Privacyverklaring ADrap

1. Inleiding

ADrap is een beveiligd webportaal waarmee arbeidsdeskundigen dossiers opbouwen en arbeidsdeskundige rapportages opstellen in het kader van verzuimbegeleiding en re-integratie. Bij het gebruik van ADrap worden persoonsgegevens verwerkt, waaronder gegevens over gezondheid. Wij gaan daar zorgvuldig mee om en houden ons aan de Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet AVG.

In deze privacyverklaring leggen wij uit welke persoonsgegevens worden verwerkt, voor welke doelen, op welke grondslag, hoe lang ze worden bewaard en welke rechten u heeft. Deze verklaring geldt voor werknemers over wie een onderzoek wordt uitgevoerd, voor contactpersonen van werkgevers en zorgverleners, en voor gebruikers van het portaal.

2. Wie is verantwoordelijk

Verwerkingsverantwoordelijke. Het arbeidsdeskundig bureau dat het onderzoek uitvoert, bepaalt het doel en de middelen van de verwerking en is daarmee verwerkingsverantwoordelijke in de zin van de AVG. Voor ADrap is dat:

Samenwerkingspartners die in opdracht van Advize onderzoeken uitvoeren in ADrap, doen dat onder verantwoordelijkheid van Advize en op basis van schriftelijke afspraken.

Verwerker. ADrap wordt ontwikkeld, gehost en beheerd door:

VT AI Innovations verwerkt persoonsgegevens uitsluitend in opdracht en op instructie van Advize, op basis van een verwerkersovereenkomst als bedoeld in artikel 28 AVG.

3. Functionaris gegevensbescherming

Advize heeft een externe functionaris gegevensbescherming (FG) aangesteld. De FG houdt toezicht op de naleving van de privacyregels. U kunt de FG bereiken via Advize (zie artikel 2).

4. Welke persoonsgegevens worden verwerkt

Van werknemers over wie een onderzoek wordt uitgevoerd:

• naam, geslacht, geboortedatum en contactgegevens;
• gegevens over het dienstverband, de functie, opleiding en werkervaring;
• gegevens over het verzuim en het verloop van de re-integratie;
• gegevens over de gezondheid, voor zover nodig voor het onderzoek: de functionele mogelijkheden en beperkingen, de belastbaarheid en prognose en het advies van de bedrijfsarts;
• de inhoud van gesprekken en rapportages, en documenten die voor het onderzoek worden aangeleverd.

Het burgerservicenummer (BSN) wordt niet verwerkt.

Van contactpersonen van werkgevers en zorgverleners: naam, functie, organisatie en zakelijke contactgegevens.

Van gebruikers van het portaal: naam, aanhef, e-mailadres, telefoonnummer, rol en inloggegevens, en gegevens over het gebruik van het portaal, zoals het tijdstip en IP-adres van handelingen.

5. Herkomst van de gegevens

De gegevens worden verstrekt door de werkgever, door de werknemer zelf, door de bedrijfsarts of arbodienst (voor zover de werknemer daarvoor toestemming heeft gegeven of de wet dat toestaat) en door de arbeidsdeskundige, op basis van gesprekken en onderzoek. Gegevens van gebruikers worden verstrekt door de gebruiker en door de beheerder van het arbeidsdeskundig bureau.

6. Doelen en grondslagen

Persoonsgegevens worden verwerkt voor de volgende doelen:

• het uitvoeren van arbeidsdeskundig onderzoek en het opstellen, bewaren en verstrekken van de rapportage in het kader van verzuim en re-integratie. Grondslag: de wettelijke verplichtingen van werkgever en werknemer bij re-integratie (artikel 6 lid 1 onder c AVG). Gezondheidsgegevens worden verwerkt op grond van artikel 9 lid 2 onder b AVG in samenhang met artikel 30 Uitvoeringswet AVG, door of onder verantwoordelijkheid van een professional met een geheimhoudingsplicht;
• het verlenen van toegang tot het portaal, het beheren van accounts en het bieden van ondersteuning. Grondslag: de uitvoering van de overeenkomst met het arbeidsdeskundig bureau en het gerechtvaardigd belang van een goed werkend portaal (artikel 6 lid 1 onder b en f AVG);
• het beveiligen van het portaal en het vastleggen van wie welke gegevens heeft ingezien of gewijzigd. Grondslag: de wettelijke plicht tot passende beveiliging (artikel 32 AVG) en het gerechtvaardigd belang van het voorkomen en onderzoeken van misbruik (artikel 6 lid 1 onder f AVG).

Persoonsgegevens worden niet voor andere doelen gebruikt, niet verkocht en niet gebruikt voor marketing.

7. Inzet van kunstmatige intelligentie

ADrap gebruikt kunstmatige intelligentie (AI) om de arbeidsdeskundige te ondersteunen, bijvoorbeeld bij het uitlezen van documenten en het opstellen van concepttekst. AI levert uitsluitend concepten. De arbeidsdeskundige beoordeelt, corrigeert en vult deze aan en is verantwoordelijk voor de inhoud van de rapportage. Er vindt geen geautomatiseerde besluitvorming of profilering plaats als bedoeld in artikel 22 AVG.

De AI-verwerking vindt plaats binnen de Europese Unie. Gegevens die voor AI-verwerking worden gebruikt, worden door de betrokken dienstverleners niet bewaard en niet gebruikt om AI-modellen te trainen.

8. Ontvangers van persoonsgegevens

Persoonsgegevens zijn alleen toegankelijk voor wie ze nodig heeft. Een arbeidsdeskundige ziet uitsluitend de dossiers die aan hem of haar zijn toegewezen. De rapportage wordt door het arbeidsdeskundig bureau verstrekt aan de opdrachtgever en de werknemer, volgens de geldende beroeps- en privacyregels.

Voor de hosting, opslag en verwerking van gegevens schakelt VT AI Innovations zorgvuldig geselecteerde dienstverleners in. Met elke dienstverlener zijn schriftelijke afspraken gemaakt waarin dezelfde verplichtingen gelden als in deze verklaring, en Advize is vooraf op de hoogte van welke dienstverleners worden ingeschakeld. Persoonsgegevens worden niet aan andere derden verstrekt, tenzij een wettelijke verplichting daartoe bestaat.

9. Verwerking binnen en buiten de Europese Unie

Persoonsgegevens worden opgeslagen en verwerkt binnen de Europese Economische Ruimte (EER). Waar een dienstverlener technische gegevens buiten de EER verwerkt, gebeurt dat alleen met passende waarborgen, zoals een adequaatheidsbesluit van de Europese Commissie of de door de Europese Commissie vastgestelde standaardcontractbepalingen. De inhoud van dossiers wordt daarbij versleuteld.

10. Bewaartermijnen

Persoonsgegevens worden niet langer bewaard dan nodig. Daarbij gelden deze termijnen:

• dossiers, met documenten en rapportages: vijf jaar na afronding van het onderzoek (niet afgeronde dossiers: vijf jaar na de laatste wijziging). Daarna worden zij verwijderd, na een herstelperiode van 30 dagen;
• de uit documenten gehaalde tekst: 30 dagen na afronding van het dossier; het document zelf volgt de termijn van het dossier;
• gegevens over het gebruik van het portaal (logging): 24 maanden;
• inzagepakketten die op verzoek worden samengesteld: 7 dagen;
• meldingen en ondersteuningsverzoeken: 90 dagen na afhandeling;
• accountgegevens van gebruikers: zolang het account actief is, en daarna zo kort als redelijkerwijs nodig.

Advize kan in verband met een wettelijke verplichting of een lopende procedure een langere termijn hanteren.

11. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies, onbevoegde toegang en onrechtmatige verwerking. Deze maatregelen zijn afgestemd op de gevoeligheid van gezondheidsgegevens. Zij omvatten onder meer verplichte tweestapsverificatie voor iedere gebruiker, versleuteling van gegevens, toegang op basis van rol en dossier, het vastleggen van handelingen in het portaal en een procedure voor het melden en afhandelen van datalekken.

12. Uw rechten

U heeft op grond van de AVG de volgende rechten:

• het recht op inzage in de persoonsgegevens die over u worden verwerkt;
• het recht op rectificatie van onjuiste of onvolledige gegevens;
• het recht op verwijdering van uw gegevens;
• het recht op beperking van de verwerking;
• het recht op overdraagbaarheid van uw gegevens;
• het recht om bezwaar te maken tegen de verwerking.

U kunt een verzoek indienen bij Advize via secretariaat@advize.nl. Om misbruik te voorkomen, kan Advize u vragen uw identiteit aan te tonen. U ontvangt binnen één maand een reactie; bij complexe verzoeken kan die termijn met twee maanden worden verlengd, waarover u binnen de eerste maand wordt geïnformeerd. Komt een verzoek bij VT AI Innovations binnen, dan wordt het binnen twee werkdagen aan Advize doorgestuurd.

Het kan zijn dat een verzoek niet (volledig) kan worden ingewilligd, bijvoorbeeld omdat een wettelijke bewaarplicht geldt of omdat de rechten van anderen in het geding zijn. U ontvangt dan een gemotiveerde reactie.

13. Klachten

Heeft u een klacht over de manier waarop met uw persoonsgegevens wordt omgegaan, neem dan eerst contact op met Advize of de functionaris gegevensbescherming. Komen wij er samen niet uit, dan heeft u het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens (www.autoriteitpersoonsgegevens.nl).

14. Cookies

ADrap gebruikt uitsluitend functionele cookies die nodig zijn om in te loggen en het portaal veilig te laten werken. Er worden geen cookies gebruikt voor statistiek, advertenties of het volgen van uw surfgedrag.

15. Wijzigingen

Deze privacyverklaring kan worden aangepast, bijvoorbeeld bij wijzigingen in het portaal of in de wet. De meest recente versie staat altijd op deze pagina. Bij wezenlijke wijzigingen worden gebruikers hierover geïnformeerd.

16. Contact

Voor vragen over deze privacyverklaring of over de verwerking van uw persoonsgegevens kunt u contact opnemen met Advize via secretariaat@advize.nl of 040 209 20 39. Voor vragen over de techniek en beveiliging van het portaal kunt u terecht bij VT AI Innovations via ryan@vtai.nl.