Leegloop
Versie 2026-09-07 · geldig vanaf 7 september 2026
Vóór publicatie invullen. De velden [RECHTSPERSOON], [VESTIGINGSADRES], [KVK-NUMMER] en [BTW-NUMMER] moeten worden vervangen door de gegevens van de exploitant van Leegloop. Zolang dat niet is gebeurd, staat niet vast wie de verwerker is en voldoet dit document niet aan artikel 28 lid 3 AVG en artikel 3:15d BW.
Keuzes die de exploitant vóór publicatie moet maken (gemarkeerd als [INVULLEN: …] in de tekst): het uurtarief en het drempelbedrag in artikel 18.2. De meldtermijn bij een Inbreuk staat in artikel 13.1 vast op 24 uur, gelijk aan de artikelen 17.3 en 17.4 van de Klantvoorwaarden; het maximum van de aansprakelijkheid bij kosteloos gebruik staat niet in dit document maar in artikel 22.4 van die Klantvoorwaarden.
Vóór publicatie ook regelen. Bijlage 1 onderdeel F punt 4 en Bijlage 2 gaan ervan uit dat de App een schakelaar "Gebruiksstatistieken delen" kent die standaard uit staat, gelijk aan hoofdstuk 13 van de Privacyverklaring van dezelfde datum. Die schakelaar moet zijn gebouwd voordat dit document aan een klant wordt voorgelegd.
Per klant in te vullen vóór ingebruikname: de onderdelen G en H van Bijlage 1 (rapportadres, bevestiging van de bewaartermijnen, contactpersoon, meldadres voor datalekken, adres voor verzoeken van betrokkenen en de functionaris voor gegevensbescherming). Artikel 15.3 bepaalt wat geldt zolang die bevestiging uitblijft.
Vóór de eerste ingebruikname bij een klant in te richten: artikel 2.1 verlangt dat een bevoegde vertegenwoordiger van de klant het Bestelformulier ondertekent of de Klantvoorwaarden en deze Verwerkersovereenkomst uitdrukkelijk elektronisch aanvaardt, en dat Leegloop die aanvaarding vastlegt. Een aanvaardingsstap in het beheerderspaneel bestaat op dit moment nog niet; zolang die er niet is, moet de aanvaarding op een andere aantoonbare wijze worden vastgelegd, bijvoorbeeld met een ondertekend Bestelformulier. Ook de kolom "Verwerkersvoorwaarden aanvaard op" in Bijlage 3 moet per leverancier worden ingevuld; zolang die datum ontbreekt, mag die leverancier op grond van artikel 8.8 niet voor klantgegevens worden ingezet.
Deze verwerkersovereenkomst regelt hoe Leegloop persoonsgegevens verwerkt in opdracht van uw organisatie. Zij is opgesteld in de bewoordingen van artikel 28 lid 3 AVG, maar zo geschreven dat u kunt nagaan wat er feitelijk gebeurt: welke gegevens in de Dienst staan, wie ze kan lezen, hoe lang ze bewaard worden, waar ze staan en bij wie uw werknemers terechtkunnen. Waar iets nog niet af is, staat dat er ook.
Partijen zijn:
Partijen nemen in aanmerking dat u met behulp van Leegloop leegloop verdeelt onder uw werknemers en dat Leegloop daarbij persoonsgegevens van die werknemers verwerkt. U bepaalt het doel en de middelen van die verwerking; Leegloop verwerkt uitsluitend in uw opdracht. Partijen leggen daarom hierbij de afspraken vast die artikel 28 lid 3 AVG voorschrijft.
1.1 De begrippen die in de AVG zijn gedefinieerd, hebben in deze Verwerkersovereenkomst dezelfde betekenis. Verder geldt:
2.1 Deze Verwerkersovereenkomst maakt deel uit van de Klantvoorwaarden. Zij komt tot stand doordat een daartoe bevoegde vertegenwoordiger van uw organisatie het Bestelformulier ondertekent, dan wel de Klantvoorwaarden en deze Verwerkersovereenkomst uitdrukkelijk elektronisch aanvaardt. Leegloop legt die aanvaarding vast met datum, versienummer en de naam en het e-mailadres van degene die aanvaardde, en stelt die vastlegging op verzoek aan u ter beschikking; die vastlegging geldt als schriftelijke overeenkomst in de zin van artikel 28 lid 9 AVG. Leegloop neemt voor uw organisatie geen omgeving in gebruik en verwerkt geen Persoonsgegevens van uw werknemers voordat die aanvaarding is vastgelegd. Het gebruik van de Dienst door een Gebruiker bindt uw organisatie niet zolang die aanvaarding ontbreekt.
2.2 Leegloop verwerkt Persoonsgegevens uitsluitend ten behoeve van de levering van de Dienst aan u: het aanmaken en beheren van gebruikersprofielen, het bijhouden van een Ranglijst per ploeg, het uitzetten en afhandelen van Sessies, het versturen van meldingen en het opleveren van sessie-overzichten aan u.
2.3 Het onderwerp, de aard, het doel en de duur van de verwerking, de soorten Persoonsgegevens, de categorieën Betrokkenen, de zichtbaarheid per gegeven en de bewaartermijnen zijn uitgewerkt in Bijlage 1. Bijlage 1 is uw specificatie van de verwerking als bedoeld in artikel 28 lid 3 AVG. U kunt die bijlage ook gebruiken voor uw eigen informatieplicht jegens werknemers (artikelen 13 en 14 AVG) en voor uw stuk aan de ondernemingsraad.
2.4 De duur van deze Verwerkersovereenkomst is geregeld in artikel 20.
2.5 De verplichtingen die artikel 28 lid 3 AVG voorschrijft, vindt u terug op de volgende plaatsen:
| Artikel 28 lid 3 AVG | Onderwerp | Waar geregeld |
|---|---|---|
| sub a | Verwerking uitsluitend op gedocumenteerde instructie, ook bij doorgifte | Artikelen 4 en 9 |
| sub b | Geheimhouding door personen met toegang | Artikel 6 |
| sub c | Beveiligingsmaatregelen (artikel 32) | Artikel 7 en Bijlage 2 |
| sub d | Voorwaarden voor het inschakelen van subverwerkers | Artikel 8 en Bijlage 3 |
| sub e | Bijstand bij rechten van Betrokkenen | Artikel 10 |
| sub f | Bijstand bij de artikelen 32 tot en met 36 | Artikelen 12 en 13 |
| sub g | Wissen of terugbezorgen na afloop | Artikelen 15 en 16 |
| sub h | Informatie ter beschikking stellen en audits mogelijk maken | Artikel 14 |
3.1 Ten aanzien van de in Bijlage 1 genoemde Persoonsgegevens bent u verwerkingsverantwoordelijke en is Leegloop verwerker. U beslist dat Leegloop wordt ingezet, welke Gebruikers worden uitgenodigd, welke ploegen, functies en slots gelden, hoeveel mensen per Sessie moeten werken, welke leegloop- en verlofregeling van toepassing is, wie shiftleader of beheerder is en wie de sessie-overzichten ontvangt. U bepaalt daarmee doel en middelen van de verwerking (artikel 4 onder 7 AVG).
3.2 Leegloop is zelfstandig verwerkingsverantwoordelijke voor een beperkt aantal verwerkingen die het platform als geheel betreffen en die niet ten behoeve van één klant plaatsvinden:
3.3 De onder 3.2 genoemde verwerkingen vallen buiten deze Verwerkersovereenkomst. Leegloop is daarvoor zelf aanspreekbaar en verantwoordt zich erover in de privacyverklaring op leegloop.app/privacy; op het gebruik van de Dienst door uw Gebruikers zijn daarnaast de Gebruiksvoorwaarden van toepassing, die dezelfde rolverdeling beschrijven; Betrokkenen kunnen hun rechten daarover rechtstreeks bij Leegloop uitoefenen. U kunt aan deze Verwerkersovereenkomst geen rechten ontlenen ten aanzien van die verwerkingen, en Leegloop stelt de daaruit voortkomende statistieken niet aan u ter beschikking.
3.4 Het auditlog heeft een dubbele functie. Voor u is het de verantwoording van wat uw beheerders en shiftleaders met de gegevens van uw werknemers doen; voor Leegloop is het een beveiligingsmaatregel. Leegloop behandelt het auditlog als gegeven dat onder deze Verwerkersovereenkomst valt en gebruikt het daarnaast uitsluitend voor het onder 3.2 genoemde beveiligingsdoel. U bent verantwoordelijk voor uw eigen gebruik ervan, waaronder de vraag of u het binnen uw organisatie mag inzetten en aan wie u daartoe toegang verleent.
3.5 Partijen zijn geen gezamenlijke verwerkingsverantwoordelijken in de zin van artikel 26 AVG. Bepaalt Leegloop in weerwil van deze Verwerkersovereenkomst voor een verwerking toch zelf het doel en de middelen, dan geldt zij voor die verwerking als verwerkingsverantwoordelijke (artikel 28 lid 10 AVG) en draagt zij daarvan zelf de gevolgen. Leidt de feitelijke gang van zaken daartoe, dan treden partijen op eerste verzoek in overleg om die verwerking te beëindigen of afzonderlijk te regelen.
4.1 Leegloop verwerkt Persoonsgegevens uitsluitend op uw gedocumenteerde instructie, ook waar het doorgifte naar landen buiten de EER betreft, tenzij een op Leegloop van toepassing zijnde Unierechtelijke of Nederlandse bepaling haar tot verwerking verplicht. In dat geval stelt Leegloop u vóór de verwerking in kennis van dat voorschrift, tenzij die wetgeving de kennisgeving om gewichtige redenen van algemeen belang verbiedt.
4.2 Als gedocumenteerde instructie gelden:
4.3 Leegloop verwerkt de Persoonsgegevens niet voor eigen doeleinden. Zij verkoopt geen gegevens, deelt ze niet met adverteerders of gegevenshandelaren, gebruikt ze niet om modellen te trainen en gebruikt ze niet om producten of diensten aan uw werknemers aan te bieden.
4.4 Meent Leegloop dat een instructie inbreuk maakt op de AVG of op andere gegevensbeschermingsbepalingen van de Unie of van een lidstaat, dan stelt zij u daarvan onverwijld in kennis en mag zij de uitvoering opschorten totdat u de instructie bevestigt, wijzigt of intrekt. Bevestigt u een instructie waarvan Leegloop gemotiveerd heeft aangegeven dat deze naar haar oordeel in strijd is met de AVG, dan mag Leegloop de uitvoering weigeren; die weigering is geen tekortkoming van Leegloop en geeft u geen recht op opschorting, ontbinding of schadevergoeding. Leegloop is niet verplicht uw instructies juridisch te toetsen; dit lid verplicht haar te melden wat haar feitelijk opvalt.
4.5 Instructies die noodzaken tot aanpassing van de Dienst, tot maatwerk of tot een andere inrichting dan de Documentatie beschrijft, voert Leegloop alleen uit als partijen daarover schriftelijk overeenstemming bereiken, met inbegrip van de vergoeding op grond van artikel 18.
5.1 U staat ervoor in dat de verwerking die u via de Dienst laat plaatsvinden rechtmatig is, dat u voor elke verwerking over een geldige grondslag beschikt en dat de verwerking noodzakelijk en evenredig is. U bent verantwoordelijk voor de juistheid, de actualiteit en de rechtmatigheid van de Persoonsgegevens die u en uw Gebruikers invoeren.
5.2 U staat er in het bijzonder voor in dat:
5.3 U vrijwaart Leegloop tegen aanspraken van Betrokkenen, van de ondernemingsraad, van een vakorganisatie, van de AP — met uitzondering van een aan Leegloop opgelegde bestuurlijke boete, waarvoor artikel 17.4 geldt — of van andere derden, en tegen de daarmee samenhangende redelijke kosten van verweer, voor zover die aanspraken voortvloeien uit een tekortkoming in de nakoming van dit artikel of uit een instructie van u. Deze vrijwaring geldt niet voor zover de aanspraak het gevolg is van een tekortkoming van Leegloop in de nakoming van haar eigen verplichtingen als verwerker onder de AVG of onder deze Verwerkersovereenkomst.
6.1 Leegloop houdt de Persoonsgegevens geheim. Zij verstrekt deze niet aan derden, behalve aan de Subverwerkers uit Bijlage 3, aan u, aan de door u aangewezen ontvangers, of voor zover een wettelijk voorschrift of een bevel van een bevoegde autoriteit haar daartoe verplicht.
6.2 Leegloop zorgt ervoor dat de personen die onder haar gezag toegang hebben tot Persoonsgegevens, zich tot geheimhouding hebben verbonden of door een passende wettelijke verplichting tot geheimhouding zijn gebonden. Die verplichting blijft gelden na afloop van hun betrokkenheid.
6.3 Toegang wordt verleend op grond van noodzaak: uitsluitend voor onderhoud, ondersteuning, het onderzoeken van storingen en het afhandelen van een incident, en alleen zolang dat nodig is. Toegang tot productiegegevens wordt vastgelegd.
6.4 Wordt Leegloop door een autoriteit gevraagd of bevolen Persoonsgegevens te verstrekken, dan stelt zij u daarvan onverwijld in kennis, tenzij dat wettelijk verboden is, en beperkt zij de verstrekking tot wat rechtens is gevorderd. Voor verzoeken van autoriteiten van buiten de Unie geldt daarnaast artikel 9.5.
6.5 Leegloop draagt er zorg voor dat iedere natuurlijke persoon die onder haar gezag handelt en toegang heeft tot Persoonsgegevens, deze uitsluitend verwerkt in opdracht van u, tenzij een Unierechtelijke of Nederlandse bepaling hem tot verwerking verplicht (artikelen 29 en 32 lid 4 AVG).
6.6 Leegloop houdt een register bij van de categorieën verwerkingen die zij ten behoeve van u verricht (artikel 30 lid 2 AVG) en stelt dat op verzoek aan u en aan de AP ter beschikking. Zij werkt op verzoek samen met de AP bij de vervulling van haar taken (artikel 31 AVG) en informeert u daarover, tenzij dat rechtens verboden is.
7.1 Leegloop treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen (artikel 32 AVG). De maatregelen die op de datum van deze versie daadwerkelijk zijn getroffen, staan in Bijlage 2. Die bijlage vermeldt ook welke maatregel nog in uitrol is en wat er nog niet is. De verplichting van Leegloop is een inspanningsverplichting: zij garandeert niet dat de Dienst vrij is van kwetsbaarheden of dat een Inbreuk zich niet zal voordoen.
7.2 U verklaart dat u Bijlage 2 heeft beoordeeld en dat u de daarin beschreven maatregelen, gelet op de stand van de techniek, de uitvoeringskosten en de aard, omvang, context en doeleinden van de verwerking en op de risico's voor Betrokkenen, passend acht voor uw verwerkingen. Acht u aanvullende maatregelen nodig, dan meldt u dat vóór ingebruikname; partijen bespreken dan of en tegen welke voorwaarden die maatregelen kunnen worden gerealiseerd. Deze verklaring betreft uw eigen afweging als verwerkingsverantwoordelijke en ontslaat Leegloop niet van haar zelfstandige verplichting uit artikel 32 AVG om passende maatregelen te treffen en te onderhouden.
7.3 Leegloop mag de maatregelen aanpassen aan nieuwe risico's en nieuwe techniek, mits het beveiligingsniveau daardoor niet lager wordt dan het niveau van Bijlage 2. Bij een wijziging die het niveau wezenlijk raakt, past Leegloop Bijlage 2 aan en informeert zij u vooraf per e-mail en via de website.
7.4 U bent verantwoordelijk voor de beveiliging aan uw kant: het toekennen en intrekken van rollen, het beheer van de accounts van uw beheerders en shiftleaders met de daarbij verplichte tweestapsverificatie, de zorgvuldige omgang met de sessie-overzichten die u per e-mail ontvangt en de beveiliging van de apparatuur en netwerken van uw Gebruikers.
7.5 U aanvaardt uitdrukkelijk de stand van zaken die Bijlage 2 onder "Wat er nog niet is" en Bijlage 1 onderdeel F beschrijven — in het bijzonder dat de attestatie van apps nog niet wordt afgedwongen, dat er geen externe certificering en geen periodieke penetratietest door een derde is, dat een aantal gegevens op het voor de ploeg leesbare hoofdprofiel staat, dat shiftleaders en beheerders niet tot hun eigen ploeg zijn beperkt en dat een wijziging van de leegloop-voorkeur of van de instelling voor verlofafschrijving niet afzonderlijk in het auditlog wordt vastgelegd — en u betrekt die stand van zaken in uw eigen risicobeoordeling en, indien van toepassing, in uw gegevensbeschermingseffectbeoordeling. Leegloop werkt aan verbetering van deze punten en meldt de voortgang volgens 7.3. Wenst u de zekerheid van een externe toetsing, dan is een audit op grond van artikel 14 de aangewezen weg. Uw aanvaarding van de in Bijlage 2 en in Bijlage 1 onderdeel F beschreven stand van zaken betekent dat u die stand van zaken kent en in uw eigen beoordeling betrekt. Zij is geen kwijting: Leegloop blijft gehouden de genoemde punten binnen een redelijke termijn op te lossen en blijft aansprakelijk voor een tekortkoming in haar eigen verplichtingen als verwerker (artikel 17.5).
8.1 U verleent Leegloop hierbij algemene voorafgaande schriftelijke toestemming om Subverwerkers in te schakelen (artikel 28 lid 2 AVG). De Subverwerkers die op de datum van deze versie worden ingeschakeld, staan in Bijlage 3. De actuele lijst staat op leegloop.app/privacy.
8.2 Leegloop legt iedere Subverwerker bij overeenkomst dezelfde verplichtingen inzake gegevensbescherming op als die welke voor Leegloop uit deze Verwerkersovereenkomst voortvloeien (artikel 28 lid 4 AVG), in het bijzonder ten aanzien van de beveiliging. Komt een Subverwerker zijn verplichtingen niet na, dan blijft Leegloop jegens u volledig aansprakelijk voor het nakomen van de verplichtingen van die Subverwerker. Dit lid regelt de toerekening; de omvang van de aansprakelijkheid volgt uit artikel 17.
8.3 Wil Leegloop een Subverwerker toevoegen of vervangen, dan meldt zij dat ten minste dertig (30) dagen vóór ingebruikname per e-mail aan het adres voor aankondigingen uit onderdeel H van Bijlage 1 en werkt zij de lijst op de website bij. De melding vermeldt de naam en de vestigingsplaats van de Subverwerker, welke taak hij uitvoert, welke gegevens hij verwerkt, in welke regio hij verwerkt en — bij verwerking buiten de EER — het doorgiftemechanisme.
8.4 U kunt binnen dertig (30) dagen na de melding schriftelijk en gemotiveerd bezwaar maken op redelijke, aan gegevensbescherming ontleende gronden. Partijen overleggen dan of het bezwaar kan worden weggenomen, bijvoorbeeld met aanvullende maatregelen of met een andere leverancier. Komen partijen er binnen dertig (30) dagen niet uit, dan mag u de Klantvoorwaarden en deze Verwerkersovereenkomst opzeggen tegen de datum waarop de wijziging ingaat, zonder opzegkosten en met terugbetaling naar rato van de vooruitbetaalde vergoeding over de resterende looptijd.
8.5 Zolang uw bezwaar loopt, zet Leegloop de nieuwe Subverwerker niet in voor uw Persoonsgegevens, tenzij de betrokken functie zonder die Subverwerker niet kan worden geleverd. Is dat laatste het geval, dan meldt Leegloop u dat onder opgave van redenen bij de aankondiging of zo spoedig mogelijk daarna, en kiest u tussen opschorting van die functie voor uw organisatie en voortzetting in afwachting van de uitkomst van het overleg. Uw opzegrecht uit 8.4 blijft in beide gevallen bestaan.
8.6 Maakt u niet binnen de in 8.4 genoemde termijn bezwaar, dan geldt de wijziging als aanvaard.
8.7 Leegloop mag zonder voorafgaande aankondiging een Subverwerker vervangen als dat noodzakelijk is om een acuut beveiligings- of continuïteitsrisico af te wenden. Zij informeert u in dat geval zo spoedig mogelijk achteraf; u behoudt het bezwaar- en opzegrecht van 8.4 en 8.5.
8.8 Voor de Subverwerkers uit Bijlage 3 gelden hun standaardverwerkersvoorwaarden, waaronder het Google Cloud Data Processing Addendum. Leegloop stelt u op verzoek een kopie of een verwijzing naar de actuele tekst daarvan ter beschikking. Leegloop houdt de aanvaarding van die verwerkersvoorwaarden per Subverwerker vast en stelt die vastlegging op uw verzoek aan u ter beschikking (artikel 14.1). Is die aanvaarding voor een Subverwerker nog niet rond, dan zet Leegloop die Subverwerker niet in voor uw Persoonsgegevens; Leegloop vermeldt in Bijlage 3 per Subverwerker de datum waarop de verwerkersvoorwaarden zijn aanvaard.
9.1 De kerngegevens blijven binnen de Europese Unie: de database, de serverfuncties, de opslag van profielfoto's en de back-ups draaien in EU-regio's van Google Cloud. Bijlage 3 vermeldt de regio per onderdeel.
9.2 Een aantal onderdelen van de Dienst is naar zijn aard wereldwijd en kent geen regiokeuze. Dat geldt voor authenticatie, de bezorging van pushmeldingen, de attestatie van apps, configuratie op afstand en de crash-, prestatie- en gebruiksstatistieken, en voor telefonie en sms-verificatie. Die onderdelen kunnen mede in de Verenigde Staten worden verwerkt, ook waar de contractspartij in Ierland is gevestigd. Ook de bezorging van pushmeldingen op iOS vindt buiten de EER plaats.
9.3 Doorgifte buiten de EER vindt uitsluitend plaats op basis van een geldig mechanisme uit hoofdstuk V AVG (artikelen 44 tot en met 49): een adequaatheidsbesluit, waaronder het DPF voor daaronder gecertificeerde ontvangers, dan wel de SCC's, waar nodig aangevuld met aanvullende maatregelen. Bijlage 3 vermeldt het mechanisme per ontvanger. Leegloop houdt bij of een ontvanger onder het DPF gecertificeerd blijft en meldt u het verlies van een certificering.
9.4 Vervalt een doorgiftemechanisme of wordt het ongeldig verklaard, dan meldt Leegloop u dat onverwijld en treden partijen in overleg over een alternatieve waarborg. Is een rechtmatig alternatief niet binnen een redelijke termijn beschikbaar, dan mag ieder van partijen de betreffende functionaliteit opschorten en, als het de kern van de Dienst raakt, de Klantvoorwaarden opzeggen zonder schadeplichtig te worden.
9.5 Ontvangt Leegloop van een autoriteit van buiten de Unie een verzoek of bevel tot toegang tot uw Persoonsgegevens, dan meldt zij u dat onverwijld tenzij dat rechtens verboden is, beoordeelt zij het verzoek op rechtmatigheid, stelt zij zo nodig rechtsmiddelen in en verstrekt zij niet meer dan strikt is gevorderd.
10.1 Uw werknemers oefenen hun rechten uit hoofdstuk III AVG bij u uit: u bent verwerkingsverantwoordelijke en beslist over inzage, correctie, verwijdering, beperking, bezwaar en overdraagbaarheid. Leegloop verleent u daarbij bijstand met passende technische en organisatorische maatregelen (artikel 28 lid 3 sub e AVG).
10.2 De Dienst biedt daarvoor:
10.3 Ontvangt Leegloop rechtstreeks een verzoek van een Betrokkene dat betrekking heeft op een verwerking waarvoor u verantwoordelijk bent, dan neemt Leegloop dat verzoek niet inhoudelijk in behandeling. Zij bevestigt de ontvangst, laat de Betrokkene weten bij wie hij terechtkan, en geleidt het verzoek binnen vijf (5) werkdagen door naar het adres uit onderdeel H van Bijlage 1. Hetzelfde geldt voor klachten over de uitkomst van een Sessie, over de Ranglijst of over verlof: dat zijn beslissingen binnen uw arbeidsrelatie, waarover Leegloop niet gaat.
10.4 Betreft het verzoek een verwerking waarvoor Leegloop op grond van artikel 3.2 zelfstandig verwerkingsverantwoordelijke is — bijvoorbeeld over crashrapporten, gebruiksstatistieken, beveiligingsvastleggingen of een supportbericht dat de Betrokkene zelf aan Leegloop stuurde — dan handelt Leegloop dat deel zelf af overeenkomstig haar privacyverklaring. Deze Verwerkersovereenkomst is daarop niet van toepassing. Betreft een verzoek beide, dan handelt elke partij haar eigen deel af en stemmen partijen hun antwoord op elkaar af.
10.5 Kunt u een verzoek niet met de functies van de Dienst afhandelen, dan levert Leegloop de ontbrekende gegevens op uw schriftelijk verzoek binnen tien (10) werkdagen aan, tegen de vergoeding van artikel 18. Gaat het om gegevens die alleen ontbreken doordat de uitvoer per werknemer nog onvolledig is (onderdeel F van Bijlage 1, punt 5), dan brengt Leegloop die aanvulling niet in rekening; artikel 11.5 van de Klantvoorwaarden bepaalt hetzelfde. U geeft daarbij aan om welke Betrokkene en om welke gegevens het gaat. Een verzoek dat verband houdt met een wettelijke termijn van u meldt u als zodanig; Leegloop begint in dat geval onverwijld met de uitvoering en laat de kostenafspraak van artikel 18 de levering niet vertragen. Blijkt de bijstand omvangrijker dan de indicatie, dan meldt Leegloop dat en levert zij niettemin binnen de termijn wat nodig is om u aan artikel 12 lid 3 AVG te laten voldoen.
10.6 Leegloop verwijdert of wijzigt op uw instructie Persoonsgegevens, tenzij een wettelijke verplichting zich daartegen verzet. U beoordeelt of aan een verzoek moet worden voldaan; Leegloop voert de instructie uit zonder die beoordeling over te doen.
11.1 De verdeling van leegloop komt tot stand met een deterministische, regelgebaseerde functie. Die functie sorteert werknemers op hun positie op de Ranglijst en op de door u opgegeven bezetting per functie of slot, en herordent de Ranglijst na afloop van een Sessie volgens vaste, vooraf bekende regels. Er wordt geen machinaal leren en geen statistisch model toegepast, er wordt geen profiel opgebouwd op basis van andere kenmerken dan de in Bijlage 1 genoemde gegevens, en bij gelijke invoer volgt altijd dezelfde uitkomst.
11.2 De Dienst doet een voorstel voor de verdeling binnen de regels die u stelt. Uw shiftleader start de Sessie, bepaalt de bezetting, kan werknemers als afwezig of uitgesloten markeren, kan toewijzingen wijzigen, kan een Sessie annuleren en kan een uitkomst corrigeren. De beslissing ligt bij u.
11.3 Om te voorkomen dat een uitkomst uitsluitend op geautomatiseerde verwerking berust (artikel 22 lid 1 AVG), zorgt u ervoor dat het onder 11.2 bedoelde menselijk toezicht ook feitelijk wordt uitgeoefend. U wijst binnen uw organisatie aan wie bevoegd is een uitkomst te beoordelen en te corrigeren, richt een procedure in waarmee een werknemer een menselijke herbeoordeling kan vragen, en informeert uw werknemers over die procedure en over wie zij daarvoor kunnen benaderen. Leegloop levert de functionaliteit waarmee correcties kunnen worden doorgevoerd; correcties aan een Sessie-uitkomst worden vastgelegd, met de beperking die Bijlage 1 onderdeel F punt 6 noemt.
11.4 De voorkeur "automatisch", waarbij een aanbod zonder verdere handeling wordt aanvaard, is een doorlopende opdracht van de werknemer zelf, die hij op elk moment kan intrekken. U zorgt ervoor dat uw werknemers begrijpen wat die instelling betekent. Voor een wijziging van die instelling door een shiftleader of beheerder geldt artikel 5.2. Een uitkomst die door een storing van de Dienst tot stand is gekomen, corrigeert u en gebruikt u niet ten nadele van de werknemer (artikel 5.2, doelbinding).
11.5 Stelt Leegloop vast dat een storing, een onderhoudsvenster of een fout in de Dienst de uitkomst van een lopende of afgeronde Sessie kan hebben beïnvloed, dan meldt zij u dat zonder onredelijke vertraging en in ieder geval binnen vijf (5) werkdagen, met vermelding van de betrokken Sessies voor zover zij die kan vaststellen, zodat u de uitkomsten kunt beoordelen en corrigeren. Leegloop stelt u daarnaast op verzoek en kosteloos een beschrijving in gewone taal ter beschikking van de werking van de verdeelregels, van de gevolgen van accepteren, weigeren, niet reageren en afwezigheid en van de herordening van de Ranglijst, zodat u kunt voldoen aan artikel 13 lid 2 onder f AVG en uw ondernemingsraad kunt informeren. Wijzigt Leegloop de verdeelregels wezenlijk, dan kondigt zij dat ten minste dertig (30) dagen vooraf aan en werkt zij die beschrijving bij.
11.6 Naar het oordeel van partijen is de in 11.1 beschreven functie geen AI-systeem in de zin van artikel 3 lid 1 van Verordening (EU) 2024/1689 (AI-verordening), omdat zij volledig door natuurlijke personen is opgesteld, uitsluitend uitvoert wat die regels voorschrijven en geen afleidingsvermogen bezit. Zij is daarom evenmin een AI-systeem met een hoog risico als bedoeld in bijlage III, punt 4, van die verordening (werkgelegenheid en personeelsbeheer).
11.7 Ongeacht 11.6 komen partijen, uit voorzorg en zonder erkenning van enige verplichting, overeen dat de afspraken over transparantie en menselijk toezicht uit 11.3 en 11.5 gelden alsof de AI-verordening op de verdeelfunctie van toepassing zou zijn: de werking is gedocumenteerd en aan u beschikbaar, er is altijd menselijk toezicht met een correctiemogelijkheid, en de uitkomsten worden vastgelegd zodat zij achteraf controleerbaar zijn. Gaat Leegloop machinaal leren of een andere techniek toepassen die tot een andere kwalificatie leidt, dan meldt zij dat ten minste zestig (60) dagen vooraf en komen partijen de dan noodzakelijke aanvullende afspraken overeen; komen zij die niet overeen, dan mag u opzeggen tegen de datum van ingebruikname.
12.1 Leegloop verleent u, rekening houdend met de aard van de verwerking en de haar ter beschikking staande informatie, redelijke bijstand bij het nakomen van uw verplichtingen uit de artikelen 32 tot en met 36 AVG.
12.2 Leegloop houdt daarvoor een basisdocument voor een gegevensbeschermingseffectbeoordeling beschikbaar, dat u kosteloos kunt opvragen en dat zij binnen tien (10) werkdagen levert. Dat document bevat een beschrijving van het systeem en de gegevensstromen, de werking van de verdeelregels in gewone taal, de categorieën gegevens en ontvangers, de Subverwerkers, de beveiligingsmaatregelen uit Bijlage 2, de bewaartermijnen en de restrisico's die Leegloop zelf onderkent. Die restrisico's zijn in ieder geval:
U vult dat document aan met uw eigen context: de toepasselijke cao, de medezeggenschap, het aantal betrokken werknemers, de arbeidsrechtelijke inrichting van uw leegloopregeling en de instellingen die u kiest.
12.3 Een gegevensbeschermingseffectbeoordeling is voor deze verwerking naar alle waarschijnlijkheid verplicht: het gaat om de systematische registratie van gedrag van werknemers met gevolgen voor verlof en loon, bij een categorie Betrokkenen die zich in een afhankelijke positie bevindt. Het uitvoeren en vaststellen van die beoordeling is uw verantwoordelijkheid (artikel 35 AVG), evenals een eventuele voorafgaande raadpleging van de AP (artikel 36 AVG). Leegloop is niet verplicht uw beoordeling te toetsen of goed te keuren en aanvaardt geen verantwoordelijkheid voor de inhoud of de uitkomst daarvan.
12.4 Voor bijstand die verder gaat dan het basisdocument uit 12.2, waaronder het invullen van vragenlijsten, deelname aan overleg en het beantwoorden van vragen van uw functionaris voor gegevensbescherming, geldt artikel 18.
13.1 Ontdekt Leegloop een Inbreuk die uw Persoonsgegevens raakt, dan meldt zij dat aan u zonder onredelijke vertraging (artikel 33 lid 2 AVG) en in ieder geval binnen vierentwintig (24) uur nadat zij daarvan kennis heeft gekregen. Die termijn is er zodat u de termijn van tweeënzeventig (72) uur uit artikel 33 lid 1 AVG kunt halen; de artikelen 17.3 en 17.4 van de Klantvoorwaarden noemen dezelfde termijn. De melding gaat per e-mail naar het meldadres voor Inbreuken uit onderdeel H van Bijlage 1 en bij een ernstige Inbreuk daarnaast telefonisch op het daar opgegeven nummer.
13.2 De melding bevat, voor zover die informatie op dat moment beschikbaar is:
13.3 Is nog niet alles bekend, dan meldt Leegloop wat zij weet en vult zij de melding zonder verdere onredelijke vertraging aan. Zij wacht met melden niet op een volledig beeld; een eerste melding met onvolledige informatie is geen tekortkoming.
13.4 U beoordeelt of de Inbreuk aan de AP moet worden gemeld (artikel 33 lid 1 AVG) en of de Betrokkenen moeten worden geïnformeerd (artikel 34 AVG), en doet die meldingen. Leegloop meldt niet zelf bij de AP en informeert niet zelf uw werknemers, tenzij u haar daartoe schriftelijk opdracht geeft of de wet haar daartoe verplicht. Betreft de Inbreuk uitsluitend de eigen verwerkingen van Leegloop uit artikel 3.2, dan doet Leegloop de meldingen wel zelf.
13.5 Leegloop verleent u redelijke medewerking bij het onderzoek, de melding en de communicatie, registreert Inbreuken en de daarop getroffen maatregelen, en stelt die registratie op verzoek aan u ter beschikking voor zover die u betreft (artikel 33 lid 5 AVG).
13.6 Een melding of medewerking op grond van dit artikel houdt geen erkenning in van een tekortkoming, van aansprakelijkheid of van schuld.
13.7 U noemt Leegloop niet bij naam in een persbericht of in een marketinguiting over een Inbreuk zonder voorafgaand overleg met Leegloop. Deze bepaling raakt niet aan uw wettelijke verplichtingen: de melding aan de AP, de mededeling aan Betrokkenen op grond van artikel 34 AVG, de informatie aan uw ondernemingsraad en de beantwoording van vragen van uw personeel of van een toezichthouder blijven onverkort mogelijk en behoeven geen overleg.
13.8 Vermoedt u zelf een Inbreuk of een kwetsbaarheid, meld dat dan aan security@leegloop.app. Dat adres staat ook in security.txt. Leegloop bevestigt de ontvangst.
14.1 Leegloop stelt u op schriftelijk verzoek de informatie ter beschikking die nodig is om aan te tonen dat de verplichtingen uit artikel 28 AVG worden nagekomen, en maakt audits mogelijk (artikel 28 lid 3 sub h AVG). Zij doet dat in eerste instantie met documentatie: Bijlage 2, het basisdocument uit artikel 12.2, de subverwerkerslijst, beschrijvingen van procedures, rapportages over incidenten en beschikbaarheid en, indien beschikbaar, rapportages van onafhankelijke deskundigen of certificeringen.
14.2 Toont die documentatie de naleving naar uw redelijk oordeel onvoldoende aan, dan kunt u een audit laten uitvoeren, met inachtneming van de volgende voorwaarden:
14.3 De kosten van een audit komen voor uw rekening, met inbegrip van de kosten van de auditor en van de op grond van artikel 18 in rekening gebrachte tijd van Leegloop. Blijkt uit de audit dat Leegloop in belangrijke mate tekortschiet in de nakoming van deze Verwerkersovereenkomst, dan draagt Leegloop haar eigen kosten en vergoedt zij de redelijke kosten van de auditor.
14.4 Partijen bespreken de bevindingen. Leegloop voert de aanbevelingen uit die redelijk, uitvoerbaar en noodzakelijk zijn om aan de AVG te voldoen, en informeert u binnen dertig (30) dagen na ontvangst van het rapport over de opvolging. De rapportage is vertrouwelijk en wordt uitsluitend gebruikt voor het doel van de audit.
15.1 De bewaartermijn is een beslissing van u als verwerkingsverantwoordelijke. De Dienst is standaard ingericht op de termijnen in onderdeel E van Bijlage 1. Die termijnen gelden als uw instructie zodra u ze op grond van 15.2 heeft bevestigd of aangepast.
15.2 De termijnen van drie (3) jaar voor Sessies en logboeken en van twee (2) jaar voor het auditlog zijn door Leegloop gekozen bij gebrek aan een klantinstructie. Zij berusten niet op een wettelijke bewaarplicht: die bestaat voor deze gegevens niet. De AP hanteert voor personeelsdossiers als richtsnoer maximaal twee jaar na uitdiensttreding. Vloeit uit uw leegloopregeling een effect op het loon voort, dan kan op uw eigen loonadministratie een fiscale bewaarplicht van zeven jaar rusten (artikel 52 van de Algemene wet inzake rijksbelastingen); die plicht rust op u en op uw eigen administratie, niet op Leegloop, en verlengt de termijnen in de Dienst niet. U bevestigt de termijnen uitdrukkelijk in onderdeel G van Bijlage 1 of instrueert daar een kortere termijn.
15.3 Bevestiging van de bewaartermijnen is een voorwaarde voor ingebruikname. Zolang u die bevestiging niet heeft gegeven en geen kortere termijn heeft geïnstrueerd, hanteert Leegloop de standaardtermijnen uit onderdeel E van Bijlage 1 — drie (3) jaar voor Sessies en logboeken en twee (2) jaar voor het auditlog — en gelden die als uw instructie. Leegloop wijst u bij ingebruikname en daarna ten minste eenmaal per jaar schriftelijk op het uitblijven van uw bevestiging. Leegloop verwijdert geen gegevens vóór het verstrijken van die standaardtermijn zonder uw instructie: een kortere termijn vergt op dit moment de aanpassing die artikel 15.4 beschrijft.
15.4 Een kortere termijn instrueert u schriftelijk via het contactadres van artikel 22. De Dienst hanteert op dit moment één termijn voor alle klanten. Partijen spreken bij een afwijkende instructie af hoe die wordt uitgevoerd — door een periodieke verwijderingsactie van Leegloop of door een instelling per organisatie zodra die beschikbaar is — en leggen dat schriftelijk vast. Een langere termijn dan de standaardtermijn voert Leegloop alleen uit als dat technisch mogelijk is, u de noodzaak ervan onderbouwt en partijen daarover schriftelijk overeenstemming bereiken.
15.5 Vóór het verstrijken van een bewaartermijn kunt u een export van de betreffende gegevens opvragen. Leegloop levert die binnen tien (10) werkdagen in een gangbaar, machineleesbaar formaat.
15.6 Het verstrijken van een bewaartermijn leidt tot verwijdering uit de actieve omgeving. Voor de verwijdering uit back-ups geldt artikel 16.4.
16.1 Na afloop van de dienstverlening verwijdert Leegloop, naar uw keuze, alle Persoonsgegevens of geeft zij deze aan u terug, en verwijdert zij bestaande kopieën, tenzij een Unierechtelijke of Nederlandse bepaling tot bewaring verplicht (artikel 28 lid 3 sub g AVG).
16.2 U maakt uw keuze schriftelijk kenbaar uiterlijk dertig (30) dagen na het einde van de dienstverlening. Maakt u binnen die termijn geen keuze kenbaar, dan verwijdert Leegloop de Persoonsgegevens. Kiest u voor teruggave, dan levert Leegloop de gegevens binnen dertig (30) dagen in een gangbaar, machineleesbaar formaat; voor een teruggave die verder gaat dan de standaardexport van de Dienst geldt artikel 18.
16.3 Leegloop voert de verwijdering uit binnen dertig (30) dagen nadat uw keuze vaststaat of de termijn van 16.2 is verstreken, en in ieder geval binnen zestig (60) dagen na het einde van de dienstverlening (artikel 26.3 van de Klantvoorwaarden). Op uw schriftelijk verzoek wist Leegloop eerder, ook zonder teruggave.
16.4 Op verwijdering bestaan twee uitzonderingen, die Leegloop hier uitdrukkelijk benoemt omdat "direct en volledig gewist" in werkelijkheid niet bestaat:
16.5 Leegloop mag gegevens in gepseudonimiseerde of geaggregeerde vorm bewaren voor zover die niet tot een Betrokkene herleidbaar zijn. Op uw verzoek bevestigt zij de verwijdering schriftelijk.
16.6 Eindigt de overeenkomst tussen u en Leegloop, dan worden de accounts van uw medewerkers gesloten. U informeert uw medewerkers daarover; Leegloop kan dat op uw instructie namens u doen.
16.7 U bent er zelf verantwoordelijk voor dat u vóór het einde van de dienstverlening de gegevens veiligstelt die u nodig heeft voor uw eigen administratie of voor een op u rustende bewaarplicht.
17.1 Op de aansprakelijkheid van Leegloop uit hoofde van of in verband met deze Verwerkersovereenkomst is de aansprakelijkheidsregeling uit de Klantvoorwaarden van toepassing, met inbegrip van de daarin opgenomen uitsluitingen, beperkingen en maximumbedragen. De aansprakelijkheid uit deze Verwerkersovereenkomst en die uit de Klantvoorwaarden vormen samen één maximum: zij worden niet gecumuleerd.
17.2 Wordt de Dienst zonder Bestelformulier en zonder vergoeding geleverd, dan geldt het maximum dat artikel 22.4, tweede volzin, van de Klantvoorwaarden voor dat geval noemt, met inbegrip van de daar opgenomen regeling voor een hogere uitkering door de aansprakelijkheidsverzekeraar. Samenhangende gebeurtenissen gelden als één gebeurtenis.
17.3 Leegloop is niet aansprakelijk voor schade die voortvloeit uit:
Dit lid laat onverlet dat Leegloop aansprakelijk blijft voor schade die het gevolg is van een tekortkoming in haar eigen verplichtingen uit deze Verwerkersovereenkomst of uit de AVG.
17.4 Een bestuurlijke boete die de AP aan een partij oplegt, draagt die partij zelf; artikel 5.3 strekt zich niet uit tot zulke boetes. Heeft een partij aan een Betrokkene schadevergoeding betaald die geheel of gedeeltelijk is toe te rekenen aan de andere partij, dan heeft zij op grond van artikel 82 lid 5 AVG regres voor het aan die andere partij toe te rekenen deel; op het regres tegen Leegloop zijn 17.1 en 17.2 van toepassing. Partijen informeren elkaar onverwijld over een aanspraak, een klacht of een onderzoek dat de verwerking onder deze Verwerkersovereenkomst raakt, en werken redelijk samen bij het verweer.
17.5 De beperkingen en uitsluitingen in dit artikel gelden niet bij opzet of bewuste roekeloosheid van Leegloop of van haar met de leiding belaste medewerkers, en niet voor zover dwingend recht zich daartegen verzet. Partijen zijn zich er in het bijzonder van bewust dat:
18.1 Leegloop verricht kosteloos: de meldingen op grond van de artikelen 11.5 en 13, het doorgeleiden van verzoeken op grond van artikel 10.3, het beschikbaar stellen van de documentatie uit artikel 14.1, het basisdocument uit artikel 12.2 en de export uit artikel 15.5.
18.2 Voor overige bijstand op grond van de artikelen 10, 12, 14 en 16 brengt Leegloop haar tijd in rekening tegen [INVULLEN: uurtarief, bijvoorbeeld € 125 per uur, exclusief btw], vermeerderd met de werkelijk gemaakte kosten van derden. Leegloop geeft vooraf een indicatie van de te verwachten kosten en voert werkzaamheden waarvan die indicatie [INVULLEN: bedrag, bijvoorbeeld € 500] overschrijdt pas uit na uw schriftelijke opdracht.
18.3 Leegloop brengt geen kosten in rekening voor bijstand die noodzakelijk is als gevolg van een tekortkoming van Leegloop zelf.
19.1 Bij strijdigheid geldt de volgende rangorde: (1) dwingend recht, waaronder de AVG; (2) het Bestelformulier; (3) deze Verwerkersovereenkomst met haar Bijlagen; (4) de Klantvoorwaarden; (5) de Documentatie. Voor alles wat de verwerking van persoonsgegevens betreft gaat deze Verwerkersovereenkomst echter voor op het Bestelformulier, de Klantvoorwaarden en de Documentatie. Voor onderwerpen die de AVG niet regelt, waaronder de aansprakelijkheid tussen partijen, gaan de Klantvoorwaarden voor. Bij strijdigheid tussen de hoofdtekst en een Bijlage gaat de hoofdtekst voor, behalve waar de Bijlage een concretere beschrijving van de feitelijke verwerking geeft.
19.2 Leegloop wijzigt deze Verwerkersovereenkomst niet eenzijdig. Is een wijziging noodzakelijk op grond van wet- of regelgeving, rechtspraak, een besluit of richtsnoer van een toezichthouder, een wijziging bij een Subverwerker of een wijziging in de Dienst, dan legt Leegloop u ten minste dertig (30) dagen vóór de beoogde ingangsdatum een aangepaste tekst voor met een korte uitleg van wat er verandert en waarom, per e-mail aan het adres voor aankondigingen uit onderdeel H van Bijlage 1 en op de website. Stemt u niet binnen dertig (30) dagen in en is voortzetting op de bestaande tekst redelijkerwijs niet mogelijk, dan mag ieder van partijen de Klantvoorwaarden en deze Verwerkersovereenkomst opzeggen tegen de ingangsdatum van de wijziging, met terugbetaling naar rato. Wijzigingen die rechtstreeks voortvloeien uit dwingend recht of uit een besluit van een toezichthouder gaan in op de datum waarop dat recht van toepassing wordt. De gewijzigde versie krijgt een nieuw versienummer; eerdere versies blijven op de website opvraagbaar, zodat u later kunt vaststellen welke versie op welk moment gold.
19.3 Uw instemming met een voorgelegde wijziging kunt u binnen de termijn van 19.2 schriftelijk en gemotiveerd onthouden. Partijen overleggen dan of het bezwaar kan worden weggenomen. Komen zij er niet uit, dan geldt het opzegrecht van 19.2, op de wijze van artikel 8.4. Een wijziging die rechtstreeks voortvloeit uit dwingend recht of uit een besluit van een toezichthouder geeft geen opzegrecht.
19.4 Afwijkingen van deze Verwerkersovereenkomst gelden alleen als partijen die schriftelijk zijn overeengekomen. Algemene voorwaarden of inkoopvoorwaarden van u zijn niet van toepassing en worden hierbij uitdrukkelijk van de hand gewezen.
19.5 Geen van beide partijen mag haar rechten of verplichtingen uit deze Verwerkersovereenkomst overdragen zonder schriftelijke toestemming van de andere partij. Leegloop mag haar rechten en verplichtingen wel overdragen in het kader van een fusie, splitsing of overdracht van de onderneming of van het bedrijfsonderdeel waartoe de Dienst behoort; zij informeert u daarover vooraf, waarna u bij een redelijk, aan gegevensbescherming ontleend bezwaar mag opzeggen op de wijze van 19.3.
19.6 Is een bepaling van deze Verwerkersovereenkomst nietig of wordt zij vernietigd, dan blijven de overige bepalingen van kracht en vervangen partijen de betreffende bepaling door een geldige bepaling die de strekking ervan zo dicht mogelijk benadert.
20.1 Deze Verwerkersovereenkomst gaat in op het moment waarop de Klantvoorwaarden tot stand komen en eindigt op het moment waarop de Klantvoorwaarden eindigen, met dien verstande dat zij blijft gelden zolang Leegloop nog Persoonsgegevens van u onder zich heeft, ook in back-ups.
20.2 Zij kan niet zelfstandig worden opgezegd, behalve in de gevallen die de artikelen 8.4, 9.4, 11.7 en 19.3 noemen; in die gevallen eindigt zij samen met de Klantvoorwaarden.
20.3 Zolang Leegloop nog Persoonsgegevens van u onder zich heeft, waaronder in back-ups, blijft deze Verwerkersovereenkomst onverkort van toepassing op die gegevens (artikel 20.1), met inbegrip van de artikelen 6 (geheimhouding), 7 (beveiliging), 9 (doorgifte) en 13 (Inbreuken). Ook nadat Leegloop geen Persoonsgegevens meer onder zich heeft, blijven van kracht: de artikelen 6, 13.5 tot en met 13.8, 16 (teruggave en verwijdering), 17 (aansprakelijkheid), 18 (kosten), 21 (toepasselijk recht en geschillen) en 22 (contact), evenals de bepalingen die naar hun aard bestemd zijn om voort te duren.
21.1 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing.
21.2 Geschillen die voortvloeien uit of samenhangen met deze Verwerkersovereenkomst worden voorgelegd aan de rechtbank Rotterdam, onverminderd het recht van ieder van partijen om een voorlopige voorziening te vragen bij een andere bevoegde rechter.
21.3 Deze forumkeuze geldt uitsluitend tussen Leegloop en u als organisatie. Zij bindt uw werknemers niet, beperkt niet het recht van een Betrokkene om zich op grond van artikel 79 AVG tot de rechter van zijn keuze te wenden en evenmin het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens.
22.1 Voor alles wat deze Verwerkersovereenkomst betreft — instructies, meldingen, verzoeken van Betrokkenen, ondersteuning bij een effectbeoordeling, bezwaar tegen een Subverwerker of tegen een wijziging — bereikt u Leegloop op:
[RECHTSPERSOON], [VESTIGINGSADRES]
KvK-nummer [KVK-NUMMER] · btw-identificatienummer [BTW-NUMMER]
Algemeen, instructies en verzoeken van Betrokkenen: info@leegloop.app
Beveiligingsmeldingen en vermoedens van een Inbreuk: security@leegloop.app
22.2 Leegloop kent geen telefonische ondersteuning. Het telefoonnummer dat de Dienst gebruikt voor spraakoproepen aan werknemers is uitsluitend uitgaand; u kunt Leegloop daarop niet bereiken. Meldingen die snel moeten, gaan per e-mail naar de bovenstaande adressen; die worden op werkdagen gelezen. Leegloop bevestigt de ontvangst van een melding van een Inbreuk.
22.3 U geeft in onderdeel H van Bijlage 1, op het Bestelformulier of per e-mail op welke adressen Leegloop moet gebruiken voor meldingen op grond van deze Verwerkersovereenkomst. U houdt die gegevens actueel: het zijn de enige adressen waarop Leegloop u binnen de termijn van artikel 13.1 kan bereiken. Onderdeel H is daarvoor het enige register: geeft u dezelfde contactpunten ook elders op, bijvoorbeeld in een bijlage bij de Klantvoorwaarden, en wijken die van elkaar af, dan gaat onderdeel H voor.
Onderwerp. De verwerking van persoonsgegevens van werknemers, shiftleaders en beheerders van uw organisatie ten behoeve van het verdelen van leegloop binnen uw organisatie.
Aard van de verwerking. Verzamelen, vastleggen, ordenen, opslaan, raadplegen, gebruiken, wijzigen, doorzenden aan de door u aangewezen ontvangers, beperken, wissen en vernietigen, door middel van een mobiele app, een webportaal voor shiftleaders, een beheerderspaneel en de bijbehorende serverdiensten.
Doel. Het aanmaken en beheren van gebruikersprofielen; het bijhouden van een Ranglijst per ploeg; het aanmaken, uitzetten en afhandelen van Sessies, waaronder het doen van aanbiedingen, het registreren van reacties en het toewijzen van slots; het versturen van meldingen over Sessies en uitkomsten; het opleveren van een sessie-overzicht aan u; en het vastleggen van beheer- en beveiligingshandelingen. Leegloop verwerkt de gegevens niet voor andere doeleinden.
Duur. De duur van de Klantvoorwaarden, met inachtneming van de bewaartermijnen onder E en van artikel 16.
De Dienst is bestemd voor werkenden van zestien jaar en ouder. Bijzondere categorieën van persoonsgegevens (artikel 9 AVG) en strafrechtelijke gegevens (artikel 10 AVG) maken geen deel uit van de verwerking; zie onderdeel D en artikel 5.2.
De kolom "Wie kan het lezen" beschrijft de feitelijke leesrechten in de Dienst, inclusief rechtstreekse toegang via de gegevensinterface en niet alleen wat de schermen tonen. "Ploeggenoten" betekent: ingelogde Gebruikers die aan dezelfde ploeg zijn toegewezen. Medewerkers van Leegloop hebben toegang op grond van noodzaak (artikel 6.3); dat is hieronder niet telkens herhaald.
| Gegeven | Bron | Wie kan het lezen |
|---|---|---|
| Naam, functie, ploeg (shift), rol | Ingevoerd door een beheerder of shiftleader van u | Ploeggenoten, shiftleaders, beheerders |
| E-mailadres | U; door de werknemer te wijzigen bij aanmelding met e-mail en wachtwoord | Ploeggenoten, shiftleaders, beheerders. Het adres staat zowel op het hoofdprofiel als in het afgeschermde profiel; zie onderdeel F |
| Gebruikers-ID | Automatisch gegenereerd | Ploeggenoten, shiftleaders en beheerders: het ID is de naam van het profieldocument en komt mee bij elke uitlezing daarvan en van de ranglijst-, sessie- en logboekgegevens. Het ID zegt op zichzelf niets over de persoon, maar maakt gegevens over verschillende onderdelen van de Dienst aan elkaar koppelbaar |
| Inloggegevens: e-mailadres met wachtwoordhash, dan wel Apple- of Google-identifier; instelling van tweestapsverificatie (TOTP) | Gebruiker | Niemand kan het wachtwoord lezen: de authenticatiedienst bewaart uitsluitend een hash. De TOTP-sleutel staat alleen in de authenticator-app van de Gebruiker; de Dienst ziet alleen dát tweestapsverificatie is ingesteld |
| Telefoonnummer met verificatiestatus en verificatiemoment (eigen verwerking van Leegloop, artikel 3.2) | Werknemer, vrijwillig | Het nummer zelf: de werknemer en beheerders (afgeschermd profiel). Dát er een geverifieerd nummer is en of de werknemer gebeld wil worden: ploeggenoten, shiftleaders, beheerders |
| Profielfoto | Werknemer, vrijwillig | Alle ingelogde Gebruikers, ook buiten uw eigen ploeg. De foto wordt geladen via een downloadkoppeling met toegangstoken die op het hoofdprofiel staat; wie over die koppeling beschikt kan de foto ook zonder te zijn ingelogd opvragen. Zie onderdeel F |
| Leegloop-voorkeur (handmatig, automatisch, overslaan) | Werknemer; kan door shiftleader en beheerder worden gewijzigd | Ploeggenoten, shiftleaders, beheerders |
| Instelling voor verlofafschrijving (bijvoorbeeld verlofbank, urenbank, tijd voor tijd) | Werknemer of u; kan door shiftleader en beheerder worden gewijzigd | Ploeggenoten, shiftleaders, beheerders |
| Meldingsinstellingen, waaronder de telefonische melding en de melding bij afwezigheid | Werknemer | Ploeggenoten, shiftleaders, beheerders |
| Mentor- en traineevelden, slottypen en inzetbaarheid | Shiftleader of beheerder | Ploeggenoten, shiftleaders, beheerders |
| Blokkeerstatus en blokkeerperiode | Beheerder | Ploeggenoten, shiftleaders, beheerders |
| Reden van een blokkering (vrij tekstveld) | Beheerder | De reden wordt zowel in het afgeschermde profiel als op het hoofdprofiel vastgelegd en is daardoor technisch leesbaar voor ploeggenoten, shiftleaders en beheerders. Voer hier geen bijzondere of strafrechtelijke gegevens in (artikel 5.2); zie onderdeel F |
| Positie op de Ranglijst per ploeg | Berekend door de Dienst | Ploeggenoten, shiftleaders, beheerders |
| Sessiegegevens: aanbod, reactie (geaccepteerd, geweigerd, niet gereageerd, overgeslagen, afwezig), tijdstippen, toegewezen slot, momentopname van voorkeur en verlofafschrijving bij aanvang | App en verdeelfunctie | Ploeggenoten, shiftleaders, beheerders |
| Logboek van afgeronde Sessies: namen, functies, uitkomsten, wie de Sessie verstuurde of annuleerde | Dienst | Ploeggenoten, shiftleaders, beheerders |
| Sessie-overzicht per e-mail met werkblad: namen, functies, uitkomst per werknemer (werken, verlof, afwezig), tijdstippen en verlofafschrijving | Dienst | De shiftleader die de Sessie heeft aangemaakt (het e-mailadres van zijn account) en het door u opgegeven rapportadres (onderdeel G); zie onderdeel F over dat adres |
| Auditlog van beheer- en beveiligingshandelingen: wie, wat, wanneer; bij aanmelden tevens toestelmodel, versie van het besturingssysteem en app-versie. Geen IP-adres, met één uitzondering: wordt een snelheidsbegrenzing geraakt en een poging geweigerd, dan komt de gezouten hash van het IP-adres met die vastlegging in het auditlog en blijft daar staan gedurende de bewaartermijn van het auditlog | Dienst | Uitsluitend beheerders; zie artikel 3.4 |
| Verwerkte acties (reageren, verlopen van een timer, telefoonverificatie). Bij telefoonverificatie bevat de actie tijdelijk het telefoonnummer en de ingevoerde code | Gebruiker en Dienst | De betrokken Gebruiker |
| Pushtoken van het toestel | Toestel van de Gebruiker | De Gebruiker zelf en beheerders (afgeschermd deel van het profiel). Voor overige Gebruikers, waaronder ploeggenoten en shiftleaders, niet leesbaar |
| Koppelcode voor het activeren van een account | Dienst, op uw verzoek | De betrokken persoon en beheerders (afgeschermd profiel). Dát een uitnodiging openstaat en tot wanneer die geldig is, is leesbaar voor ploeggenoten, shiftleaders en beheerders |
| Afwijzing van een uitnodiging, met een eventuele afwijsboodschap (vrij tekstveld) | De uitgenodigde persoon | Vastgelegd in het afgeschermde profiel en op het hoofdprofiel, en daardoor leesbaar voor ploeggenoten, shiftleaders en beheerders. Artikel 5.2 geldt ook voor dit veld |
| Vastlegging van de aanvaarde versie van de gebruiksvoorwaarden en van de kennisneming van het privacybeleid, met versie en tijdstip | Dienst | Ploeggenoten, shiftleaders en beheerders: de vastlegging staat op het hoofdprofiel en is daardoor shift-breed leesbaar (zie onderdeel F). De stempels worden daarnaast in het afgeschermde deel van het profiel bewaard |
| Aanduiding of een account is verwijderd en wanneer | Dienst | Ploeggenoten, shiftleaders, beheerders |
| Inzetbaarheidslog: wijzigingen in slots of functie, met de naam van de werknemer en van degene die de wijziging doorvoerde | Shiftleader of beheerder | Ploeggenoten, shiftleaders en beheerders. De beveiligingsregels geven iedere ingelogde Gebruiker met dezelfde ploeg leestoegang tot dit logboek; de schermen tonen het alleen aan shiftleaders en beheerders. Zie onderdeel F |
| Verzoeken van shiftleaders om een werknemer toe te voegen (naam, functie, ploeg, aanvrager) | Shiftleader | Shiftleaders en beheerders |
| Foutwachtrijen voor niet-bezorgde e-mail, push en sms. Bij e-mail wordt de volledige berichttekst bewaard: dat kan een uitnodiging met naam, e-mailadres en koppelcode zijn, of een sessie-overzicht met namen en uitkomsten, ook van een andere ploeg. Bij sms wordt uitsluitend een gehasht telefoonnummer bewaard | Dienst | Uitsluitend beheerders |
| Gegevens | Bewaartermijn |
|---|---|
| Profiel, voorkeuren, profielfoto, pushtoken, en het telefoonnummer (dat laatste een eigen verwerking van Leegloop, artikel 3.2) | Zolang het account bestaat |
| Verwijderd account | Direct onzichtbaar en uitgeschreven; inloggegevens, telefoonnummer, profielfoto, pushtoken, ranglijstpositie en gekoppelde Apple-autorisatie worden direct verwijderd; het profiel wordt na 90 dagen definitief verwijderd |
| Sessies en logboek van afgeronde Sessies | 3 jaar, of de termijn die u op grond van artikel 15 opgeeft; bij het ontbreken van een bevestiging geldt artikel 15.3 |
| Auditlog | 2 jaar, of de termijn die u op grond van artikel 15 opgeeft; bij het ontbreken van een bevestiging geldt artikel 15.3 |
| Verwerkte acties, waaronder bij telefoonverificatie tijdelijk het telefoonnummer en de ingevoerde code | 90 dagen |
| Inzetbaarheidslog | 3 jaar, gelijk aan Sessies en logboeken. De geautomatiseerde opschoning wordt uiterlijk 1 november 2026 gebouwd; tot dat moment verwijdert geen enkel proces deze gegevens automatisch en wist Leegloop ze op uw instructie of op grond van artikel 16. Zie onderdeel F |
| Verzoeken van shiftleaders om een werknemer toe te voegen | 12 maanden na afhandeling. Opschoning uiterlijk 1 november 2026; tot dat moment als hierboven. Zie onderdeel F en artikel 16 |
| Gegevens van uitgenodigde personen die nooit koppelen (naam, e-mailadres, functie, ploeg, koppelcode, eventuele afwijsboodschap) | 90 dagen na het verlopen van de koppelcode. Opschoning uiterlijk 1 november 2026; tot dat moment verwijdert u ze zelf via het beheerderspaneel, en anders wist Leegloop ze op uw instructie of op grond van artikel 16 |
| Foutwachtrijen voor e-mail, push en sms | 30 dagen |
| Sms-verificatiecode | 10 minuten, bij de subverwerker voor telefonie |
| Snelheidsbegrenzing, waaronder een gezouten hash van een IP-adres (eigen verwerking van Leegloop, artikel 3.2) | Maximaal 48 uur |
| Technische serverlogs zonder telefoonnummers (eigen verwerking van Leegloop, artikel 3.2) | 90 dagen |
| Crashrapporten (eigen verwerking van Leegloop, artikel 3.2) | 90 dagen, standaardinstelling van de subverwerker |
| Gebruiksstatistieken (eigen verwerking van Leegloop, artikel 3.2) | Maximaal 14 maanden, standaardinstelling van de subverwerker |
| Back-ups: dagelijks (7 dagen), wekelijks (28 dagen), herstelpunten (7 dagen) | Maximaal 28 dagen na verwijdering uit de actieve omgeving |
De rijen die als eigen verwerking van Leegloop zijn aangemerkt, en de laatste vier rijen van deze tabel, zijn hier opgenomen omwille van de volledigheid van het beeld; zij betreffen verwerkingen waarvoor Leegloop op grond van artikel 3.2 zelfstandig verwerkingsverantwoordelijke is en waarvan u de termijn dus niet bepaalt. Dezelfde termijnen staan in hoofdstuk 11 van de Privacyverklaring en, voor zover zij u aangaan, in artikel 18.3 van de Klantvoorwaarden.
Leegloop meldt hier wat zij zelf als tekortkoming ziet, zodat u het kunt betrekken in uw effectbeoordeling en in de informatie aan uw werknemers. Zolang deze punten niet zijn opgelost, is dit de feitelijke situatie.
| Onderwerp | Door u op te geven |
|---|---|
| Ontvanger(s) van het sessie-overzicht naast de shiftleader | [INVULLEN: e-mailadres(sen) binnen het domein van uw organisatie] |
| Bewaartermijn Sessies en logboek (artikel 15.2) | [INVULLEN: 3 jaar bevestigen of een kortere termijn opgeven] |
| Bewaartermijn auditlog (artikel 15.2) | [INVULLEN: 2 jaar bevestigen of een kortere termijn opgeven] |
| Onderwerp | Gegevens |
|---|---|
| Contactpersoon voor deze Verwerkersovereenkomst | [INVULLEN: naam, functie, e-mailadres] |
| Meldadres voor Inbreuken (artikel 13.1), 24 uur per dag bereikbaar | [INVULLEN: e-mailadres én telefoonnummer] |
| Adres voor het doorgeleiden van verzoeken van Betrokkenen (artikel 10.3) | [INVULLEN: e-mailadres] |
| Adres voor aankondigingen over subverwerkers en wijzigingen (artikelen 8.3 en 19.2) | [INVULLEN: e-mailadres] |
| Functionaris voor gegevensbescherming, indien aangesteld | [INVULLEN: naam en contactgegevens, of "niet aangesteld"] |
Vult u een veld niet in, dan gebruikt Leegloop het adres van de contactpersoon voor deze Verwerkersovereenkomst.
Deze bijlage beschrijft de maatregelen die op 7 september 2026 daadwerkelijk zijn getroffen. Wat nog niet volledig werkt, is als zodanig aangeduid.
| Maatregel | Toelichting |
|---|---|
| Versleuteling in transport | Al het verkeer tussen apps, webportalen, beheerderspaneel en serverdiensten verloopt via TLS |
| Versleuteling in rust | Gegevens- en bestandsopslag zijn versleuteld door de infrastructuurleverancier |
| Wachtwoorden | Wachtwoorden worden niet opgeslagen; de authenticatiedienst bewaart uitsluitend een hash |
| Toegangsbeheer per rol en, voor werknemers, per ploeg | Beveiligingsregels op de database beperken lezen en schrijven tot de rol van de Gebruiker; voor werknemers bovendien tot hun eigen ploeg, zodat een werknemer geen profiel-, sessie-, ranglijst- of logboekgegevens van een andere ploeg kan benaderen. Shiftleaders en beheerders zijn níet tot hun eigen ploeg beperkt (Bijlage 1, onderdeel F, punt 7). Tweede uitzondering: profielfoto's zijn voor alle ingelogde Gebruikers leesbaar en worden via een downloadkoppeling met token geleverd (Bijlage 1, onderdelen C en F) |
| Server-side validatie | Alle mutaties met gevolgen voor Sessies, Ranglijst en profielen lopen via serverfuncties die de invoer en de bevoegdheid controleren; de app kan die controle niet omzeilen |
| Tweestapsverificatie | Verplicht voor shiftleaders en beheerders (TOTP), afgedwongen in de beveiligingsregels en niet alleen in de gebruikersinterface; werknemers hebben geen tweestapsverificatie |
| Waarschuwing bij een nieuw apparaat | Shiftleaders en beheerders ontvangen een e-mail bij aanmelding vanaf een onbekend apparaat |
| E-mailverificatie | Het e-mailadres van een Gebruiker wordt geverifieerd |
| Attestatie van apps (App Check) | In uitrol. App Attest, Play Integrity en reCAPTCHA zijn ingericht en draaien in monitoringstand; afdwinging is nog niet ingeschakeld, zodat verzoeken van onbekende clients nog niet worden geweigerd. Leegloop meldt de inschakeling volgens artikel 7.3 |
| Snelheidsbegrenzing | Begrenzing per gebruiker of per gezouten hash van een IP-adres op koppelcodes, aanmeldpogingen en sms-verzending (ten hoogste vijf sms-pogingen per vijftien minuten; een verificatiecode is tien minuten geldig); registraties worden binnen 48 uur verwijderd |
| Onveranderbaar auditlog | Beheer- en beveiligingshandelingen worden vastgelegd; geen Gebruiker en geen beheerder kan een vastlegging wijzigen of verwijderen. Verwijdering gebeurt uitsluitend automatisch bij het verstrijken van de bewaartermijn uit onderdeel E van Bijlage 1 |
| Keuze voor statistieken | De Gebruiker zet gebruiks-, prestatie- en crashgegevens zelf aan of uit in het menu; de schakelaar staat standaard uit en de keuze geldt per toestel (Bijlage 1, onderdeel F, punt 4) |
| Blokkeren en verwijderen | Geblokkeerde en verwijderde accounts verliezen onmiddellijk hun schrijfrechten en hun authenticatie wordt uitgeschakeld |
| Geheimenbeheer | Sleutels en wachtwoorden van koppelingen staan in een beheerde kluis (Secret Manager), niet in de broncode; de broncode wordt vóór iedere vastlegging automatisch op geheimen gescand |
| Bescherming op het toestel | Schermopname geblokkeerd op gevoelige schermen (Android); optionele vergrendeling van de app met gezichts- of vingerafdrukherkenning, uitsluitend op het toestel |
| Pseudonimisering | IP-adressen worden uitsluitend als gezouten hash opgeslagen; telefoonnummers in de sms-foutwachtrij worden gehasht; technische serverlogs bevatten geen telefoonnummers; crashrapporten worden aan een gepseudonimiseerde identificator gekoppeld |
| Scheiding van omgevingen | Ontwikkel- en productieomgeving zijn gescheiden, met gescheiden gegevens |
| Back-up en herstel | Dagelijkse back-ups (7 dagen bewaard), wekelijkse back-ups (28 dagen) en herstel naar een tijdstip binnen de afgelopen 7 dagen, alle in de EU; de onderliggende infrastructuur is redundant uitgevoerd |
| Continuïteit en noodstop | Onderhoudsmodus en verplichte update via configuratie op afstand, met een ondergrens voor de app-versie, waarmee een onveilige versie kan worden uitgezet |
| Bewaking | Beschikbaarheidscontroles en waarschuwingen bij afwijkend verbruik of afwijkende kosten |
| Incidentbeheer | Vastgelegd draaiboek voor beveiligingsincidenten, met een meldproces dat is afgestemd op de termijn van 72 uur uit artikel 33 AVG |
| Toegang van personeel | Toegang tot productiegegevens is beperkt tot de personen voor wie dat noodzakelijk is en wordt vastgelegd; zij zijn tot geheimhouding gehouden (artikel 6) |
| Meldpunt voor kwetsbaarheden | security@leegloop.app, ook gepubliceerd in security.txt |
Stand per 7 september 2026. De actuele lijst staat op leegloop.app/privacy. Wijzigingen worden aangekondigd volgens artikel 8.
Deze partijen verwerken Persoonsgegevens namens Leegloop en zijn gebonden aan de verplichtingen uit artikel 8.2. De laatste kolom vermeldt wanneer Leegloop de verwerkersvoorwaarden van die leverancier heeft aanvaard. Zolang die datum niet is ingevuld, zet Leegloop de betreffende leverancier op grond van artikel 8.8 niet in voor Persoonsgegevens van een klant die de Dienst in gebruik heeft genomen.
| Subverwerker | Onderdeel van de Dienst | Verwerkingsregio | Doorgifte | Verwerkersvoorwaarden aanvaard op |
|---|---|---|---|---|
| Google Ireland Limited (Dublin, Ierland), met Google LLC (Verenigde Staten) als onderaannemer | Cloud Firestore: profielen, Ranglijst, Sessies, logboeken en auditlog, met inbegrip van de dagelijkse en wekelijkse back-ups | Europese Unie: europe-west1 (België). De database, de back-ups en het herstelpunt binnen zeven dagen staan alle in die regio; de gegevens verlaten de EER daarmee niet |
Geen structurele doorgifte; incidentele ondersteuning vanuit de Verenigde Staten onder het DPF en de SCC's uit het Google Cloud Data Processing Addendum | [INVULLEN: datum van aanvaarding Google Cloud Data Processing Addendum] |
| Google Ireland Limited | Cloud Functions (serverfuncties) en Cloud Storage (profielfoto's) | europe-west1 (België) |
Als hierboven | Als hierboven |
| Google Ireland Limited | Firebase Hosting: de websites, het shiftleader-webportaal en het beheerderspaneel | Wereldwijd contentnetwerk | DPF; SCC's als terugval, via het Google Cloud Data Processing Addendum | Als hierboven |
| Google Ireland Limited, met Google LLC als onderaannemer | Firebase Authentication: inlogaccounts, wachtwoordhash en tweestapsverificatie | Wereldwijd; voor deze dienst is geen regiokeuze beschikbaar | DPF, aangevuld met de SCC's uit het Google Cloud Data Processing Addendum | Als hierboven |
| Google Ireland Limited, met Google LLC als onderaannemer | Cloud Messaging (bezorging van pushmeldingen), App Check en Remote Config | Wereldwijd | DPF en SCC's | Als hierboven |
| Google Ireland Limited, met Google LLC als onderaannemer | Crashlytics, Performance Monitoring en Analytics: crash-, prestatie- en gebruiksstatistieken | Wereldwijd | DPF en SCC's. Deze diensten worden ingezet voor de eigen verwerkingen van Leegloop uit artikel 3.2; de resultaten worden niet aan u ter beschikking gesteld | Als hierboven |
| Google Ireland Limited (Google Workspace) | Verzending van alle uitgaande e-mail: uitnodigingen, beveiligingsberichten en sessie-overzichten met werkblad | Europese Unie, met mogelijke ondersteuning vanuit de Verenigde Staten | DPF; SCC's als terugval, via het Google Workspace Data Processing Amendment | [INVULLEN: datum van aanvaarding Google Workspace Data Processing Amendment] |
| Twilio Ireland Limited (Dublin, Ierland), met Twilio Inc. (Verenigde Staten) als onderaannemer | Sms-verificatie van het telefoonnummer en de informatieve spraakoproep bij aanvang van een Sessie | Ierland is de contractspartij; de feitelijke verwerking van nummers, verificatiecodes en gespreksgegevens vindt mede in de Verenigde Staten plaats zolang de dienst niet op een EU-regio is vastgezet | DPF en de SCC's uit het Twilio Data Protection Addendum | [INVULLEN: datum van aanvaarding Twilio Data Protection Addendum] |
Deze partijen zijn geen Subverwerker: zij treden op onder hun eigen voorwaarden en als zelfstandige verwerkingsverantwoordelijke, zodat Leegloop hun geen verwerkersverplichtingen kan opleggen. Zij staan hier vermeld omdat zij gegevens ontvangen en u dat moet kunnen zien.
| Ontvanger | Onderdeel van de Dienst | Verwerkingsregio | Doorgifte |
|---|---|---|---|
| Apple Inc. (Verenigde Staten) / Apple Distribution International Ltd. (Cork, Ierland) | Bezorging van pushmeldingen op iOS (APNs) en, als de Gebruiker daarvoor kiest, aanmelding met Apple | Wereldwijd, mede Verenigde Staten | DPF. U aanvaardt dat de bezorging van pushmeldingen op iOS zonder Apple niet mogelijk is |
| Google Ireland Limited / Google LLC | Uitsluitend als een Gebruiker kiest voor aanmelden met Google: Google verwerkt die aanmelding onder haar eigen voorwaarden en als zelfstandig verwerkingsverantwoordelijke voor het Google-account van de Gebruiker | Wereldwijd, mede Verenigde Staten | DPF; Google verwerkt hierbij onder haar eigen voorwaarden en niet als Subverwerker van Leegloop |
Toelichting. Op de datum van deze versie worden geen andere subverwerkers ingezet. Er is geen foutrapportagedienst van een derde in gebruik. Het verkeer naar de app, het shiftleader-webportaal, het beheerderspaneel en de serverfuncties loopt rechtstreeks naar de infrastructuurleverancier en niet via een proxy- of beveiligingsdienst van een derde; Cloudflare beheert uitsluitend de naamgeving van het domein (DNS) en ontvangt daarbij geen Persoonsgegevens van uw Gebruikers, zodat zij geen Subverwerker is. Wordt op enig moment voor het beheerderspaneel of voor een ander onderdeel wél zo'n dienst ingezet, waarbij IP-adressen en verzoekgegevens van uw beheerders en shiftleaders worden verwerkt, dan wordt die leverancier volgens artikel 8.3 aangekondigd en aan deze bijlage toegevoegd. Waar deze bijlage een verwerkingsregio buiten de EER noemt, geldt artikel 9.
| Versie | Datum | Wijziging |
|---|---|---|
| 2026-09-07 | 7 september 2026 | Eerste versie, opgesteld naar aanleiding van de juridische en privacy-audit van september 2026, die vaststelde dat er nog geen verwerkersovereenkomst met klanten bestond. Legt de rolverdeling vast (de Klant is verwerkingsverantwoordelijke, Leegloop is verwerker, met een afgebakende lijst eigen verwerkingen van Leegloop) en de verplichtingen uit artikel 28 lid 3 AVG, met Bijlage 1 (specificatie van de verwerking, zichtbaarheid per gegeven, bewaartermijnen en bekende beperkingen), Bijlage 2 (beveiligingsmaatregelen en wat er nog niet is) en Bijlage 3 (subverwerkers en zelfstandige ontvangers). |
Eerdere versies zijn er niet. Nieuwe versies worden aangekondigd volgens artikel 19.2 en blijven na vervanging op de website opvraagbaar, zodat u later kunt vaststellen welke versie op welk moment gold. Vragen daarover kunt u stellen via info@leegloop.app.