Verwerkersovereenkomst

1. Partijen en rollen

• Verwerkingsverantwoordelijke: de klant (jouw onderneming), die bepaalt welke gegevens van medewerkers worden verwerkt en waarom.
• Verwerker: SmartShifter V.O.F. (KvK 42188672), die deze gegevens namens jou verwerkt om de dienst te leveren.

Deze overeenkomst gaat alleen over de gegevens die je als werkgever in SmartShifter invoert. Voor gegevens waarvoor SmartShifter zelf verantwoordelijke is (zoals je accountgegevens als abonnee) geldt de privacyverklaring.

2. Onderwerp, aard en doel van de verwerking

SmartShifter verwerkt persoonsgegevens uitsluitend om de personeelsplanning-dienst te leveren: het maken en delen van roosters, urenregistratie en klokken, verlofbeheer, fooienverdeling, de loonafsluiting, de communicatie die daarbij hoort en, als je die functie gebruikt, het bewaren van personeelsdocumenten. De verwerking omvat onder meer verzamelen, vastleggen, opslaan, raadplegen, gebruiken, wijzigen en verwijderen.

Voor zover je ze gebruikt, horen daar ook bij: de verzuimadministratie, het opstellen en digitaal laten ondertekenen van arbeidscontracten, declaraties, chat en nieuwsberichten, de AI-assistent Smartie en de koppelingen met je salarisadministratie of reserveringssysteem die je zelf aanzet.

3. Duur

Deze overeenkomst geldt zolang de onderliggende abonnementsovereenkomst loopt en eindigt automatisch wanneer die eindigt, behoudens de verplichtingen die naar hun aard blijven gelden (zoals geheimhouding en verwijdering of teruggave van gegevens).

4. Soort persoonsgegevens en betrokkenen

Categorieën betrokkenen: medewerkers van de klant (inclusief eventuele flex-/oproepkrachten en minderjarige medewerkers), nieuwe medewerkers die je uitnodigt, en de gebruikers die namens de klant met de dienst werken.

Categorieën persoonsgegevens:

• identificatie- en contactgegevens: naam, e-mailadres, telefoonnummer, personeelsnummer, taalvoorkeur en (optioneel) een profielfoto;
• geboortedatum, nodig voor de arbeidstijdregels voor jongeren, en bij minderjarigen de vastgelegde toestemming van een ouder of voogd voor avond- en zondagwerk;
• functie, rol en rechten, team, vestiging(en), skills en certificaten met hun geldigheidsdatum;
• dienstverband: soort contract, contracturen, begin- en einddatum, proeftijd en de reeks opeenvolgende contracten;
• contracten die je in SmartShifter opstelt en de digitale ondertekening daarvan: naam en e-mailadres van de ondertekenaar, de gezette handtekening, het tijdstip, het IP-adres en de browserinformatie, vastgelegd als bewijs van de ondertekening;
• rooster- en urengegevens: diensten, beschikbaarheid, geklokte tijden en de manier van klokken (app of kiosk), pauzes, correcties en goedkeuringen, ruilverzoeken, open diensten en het urensaldo, en een pincode voor de kiosk;
• verlof: aanvragen, saldi en opbouw;
• verzuim, als je die functie gebruikt: zie hieronder;
• loongegevens voor de loonafsluiting: uurloon, woon-werkafstand voor de reiskosten, toeslagen, bruto loonberekeningen, salarisspecificaties en de loonstroken die je zelf uploadt;
• declaraties: bedrag, datum, omschrijving en een foto of scan van de bon;
• fooiengegevens, voor zover van toepassing;
• communicatie: chatberichten en hun bijlagen, nieuwsberichten met reacties en leesbevestigingen, aanmeldingen voor evenementen, en de meldingen die de dienst per e-mail, push of in de app verstuurt;
• gesprekken met de AI-assistent Smartie, alleen als je die gebruikt, en korte werkafspraken die Smartie per organisatie onthoudt;
• technische gegevens: apparaatcodes om pushmeldingen af te leveren, inloggegevens en tweestapsverificatie, en logregels van handelingen in de dienst (wie wat wanneer deed);
• personeelsdossier ("personeelskluis", alleen als je die functie aanzet): kopie identiteitsbewijs met daarop het BSN, de nationaliteit en de pasfoto, loonheffingenverklaring, verblijfs- of tewerkstellingsvergunning, arbeidsovereenkomst en contractwijzigingen, VOG, diploma's en certificaten (waaronder SVH Sociale Hygiëne en BHV of EHBO), rijbewijs, functionerings- of beoordelingsverslagen en overige documenten die je er zelf in plaatst.

SmartShifter verwerkt geen woonadres van medewerkers.

Zet je de personeelskluis aan, dan verwerkt SmartShifter het BSN uitsluitend voor zover dat voorkomt op een document dat jij daar zelf in plaatst. Wij lezen, indexeren of doorzoeken de inhoud van die documenten niet, gebruiken ze niet voor eigen doeleinden en sturen ze nooit naar een AI-model. Zonder die functie verwerkt SmartShifter geen BSN.

SmartShifter verwerkt geen bankrekeningnummers (IBAN) van medewerkers; die blijven bij de salarisadministratie van de werkgever.

Gezondheidsgegevens bij verzuim. Gebruik je de verzuimadministratie, dan verwerkt SmartShifter gegevens over gezondheid in de zin van artikel 9 AVG: het feit dat een medewerker zich ziek heeft gemeld, de eerste ziektedag, de verwachte en de werkelijke hersteldatum, gedeeltelijk herstel, de stappen uit de Wet verbetering poortwachter, de ziekte-uren en de soort verzuim (ziek, arbeidsongeval, zwangerschapsgerelateerd of no-riskpolis). Ook een verlofaanvraag van het type ziekte valt hieronder. Dit gebeurt uitsluitend zodat je als werkgever kunt voldoen aan je verplichtingen uit de Ziektewet, de loondoorbetaling bij ziekte en de Wet verbetering poortwachter. Op jouw verzoek stuurt SmartShifter een ziekmelding per e-mail door naar het adres dat je opgeeft, zoals je arbodienst, en gebruik je de loonkoppeling, dan gaat de ziekmelding naar je salarisadministratie.

Er bestaat geen veld voor een diagnose of de oorzaak van het verzuim, en de personeelskluis kent geen documenttype voor medische stukken of re-integratiedocumenten; die horen bij je arbodienst of bedrijfsarts. Voer zulke gegevens ook niet in vrije tekstvelden in, zoals een notitie bij een ziekmelding of een chatbericht. De werkafspraken die Smartie per organisatie onthoudt, sluiten gezondheid en verzuim van een persoon uit. Andere bijzondere categorieën persoonsgegevens verwerkt SmartShifter niet; een pasfoto op een identiteitsbewijs wordt niet gebruikt om iemand te herkennen.

5. Verwerking uitsluitend op instructie

SmartShifter verwerkt de persoonsgegevens alleen volgens jouw instructies en voor de hierboven genoemde doelen, tenzij een wettelijke verplichting anders bepaalt. Het gebruik van de dienst zoals bedoeld geldt als je instructie. SmartShifter gebruikt jouw gegevens nooit voor eigen doeleinden en verkoopt ze niet.

Voor de personeelskluis betekent dat concreet: jij bepaalt welke documenten erin komen en van wie. SmartShifter opent, leest, indexeert of doorzoekt de inhoud van die documenten niet, gebruikt ze niet om de dienst te verbeteren en stuurt ze niet naar een AI-model of een andere externe partij. Wij verwerken ze uitsluitend als bestand: opslaan, aan jou tonen op jouw verzoek, en verwijderen wanneer de bewaartermijn afloopt of jij daarom vraagt.

6. Beveiliging

SmartShifter neemt passende technische en organisatorische maatregelen (artikel 32 AVG), waaronder:

• versleuteling van dataverkeer (HTTPS/TLS);
• opslag van de database en de bestanden op servers binnen de EU;
• strikte toegangsscheiding per organisatie, zodat klanten nooit elkaars gegevens kunnen zien;
• rechten per rol, met aparte rechten voor loongegevens en voor de personeelskluis, die je zelf toekent;
• tweestapsverificatie met een authenticator-app, die je verplicht kunt stellen voor de bedrijfsleider en voor iedereen met loon- of kluisrechten;
• gehashte opslag van wachtwoorden en kiosk-pincodes (nooit leesbaar);
• meekijken door SmartShifter voor support alleen met een vastgelegde reden en een vervaltijd, en elke sessie wordt geregistreerd;
• toegang tot gegevens alleen voor bevoegd personeel, en logging.

Profielfoto's staan, om snel te laden, in opslag die zonder inloggen te lezen is via een willekeurig, niet te raden adres; de opslag zelf is niet te doorzoeken.

Voor de personeelskluis gelden aanvullend:

• documenten staan in afgeschermde opslag waar geen enkel gebruikersaccount rechtstreeks bij kan, ook niet met een deelbare link;
• elk document wordt opgehaald via een controle die per keer opnieuw nagaat of jij er recht op hebt, zodat er geen link bestaat die je per ongeluk kunt doorsturen;
• toegang tot de kluis vraagt een apart recht, los van het beheren van medewerkers, dat je zelf per rol toekent;
• per document wordt vastgelegd wie het wanneer heeft geopend; dat overzicht bewaren we 24 maanden;
• medewerkers van SmartShifter hebben geen leesrecht op de kluis, en een meekijksessie voor support geeft daar evenmin toegang toe.

7. Subverwerkers

Je geeft SmartShifter algemene toestemming om subverwerkers in te schakelen voor het leveren van de dienst. Met elke subverwerker sluiten we een overeenkomst met minstens dezelfde verplichtingen als hier beschreven. De huidige subverwerkers zijn:

Een pushmelding bevat de tekst die op het vergrendelscherm verschijnt. Die tekst is voor Expo, Google en Apple leesbaar, en kan bijvoorbeeld de naam van een collega en het begin van een chatbericht bevatten, of de melding dat iemand zich ziek heeft gemeld. Webmeldingen in de browser gaan versleuteld via de pushdienst van de browser van de gebruiker; die dienst kan de inhoud niet lezen.

Smartie stuurt alleen gegevens naar Anthropic waar de gebruiker zelf om vraagt en waartoe hij binnen de dienst bevoegd is, zoals namen, diensten, uren en beschikbaarheid, en op verzoek verzuimaantallen per medewerker. Documenten uit de personeelskluis gaan nooit naar een AI-model, en het automatisch roosteren gebruikt geen extern AI-model. Gebruikt niemand in je organisatie Smartie, dan gaat er niets naar Anthropic of Voyage AI.

Koppelingen die je zelf aanzet. Zet je een koppeling aan met je salarisadministratie (Nmbrs) of je reserveringssysteem (BoekEerlijk), dan stuurt SmartShifter op jouw instructie gegevens naar die partij, zoals uren, verlof, ziekmeldingen en nieuwe medewerkers naar Nmbrs, of namen, rollen en klokmomenten naar BoekEerlijk. Met die partijen heb je zelf een overeenkomst; zij zijn geen subverwerker van SmartShifter. Van een kassasysteem ontvangt SmartShifter alleen omzetgegevens, geen gegevens van medewerkers.

Bij een nieuwe of vervangende subverwerker informeren we je vooraf, zodat je bezwaar kunt maken. Voor verwerking buiten de EU zorgen we voor passende waarborgen, zoals de standaardcontractbepalingen van de Europese Commissie of een adequaatheidsbesluit (zoals het EU-US Data Privacy Framework).

Mollie (betalingen) en Moneybird (facturatie) verwerken gegevens in de relatie tussen SmartShifter en jou als abonnee, niet de gegevens van je medewerkers; zij vallen onder de privacyverklaring, niet onder deze verwerkersovereenkomst.

8. Bijstand bij rechten van betrokkenen

Krijg je een verzoek van een medewerker (inzage, correctie, verwijdering, beperking, overdraagbaarheid of bezwaar)? Dan helpt SmartShifter je dat af te handelen, met de functies in de dienst en waar nodig met aanvullende ondersteuning. Richt een betrokkene zich rechtstreeks tot ons, dan verwijzen we door naar jou als verantwoordelijke.

Gebruik je de personeelskluis, dan zijn twee verzoeken al in de dienst opgelost. Een medewerker ziet zijn eigen dossier in de app en kan zijn documenten daar downloaden, dus een inzageverzoek hoef je niet met de hand samen te stellen. En op de vraag wie zijn dossier heeft geopend kun je antwoorden: per document leggen we vast wie het wanneer bekeek. Dat overzicht bewaren we 24 maanden en stellen we op jouw verzoek beschikbaar.

9. Datalekken en overige bijstand

Bij een datalek dat jouw gegevens raakt, informeren we je zonder onredelijke vertraging nadat we ervan op de hoogte zijn, met de informatie die je nodig hebt om aan je eigen meldplicht (binnen 72 uur) te voldoen. We ondersteunen je ook bij een eventuele DPIA en voorafgaande raadpleging van de toezichthouder.

Een incident waarbij documenten uit de personeelskluis betrokken zijn, behandelen we als hoog risico. Een kopie identiteitsbewijs bevat wat iemand nodig heeft voor identiteitsfraude, en dat is schade die je niet terugdraait. In zo'n geval leveren we ook het toegangslog aan, zodat je kunt vaststellen welke documenten daadwerkelijk zijn ingezien en van wie. Voor deze functie hebben we bovendien een voortoets uitgevoerd die je kunt gebruiken bij je eigen DPIA; vraag ernaar via het contactadres onderaan.

10. Geheimhouding

SmartShifter houdt de persoonsgegevens geheim en zorgt dat personen die er toegang toe hebben tot geheimhouding zijn verplicht.

11. Audit

Je mag (laten) controleren of SmartShifter deze overeenkomst naleeft. SmartShifter stelt de informatie beschikbaar die nodig is om de naleving aan te tonen en werkt mee aan audits, die redelijk worden ingepland en de normale bedrijfsvoering niet onnodig verstoren.

Voor de personeelskluis kunnen we bovendien aantonen wat er met een document is gebeurd: wie het opende, wanneer, en wanneer het is verwijderd. Dat spoor blijft ook staan nadat het document zelf is opgeruimd, zodat je kunt laten zien dat een bewaartermijn is nageleefd.

12. Teruggave en verwijdering

Na afloop van de overeenkomst stelt SmartShifter je gedurende een redelijke termijn in staat de gegevens te exporteren, en verwijdert of anonimiseert daarna alle persoonsgegevens en kopieën, tenzij een wettelijke bewaarplicht langer bewaren vereist.

Tijdens de looptijd ruimt SmartShifter een deel van de gegevens vanzelf op:

• een medewerker die je verwijdert, staat 30 dagen in de prullenbak en is dan nog te herstellen; daarna verwijderen we het profiel, het inlogaccount en de bestanden van die medewerker definitief. Exporteer wat je zelf moet bewaren, zoals de loonadministratie, vóór die tijd;
• meldingen in de app: gelezen meldingen na 30 dagen, alle meldingen na 90 dagen;
• gesprekken met Smartie: 30 dagen na het laatste bericht;
• gegevens van een automatische roosterrun: na 60 dagen;
• logregels: vastgelegde handelingen (audittrail) na 365 dagen, fout- en waarschuwingsmeldingen na 180 dagen, overige meldingen na 90 dagen.

Overige gegevens, zoals roosters, uren, verlof, verzuim en berichten, bewaren we zolang de overeenkomst loopt, tenzij jij ze eerder verwijdert.

Documenten in de personeelskluis verdwijnen daarnaast al tijdens de looptijd vanzelf, zodra hun bewaartermijn afloopt. Die termijn begint op de laatste werkdag van de medewerker en verschilt per soort document, omdat de wet dat zo voorschrijft. Wat verwijderd is, blijft aantoonbaar verwijderd: het spoor van de verwijdering bewaren we, het document zelf niet.

13. Wijzigingen in deze versie

Versie 2026-10-07 brengt deze overeenkomst in lijn met wat de dienst inmiddels doet. Wat er ten opzichte van de vorige versie is veranderd:

• artikel 2 en 4 noemen nu ook verzuim, contracten met digitale ondertekening, declaraties, chat, Smartie en de koppelingen, met de gegevens die daarbij horen, zoals geboortedatum, profielfoto, personeelsnummer en de bewijsgegevens van een handtekening;
• de eerdere zin dat er geen gezondheidsgegevens worden verwerkt is vervangen. De verzuimadministratie legt vast dat iemand ziek is en hoe lang, zonder diagnose of oorzaak, en dat zijn gezondheidsgegevens in de zin van artikel 9 AVG;
• het woonadres van medewerkers staat niet meer in de lijst; dat verwerken we niet;
• artikel 7 noemt alle subverwerkers: Netlify, Anthropic, Voyage AI, Expo, Google en Apple zijn toegevoegd, Sentry staat nu als EU (Duitsland), en de koppelingen die je zelf aanzet worden apart beschreven;
• artikel 6 noemt de rechten per rol, tweestapsverificatie, het meekijken voor support en de opslag van profielfoto's, en artikel 12 de termijnen waarop we gegevens automatisch opruimen.

Versie 2026-08-28

Versie 2026-08-28 voegt de personeelskluis toe: een afgeschermde plek waar je per medewerker documenten kunt bewaren. Wat er ten opzichte van de vorige versie is veranderd:

• de categorieën persoonsgegevens (artikel 4) zijn uitgebreid met personeelsdocumenten, waaronder een kopie identiteitsbewijs;
• de eerdere zin dat SmartShifter geen BSN verwerkt is vervangen. Gebruik je de kluis, dan staat er een BSN op het identiteitsbewijs dat je erin plaatst. Wij lezen die documenten niet, maar de oude formulering was daarmee niet langer juist;
• artikel 5 legt vast wat we met de inhoud van die documenten wel en niet doen;
• artikel 6 noemt de aanvullende beveiliging voor de kluis, artikel 8 en 11 het toegangslog, en artikel 12 de bewaartermijnen die vanzelf aflopen.

Wat niet is veranderd: de subverwerkers. De documenten staan bij dezelfde partij en op dezelfde plek als de rest van je gegevens, binnen de EU.

14. Contact

Vragen over deze verwerkersovereenkomst of wil je hem ondertekend ontvangen? Mail info@smartshifter.nl.