Salvo
Plan een gesprek
085 800 22 22Veelgestelde vragen

Welke gegevens verwerkt Salvo? Een systeembeschrijving voor de DPIA van de werkgever

Salvo verwerkt per medewerker de aankomst en het vertrek op een afgebakende werklocatie: welke medewerker, welke werklocatie en welk tijdstip. De nauwkeurige positiebepaling blijft op het toestel. Een route of locatiegeschiedenis legt Salvo niet vast. De gegevens staan in Microsoft Azure, regio West-Europa. De werkgever is verwerkingsverantwoordelijke en voert de DPIA uit. Salvo is verwerker en levert de systeembeschrijving op deze pagina.

Wanneer moet een werkgever een DPIA uitvoeren bij registratie van aanwezigheid?

Een DPIA (data protection impact assessment, in de AVG gegevensbeschermingseffectbeoordeling) is volgens de Autoriteit Persoonsgegevens verplicht voordat een organisatie met verwerken begint, als de voorgenomen verwerking waarschijnlijk een hoog privacyrisico oplevert. De organisatie bepaalt zelf of dat zo is. De AP heeft een lijst opgesteld van soorten verwerkingen waarvoor een DPIA in elk geval verplicht is.

Twee punten op die lijst zijn relevant voor registratie van aanwezigheid met locatie:

  • Punt 11, Controle werknemers: grootschalige verwerking van persoonsgegevens en of stelselmatige monitoring van activiteiten van werknemers. De AP noemt onder meer GPS-systemen in bedrijfsauto’s als voorbeeld.
  • Punt 12, Locatiegegevens: grootschalige verwerking en of stelselmatige monitoring van locatiegegevens van of herleidbaar tot natuurlijke personen. De AP noemt onder meer telefoons als voorbeeld.

De lijst staat in een besluit van de AP van 19 november 2019, gepubliceerd in de Staatscourant (2019, nr. 64418).

Salvo gaat ervan uit dat een DPIA bij gebruik van Salvo waarschijnlijk verplicht is. Of de verwerking bij een bepaalde werkgever onder de lijst valt, beoordeelt de werkgever zelf. Bij controle van werknemers wijst de AP er ook op dat de werkgever vooraf met de AP moet overleggen als uit de DPIA een hoog risico blijkt dat niet te beperken is.

Salvo voert de DPIA niet uit en geeft geen juridisch advies. Salvo levert de feitelijke beschrijving van het systeem die de werkgever voor zijn DPIA nodig heeft: welke gegevens, waar, wie toegang heeft en wat Salvo niet vastlegt.

Welke gegevens verwerkt Salvo?

Salvo legt aanwezigheid van buitendienstmedewerkers op een afgebakende werklocatie vast via geofencing. De medewerker drukt daarvoor niets in en schrijft niets op. De gegevens vallen in de volgende categorieën.

  • Registraties van aanwezigheid. Centraal slaat Salvo alleen de aankomst- en vertrekmomenten op: welke medewerker, welke werklocatie en welk tijdstip.
  • Werklocaties. De klant stelt in het beheerportaal de werklocaties en hun digitale grenzen in.
  • Controle en correcties. De medewerker controleert en accordeert zijn eigen registraties van de werkdag. Een aanvulling op een ontbrekende registratie blijft herkenbaar als handmatige correctie.
  • Gebruikers van het beheerportaal. Het beheerportaal werkt met rollen, zoals beheerder en gebruiker.

Op het toestel van de medewerker gebeurt de positiebepaling. Zolang het toestel niet in de buurt van een werklocatie is, gebruikt de app een grove locatiebepaling. Dichter bij een werklocatie schakelt de app over op een nauwkeuriger bepaling. Die nauwkeurige posities blijven op het toestel en worden niet naar de server gestuurd.

Salvo verwerkt geen route tussen werklocaties, geen locatiegeschiedenis buiten het toestel en geen posities op plaatsen die geen werklocatie zijn. Salvo legt ook niet vast wat een medewerker op de werklocatie doet.

De werkgever kiest tussen twee modi. In de doorlopende modus legt Salvo elk bezoek aan een werklocatie vast. In de werkdagmodus registreert Salvo alleen tussen het moment waarop de medewerker op Start werkdag drukt en het moment waarop hij op Einde werkdag drukt. De gekozen modus bepaalt mede hoeveel registraties er ontstaan en hoort daarom in de DPIA.

Met welk doel verwerkt Salvo de gegevens?

Salvo verwerkt de gegevens in opdracht van de werkgever. Het doel van de verwerking bepaalt de werkgever als verwerkingsverantwoordelijke. De functie van Salvo is het vastleggen van aanwezigheid op werklocaties, zodat de werkgever uren per medewerker en per werklocatie beschikbaar heeft in zijn eigen project- of bedrijfssoftware.

Werkgevers gebruiken die gegevens bijvoorbeeld voor:

  • de urenadministratie van buitendienstmedewerkers;
  • de nacalculatie van projecten en werklocaties;
  • de facturering aan opdrachtgevers;
  • het onderbouwen van gewerkte uren bij een verschil van inzicht met een opdrachtgever of een medewerker;
  • het toetsen van urenopgaven van onderaannemers aan geregistreerde aanwezigheid.

In de DPIA beschrijft de werkgever welk van die doelen voor hem geldt. Volgens de Autoriteit Persoonsgegevens is controle van werknemers niet verboden, maar moet de werkgever een gerechtvaardigd belang hebben dat zwaarder weegt dan de privacybelangen van de werknemers. De controle moet ook noodzakelijk zijn: de werkgever mag geen minder ingrijpende manier hebben om hetzelfde doel te bereiken.

Salvo is zo ingericht dat de registratie beperkt blijft tot aankomst en vertrek op werklocaties. Die beperking kan de werkgever in zijn DPIA meenemen bij de afweging van noodzaak en evenredigheid. De afweging zelf blijft een taak van de werkgever. Salvo kan niet vaststellen of het doel van een bepaalde werkgever de verwerking rechtvaardigt.

Wie ziet welke gegevens in Salvo?

Toegang tot de gegevens in Salvo hangt af van de rol van de persoon.

  • De medewerker ziet zijn eigen registraties van de werkdag in de app. Hij kan die corrigeren tot het moment waarop hij de werkdag definitief goedkeurt.
  • Een beheerder in het beheerportaal kan instellingen wijzigen en gegevens aanpassen.
  • Een gebruiker in het beheerportaal heeft alleen leesrechten en kan niets aanpassen.
  • Medewerkers van Salvo krijgen alleen toegang voor ondersteuning na toestemming van de klant.

Het beheerportaal biedt geen mogelijkheid om registraties in bulk in te lezen of te exporteren. De uren gaan via een koppeling naar de eigen project- of bedrijfssoftware van de werkgever. Die koppeling is een API waarmee de software van de werkgever de gegevens ophaalt, direct of in een batch, bijvoorbeeld elke nacht.

Wie binnen de organisatie een beheerdersrol of een gebruikersrol krijgt, bepaalt de werkgever. In de DPIA legt de werkgever vast welke functies toegang krijgen en waarom. Voor de gegevens die in de eigen software van de werkgever terechtkomen, gelden de toegangsregels van die software. Salvo heeft geen invloed op wie in die software toegang heeft.

Een werkgever die de toegang zo klein mogelijk wil houden, kan bijvoorbeeld het aantal beheerders beperken en leidinggevenden alleen een gebruikersrol geven. Die keuze is aan de werkgever en hoort in de beschrijving van de maatregelen in de DPIA.

Waar slaat Salvo de gegevens op en hoe lang?

Salvo draait op Microsoft Azure in de regio West-Europa. De centrale registraties van aankomst en vertrek staan daar. De nauwkeurige posities van het toestel staan niet op de server; die blijven op het toestel van de medewerker.

Zonder mobiel bereik loopt de registratie door op het toestel. De app stuurt de registraties door zodra er weer verbinding is. Tot dat moment staan de registraties alleen op het toestel.

Hoe lang registraties bewaard blijven, legt de werkgever vast in de verwerkersovereenkomst met Salvo. De uren die de werkgever via de koppeling ophaalt, staan daarna in zijn eigen project- of bedrijfssoftware. Voor die gegevens gelden de bewaartermijnen die de werkgever zelf hanteert. In de DPIA beschrijft de werkgever daarom twee termijnen: de termijn bij Salvo en de termijn in de eigen software.

Treedt een medewerker uit dienst, dan zet een beheerder hem uit in het beheerportaal. De app op het toestel wordt dan gedeactiveerd en de registratie stopt. Wat er daarna met bestaande registraties gebeurt, volgt uit de afspraken in de verwerkersovereenkomst.

Zonder telefoon op de werklocatie, of met een lege accu, ontstaat er geen registratie. Ontbrekende registraties kunnen in overleg worden aangevuld. Zo’n aanvulling blijft herkenbaar als handmatige correctie. Voor de DPIA is dat relevant, omdat de werkgever daarmee kan laten zien welke tijden het systeem heeft vastgelegd en welke later met de hand zijn toegevoegd.

Hoe zijn de rollen van werkgever en Salvo verdeeld?

De werkgever is verwerkingsverantwoordelijke in de zin van de AVG. De werkgever bepaalt het doel en de middelen van de verwerking. Salvo is verwerker en verwerkt de gegevens in opdracht van de werkgever. De afspraken tussen beide liggen vast in een verwerkersovereenkomst.

Uit die rolverdeling volgt een taakverdeling voor de DPIA.

  • De werkgever voert de DPIA uit, beschrijft het doel, maakt de afweging van noodzaak en evenredigheid, beoordeelt de risico’s voor werknemers en kiest de maatregelen.
  • Salvo levert de systeembeschrijving: welke gegevens het systeem verwerkt, waar die staan, welke rollen toegang hebben en wat het systeem niet vastlegt.

De werkgever maakt ook keuzes over de inrichting die Salvo niet voor hem maakt. Hij bepaalt welke werklocaties een digitale grens krijgen, welke modus geldt, of medewerkers een zakelijk of een privétoestel gebruiken en wie een rol in het beheerportaal krijgt. Die keuzes hebben invloed op de uitkomst van de DPIA.

Medewerkers van Salvo krijgen alleen toegang tot de gegevens van een klant voor ondersteuning, en alleen na toestemming van die klant. In de DPIA kan de werkgever beschrijven onder welke omstandigheden hij die toestemming geeft.

Heeft de werkgever een ondernemingsraad, dan legt hij de regeling voor het gebruik van Salvo in de regel ter instemming voor. De uitkomsten van de DPIA kan de werkgever daarbij aan de ondernemingsraad laten zien.

Wat vult de werkgever zelf in de DPIA in?

Een systeembeschrijving van Salvo dekt een deel van een DPIA. De onderdelen die afhangen van de situatie bij de werkgever, vult de werkgever zelf in. Het gaat in elk geval om de volgende punten.

  • Doel. Waarvoor gebruikt de werkgever de registraties van aanwezigheid?
  • Grondslag. Op welke grondslag uit de AVG baseert de werkgever de verwerking?
  • Noodzaak en evenredigheid. Waarom is registratie van aanwezigheid nodig, en is er geen minder ingrijpende manier om hetzelfde doel te bereiken?
  • Inrichting. Welke werklocaties krijgen een digitale grens, hoe groot is die grens en welke modus geldt?
  • Toestel. Gebruiken medewerkers een zakelijk of een privétoestel?
  • Toegang. Welke functies krijgen een beheerdersrol of een gebruikersrol?
  • Bewaren. Welke termijn staat in de verwerkersovereenkomst met Salvo, en welke termijn geldt in de eigen software?
  • Gebruik. Gebruikt de werkgever registraties bij de beoordeling van personeel, en onder welke voorwaarden?
  • Informatie aan medewerkers. Hoe informeert de werkgever medewerkers vooraf over de registratie?
  • Medezeggenschap. Is de regeling ter instemming voorgelegd aan de ondernemingsraad?
  • Risico’s en maatregelen. Welke risico’s ziet de werkgever voor werknemers, en welke maatregelen neemt hij?

Voor elk van die punten kan de werkgever Salvo om aanvullende feitelijke informatie over het systeem vragen. De beoordeling van de punten zelf blijft bij de werkgever.

Veelgestelde vragen

Is een DPIA verplicht bij gebruik van Salvo?

Volgens de Autoriteit Persoonsgegevens is een DPIA verplicht als een verwerking waarschijnlijk een hoog privacyrisico oplevert. De lijst van de AP noemt onder meer stelselmatige monitoring van activiteiten van werknemers en van locatiegegevens. Salvo gaat ervan uit dat een DPIA bij gebruik van Salvo waarschijnlijk verplicht is. De werkgever beoordeelt dat zelf en voert de DPIA uit.

Wie voert de DPIA uit, de werkgever of Salvo?

De werkgever voert de DPIA uit. De werkgever is verwerkingsverantwoordelijke en bepaalt doel en middelen van de verwerking. Salvo is verwerker en levert de systeembeschrijving: welke gegevens Salvo verwerkt, waar die staan, wie toegang heeft en wat Salvo niet vastlegt. De afweging van noodzaak, evenredigheid en risico’s maakt de werkgever.

Welke locatiegegevens stuurt de app naar de server?

De app stuurt alleen de aankomst- en vertrekmomenten op een werklocatie naar de server: welke medewerker, welke werklocatie en welk tijdstip. De nauwkeurige posities die de app bij een werklocatie bepaalt, blijven op het toestel. Salvo legt geen route vast en houdt geen locatiegeschiedenis bij buiten het toestel.

Waar staan de gegevens van Salvo?

Salvo draait op Microsoft Azure in de regio West-Europa. Daar staan de centrale registraties van aankomst en vertrek. De nauwkeurige posities blijven op het toestel van de medewerker. Zonder mobiel bereik staan registraties tijdelijk op het toestel, tot de app weer verbinding heeft. Uren die de werkgever via de koppeling ophaalt, staan daarna in zijn eigen software.

Hoe lang blijven registraties bij Salvo bewaard?

Hoe lang registraties bewaard blijven, legt de werkgever vast in de verwerkersovereenkomst met Salvo. Voor de uren die de werkgever via de koppeling in zijn eigen project- of bedrijfssoftware zet, gelden de bewaartermijnen die de werkgever daar zelf hanteert. In de DPIA beschrijft de werkgever beide termijnen.

Bronnen

Deze pagina beschrijft wat Salvo verwerkt en verwijst naar openbare bronnen. Zij is geen juridisch advies en vervangt de DPIA van de werkgever niet.