Privacybeleid

1. Wie we zijn en welke rol we hebben

Chefstr is een product van ASD Solutions, Wilhelminastraat 32, 1054 WJ Amsterdam, KvK 82907730 ("we"). We leveren software voor personeelsbeheer in de horeca: roosters, urenregistratie, loonberekening en fooien.

We hebben twee rollen:

• Verwerkingsverantwoordelijke voor de gegevens van de onderneming die een account aanmaakt: de registratie, de beheerders, de factuurgegevens, de SEPA-incassomachtiging voor een betaald pakket en het bezoek aan chefstr.com. Daarover gaat dit beleid.
• Verwerker voor alles wat een werkgever over zijn medewerkers in Chefstr invoert: namen, contracten, roosters, uren, loon, fooien, beschikbaarheid, verlof en ziekmeldingen. Daarvoor is de werkgever verantwoordelijk en gelden de afspraken in de verwerkersovereenkomst. Ben je medewerker en wil je weten wat je werkgever over je heeft vastgelegd, vraag het dan aan je werkgever.

2. Welke gegevens we verwerken en waarom

De wet vraagt ons bij elk doel te zeggen waarom we de gegevens mogen gebruiken. Dat staat achter elke regel: omdat het nodig is voor de overeenkomst met jou, omdat de wet het ons verplicht, of omdat we er een gerechtvaardigd belang bij hebben dat zwaarder weegt dan jouw belang.

• Registratie en account: voornaam, achternaam, bedrijfsnaam, telefoonnummer, e-mailadres, een gehasht wachtwoord en het land van je bedrijf. Om je account aan te maken, je te laten inloggen en contact met je op te nemen over je account. Waarom we dit mogen: het is nodig voor de overeenkomst met jou.
• Je akkoord op de voorwaarden: we leggen vast welke versie van de algemene voorwaarden en de verwerkersovereenkomst je bij de registratie accepteerde, het tijdstip, het IP-adres en de browser waarmee dat gebeurde. Om later te kunnen aantonen wat we hebben afgesproken. Waarom we dit mogen: ons gerechtvaardigd belang.
• Factuurgegevens en betalingen (alleen bij een betaald pakket): de naam en het adres van je onderneming, een e-mailadres voor facturen, je btw-nummer met de uitkomst en het consultatienummer van de controle bij VIES, je facturen, de betaalstatus en, als een incasso mislukt of wordt teruggeboekt, de reden die de bank daarvoor opgeeft. Om te factureren en te incasseren, en om aan de factuur- en btw-regels te voldoen. Waarom we dit mogen: het is nodig voor de overeenkomst met jou, en de wet verplicht ons ertoe, zoals de belastingwetgeving.
• SEPA-incassomachtiging (alleen bij een betaald pakket): de machtiging waarmee we het abonnement van je rekening afschrijven: de naam van de rekeninghouder en het IBAN (versleuteld opgeslagen; in Chefstr zie je alleen de laatste 4 cijfers). Waarom we dit mogen: het is nodig voor de overeenkomst met jou. Daarbij leggen we als bewijs vast wie de incassomachtiging tekende (naam en e-mailadres), het tijdstip, het IP-adres en de browser, en welke versie en taal van de machtigingstekst werd getoond; bij een papieren incassomachtiging bewaren we het ondertekende formulier. Een rekeninghouder kan tot 13 maanden na een afschrijving stellen dat er geen incassomachtiging was, en de bank vraagt ons dan om bewijs. Waarom we dat bewijs mogen bewaren: ons gerechtvaardigd belang. Alleen medewerkers van Chefstr kunnen het inzien. Een betaald pakket is alleen mogelijk met een incassomachtiging; wil je die niet afgeven, dan blijft het gratis pakket beschikbaar.
• Beveiliging: IP-adressen, browser- en appversies, inlogpogingen en andere beveiligingsgebeurtenissen in onze logboeken. Om misbruik te herkennen, storingen op te lossen en je account te beschermen. Waarom we dit mogen: ons gerechtvaardigd belang.
• Botcontrole bij het aanmaken van een account: Cloudflare Turnstile beoordeelt aan de hand van het IP-adres en technische kenmerken van de browser of een aanmelding van een mens komt. Waarom we dit mogen: ons gerechtvaardigd belang.
• E-mail en support: we sturen alleen e-mails die bij je account horen, zoals de bevestiging van je registratie, wachtwoordmails, facturen en aankondigingen over je pakket. Geen reclame. Mail je ons, dan gebruiken we je bericht om je te helpen.

De gegevens van de registratie heb je nodig om een account te kunnen aanmaken, en de factuurgegevens en de incassomachtiging om een betaald pakket te kunnen gebruiken; zonder die gegevens kunnen we dat deel van de overeenkomst niet uitvoeren. We gebruiken je gegevens niet voor profilering of geautomatiseerde besluiten en verkopen ze niet. Om de dienst te verbeteren kijken we alleen naar geaggregeerde, geanonimiseerde cijfers.

3. Met wie we gegevens delen

Alleen met partijen die we nodig hebben om de dienst te leveren of die de wet aanwijst. Met de partijen die in onze opdracht werken, hebben we een verwerkersovereenkomst:

• Hetzner Online GmbH: hosting van onze servers, databases en back-ups, in datacenters binnen de Europese Unie.
• Amazon Web Services EMEA SARL (Amazon SES): het versturen van onze e-mails vanuit de regio Frankfurt.
• Google Ireland Limited (Firebase Cloud Messaging): het bezorgen van pushmeldingen op de telefoons van medewerkers die de app gebruiken.
• Mollie B.V.: de SEPA-incasso van betaalde pakketten. Mollie voert de incasso voor ons uit en staat daarom als incassant op je bankafschrift. Mollie ontvangt de naam van de rekeninghouder, het IBAN, het kenmerk en de datum van de incassomachtiging, en per afschrijving het bedrag en het factuurnummer. Als betaalinstelling verwerkt Mollie die gegevens ook onder zijn eigen privacyverklaring.
• Cloudflare, Inc.: beveiliging en bezorging van het verkeer naar de website en het platform van Chefstr en de botcontrole bij het aanmaken van een account.
• Banken: jouw bank en de onze, voor de afschrijving, een terugboeking of een betaling per overboeking.
• Onze accountant: krijgt een kopie van elke factuur-e-mail, voor de boekhouding en de btw-aangifte.
• VIES en de Belastingdienst: je btw-nummer gaat naar VIES, het controlesysteem van de Europese Commissie, en bij een factuur met verlegde btw naar de Belastingdienst, zoals de wet voorschrijft.

We slaan je gegevens op binnen de Europese Unie. Voor zover Google of Cloudflare gegevens buiten de Europese Economische Ruimte verwerken, gebeurt dat alleen met een passende waarborg uit de AVG, zoals een adequaatheidsbesluit van de Europese Commissie of de standaardcontractbepalingen; op verzoek vertellen we je welke waarborg voor welke partij geldt. Verder delen we gegevens alleen als de wet ons daartoe verplicht.

4. Hoe lang we gegevens bewaren

• Je account: zolang het bestaat. Na beëindiging verwijderen we binnen 30 dagen je werkruimte, de omgeving van je bedrijf in Chefstr, met alle gegevens van je medewerkers; had je nooit factuurgegevens, dan ook de gegevens van je registratie en de vastlegging van je akkoord op de voorwaarden. Uiterlijk 14 dagen daarna zijn ze ook uit de back-ups verdwenen. Had je wel factuurgegevens, dan blijven die met je facturen, je incassomachtiging en de vastlegging van je akkoord op de voorwaarden bewaard zoals hieronder staat, en kan niemand meer op het account inloggen.
• Facturen en betalingen: 7 jaar, de fiscale bewaartermijn, afgeschermd van gewoon gebruik, ook als je account al is verwijderd.
• Incassomachtiging en bewijs: zolang de incassomachtiging loopt en daarna 7 jaar, omdat ze de facturen en afschrijvingen onderbouwen. Het volledige IBAN wissen we eerder: 14 maanden na de laatste afschrijving onder een beëindigde incassomachtiging. Daarna bewaren we alleen de laatste 4 cijfers.
• Beveiligingslogboeken: zolang we ze nodig hebben om misbruik te herkennen en storingen te onderzoeken, daarna verwijderen we ze.
• Support: je berichten bewaren we zolang dat nodig is om je vraag af te handelen.
• Geschillen en misbruik: loopt er een geschil, een terugboeking of een onderzoek naar fraude of misbruik, dan bewaren we de gegevens die daarvoor nodig zijn zolang de zaak loopt, afgeschermd van gewoon gebruik.

Een account op het gratis pakket dat een jaar lang door niemand is gebruikt (geen enkele inlog, ook niet via de app of een gekoppelde kiosk), verwijderen we. De beheerders krijgen eerst een aankondiging per e-mail en 7 dagen voor de verwijdering een herinnering; 30 dagen na de aankondiging verwijderen we het account met alle gegevens, inclusief de gegevens van de registratie. Logt iemand in die periode in, dan vervalt de verwijdering. Een account dat zes maanden geblokkeerd is, verwijderen we op dezelfde manier, tenzij de blokkering in die periode wordt opgeheven. Had dat account factuurgegevens, dan verwijderen we de werkruimte en blijven de factuurgegevens, facturen, incassomachtiging en het akkoord bewaard zoals hierboven staat. Een account met factuurgegevens wordt niet wegens inactiviteit verwijderd. De precieze regel staat in artikel 10 van de algemene voorwaarden.

5. Beveiliging

Verbindingen tussen browser, app, kiosk en onze servers zijn versleuteld (TLS). Wachtwoorden slaan we alleen gehasht op; IBAN's en kiosk-pincodes versleuteld. Toegang is per rol: een medewerker ziet alleen zijn eigen uren en loon, een manager en een beheerder alleen de eigen werkruimte. De gegevens van verschillende klanten staan gescheiden in de database. We maken dagelijks een back-up en bewaren die 14 dagen. Alleen medewerkers van Chefstr die het voor hun werk nodig hebben, kunnen bij de productieomgeving.

Raakt een datalek jouw gegevens, dan informeren we je zonder onredelijke vertraging en melden we het waar de wet dat vraagt bij de Autoriteit Persoonsgegevens.

6. Jouw rechten

Je hebt recht op inzage, rectificatie, verwijdering, beperking, bezwaar en overdraagbaarheid van je gegevens. Mail privacy@chefstr.com; we reageren binnen een maand. Gaat het om gegevens die je werkgever in Chefstr heeft ingevoerd, dan verwijzen we je naar je werkgever en laten we die weten dat je contact opnam. Je kunt daarnaast een klacht indienen bij de Autoriteit Persoonsgegevens.

Recht van bezwaar. Sommige gegevens verwerken we op basis van ons gerechtvaardigd belang: de beveiligingslogboeken, de botcontrole, de vastlegging van je akkoord op de voorwaarden en het bewijs van een incassomachtiging. Daartegen kun je altijd bezwaar maken via privacy@chefstr.com. Na ontvangst van je bezwaar beoordelen we of onze gerechtvaardigde belangen, zoals de beveiliging van de dienst, zwaarder wegen dan jouw belangen, rechten en vrijheden. Je ontvangt binnen een maand na je bezwaar onze reactie.

7. Cookies

Chefstr gebruikt alleen functionele cookies: voor je sessie en je voorkeuren. Geen trackingcookies en geen cookies van derden voor advertenties.

8. Wijzigingen

De datum bovenaan vertelt je vanaf wanneer deze versie geldt. Bij een grote wijziging laten we het de beheerders per e-mail weten.

9. Contact

• Bedrijf: ASD Solutions, handelend onder de naam Chefstr
• Adres: Wilhelminastraat 32, 1054 WJ Amsterdam
• KvK: 82907730
• E-mail: privacy@chefstr.com