PRIVACYBELEID
Privacybeleid
Hoe wij persoonsgegevens verwerken, uw rechten onder de AVG en hoe u deze kunt uitoefenen.
Als uw werkgever u heeft aangemaakt in PersoHR
Uw werkgever is de verwerkingsverantwoordelijke voor uw HR-gegevens in PersoHR. Om uw rechten uit te oefenen op grond van de artikelen 15 tot en met 22 AVG — inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar — neemt u contact op met uw werkgever of uw HR-beheerder. PersoHR verwerkt die gegevens namens uw werkgever op basis van een verwerkersovereenkomst. PersoHR is uitsluitend verwerkingsverantwoordelijke voor uw directe interacties met ons — facturering als u de accounteigenaar bent, ondersteuningscorrespondentie en de openbare website.
1. Inleiding
Labb Holding Ltd ("wij", "ons", "onze") exploiteert de PersoHR HR-managementdienst. Dit privacybeleid legt uit hoe wij persoonsgegevens verzamelen, gebruiken, delen en beschermen in verband met PersoHR en onze publieke website, in overeenstemming met Verordening (EU) 2016/679 (de "AVG") en de Cypriotische Wet 125(I)/2018 ter implementatie daarvan.
2. Wie is de verwerkingsverantwoordelijke van uw gegevens
Wanneer u PersoHR gebruikt via uw werkgever, is uw werkgever de verwerkingsverantwoordelijke van uw persoonsgegevens en treden wij op als verwerker namens hen op grond van een Gegevensverwerkingsovereenkomst (zie /legal/dpa). Wanneer u zich rechtstreeks aanmeldt voor PersoHR (bijvoorbeeld als accounteigenaar tijdens de bedrijfsregistratie), wanneer u contact met ons opneemt, of wanneer u onze publieke website gebruikt, is de verwerkingsverantwoordelijke Labb Holding Ltd, een Cypriotische besloten vennootschap met beperkte aansprakelijkheid, gevestigd aan Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cyprus, ingeschreven onder HE 424230, BTW CY 10424230D, vertegenwoordigd door haar enige bestuurder Michael Delamere. U kunt ons bereiken via privacy@persohr.eu.
3. Functionaris voor gegevensbescherming
Wij hebben geen aangewezen Functionaris voor Gegevensbescherming benoemd. Artikel 37(1) AVG verplicht een FG alleen wanneer de verwerking wordt uitgevoerd door een overheidsinstantie, wanneer de kernactiviteiten bestaan uit grootschalige regelmatige en stelselmatige monitoring van betrokkenen, of wanneer de kernactiviteiten bestaan uit grootschalige verwerking van bijzondere categorieën persoonsgegevens op grond van Artikel 9 of gegevens over strafrechtelijke veroordelingen op grond van Artikel 10. Geen van deze voorwaarden is op ons van toepassing en Cyprus heeft geen strengere nationale drempel ingevoerd. Privacyvragen dienen te worden gericht aan privacy@persohr.eu en worden door het management behandeld binnen de termijnen die zijn vereist op grond van Artikel 12 AVG.
4. Categorieën persoonsgegevens die wij verwerken
Identificatie- en contactgegevens: naam, e-mail, telefoonnummer, postadres, profielfoto. Arbeidsgegevens: functietitel, afdeling, type dienstverband, start- en einddatums, werktijden, manager. Verlof- en verzuimgegevens: verlofaanvragen, saldo's, feestdagen. Salaris- en loonverwerkingsgegevens: salarisgegevens, IBAN indien verstrekt, belasting- en socialezekerheidsnummers indien verstrekt. Prestatie- en ontwikkelingsgegevens: doelstellingen, beoordelingen, feedback, opleidingsgegevens. Wervingsgegevens: sollicitaties, cv's, gespreksnotities, referenties. Documentinhoud: bestanden geüpload door u of uw werkgever. Communicatie- en chatgegevens binnen het platform. Authenticatie- en beveiligingsgegevens: inlogtijdstempels, IP-adressen, apparaatvingerafdrukken, status tweefactorauthenticatie. Ondersteuningscorrespondentie. Factureringsgegevens wanneer u de accounteigenaar bent: naam, factuuradres, BTW-nummer, betalingstokens (ruwe kaartgegevens worden bewaard door Stripe, niet door ons). Wij verwerken geen bijzondere categorieën persoonsgegevens in de zin van Artikel 9, tenzij uw werkgever ervoor kiest deze te uploaden en daarvoor verantwoordelijk is op grond van een eigen rechtsgrondslag.
5. Rechtsgrondslag voor verwerking
Wanneer wij de verwerkingsverantwoordelijke zijn, zijn onze rechtsgrondslagen: (a) uitvoering van een overeenkomst op grond van Artikel 6(1)(b) voor het leveren van de geabonneerde dienst aan de accounteigenaar; (b) naleving van wettelijke verplichtingen op grond van Artikel 6(1)(c), in het bijzonder Cypriotische belasting- en boekhoudkundige bewaartermijnen; (c) gerechtvaardigde belangen op grond van Artikel 6(1)(f) voor dienstveiligheid, misbruikpreventie en productontwikkeling, afgewogen tegen uw rechten en vrijheden. Wanneer uw werkgever de verwerkingsverantwoordelijke is, wordt de rechtsgrondslag bepaald door uw werkgever en is dit doorgaans Artikel 6(1)(b) (uitvoering van de arbeidsovereenkomst) of Artikel 6(1)(c) (naleving van arbeidsrechtelijke verplichtingen).
6. Hoe wij uw gegevens gebruiken
Uw gegevens worden uitsluitend gebruikt voor HR-beheer en de werking van het platform: het bijhouden van personeelsdossiers, het beheren van verlof en verzuim, het organiseren van de bedrijfsstructuur, het ondersteunen van prestaties en ontwikkeling, het uitvoeren van werving, het voorbereiden van loonexports, het opslaan van documenten, het mogelijk maken van interne communicatie, facturering, misbruikpreventie en beveiliging. Wij verkopen uw gegevens niet, delen deze niet met advertentienetwerken en gebruiken deze niet voor marketingdoeleinden zonder uw afzonderlijke opt-inconsentement.
7. AI-ondersteunde functies
PersoHR biedt optionele AI-ondersteunde functies zoals de in-app HR-assistent, onboarding-taaksuggesties, documentanalyse en het opstellen van prestatie-evaluaties. Wanneer deze functies zijn ingeschakeld, kunnen de prompts die naar de AI-aanbieder worden gestuurd, de persoonsgegevens bevatten die nodig zijn om de vraag te beantwoorden. AI-inferentie wordt geleverd door Mistral AI met hoofdkantoor in Parijs, Frankrijk, op infrastructuur binnen de Europese Unie. Inputs en outputs worden niet gebruikt om Mistral's foundation-modellen te trainen. Runtime AI-inferentie gebruikt uitsluitend Mistral; geen enkele niet-EU AI-aanbieder ontvangt klantprompts of -outputs.
8. Subverwerkers en ontvangers
Wij maken gebruik van een beperkt aantal subverwerkers om de dienst te leveren. De actuele lijst, inclusief de rol, locatie en gegevensbeschermingsmaatregel van elke subverwerker, is gepubliceerd op /legal/sub-processors. Wij informeren de accounteigenaar minimaal 30 dagen van tevoren over het toevoegen of vervangen van een subverwerker en bieden het recht om bezwaar te maken op redelijke gegevensbeschermingsgronden.
9. Internationale doorgiften
Alle primaire infrastructuur (database, bestandsopslag, AI-inferentie, transactionele e-mail) is gehost binnen de Europese Unie. De enige routinematige doorgifte buiten de EU is aan Stripe Payments Europe Limited (Ierland), met verdere doorgifte aan Stripe Inc. in de Verenigde Staten voor facturering en abonnementsverwerking. Die doorgifte vindt plaats op basis van de Standaardcontractbepalingen van de Europese Commissie (Besluit 2021/914/EU), aangevuld met Stripe's aanvullende waarborgen. U kunt een kopie van de relevante standaardcontractbepalingen opvragen door een e-mail te sturen naar privacy@persohr.eu.
10. Bewaartermijnen
Wij bewaren persoonsgegevens alleen zo lang als noodzakelijk voor de doeleinden die in dit beleid zijn uiteengezet. Actieve personeelsdossiers: voor de duur van het dienstverband zoals geconfigureerd door uw werkgever. Beëindigde personeelsdossiers: bewaard door uw werkgever gedurende de periode die vereist is op grond van het lokale arbeids-, belasting- en socialezekerheidsrecht, doorgaans 6 tot 10 jaar; wij verwijderen of anonimiseren gegevens binnen 30 dagen na ontvangst van een instructie daartoe van uw werkgever. Verlof- en tijdregistratiegegevens: bewaard samen met het personeelsdossier. Loonverwerkingsgegevens: bewaard samen met het personeelsdossier en onderworpen aan de wettelijke boekhoudkundige bewaartermijn van uw land. Authenticatielogs en auditlogs: bewaard gedurende 24 maanden voor beveiligings- en verantwoordingsdoeleinden, of langer indien onderworpen aan een wettelijke bewaarplicht. Ondersteuningscorrespondentie: 12 maanden na sluiting van het verzoek. Factureringsgegevens (facturen, betalingsmetadata): 7 jaar na het einde van het betreffende belastingjaar, in overeenstemming met het Cypriotisch boekhoudrecht. Tenantgegevens na opzegging van het abonnement: 30 dagen voor export op grond van Artikel 20, daarna verwijdering. Na de toepasselijke periode worden gegevens verwijderd of onomkeerbaar geanonimiseerd in overeenstemming met Artikel 17.
11. Uw rechten
Op grond van de Artikelen 15–22 AVG heeft u het recht op: (a) inzage in uw persoonsgegevens; (b) rectificatie van onjuiste gegevens; (c) verzoek om verwijdering (het "recht op vergetelheid"); (d) beperking van de verwerking; (e) gegevensoverdraagbaarheid — uw gegevens ontvangen in een gestructureerd, gangbaar en machineleesbaar formaat; (f) bezwaar maken tegen verwerking op basis van gerechtvaardigde belangen; (g) toestemming op elk moment intrekken, wanneer de verwerking is gebaseerd op toestemming; (h) niet onderworpen te worden aan een besluit dat uitsluitend is gebaseerd op geautomatiseerde verwerking en dat rechtsgevolgen heeft of u op vergelijkbare wijze aanzienlijk treft (zie sectie 12). U kunt rechten (a), (b), (c) en (e) zelf uitoefenen via de in-app AVG-tools (Profiel → Mijn gegevens downloaden; Instellingen → Gegevens wissen). Voor alle andere rechten kunt u een e-mail sturen naar privacy@persohr.eu of contact opnemen met uw accountbeheerder. Wij reageren binnen één maand, met de mogelijkheid tot verlenging met nog eens twee maanden voor complexe verzoeken, in overeenstemming met Artikel 12(3).
12. Geautomatiseerde besluitvorming
Wij nemen geen besluiten die rechtsgevolgen hebben of u op vergelijkbare wijze aanzienlijk treffen, uitsluitend op basis van geautomatiseerde verwerking. AI-ondersteunde functies genereren suggesties die altijd door een menselijke gebruiker worden beoordeeld en geaccepteerd, bewerkt of afgewezen voordat er actie wordt ondernomen.
13. Beveiliging van de verwerking
Wij implementeren technische en organisatorische maatregelen die passend zijn voor het risico: TLS 1.2 of hoger tijdens verzending, versleuteling in rust, op rollen gebaseerde toegangscontrole met het principe van minimale bevoegdheden, uitgebreide auditlogging, regelmatige kwetsbaarheidsscans, EU-exclusieve gegevensopslag voor primaire verwerking, tijdsbeperkte toegangstokens, verplichte tweefactorauthenticatie voor bevoorrechte rollen, en geteste back-up- en herstelprocedures.
14. Melding van datalekken
In het geval van een inbreuk op persoonsgegevens die uw gegevens betreft, stellen wij de bevoegde toezichthoudende autoriteit zonder onnodige vertraging en, indien haalbaar, binnen 72 uur na het ontdekken van de inbreuk op de hoogte (Artikel 33 AVG). Wanneer de inbreuk waarschijnlijk een hoog risico voor uw rechten en vrijheden oplevert, stellen wij u ook rechtstreeks zonder onnodige vertraging op de hoogte (Artikel 34 AVG).
15. Cookies en vergelijkbare technologieën
We gebruiken alleen strikt noodzakelijke cookies en gelijkwaardige localStorage-items, allemaal op same-site-basis vanaf het persohr.eu-domein. Specifiek: een `persohr_rt` HttpOnly Secure SameSite=Strict refresh-token-cookie, die je tot 7 dagen ingelogd houdt — je browser stuurt het automatisch terug maar JavaScript op de pagina kan het niet lezen, wat de XSS-refresh-token-vector sluit; een `persohr-locale` localStorage-item dat je taalvoorkeur onthoudt; een klein aantal UI-status-localStorage-items (ingeklapte zijbalk, gesloten banners). Authenticatie wordt in-process afgehandeld door de PersoHR-backend (passwordless magic link plus optionele TOTP); geen externe identiteitsleverancier stelt cookies in op je apparaat. Stripe stelt zijn eigen strikt noodzakelijke cookies in tijdens checkout wanneer je een abonnement upgradet. We gebruiken Plausible Analytics (gehost in Estland, EU) om bezoeken en conversiegebeurtenissen alleen op de marketingsite en de publieke aanmeldflow te tellen. Plausible is cookieless en slaat IP-adressen niet in ruwe vorm op, dus er worden geen advertentie-, retargeting- of sociale media-trackingcookies op je apparaat geplaatst. Pagina's van de ingelogde app worden niet getrackt. Omdat we geen niet-essentiële cookies plaatsen, is geen toestemmingsbanner vereist onder de ePrivacy-richtlijn en de Cypriotische wet 112(I)/2004. Mochten we ooit optionele cookies introduceren, dan publiceren we een opt-in toestemmingsbanner voordat enige niet-essentiële cookie wordt geplaatst.
16. Ondersteuningsverzoeken
Wanneer u contact opneemt via het in-app contactformulier of schrijft naar support@persohr.eu, bereikt uw bericht en eventuele bijgevoegde schermafbeelding ons ondersteuningsteam zodat wij kunnen reageren. Wij voegen context toe die ons helpt sneller te antwoorden: het bedrijf waarbij u bent, uw plan, uw naam en e-mailadres en de pagina waarop u zich bevond. Wij bewaren het verzoek lang genoeg om het probleem op te lossen plus een korte follow-upperiode, waarna het binnen 12 maanden wordt verwijderd.
17. Recht om een klacht in te dienen
Onverminderd andere rechtsmiddelen heeft u het recht om een klacht in te dienen bij een toezichthoudende autoriteit, met name in de EU-lidstaat van uw gewone verblijfplaats, werkplek of de plaats van de vermeende inbreuk, indien u van mening bent dat onze verwerking van uw persoonsgegevens in strijd is met de AVG. De leidende toezichthoudende autoriteit voor Labb Holding Ltd is het Bureau van de Commissaris voor Bescherming van Persoonsgegevens in Cyprus (www.dataprotection.gov.cy). Een lijst van alle nationale toezichthoudende autoriteiten wordt gepubliceerd door het Europees Comité voor Gegevensbescherming op edpb.europa.eu.
18. Wijzigingen in dit beleid
Wij kunnen dit beleid bijwerken om wijzigingen in de dienst, toepasselijk recht of onze verwerkingsactiviteiten weer te geven. Materiële wijzigingen worden minimaal 30 dagen voor de inwerkingtreding per e-mail aan de accounteigenaar gemeld. De huidige versie en de ingangsdatum worden bovenaan dit document vermeld. De vorige versie blijft op verzoek beschikbaar via privacy@persohr.eu.
19. Contact
Voor privacygerelateerde vragen kunt u een e-mail sturen naar privacy@persohr.eu of schrijven naar Labb Holding Ltd, Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cyprus. U kunt ook contact opnemen met uw bedrijfsbeheerder voor zaken die betrekking hebben op gegevens die uw werkgever beheert. Wij streven ernaar binnen één maand na ontvangst van het verzoek te reageren, in overeenstemming met Artikel 12(3) AVG.