorieën van gegevens of van gegevens betreffende strafrechtelijke veroordelingen.

De kwalificatie van Odres in het licht van artikel 37.1 hangt met name af van het volume aan klantvestigingen, van het aantal personen wier gegevens via de Oplossing passeren en van de aanwezigheid van gezondheidsgegevens in de HR-module (afwezigheidsredenen, medische attesten). Aangezien een 360°-beheersoftware voor de horeca structureel tijdsregistratiegegevens van werknemers verwerkt en afwezigheidsredenen kan verzamelen, moet de hypothese van een grootschalige verwerking van bijzondere categorieën van gegevens ernstig worden onderzocht zodra de geïnstalleerde basis een significante omvang bereikt.

Ingenomen standpunt. Na deze analyse heeft Odres geen functionaris voor gegevensbescherming in de zin van artikel 37 van de AVG aangesteld en heeft zij een privacycontactpunt ingesteld, waarbij de analyse die tot het uitsluiten van de aanstellingsverplichting heeft geleid, overeenkomstig het verantwoordingsbeginsel (artikel 5.2 van de AVG) in een interne nota is gedocumenteerd. Deze analyse wordt periodiek opnieuw onderzocht, en in elk geval bij elke significante evolutie van het volume of van de aard van de verwerkingen.

2.2 Contactgegevens

Privacycontactpunt. Odres heeft geen functionaris voor gegevensbescherming in de zin van artikel 37 van de AVG aangesteld. Een privacycontactpunt is bereikbaar op het adres contact@odres.io, of per brief aan ODRES GROUP SRL, ter attentie van het privacycontactpunt, 20 Place Verte, 6000 Charleroi (België), voor elke vraag of elk verzoek met betrekking tot persoonsgegevens. Mochten de voorwaarden van artikel 37 van de AVG vervuld zijn, dan zal een functionaris voor gegevensbescherming worden aangesteld, zullen zijn contactgegevens in dit Beleid worden bekendgemaakt en aan de Gegevensbeschermingsautoriteit worden meegedeeld overeenkomstig artikel 37.7 van de AVG.

3. Leidende beginselen

Odres past op de verwerkingen waarvoor zij verantwoordelijk is de beginselen van artikel 5 van de AVG toe:

1. Rechtmatigheid, behoorlijkheid, transparantie: elke verwerking berust op een in afdeling 5 geïdentificeerde rechtsgrond en wordt ter kennis van de betrokkenen gebracht.
2. Doelbinding: de gegevens worden niet verder verwerkt op een wijze die onverenigbaar is met het oorspronkelijke doeleinde.
3. Minimale gegevensverwerking: enkel de gegevens die toereikend en relevant zijn en beperkt tot wat noodzakelijk is, worden verzameld.
4. Juistheid: onjuiste gegevens worden onverwijld gerectificeerd of gewist.
5. Opslagbeperking: de termijnen vermeld in de afdelingen 5 en 10 zijn van toepassing.
6. Integriteit en vertrouwelijkheid: de in afdeling 9 beschreven maatregelen worden uitgevoerd.
7. Verantwoordingsplicht: Odres houdt een register van de verwerkingsactiviteiten overeenkomstig artikel 30 van de AVG en is in staat haar conformiteit aan te tonen.

4. Samenspel tussen de rol van verwerkingsverantwoordelijke en de rol van verwerker

4.1 Verwerkingen die onder dit Beleid vallen

Odres treedt op als verwerkingsverantwoordelijke wanneer zij alleen de doeleinden en de middelen van de verwerking bepaalt. Dat is met name het geval voor:

• het beheer van de website https://odres.io en van de relatie met de bezoekers ervan;
• de commerciële prospectie en het beheer van de aanvragen voor een demonstratie of een proefperiode;
• het beheer van de professionele contacten van de Klanten en prospecten (contactpersonen, ondertekenaars, technische en boekhoudkundige referenten);
• de aanwerving en het beheer van de kandidaturen;
• het aanmaken en het beheer van de Gebruikersaccounts en de authenticatie bij de Oplossing, voor zover deze verband houdt met de veiligheid en de toegangscontrole van het platform van Odres;
• de facturatie, de inning, de invordering en de boekhouding van Odres;
• de technische support en het beheer van de bijstandsverzoeken;
• de technische logboeken, het toezicht, de detectie van incidenten en de veiligheid van de Oplossing;
• de verbetering van het product op basis van geaggregeerde gegevens en gebruiksmetingen;
• de direct marketing bij professionals;
• het beheer van de wettelijke verplichtingen en de verdediging van de rechten van Odres.

4.2 Uitgesloten verwerkingen — Odres als verwerker

Odres treedt op als verwerker wanneer zij, voor rekening van een Klant, de Klantgegevens host en verwerkt die in de Oplossing zijn ingevoerd, met name:

• de gegevens van de werknemers van de Klant (identiteit, contracten, uurroosters, planningen, tijdsregistratie, afwezigheden en, in voorkomend geval, afwezigheidsredenen of medische attesten);
• de gegevens van de eindklanten van de Klant (getrouwheid, reservaties, bestellingen op naam, voorkeuren, marketingtoestemmingen), met inbegrip van de gegevens van deelname aan het rad en de online beoordelingen die door deze personen op de vestigingsfiche van de Klant worden gepubliceerd;
• de inningsgegevens verbonden aan de transacties van de Klant bij zijn eigen eindklanten;
• de gegevens van leveranciers en van exploitatiecontacten van de Klant;
• de gegevens van bankrekeningen en van bankverrichtingen van de Klant die zouden worden ingevoerd door middel van de functionaliteit voor het koppelen van bankrekeningen, met inbegrip van de gegevens van de tegenpartijen bij de verrichtingen — leveranciers, betaalde werknemers, eindklanten —, waarvan sommige natuurlijke personen zijn zonder contractuele relatie met Odres. Deze functionaliteit is niet actief: tot op heden is geen enkele rekeninginformatiedienstaanbieder aangewezen (zie afdeling 7.3, regel 13). Zodra dat het geval is, zal de koppeling worden verwezenlijkt via een derde dienstverlener die een vergunning heeft of is ingeschreven in de zin van richtlijn (EU) 2015/2366 (PSD2), aan wie de Klant rechtstreeks zijn toestemming zal geven; Odres is noch een betaalinstelling, noch een rekeninginformatiedienstaanbieder met vergunning, en heeft geen toegang tot de bankinloggegevens van de Klant;
• de verkoopgegevens die door het verkooppuntsysteem (kassa) van een derde van de Klant worden teruggegeven en via API worden opgehaald voor weergave in de Oplossing — omzet, tickets, gemiddeld bestelbedrag. Odres is geen kassasysteem: het verkooppuntsysteem blijft dat van de Klant, die er als enige de conformiteit van draagt;
• de bestanden, foto's en documenten die door de Klant of zijn Gebruikers in de Oplossing worden opgeladen (checklists, kwaliteitscontroles, HR-documenten, boekhoudkundige stukken, logo's, selfies voor de tijdsregistratie, bijlagen, PDF), opgeslagen bij Cloudinary in een Europees datacenter van de dienstverlener;
• de gegevens die voorkomen op de boekhoudkundige documenten die door de Klant worden geïmporteerd en aan een geautomatiseerde verwerking van tekenherkenning en extractie worden onderworpen, welke met name leveranciers, werknemers en eindklanten van de Klant betreffen. De dienstverlener voor documentherkenning is nog niet geïdentificeerd: geen enkele geautomatiseerde verwerking van dit type wordt uitgevoerd vóór zijn inschrijving in Bijlage 2 bij de DPA en de voorafgaande informatie aan de Klant;
• de gegevens die aan de functionaliteiten voor artificiële intelligentie van de Oplossing worden onderworpen — inhoud van de verzoeken, overgemaakte documenten en uittreksels, voortgebrachte uitvoer. Deze verwerkingen worden uitgevoerd door Anthropic Ireland Limited / Anthropic PBC, subverwerker ingeschreven in afdeling 7.3 (regel 6), wiens programmeerinterface in de Verenigde Staten wordt gehost. Slechts twee functies doen hierop een beroep: de ODRES-assistent van de back-office en de hulp bij het antwoorden op online beoordelingen van de module Reputatie; geen enkele andere functie van de Oplossing gebruikt artificiële intelligentie, en het gebruik is in volume per Gebruiker en globaal per maand geplafonneerd. De Klantgegevens mogen niet worden gebruikt om een model te trainen, bij te sturen of te evalueren, onder de voorwaarden van artikel 18 quinquies van de DPA. Worden nooit overgemaakt aan de artificiële intelligentie: de wachtwoorden, de PIN-codes, de bankgegevens, de selfies voor de tijdsregistratie, en alle gegevens van een vestiging waartoe de Gebruiker geen toegang heeft.

Voor deze verwerkingen is de Klant de verwerkingsverantwoordelijke. Hij bepaalt de doeleinden, de bewaartermijnen, de informatie aan de betrokkenen en de rechtsgronden. Odres handelt enkel op gedocumenteerde instructie van de Klant, onder de voorwaarden van de DPA (document nr. 10), die het geheel van de vermeldingen van artikel 28.3 van de AVG bevat alsook de bijlagen betreffende de verwerkingen, de subverwerkers, de technische en organisatorische maatregelen en de internationale doorgiften.

Onderscheid dat niet mag worden gemist. De inning van de sommen die de Klant aan Odres verschuldigd is uit hoofde van zijn abonnement is een verwerking waarvoor Odres verantwoordelijk is (afdeling 5.5); zij wordt uitgevoerd door Stripe Payments Europe, Limited, gevestigd in Ierland, en betreft geen enkel gegeven van de werknemers, eindklanten of leveranciers van de Klant. De inningen die de Klant bij zijn eigen eindklanten verricht, zijn daarentegen Klantgegevens waarvoor Odres verwerker is.

4.3 Verzoeken die bij vergissing aan Odres worden gericht

Wanneer Odres een verzoek tot uitoefening van rechten ontvangt dat kennelijk betrekking heeft op gegevens waarvoor een Klant verantwoordelijk is, dan:

1. antwoordt zij er niet ten gronde op en deelt zij geen enkel gegeven rechtstreeks aan de betrokkene mee;
2. maakt zij het verzoek binnen een termijn van vijf (5) Werkdagen aan de betrokken Klant over, behoudens andersluidende instructie van de Klant;
3. informeert zij de betrokkene over deze overmaking en over de identiteit van de verwerkingsverantwoordelijke, in de mate waarin deze informatie geen afbreuk doet aan de rechten van derden noch aan de vertrouwelijkheidsverplichtingen van Odres.

4.4 Gebruikersaccount: dubbele kwalificatie

Het account van een Gebruiker geeft aanleiding tot twee elkaar overlappende verwerkingen die moeten worden onderscheiden:

• Odres is verantwoordelijk voor de verwerking van de identificatie- en authenticatiegegevens die noodzakelijk zijn voor de veiligheid van het platform, voor het voorkomen van ongeoorloofde toegang, voor de traceerbaarheid van de aanmeldingen, voor de meting van het aantal Actieve Gebruikers en voor de facturatie (inlognaam, professioneel e-mailadres, afdruk van het wachtwoord, aanmeldingslogboeken, tweede authenticatiefactor in voorkomend geval).
• De Klant is verantwoordelijk voor de beslissing om een toegang te openen, te wijzigen of af te sluiten, voor het toegekende machtigingsniveau, alsook voor het geheel van de bedrijfsgegevens die door de Gebruiker of over hem in de modules van de Oplossing worden ingevoerd.

5. Tabel van de verwerkingen waarvoor Odres verantwoordelijk is

De bewaartermijnen worden gerekend vanaf het aangegeven aanleidinggevende feit. Bij het verstrijken van de actieve termijn kunnen de gegevens in tussentijdse archivering met beperkte toegang worden bewaard voor de enkele duur van de toepasselijke wettelijke verjaringstermijnen, vóór definitieve verwijdering of anonimisering.

5.1 Website, bezoekers en publieksmeting

5.1 bis Assistent van de site (OdBot)

Typ in de assistent geen gevoelige gegevens en geen gegevens over derden: hij dient voor algemene informatie over Odres. Gebruik voor een persoonlijke vraag het contactformulier van de Site.

5.2 Prospecten, aanvragen voor een demonstratie en een proefperiode

5.3 Kandidaten bij aanwerving

Herinnering. Odres vraagt noch bewaart, in het kader van de aanwerving, gegevens die onder artikel 9 van de AVG vallen (gezondheid, opvattingen, overtuigingen, afkomst, vakbondslidmaatschap, seksuele gerichtheid) noch gegevens betreffende strafrechtelijke veroordelingen, behoudens wanneer de wet dit uitdrukkelijk voorschrijft voor een bepaalde functie.

5.4 Contacten van de Klanten, contractuele relatie en Gebruikersaccounts

Wachtwoord. Odres bewaart de wachtwoorden nooit in leesbare vorm. Enkel een cryptografische afdruk voortkomend uit een passende afleidingsfunctie wordt opgeslagen; de wachtwoorden en de PIN-codes worden enkel in gehashte vorm opgeslagen (PBKDF2-SHA256) en zijn nooit leesbaar.

5.5 Facturatie, inning, invordering en boekhouding

Hoedanigheid van Odres voor de meetgegevens. Voor de overzichten van Gemeten Diensten treedt Odres op als verwerkingsverantwoordelijke, uitsluitend met het oog op de facturatie van het variabele deel van de prijs, de verantwoording daarvan en het bewijs in geval van betwisting, op grond van de artikelen 6.1.b en 6.1.c van de AVG. Deze overzichten worden doorlopend ter beschikking van de Klant gesteld vanuit zijn Account. Odres gebruikt ze voor geen enkel ander doeleinde en, in het bijzonder, gebruikt ze noch om de economische activiteit van de Klant te analyseren, noch voor een profilering van zijn Gebruikers. De meting van de Actieve Gebruikers berust op een eenvoudige indicator van maandelijkse activiteit en bevat geen enkele analyse van het gedrag, van de aanmeldingsduur, van de productiviteit of van de inhoud van de handelingen van de Gebruiker; zij kan geen enkele individuele evaluatie onderbouwen. De bedrijfsgegevens die voorkomen in de aldus geboekte documenten en verzoeken blijven van hun kant Klantgegevens waarvoor Odres verwerker is, overeenkomstig afdeling 4.2.

Betaalmiddelen en kaartgegevens. De betalingen gebeuren door automatische domiciliëring (SEPA-domiciliëring) of per bankkaart, via de door Odres gemandateerde betalingsdienstaanbieder, momenteel Stripe Payments Europe, Limited, gevestigd in Ierland. De Partijen kunnen ook een rechtstreekse bankdomiciliëring overeenkomen. Odres verzamelt, slaat op noch verwerkt enig volledig betaalkaartgegeven: de invoer gebeurt rechtstreeks bij de dienstverlener, op de door hem gehoste pagina's, in een omgeving die conform is met het PCI DSS-referentiekader; Odres ontvangt enkel afgekorte gegevens en transactiereferenties, en ziet noch bewaart ooit een kaartnummer of een volledig IBAN.

Kwalificatie van de betalingsdienstaanbieder. Een betalingsdienstaanbieder stelt zich doorgaans voor als onafhankelijke verwerkingsverantwoordelijke voor de verwerkingen die hij uitvoert uit hoofde van zijn eigen verplichtingen — fraudebestrijding, bestrijding van het witwassen van geld, prudentiële verplichtingen —, en als verwerker voor de enkele inningsverrichtingen die op instructie van de opdrachtgever worden uitgevoerd. Overeenkomstig de voorwaarden van de dienstverlener treedt Stripe op als onafhankelijke verwerkingsverantwoordelijke voor de betalingsgegevens, uit hoofde van haar reglementaire verplichtingen, en op grond van een gegevensverwerkingsovereenkomst voor de inningsverrichtingen die voor rekening van Odres worden uitgevoerd. De aldus weerhouden kwalificatie is ingeschreven in Bijlage 2 bij de DPA. De inning is gelokaliseerd in Ierland, binnen de Europese Unie; bepaalde functies van de groep Stripe worden echter vanuit de Verenigde Staten verzekerd door Stripe, LLC, en worden omkaderd onder de voorwaarden van afdeling 8.

Verandering van dienstverlener. Odres kan van betalingsdienstaanbieder veranderen, of terugkeren naar een rechtstreekse bankdomiciliëring, mits voorafgaande informatie aan de Klant van dertig (30) dagen, overeenkomstig artikel 21.5 van de Algemene Abonnementsvoorwaarden. Geen enkele kost verbonden aan deze tussenkomst wordt aan de Klant doorgerekend.

5.6 Technische support en bijstand

Waarschuwing die ter kennis van de Gebruikers moet worden gebracht. De bijlagen die aan de support worden overgemaakt, kunnen Klantgegevens bevatten (uittreksels van planningen, lijsten van eindklanten). Odres verzoekt de Gebruikers enkel de elementen over te maken die strikt noodzakelijk zijn voor de diagnose en de uittreksels te anonimiseren wanneer dat mogelijk is. De verwerking van deze stukken valt dan onder de DPA en niet onder dit Beleid.

Toegang van de support tot het account van een Klant. De tussenkomst van de support van Odres op het account van een Klant neemt de vorm aan van een in de tijd beperkte bijstandssessie, standaard enkel in leesmodus, getraceerd in het auditlogboek en ter kennis gebracht van de Klant.

5.7 Technische logboeken, toezicht en veiligheid

De veiligheidslogboeken zijn onderworpen aan een beperkte toegang en zijn, in de mate van het mogelijke, beschermd tegen wijziging. Zij worden niet gebruikt met het oog op een individuele controle van de Gebruikers door Odres.

5.8 Verbetering van het product en gebruiksstatistieken

Odres gebruikt de bedrijfsinhoud van de Klantgegevens niet met het oog op productverbetering zonder een uitdrukkelijke contractuele grondslag in de DPA en, in voorkomend geval, een instructie van de Klant.

5.9 Direct marketing

Elke mededeling bevat een functionele uitschrijvingslink. De intrekking van de toestemming of het bezwaar treedt zo spoedig mogelijk in werking en uiterlijk binnen de vijf (5) Werkdagen.

Toepasselijk kader: artikel XII.13 van het Belgische Wetboek van economisch recht en koninklijk besluit van 4 april 2003 betreffende het verzenden van reclame per elektronische post. In België vereist het verzenden van reclame via elektronische weg aan een natuurlijke persoon in beginsel een voorafgaande, vrije, specifieke en geïnformeerde toestemming, onder voorbehoud van de uitzondering die van toepassing is op bestaande klanten voor gelijkaardige producten of diensten. De functionele en onpersoonlijke contactadressen van een rechtspersoon (bijvoorbeeld info@ of contact@) genieten een onderscheiden regeling.

5.10 Wettelijke verplichtingen, geschillen en verdediging van de rechten

6. Bronnen van de gegevens

Odres verzamelt de gegevens:

1. Rechtstreeks bij de betrokkene: formulieren van de site, commerciële uitwisselingen, aanmaak van een account, supporttickets, kandidaturen, inschrijving voor de nieuwsbrief.
2. Bij de Klant: wanneer een Klant aan Odres de professionele contactgegevens van zijn aangestelden meedeelt teneinde hen een toegang tot de Oplossing te openen of een contactpersoon aan te duiden. De Klant waarborgt aan Odres dat hij deze personen heeft geïnformeerd overeenkomstig de artikelen 13 en 14 van de AVG.
3. Automatisch, bij het gebruik van de site of van de Oplossing: technische logboeken, cookies en gelijkaardige technologieën (zie het Cookiebeleid), gebruiksmetingen.
4. Bij voor het publiek toegankelijke bronnen: openbare registers (KBO, Belgisch Staatsblad), professionele websites, professionele sociale netwerken, in het strikte kader van de B2B-prospectie en onder voorbehoud van de informatie voorzien in artikel 14 van de AVG. Het eventuele beroep op externe leveranciers van prospectiegegevens is niet vastgesteld; bij gebrek aan een dergelijk beroep is deze vermelding zonder voorwerp.
5. Bij het platform voor online beoordelingen van de Klant: wanneer de Klant de module Reputatie activeert, worden de beoordelingen gepubliceerd op zijn vestigingsfiche van Google Business Profile door de Oplossing gelezen (publieke naam van de auteur, score, tekst). Deze gegevens worden door hun auteur zelf gepubliceerd op het platform van de bestemmeling; Odres verwerkt ze voor rekening van de Klant, die er verantwoordelijk voor is.

Wanneer gegevens onrechtstreeks worden verzameld, verstrekt Odres de door artikel 14 van de AVG vereiste informatie binnen een redelijke termijn en uiterlijk één (1) maand na het verkrijgen van de gegevens, of bij de eerste mededeling met de betrokkene indien deze eerder plaatsvindt.

7. Ontvangers en subverwerkers

7.1 Beginselen

De gegevens worden noch verkocht, noch verhuurd, noch geruild. Zij worden enkel meegedeeld aan de ontvangers die noodzakelijk zijn voor de verwezenlijking van de beschreven doeleinden, binnen de grenzen van wat voor hen nuttig is, en onder voorbehoud van passende vertrouwelijkheidsverbintenissen.

7.2 Categorieën van ontvangers

• Gemachtigd personeel van Odres, volgens een beginsel van minste privilege en van need-to-know.
• Verwerkers van Odres, handelend op gedocumenteerde instructie van Odres, gebonden door een overeenkomst conform artikel 28 van de AVG.
• Onafhankelijke dienstverleners die optreden als verwerkingsverantwoordelijke voor hun eigen doeleinden: accountant, advocaat, bedrijfsrevisor, betalingsdienstaanbieder, bankinstelling, verzekeraar, platform voor online beoordelingen en platform voor videoverspreiding.
• Overheidsinstanties, uitsluitend op grond van een wettelijke verplichting of van een uitvoerbare rechterlijke beslissing.
• Overnemer of verkrijger, in geval van fusie, splitsing, overdracht van activiteit of gelijkgestelde verrichting, onder voorbehoud van een voorafgaande informatie aan de betrokkenen en van het behoud van een gelijkwaardig beschermingsniveau.

7.3 Naamlijst van de dienstverleners

Lijst vastgesteld op 14 oktober 2026. Zij stemt overeen met Bijlage 2 bij de DPA (document nr. 10), waarvan zij de nummering overneemt. De dienstverleners die hier niet zijn vermeld, hebben toegang tot geen enkel gegeven.

Vitrinesite odres.io. Voor haar eigen verwerkingen alleen (afdelingen 5.1, 5.1 bis, 5.2, 5.3 en 5.9), en zonder toegang tot enig Klantgegeven, doet de Site een beroep op: Vercel Inc. — 440 N Barranca Avenue #4133, Covina, CA 91723, Verenigde Staten — voor de hosting en verspreiding van de Site, waarbij de serverfuncties in Frankfurt (Europese Unie) worden uitgevoerd en de statische inhoud wordt verspreid vanaf het aanwezigheidspunt dat het dichtst bij de bezoeker ligt; Neon (regel 2), voor de databank van de Site — register van de aanvragen, kandidaturen en toestemmingen —, in Frankfurt; Mailjet (regel 4), voor de e-mails van de Site en de verzendlijst; Anthropic (regel 6), voor de assistent van de Site.

Lettertypes, pictogrammen en bibliotheken. De lettertypes, de pictogrammenbibliotheek en de weergavebibliotheken die door de pagina's van de Oplossing worden gebruikt, zijn lokale kopieën die door het platform zelf worden geleverd, gehost in de Europese Unie. Geen enkele pagina laadt een resource vanuit een extern netwerk voor contentlevering, en het IP-adres van de bezoeker wordt aan geen enkel dergelijk netwerk overgemaakt. De enige geladen resources van derden zijn de videospelers van de module Opleiding (regels 11 en 12), en enkel wanneer een Gebruiker een video start.

Voorziene, niet geactiveerde integraties. De volgende integraties bestaan in de Oplossing maar zijn tot op heden niet geactiveerd: geen enkele toegangssleutel is geconfigureerd, geen enkele oproep wordt uitgezonden, geen enkel gegeven wordt overgemaakt. Zij worden nu reeds aangekondigd teneinde de algemene toestemming van de Klant te verkrijgen zoals voorzien in artikel 8 van de DPA: Ibanity / Ponto (Isabel Group, België — bankverbinding); e-invoice.be (België — elektronische facturatie Peppol); Meta WhatsApp Business (Meta Platforms Ireland Ltd., Ierland — berichten aan de leveranciers en aan de werknemers); Twilio (Twilio Inc., Verenigde Staten — verzending van sms); Perplexity (Perplexity AI Inc., Verenigde Staten — alternatieve leverancier van artificiële intelligentie). Hun activering zal aanleiding geven tot een bijwerking van deze afdeling, van Bijlage 2 bij de DPA en tot een voorafgaande informatie aan de Klant.

Bijwerking van de lijst. Elke inschrijving, elke vervanging en elke verwijdering wordt in deze afdeling en in Bijlage 2 bij de DPA opgenomen. De Klanten worden daarover geïnformeerd ten minste dertig (30) dagen voordat de betrokken dienstverlener toegang krijgt tot de Klantgegevens, en beschikken over een recht van gemotiveerd bezwaar onder de voorwaarden van artikel 8.2 van de DPA.

Draagwijdte van de lijst. De regels 1 tot 4, 6 tot 12 en 13 tot 14 betreffen, geheel of gedeeltelijk, Klantgegevens waarvoor Odres verwerker is; de overeenkomstige waarborgen worden uiteengezet in de artikelen 18 quater en 18 quinquies van de DPA. Regel 5 betreft een eigen verwerking van Odres (afdeling 5.5) en betreft geen enkel gegeven van de werknemers, eindklanten of leveranciers van de Klant. Op bovenvermelde datum is geen enkele andere dienstverlener ingeschreven, met name niet uit hoofde van de back-up en de archivering, de support en de ticketing, het toezicht en de veiligheid. De instrumenten die Odres voor haar eigen verwerkingen zal gebruiken — beheer van de commerciële relatie, ticketing, publieks- of gebruiksmeting, beheer van de kandidaturen — zijn tot op heden niet vastgesteld: zij zijn als zodanig geïdentificeerd in afdeling 5 en zullen worden genoemd zodra zij in dienst worden gesteld.

Evoluties in versie 5.0. Zeven effectief actieve dienstverleners werden ingeschreven, die niet voorkwamen op de lijst van versie 4.0: Anthropic (functies voor artificiële intelligentie), Google LLC — Business Profile (online beoordelingen), Google LLC — Firebase Cloud Messaging, Apple en Mozilla (pushmeldingen), Vimeo en Google LLC — YouTube (video's van de module Opleiding). De plaats die in versie 4.0 open werd gelaten voor de leverancier van modellen van artificiële intelligentie is dan ook ingevuld (regel 6). De plaatsen met betrekking tot de dienstverlener voor bankkoppeling en de dienst voor documentherkenning blijven open (regels 13 en 14) en de overeenkomstige functionaliteiten zijn niet beschikbaar.

Verkooppuntsystemen. Het kassasysteem van een derde waarmee de Oplossing via API verbinding maakt, wordt door de Klant gekozen en gecontracteerd; het is geen subverwerker van Odres en komt niet voor op deze lijst.

8. Doorgiften van gegevens buiten de Europese Economische Ruimte

8.1 Vaststelling op 14 oktober 2026

De toepassing, de databank en de bestanden — met inbegrip van de HR-documenten en de bijlagen — worden in de Europese Unie gehost. Drie bijkomstige functies doen een beroep op dienstverleners gevestigd in de Verenigde Staten: het doorsturen van de pushmeldingen, de lezing van en het antwoord op de online beoordelingen, en de functies voor artificiële intelligentie. Deze doorgiften berusten op de modelcontractbepalingen van de Europese Commissie (uitvoeringsbesluit (EU) 2021/914) en, wanneer de dienstverlener daaronder gecertificeerd is, op het gegevensbeschermingskader EU–Verenigde Staten.

Vitrinesite odres.io. De serverfuncties van de Site worden in Frankfurt (Europese Unie) uitgevoerd en haar gegevens worden bewaard bij Neon, in Frankfurt. Twee elementen hebben echter betrekking op de Verenigde Staten: de hostingprovider van de Site, Vercel Inc., heeft er haar zetel (afdeling 8.4), en de berichten die in de assistent van de Site worden ingetypt, worden door Anthropic verwerkt (afdeling 8.2).

Op de datum van deze versie is de verwerkingsketen de volgende:

• de hosting van de toepassing wordt verzekerd door Railway, wiens verwerking gelokaliseerd is in de Europese Unie — Nederland (regio West-Europa), met een netwerktoegangspunt te Brussel;
• de bedrijfsgegevens worden bewaard in een PostgreSQL-databank beheerd door Neon, gehost op de infrastructuur van AWS in de Europese Unie — Duitsland, Frankfurt (regio eu-central-1);
• de bestanden, afbeeldingen en documenten, met inbegrip van de HR-documenten, de selfies voor de tijdsregistratie en de bijlagen, worden opgeslagen bij Cloudinary, in een Europees datacenter van de dienstverlener;
• de transactionele e-mails en kennisgevings-e-mails worden doorgestuurd door Mailjet, in de Europese Unie;
• de inning van de sommen die de Klant verschuldigd is wordt uitgevoerd door Stripe Payments Europe, Limited, gevestigd in Ierland, lidstaat van de Europese Unie; bepaalde functies van de groep Stripe worden echter vanuit de Verenigde Staten verzekerd;
• de lettertypes, pictogrammen en bibliotheken van de pagina's zijn statische bestanden die door het platform zelf worden geleverd, in de Europese Unie: geen enkele resource van een derde wordt geladen en het IP-adres van de bezoeker wordt aan geen enkel netwerk voor contentlevering overgemaakt.

Daadwerkelijk uitgevoerde doorgiften naar de Verenigde Staten. Naast de drie hierboven bedoelde bijkomstige functies moeten twee bijkomende doorgiften worden gesignaleerd: de videospelers van de module Opleiding (Vimeo en YouTube in de modus zonder cookie), geactiveerd enkel wanneer een Gebruiker een video start, en de functies van de groep Stripe die vanuit de Verenigde Staten worden verzekerd. De gegevens van de databank en de bestanden verlaten de Europese Unie niet.

Twee preciseringen over de proportionaliteit van deze doorgiften. Enerzijds vervoeren de pushmeldingen geen enkel gegeven uit de databank: enkel de tekst van de melding en het apparaattoken worden overgemaakt, wat de doorgifte tot het strikt noodzakelijke beperkt. Anderzijds zijn de online beoordelingen openbare gegevens: de publieke naam van de auteur en de tekst van zijn beoordeling worden door hemzelf gepubliceerd op het platform van de bestemmeling.

Geen enkele dienstverlener voor bankkoppeling is aangewezen en de overeenkomstige functionaliteit is niet actief. De dienstverlener die zal worden weerhouden, zal een vergunning moeten hebben of ingeschreven moeten zijn bij een bevoegde autoriteit van een lidstaat van de EER.

De gegevens worden versleuteld tijdens het transport (HTTPS/TLS) en in rust.

Odres gaat ten minste jaarlijks, en bij elke wijziging van haar verwerkingsketen, de juistheid van deze vaststelling na alsook het behoud van de verwerkingsovereenkomsten en van de inschrijving van de betrokken dienstverleners in het officiële register van het gegevensbeschermingskader EU–Verenigde Staten. Elke wijziging wordt opgenomen in afdeling 7.3 en in Bijlage 2 bij de DPA, en de Klanten worden daarover voorafgaandelijk geïnformeerd onder de voorwaarden van die afdeling.

8.2 Doorgiften per ontvanger

De bovenstaande overeenkomsten en certificeringen werden vastgesteld op de officiële pagina's van de dienstverleners en worden, net als de inschrijving in het officiële register van het gegevensbeschermingskader EU–Verenigde Staten, bij elke herziening van dit Beleid nagegaan.

8.3 Toegepaste doorgiftemechanismen

De in afdeling 8.2 beschreven doorgiften worden omkaderd door de mechanismen van hoofdstuk V van de AVG, die daadwerkelijk worden toegepast en niet enkel ter referentie zijn voorzien:

1. Modelcontractbepalingen aangenomen bij uitvoeringsbesluit (EU) 2021/914 van de Commissie van 4 juni 2021 (artikel 46.2.c), met de passende module naargelang de hoedanigheid van de partijen — module 1: verantwoordelijke naar verantwoordelijke; module 2: verantwoordelijke naar verwerker; module 3: verwerker naar verwerker; module 4: verwerker naar verantwoordelijke. Dit mechanisme vormt de eerste grondslag van elke doorgifte waarvoor het beschikbaar is.
2. Certificering onder het gegevensbeschermingskader EU–Verenigde Staten, aangevoerd bij wijze van aanvullende waarborg wanneer de bestemmeling daarin is ingeschreven, en niet ter vervanging van de modelcontractbepalingen. Deze orde is welbewust: een positie die op de modelcontractbepalingen is gebaseerd, overleeft een eventuele ongeldigverklaring van het kader, terwijl het omgekeerde niet waar is. Apple en Mozilla komen niet voor in dit kader: voor deze twee bestemmelingen berust de doorgifte enkel op de door de dienstverlener verklaarde modelcontractbepalingen.
3. Adequaatheidsbesluit van de Europese Commissie (artikel 45), in voorkomend geval gepaard met een certificering van de bestemmeling wanneer de adequaatheid daarvan afhangt. Dat is het geval voor Israël, waar Cloudinary Ltd. haar zetel heeft, uit hoofde van besluit 2011/61/EU — waarbij eraan wordt herinnerd dat de verwerking van de bestanden plaatsvindt in een Europees datacenter van de dienstverlener.
4. Goedgekeurde bindende bedrijfsvoorschriften (artikel 47), waarop Odres tot op heden geen beroep doet.
5. Bij gebreke daarvan, en op uitzonderlijke wijze, een van de afwijkingen van artikel 49, waarvan Odres geen structureel gebruik maakt.

8.4 Zetel van de dienstverleners buiten de Europese Unie

Railway, Neon en Cloudinary hebben hun zetel buiten de Europese Unie, hoewel de verwerking die zij voor Odres uitvoeren in de Unie plaatsvindt — respectievelijk in Nederland, in Duitsland en in een Europees datacenter van de dienstverlener. Railway Corporation en Neon, LLC zijn gevestigd in de Verenigde Staten; Cloudinary Ltd. is gevestigd in Israël en is een dochteronderneming van Cloudinary Inc., gevestigd in de Verenigde Staten. Vercel Inc., hostingprovider van de Site, is eveneens gevestigd in de Verenigde Staten; de serverfuncties van de Site worden in Frankfurt uitgevoerd, en Vercel verklaart haar doorgiften te baseren op de modelcontractbepalingen en is bovendien gecertificeerd onder het gegevensbeschermingskader EU–Verenigde Staten.

Een dienstverlener die onderworpen is aan het recht van een derde land blijft onderworpen aan de bevelen van dat recht, ongeacht de plaats van de server. Dit punt wordt niet geneutraliseerd door de Europese localisatie van de verwerking: het wordt uitdrukkelijk in overweging genomen in de effectbeoordeling van de doorgiften die als bijlage bij de DPA (document nr. 10) is gevoegd, en de verwerkingsovereenkomsten van Railway en van Neon nemen om die reden de modelcontractbepalingen op voor elke toegang vanuit de Verenigde Staten.

8.5 Effectbeoordeling van de doorgiften

Overeenkomstig het arrest van het Hof van Justitie van de Europese Unie van 16 juli 2020 (Data Protection Commissioner t. Facebook Ireland en Maximillian Schrems, C-311/18) en de aanbevelingen 01/2020 van het Europees Comité voor gegevensbescherming, is elke doorgifte die op de modelcontractbepalingen is gebaseerd, het voorwerp van een gedocumenteerde effectbeoordeling van de doorgifte, als bijlage bij de DPA gevoegd en met name betreffende:

• de nauwkeurige beschrijving van de doorgifte (gegevens, doeleinden, bestemmelingen, verwerkingsketen, werkelijke localisatie, toegang op afstand vanuit een derde land);
• het weerhouden doorgiftemechanisme en de toepasselijke module van bepalingen;
• de analyse van de wetgeving en van de praktijken van het land van bestemming, in het bijzonder de toegangsbevoegdheden van de overheidsinstanties en het bestaan van effectieve rechtsmiddelen;
• het geval van de dienstverlener wiens zetel buiten de Unie is gelegen terwijl de verwerking in de Unie plaatsvindt (afdeling 8.4);
• de identificatie van bijkomende maatregelen van technische aard (versleuteling met bewaring van de sleutels in de EER, pseudonimisering, fragmentering, end-to-endversleuteling van de meldingen), van contractuele aard (verplichting tot kennisgeving van de verzoeken om toegang, verbintenis tot betwisting, transparantiebeleid) en van organisatorische aard;
• het gemotiveerde besluit over het in wezen gelijkwaardige karakter van de bescherming, en de beslissing om de doorgifte te verrichten, op te schorten of met maatregelen te laten gepaard gaan;
• de datum van het nieuwe onderzoek.

Een kopie van de ingestelde waarborgen, met inbegrip van de effectbeoordeling van de doorgiften, kan worden verkregen op schriftelijk verzoek gericht aan contact@odres.io, onder voorbehoud van het weglaten van de elementen die vertrouwelijk zijn of door het bedrijfsgeheim zijn gedekt.

9. Veiligheid van de gegevens

9.1 Verbintenis

Odres voert passende technische en organisatorische maatregelen uit teneinde een op het risico afgestemd veiligheidsniveau te waarborgen, overeenkomstig artikel 32 van de AVG, rekening houdend met de stand van de kennis, de uitvoeringskosten, de aard, de omvang, de context en de doeleinden van de verwerking, alsook met de risico's voor de rechten en vrijheden van de personen.

9.2 Maatregelen

De maatregelen die Odres daadwerkelijk uitvoert, worden beschreven in Bijlage 3 bij de DPA (document nr. 10).

Vastgestelde maatregelen. Zijn nu reeds van kracht: de versleuteling van de communicaties via HTTPS/TLS, met HSTS en preloading; de versleuteling van de gegevens in rust, verzekerd door de hostingproviders van de databank en van de bestanden; de hosting van de toepassing bij Railway, wiens verwerking gelokaliseerd is in Nederland (Europese Unie); de bewaring van de bedrijfsgegevens in een PostgreSQL-databank beheerd door Neon op de infrastructuur van AWS te Frankfurt (Duitsland, regio eu-central-1); de opslag van de bestanden bij Cloudinary in een Europees datacenter van de dienstverlener, in private modus voor de bestanden die persoonsgegevens of vertrouwelijke gegevens bevatten, geleverd via een ondertekende link die na vier (4) uur verstrijkt; het doorsturen van de transactionele e-mails door Mailjet in de Europese Unie; de inning door Stripe Payments Europe, Limited in Ierland; de tweefactorauthenticatie (TOTP), verplicht voor het team van Odres dat toegang heeft tot de back-office en beschikbaar voor alle klantgebruikers; de tijdelijke blokkering na vijf (5) mislukte aanmeldingen in vijf (5) minuten; het hashen van de wachtwoorden en van de PIN-codes (PBKDF2-SHA256); de compartimentering per vennootschap en per vestiging; de verificatie van de ondertekening van de inkomende webhooks; en de afwezigheid van toegang van Odres tot de bankinloggegevens van de Klant. De gegevens van de databank en de bestanden verlaten de Europese Unie niet; de bijkomstige doorgiften die daadwerkelijk naar de Verenigde Staten worden verricht, worden beschreven in afdeling 8.

Beoogd referentiekader. De volgende maatregelen vormen het veiligheidsreferentiekader van Odres, uitgewerkt en maatregel per maatregel van een status voorzien in Bijlage 3 bij de DPA:

• de versleuteling van de communicaties en de versleuteling van de gegevens in rust;
• de compartimentering van de gegevens tussen Klanten in een multi-tenantomgeving;
• het beheer van de identiteiten, van de toegangen en van de machtigingen, met versterkte authenticatie voor de beheerstoegangen;
• de logging van de toegangen en van de gevoelige handelingen;
• de regelmatige back-ups en de hersteltests;
• het beheer van de kwetsbaarheden en het toepassen van de veiligheidscorrecties;
• de praktijken van beveiligde ontwikkeling en de scheiding van de omgevingen;
• de bewustmaking en de vertrouwelijkheidsverbintenis van het personeel;
• een gedocumenteerde procedure voor het beheer van de incidenten en van de inbreuken in verband met persoonsgegevens.

Voorbehoud van oprechtheid. Met uitzondering van de maatregelen die hierboven uitdrukkelijk als vastgesteld zijn gekwalificeerd, beschrijven de opgesomde maatregelen het referentiekader dat Odres beoogt en moeten zij vóór publicatie regel per regel door het technische team worden bevestigd. Odres bezit tot op heden geen enkele certificering: noch ISO/IEC 27001, noch SOC 2 Type II, noch enige andere. Geen enkele certificering zal worden aangekondigd zolang zij niet daadwerkelijk is verkregen en er geen geldig certificaat kan worden voorgelegd.

9.3 Inbreuk in verband met persoonsgegevens

In geval van een inbreuk in verband met persoonsgegevens die een risico kan inhouden voor de rechten en vrijheden van de personen, stelt Odres de Gegevensbeschermingsautoriteit zo spoedig mogelijk en, indien mogelijk, binnen de tweeënzeventig (72) uur nadat zij er kennis van heeft gekregen in kennis, overeenkomstig artikel 33 van de AVG. Wanneer de inbreuk een hoog risico kan inhouden, worden de betrokkenen daarover geïnformeerd overeenkomstig artikel 34.

Wanneer de inbreuk Klantgegevens betreft waarvoor Odres als verwerker optreedt, informeert Odres de Klant daarover zonder ongerechtvaardigde vertraging en uiterlijk binnen de achtenveertig (48) uur, onder de voorwaarden van artikel 13 van de DPA, waarbij het aan de Klant, verwerkingsverantwoordelijke, toekomt de kennisgevingsverplichting te beoordelen.

10. Bewaartermijnen — algemene regels

1. De termijnen die van toepassing zijn op elke verwerking waarvoor Odres verantwoordelijk is, staan in de tabel van afdeling 5.
2. Bij het verstrijken van de termijn van actief gebruik worden de gegevens verwijderd, geanonimiseerd, of in tussentijdse archivering met beperkte toegang geplaatst wanneer een wettelijke bewaarplicht of de verdediging van een recht in rechte dat verantwoordt.
3. De gegevens die in de back-ups voorkomen, worden verwijderd volgens de rotatiecyclus van de back-ups, waarvan de duur negentig (90) dagen bedraagt; deze back-ups worden verzekerd door de dienstverlener van de databank in de Europese Unie, met herstel naar een bepaald ogenblik. Een in de actieve databank gevraagde verwijdering wordt na het verstrijken van deze cyclus op de back-ups doorgevoerd, zonder latere herstelling van de verwijderde gegevens.
4. De anonieme Geaggregeerde Gegevens zijn niet aan een bewaartermijn onderworpen, aangezien de anonimisering onomkeerbaar is.
5. De termijnen kunnen worden verlengd wanneer de wet dit oplegt of wanneer de bewaring noodzakelijk is voor de vaststelling, de uitoefening of de verdediging van een recht in rechte.
6. De termijnen die van toepassing zijn op de Klantgegevens, waarvoor de Klant verwerkingsverantwoordelijke is, worden door hem vastgesteld en staan in de DPA. De volgende technische opschoningsmechanismen zijn nu reeds in de Oplossing van kracht: selfies voor de tijdsregistratie, automatisch verwijderd vierentwintig (24) uur na de opname; bewijsfoto's (checklists, schoonmaak, UCD-etiketten, ontvangsten), standaard zeven (7) dagen, een door de Klant regelbare duur; bedrijfsgegevens (tijdsregistraties, planningen, HR, HACCP, voorraad, facturen) bewaard voor de duur van de overeenkomst, vervolgens dertig (30) dagen enkel in leesmodus voor export na opzegging, vóór blokkering en verwijdering, onder voorbehoud van de gegevens die aan een wettelijke bewaarplicht zijn onderworpen — loon, facturatie, traceerbaarheid van levensmiddelen — bewaard voor de door de Belgische wet vereiste duur, in geanonimiseerde vorm wanneer dat mogelijk is; gesprekken met de assistent en bewijzen van kennisneming van de informatiebanner, bewaard voor de duur van de overeenkomst en vervolgens verwijderd met het account; sleutels van de lokale opslag van de browser, gewist na twaalf (12) maanden zonder bezoek.

11. Rechten van de betrokkenen

11.1 Omvang van de rechten

Elke betrokkene beschikt, onder de voorwaarden en binnen de grenzen voorzien door de AVG, over de volgende rechten:

11.2 Wijze van uitoefening

De verzoeken worden per e-mail gericht aan contact@odres.io, of per post aan ODRES GROUP SRL, privacycontactpunt, 20 Place Verte, 6000 Charleroi (België). Het verzoek preciseert, in de mate van het mogelijke, het uitgeoefende recht, de betrokken verwerking en de elementen die het mogelijk maken de persoon te identificeren.

Verificatie van de identiteit. Wanneer Odres redelijke twijfels heeft over de identiteit van de verzoeker, kan zij de nodige bijkomende informatie vragen (artikel 12.6 van de AVG). Odres vraagt niet systematisch een kopie van een identiteitsbewijs; wanneer een dergelijke kopie onontbeerlijk is, wordt aanbevolen de niet-noodzakelijke vermeldingen weg te laten (foto, rijksregisternummer) en wordt de kopie verwijderd zodra de verificatie is uitgevoerd.

Antwoordtermijn. Odres antwoordt binnen een termijn van één (1) maand vanaf de ontvangst van het verzoek. Deze termijn kan met twee (2) maanden worden verlengd rekening houdend met de complexiteit en het aantal verzoeken; de betrokkene wordt daarover binnen de maand na de ontvangst van het verzoek geïnformeerd, met de redenen voor de verlenging.

Kosteloosheid. De uitoefening van de rechten is gratis. In geval van kennelijk ongegronde of overmatige verzoeken, met name wegens hun repetitieve karakter, kan Odres de betaling van een redelijke vergoeding eisen die rekening houdt met de administratieve kosten, of weigeren er gevolg aan te geven, met motivering van haar beslissing.

Weigering. Elke weigering wordt gemotiveerd en gaat gepaard met de informatie over de mogelijkheid om een klacht in te dienen bij een toezichthoudende autoriteit en om een beroep in rechte in te stellen.

11.3 Bijzonder geval van de Klantgegevens

Wanneer het verzoek betrekking heeft op gegevens die door Odres voor rekening van een Klant worden verwerkt, is de in afdeling 4.3 beschreven werkwijze van toepassing: het verzoek moet worden gericht aan de Klant, verwerkingsverantwoordelijke. De Oplossing stelt daartoe aan de betrokkenen een ruimte « Mijn gegevens » ter beschikking in de ERP en in de toepassing OdStaff, die de onmiddellijke export van de persoonsgegevens in het formaat JSON of CSV en het indienen van een verwijderingsverzoek mogelijk maakt, dat door de back-office van Odres op instructie van de Klant wordt behandeld.

12. Klacht bij een toezichthoudende autoriteit

Elke betrokkene heeft het recht een klacht in te dienen bij een toezichthoudende autoriteit, in het bijzonder in de lidstaat van zijn gewone verblijfplaats, van zijn werkplek of van de plaats waar de inbreuk zou zijn gepleegd.

Aangezien Odres in België is gevestigd, is de bevoegde autoriteit:

Deze mogelijkheid doet geen afbreuk aan elk ander administratief of gerechtelijk rechtsmiddel, en met name aan het recht een beroep in te stellen bij de bevoegde rechtbanken overeenkomstig de artikelen 78 en 79 van de AVG.

Odres verzoekt de betrokkenen echter haar voorafgaandelijk te contacteren op contact@odres.io, teneinde te pogen de moeilijkheid rechtstreeks en snel op te lossen.

13. Geautomatiseerde besluitvorming en profilering

Odres neemt geen besluit dat uitsluitend op een geautomatiseerde verwerking, met inbegrip van profilering, is gebaseerd en dat rechtsgevolgen heeft voor een persoon of hem op een vergelijkbare wijze in aanmerkelijke mate treft, in de zin van artikel 22 van de AVG, in het kader van de verwerkingen waarvoor zij verantwoordelijk is.

De gebruiksmetingen en de statistieken beschreven in afdeling 5.8 dienen om de productontwikkelingen te sturen en brengen geen enkel individueel besluit met zich. De meting van de Actieve Gebruikers beschreven in afdeling 5.5 berust op een eenvoudige activiteitsindicator en vormt geen profilering.

Functies voor artificiële intelligentie. De assistent van de back-office en de hulp bij het antwoorden op online beoordelingen (afdeling 4.2) nemen geen enkel geautomatiseerd besluit: de assistent voert een handeling in de ERP enkel uit na uitdrukkelijke bevestiging van de Gebruiker en binnen de perimeter van de eigen rechten van deze laatste, en een antwoord op een beoordeling wordt enkel gepubliceerd na validering door de zaakvoerder. Vaste veiligheidsregels omkaderen de assistent: hij mag zijn instructies niet onthullen, geen uitvoerbare code voortbrengen, geen technische informatie over het platform verspreiden, noch handelen zonder bevestiging. De selfie voor de tijdsregistratie is een eenvoudige foto bestemd voor een visuele controle door de zaakvoerder: geen enkele biometrische verwerking wordt uitgevoerd — noch extractie van een sjabloon, noch gezichtsherkenning, noch automatische vergelijking.

Voorbehoud van evolutie. Mocht Odres in de Oplossing functionaliteiten voor voorspelling, scoring of beslissingsondersteuning invoeren, in het bijzonder op het gebied van personeelsbeheer (voorspelling van de belasting, automatische suggestie van planningen, prestatie-evaluatie), dan zouden de volgende gevolgen daaruit voortvloeien en vóór hun inproductiestelling moeten worden behandeld:

1. deze afdeling zou worden bijgewerkt om de onderliggende logica, het belang en de verwachte gevolgen van de verwerking te beschrijven;
2. een recht om menselijke tussenkomst te verkrijgen, om zijn standpunt te uiten en om het besluit te betwisten zou worden gewaarborgd;
3. verordening (EU) 2024/1689 (« AI Act ») zou moeten worden onderzocht, aangezien een functionaliteit voor beslissingsondersteuning op het gebied van werkgelegenheid onder bijlage III en dus onder de regeling van de systemen met hoog risico kan vallen;
4. de DPA verbiedt contractueel het niet-gesuperviseerde geautomatiseerde besluitvormende gebruik ten aanzien van de werknemers van de Klant (artikel 18 quater.5).

14. Minderjarigen

De Oplossing is een professioneel instrument bestemd voor ondernemingen. Zij is noch ontworpen noch rechtstreeks aangeboden aan minderjarigen, en Odres verzamelt niet bewust gegevens betreffende minderjarigen in het kader van de verwerkingen waarvoor zij verantwoordelijk is.

Twee situaties moeten echter worden gesignaleerd, die onder de verantwoordelijkheid van de Klant vallen:

1. Minderjarige werknemers. De horecasector stelt studenten en werknemers van minder dan achttien (18) jaar te werk. Wanneer dergelijke gegevens in de HR-module van de Oplossing worden ingevoerd, is de Klant daarvoor verantwoordelijk en moet hij de beschermende bepalingen van het Belgische arbeidsrecht betreffende de arbeid van jongeren naleven.
2. Minderjarige eindklanten. Een getrouwheids- of reservatieprogramma kan minderjarige personen betreffen. De Klant moet dan toezien op de toepassing van artikel 8 van de AVG; in België is de leeftijd van de eigen toestemming van een minderjarige uit hoofde van de diensten van de informatiemaatschappij vastgesteld op dertien (13) jaar door artikel 7 van de wet van 30 juli 2018.

Mocht Odres vaststellen dat zij, in het kader van haar eigen verwerkingen, gegevens betreffende een minderjarige zonder geldige grondslag heeft verzameld, dan zou zij deze zonder ongerechtvaardigde vertraging verwijderen.

15. Links naar sites van derden

De site en de Oplossing kunnen links bevatten naar sites of diensten die door derden worden uitgegeven. Odres oefent geen enkele controle uit over deze sites en wijst elke verantwoordelijkheid af voor de gegevensverwerkingen die zij uitvoeren. Het wordt aanbevolen het privacybeleid van elke bezochte site te raadplegen.

16. Cookies en gelijkaardige technologieën

Het gebruik van cookies, pixels, lokale opslag en gelijkaardige technologieën op de site https://odres.io en in de Oplossing wordt beschreven in het Cookiebeleid (document nr. 04), dat integraal deel uitmaakt van dit Beleid.

De Oplossing plaatst geen enkele reclamecookie noch cookie voor publieksmeting. De enige trackers van derden die kunnen worden geplaatst, zijn die van de videospelers van de module Opleiding (Vimeo, YouTube in de modus zonder cookie), en enkel bij het starten van een video door de Gebruiker; zij zijn aangegeven in het Cookiebeleid en brengen een doorgifte naar de Verenigde Staten met zich onder de voorwaarden van afdeling 8.

17. Wijzigingen van dit beleid

Dit Beleid kan worden gewijzigd om rekening te houden met de evolutie van de wetgeving, van de rechtspraak, van de aanbevelingen van de toezichthoudende autoriteiten, of van de evolutie van de verwerkingen die Odres uitvoert.

De toepasselijke versie is die welke op https://odres.io is bekendgemaakt op de datum van de raadpleging. De datum van de laatste bijwerking staat bovenaan het document.

In geval van een substantiële wijziging — dat wil zeggen een wijziging die de doeleinden, de rechtsgronden, de categorieën van ontvangers, de doorgiften buiten de EER of de rechten van de personen aantast — informeert Odres de betrokkenen daarover op een passende wijze (banner op de site, kennisgeving in de Oplossing of e-mail) dertig (30) dagen vóór de inwerkingtreding van de nieuwe versie, behoudens wanneer de wijziging voortvloeit uit een wettelijke verplichting met onmiddellijke toepassing.

Een historiek van de versies wordt gehouden en kan op verzoek worden meegedeeld.